Asansör Bakım Takip Programı Veri Güvenliği Soruları

İÇERİK

Asansör bakım firmaları bir yazılım satın alırken çoğunlukla bakım planlama, arıza takibi, teknisyen atama, teklif hazırlama veya müşteri yönetimi gibi görünen özelliklere odaklanır. Ancak programın içinde zamanla müşteri iletişim bilgilerinden bakım raporlarına, teknisyen kayıtlarından sözleşmelere kadar ciddi miktarda operasyonel veri birikir. Bu nedenle asansör bakım takip programı veri güvenliği, ürün seçiminde sonradan sorulacak teknik bir ayrıntı değil, satın alma kararının temel başlıklarından biri olmalıdır.

Özellikle birden fazla teknisyenin mobil uygulamadan sisteme girdiği, ofis çalışanlarının müşteri kayıtlarını kullandığı ve bakım formlarının dijital olarak saklandığı firmalarda güvenlik yalnızca "sunucu güvenli mi?" sorusuyla ölçülemez. Yetkilendirme, yedekleme, kullanıcı hesapları, veri aktarımı, mobil cihazlar ve hizmet sağlayıcının sorumlulukları birlikte değerlendirilmelidir.

Bu rehberde bir asansör bakım programı almadan önce yazılım sağlayıcısına sorulması gereken temel veri güvenliği sorularını pratik biçimde ele alıyoruz.

Asansör bakım programında hangi veriler korunmalıdır?

İlk yapılması gereken, programın hangi verileri tuttuğunu anlamaktır. Çünkü korunması gereken şey yalnızca müşteri adı ve telefon numarası değildir.

Bir asansör bakım firmasının kullandığı sistemde genel olarak şu bilgiler bulunabilir:

• Müşteri ve bina iletişim bilgileri
• Apartman veya tesis bilgileri
• Asansör kayıtları
• Bakım tarihleri ve bakım geçmişi
• Arıza kayıtları
• Teknisyen açıklamaları
• Fotoğraflar
• İmzalı bakım veya servis formları
• Sözleşmeler
• Teklifler
• Cari ve ödeme bilgileri
• Kullanıcı ve personel kayıtları
• Sisteme giriş ve işlem geçmişleri

Bu kayıtların bir bölümü doğrudan kişisel veri niteliğinde olabilir. Bir bölümü ise firmanın ticari operasyonu açısından kritik veridir.

Örneğin binlerce asansörün bakım geçmişini yöneten bir firma için veri kaybı yalnızca birkaç dosyanın kaybolması anlamına gelmez. Hangi cihazın ne zaman bakım gördüğü, hangi arızaların tekrarlandığı ve hangi müşterinin sözleşmesinin devam ettiği gibi bilgiler de etkilenebilir.

KVKK kapsamında veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek, ayrıca verilerin korunmasını sağlamak amacıyla uygun teknik ve idari tedbirleri alması gerekir.

Bu nedenle yazılım seçiminde ilk soru şu olmalıdır:

Bu programda hangi verileri tutacağız ve bu verilerin her biri nasıl korunuyor?

Program satın almadan önce sorulması gereken temel güvenlik soruları

Bir yazılım firmasının internet sitesinde "verileriniz güvende" yazması tek başına yeterli değildir. Güvenliğin nasıl sağlandığını somut sorularla anlamak gerekir.

Aşağıdaki tablo başlangıç için kullanılabilecek pratik bir değerlendirme listesidir.

Kontrol konusu	Sorulması gereken soru	Neden önemli?
Veri saklama	Veriler hangi altyapıda ve hangi ülkede tutuluyor?	Veri yönetimi ve aktarım süreçlerini anlamayı sağlar.
Şifreleme	Veri aktarımı sırasında şifreleme kullanılıyor mu?	İnternet üzerinden aktarılan bilgilerin korunmasına yardımcı olur.
Yedekleme	Yedekleme hangi sıklıkla yapılıyor?	Veri kaybı sonrasında geri dönüş kapasitesini gösterir.
Yetkilendirme	Kullanıcı bazında yetki verilebiliyor mu?	Her çalışanın tüm verilere erişmesini önler.
Kullanıcı güvenliği	İki aşamalı doğrulama gibi seçenekler var mı?	Hesap ele geçirilmesi riskini azaltır.
İşlem kayıtları	Kullanıcı işlemleri kayıt altına alınıyor mu?	Hatalı veya yetkisiz işlemlerin takibini kolaylaştırır.
Personel ayrılışı	İşten ayrılan kullanıcının erişimi hemen kapatılabiliyor mu?	Eski personelin sisteme erişmesini önlemeye yardımcı olur.
Veri dışa aktarma	Firma kendi verilerini dışarı aktarabiliyor mu?	Yazılım sağlayıcısına bağımlılığı azaltır.
Veri silme	Sözleşme bittiğinde veriler nasıl yönetiliyor?	Veri sahipliği ve saklama sürecini netleştirir.
Güvenlik olayı	Veri ihlali durumunda nasıl bir süreç uygulanıyor?	Kriz anındaki sorumlulukların önceden bilinmesini sağlar.

Bu soruların mümkünse satış görüşmesinde sözlü olarak bırakılmaması, sözleşme veya hizmet şartları üzerinden de kontrol edilmesi faydalıdır.

Kullanıcı yetkilendirmesi neden kritik?

Asansör firmalarında aynı programı firma sahibi, muhasebe çalışanı, operasyon sorumlusu ve saha teknisyeni kullanabilir. Ancak bu kullanıcıların tamamının aynı bilgilere erişmesi gerekmez.

Örneğin bir teknisyenin bakım yapılacak bina bilgisine, geçmiş servis notlarına ve kendisine atanan işlere erişmesi normal olabilir. Buna karşılık bütün müşterilerin cari bakiyelerini veya şirketin finansal raporlarını görmesi gerekli değildir.

Bu nedenle programda rol ve kullanıcı bazlı yetkilendirme aranmalıdır.

Yazılım sağlayıcısına şu sorular yöneltilebilir:

1. Her kullanıcı için ayrı hesap oluşturulabiliyor mu?
2. Ortak kullanıcı hesabı kullanmak zorunda mıyız?
3. Personelin erişebileceği bölümler sınırlandırılabiliyor mu?
4. Kullanıcı silindiğinde veya pasif edildiğinde erişimi tamamen kapanıyor mu?
5. Kritik işlemlerin hangi kullanıcı tarafından yapıldığı görülebiliyor mu?
6. Şifre politikası uygulanabiliyor mu?
7. Ek kimlik doğrulama yöntemleri bulunuyor mu?

KVKK'nın teknik tedbirler rehberinde de yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi ve şifreleme gibi başlıklar veri güvenliği açısından öne çıkan tedbirler arasında gösterilmektedir.

Ayrıca Kişisel Verileri Koruma Kurumu, kullanıcı hesaplarının korunması açısından çift kademeli kimlik doğrulama, HTTPS kullanımı ve güvenli parola saklama yöntemleri gibi önlemlere dikkat çekmektedir.

Buradaki temel mantık basittir: çalışanın yalnızca işi için gerekli verilere erişebilmesi gerekir.

Yedekleme konusunda sadece "yedek alıyoruz" cevabı yeterli mi?

Hayır. Yazılım sağlayıcısından gelen "yedeklerimiz var" cevabı tek başına yeterli bilgi vermez.

Asıl sorulması gerekenler şunlardır:

• Yedek hangi sıklıkla alınıyor?
• Yedekler ana sistemden ayrı tutuluyor mu?
• Bir sorun yaşandığında hangi tarihe kadar geri dönülebiliyor?
• Yedekten geri yükleme süreci test ediliyor mu?
• Firma yanlışlıkla kayıt silerse geri dönüş imkânı bulunuyor mu?
• Büyük bir sistem arızasında hizmetin yeniden çalışması için nasıl bir plan uygulanıyor?

Örneğin teknisyenlerin ay boyunca gerçekleştirdiği yüzlerce bakımın sisteme kaydedildiğini düşünelim. Sunucu arızası, kullanıcı hatası veya başka bir problem nedeniyle bu kayıtların kaybolması ciddi operasyonel sorun oluşturabilir.

Bu nedenle yedekleme yalnızca teknik ekibin ilgilendiği bir konu değildir. Firma sahibi açısından doğrudan iş sürekliliği meselesidir.

İyi bir değerlendirmede yazılım sağlayıcısından "yedek var" cevabı yerine yedekleme politikasının nasıl çalıştığının açıklanması istenmelidir.

Mobil saha kullanımında hangi riskler dikkate alınmalı?

Asansör bakım takip programlarının önemli avantajlarından biri teknisyenin işlemleri sahadan gerçekleştirebilmesidir. Ancak mobil kullanım yeni güvenlik sorularını da beraberinde getirir.

Teknisyen telefonu kaybedebilir, cihaz çalınabilir veya çalışan firmadan ayrılabilir. Böyle bir durumda cihazın içinde müşteri bilgileri, adresler veya bakım kayıtları bulunabilir.

Bu nedenle mobil uygulama kullanılıyorsa şu konular değerlendirilmelidir:

Oturum yönetimi

Kullanıcının cihazda sürekli açık oturum bırakıp bırakmadığı kontrol edilmelidir. Gerektiğinde hesabın merkezi olarak kapatılabilmesi önemlidir.

Cihaz değişikliği

Yeni bir telefondan giriş yapıldığında ek doğrulama veya güvenlik kontrolü uygulanıp uygulanmadığı sorulabilir.

İşten ayrılan teknisyen

Bir çalışanın firmadan ayrıldığı gün kullanıcı hesabının kapatılması operasyon prosedürünün parçası olmalıdır.

Telefonda tutulan bilgiler

Mobil uygulamanın hangi bilgileri cihaz üzerinde tuttuğu, özellikle çevrimdışı çalışma özelliği varsa ayrıca değerlendirilmelidir.

Buradaki hedef saha personelinin işini zorlaştırmak değildir. Güvenlik ile kullanım kolaylığının dengelenmesidir.

Veri sahipliği ve yazılım değiştirme senaryosu neden sorulmalı?

Firmaların sıklıkla atladığı sorulardan biri şudur:

"Bir gün bu programı kullanmayı bırakırsam verilerime ne olacak?"

Bu soru yazılım satın alınmadan önce cevaplanmalıdır.

Örneğin firma üç yıl boyunca sistemde şu kayıtları toplamış olabilir:

• 2.000 asansör
• Binlerce bakım kaydı
• Arıza geçmişleri
• Müşteri kartları
• Sözleşmeler
• Servis formları
• Teklif ve finans kayıtları

Program değiştirme kararı verildiğinde bu bilgilerin kullanılabilir bir biçimde dışarı aktarılıp aktarılamadığı önem kazanır.

Bu nedenle şu sorular açıkça sorulmalıdır:

• Verilerin sahibi kim?
• Firma istediğinde verilerini dışarı aktarabilir mi?
• Hangi dosya formatlarında aktarım yapılabilir?
• Sözleşme sona erdiğinde veriler ne kadar süre tutulur?
• Silme talebi olduğunda hangi süreç uygulanır?
• Yedeklerde kalan verilerin yönetimi nasıl yapılır?

Burada yalnızca "dosyayı indirebiliyor muyum?" sorusuna değil, verinin başka bir sisteme taşınabilir olup olmadığına da bakılmalıdır.

KVKK açısından yazılım firmasına hangi sorular yöneltilmeli?

Bir bakım yazılımında kişisel veri işlendiği için firma kendi KVKK süreçlerini de değerlendirmelidir. Yazılım sağlayıcısının kullanılması, bakım firmasının kendi yükümlülüklerini otomatik olarak ortadan kaldırmaz.

Somut olarak şu başlıklar sorulabilir:

• Hizmet sağlayıcı verileri hangi amaçlarla işliyor?
• Alt hizmet sağlayıcılar kullanılıyor mu?
• Veriler yurt dışına aktarılıyor mu?
• Veri güvenliği konusunda hangi teknik ve idari tedbirler uygulanıyor?
• Yetkisiz erişim veya veri ihlali durumunda nasıl hareket ediliyor?
• Hizmet ilişkisi sona erdiğinde veriler nasıl siliniyor veya iade ediliyor?

Özellikle bulut hizmetleri ve üçüncü taraf servisler kullanıldığında veri akışının anlaşılması önemlidir.

Bir yazılımın "KVKK uyumluyuz" demesi yerine, verinin hangi süreçlerden geçtiğinin açıklanabilmesi daha anlamlı bir göstergedir.

Küçük asansör firmaları da veri güvenliğini önemsemeli mi?

Kesinlikle. Veri güvenliği yalnızca yüzlerce çalışanı bulunan büyük firmaların konusu değildir.

10 çalışanlı bir bakım firmasında bile;

• yüzlerce müşteri,
• bina yöneticilerinin telefon numaraları,
• adresler,
• teknisyen kayıtları,
• bakım geçmişleri,
• imzalı servis formları

bulunabilir.

Üstelik küçük firmalarda kullanıcı hesaplarının ortak kullanılması veya çalışan ayrıldıktan sonra şifrenin değiştirilmemesi gibi basit hatalar daha sık görülebilir.

Bu nedenle pahalı ve karmaşık güvenlik sistemlerinden önce temel disiplin kurulmalıdır:

• Her personele ayrı kullanıcı açın.
• Gereksiz erişim yetkisi vermeyin.
• İşten ayrılan çalışanların hesabını aynı gün kapatın.
• Ortak şifre kullanmayın.
• Güçlü ve benzersiz parolalar tercih edin.
• Kritik verilerin yedeklendiğinden emin olun.
• Yazılım sağlayıcısının veri güvenliği politikasını sorun.

Bu tedbirlerin birçoğu yüksek maliyetli yatırımlar gerektirmeden uygulanabilir. KVKK'nın kişisel veri güvenliği rehberi de alınacak önlemlerin risk, veri niteliği ve işletmenin şartlarına göre belirlenmesi gerektiğini vurgular.

Asansör bakım programı seçerken 10 soruluk kısa kontrol listesi

Demo veya satın alma görüşmesinde aşağıdaki 10 soruyu doğrudan kullanabilirsiniz:

1. Verilerimiz nerede tutuluyor?
2. İnternet üzerinden veri aktarımı şifreli mi?
3. Yedekleme hangi sıklıkla yapılıyor?
4. Kullanıcı bazlı yetkilendirme yapılabiliyor mu?
5. Kullanıcıların yaptığı kritik işlemler kayıt altına alınıyor mu?
6. İşten ayrılan personelin erişimini anında kapatabiliyor muyuz?
7. Mobil cihaz kaybolursa hesap erişimini durdurabiliyor muyuz?
8. Verilerimizi istediğimiz zaman dışarı aktarabiliyor muyuz?
9. Hizmet sona erdiğinde verilerimizin durumu ne oluyor?
10. Güvenlik ihlali veya sistem arızası halinde uygulanacak prosedür nedir?

Bir firma bu sorulara açık ve anlaşılır cevap verebiliyorsa yazılımı yalnızca özellik açısından değil, operasyonel risk açısından da daha sağlıklı değerlendirmek mümkün olur.

Asansorex gibi bakım süreçlerini dijital ortamda yöneten bir sistem kullanılırken de müşteri, bakım, arıza ve saha kayıtlarının tek yerde tutulması kadar bu kayıtlara kimlerin hangi yetkiyle eriştiğinin yönetilmesi önemlidir. Dijitalleşmenin faydası, doğru veri yönetimi ve kullanıcı disipliniyle birlikte ortaya çıkar.

Sıkça Sorulan Sorular

Asansör bakım takip programında müşteri bilgileri kişisel veri sayılır mı?

Müşteri kartlarında gerçek kişilere ait ad, telefon numarası, e-posta adresi veya benzeri bilgiler bulunuyorsa bunlar kişisel veri kapsamında değerlendirilebilir. Bu nedenle kullanılan yazılım kadar firmanın kendi veri işleme süreçleri de önemlidir.

Bulut tabanlı asansör programları güvenli midir?

Bulut tabanlı olması tek başına bir sistemin güvenli veya güvensiz olduğunu göstermez. Kullanılan altyapı, şifreleme, kullanıcı yetkilendirmesi, yedekleme, erişim kontrolü ve güvenlik süreçleri birlikte incelenmelidir.

Yazılım firması yedek alıyorsa ayrıca bir şey sormaya gerek var mı?

Evet. Yedeğin hangi sıklıkta alındığı, nerede tutulduğu, ne kadar süre saklandığı ve gerektiğinde geri yüklemenin nasıl yapıldığı sorulmalıdır. "Yedek alıyoruz" açıklaması tek başına yeterli değildir.

Teknisyenlerin ortak kullanıcı hesabı kullanması doğru mu?

Mümkün olduğunca her çalışan için ayrı kullanıcı hesabı tercih edilmelidir. Böylece yetkilendirme yapılabilir ve hangi işlemin hangi kullanıcı tarafından gerçekleştirildiğinin takibi kolaylaşır.

Yazılım değiştirirken eski veriler alınabilir mi?

Bu tamamen kullanılan sistemin veri dışa aktarma imkanlarına bağlıdır. Bu nedenle program satın alınmadan önce müşteri, asansör, bakım ve diğer kayıtların hangi formatlarda dışarı aktarılabileceği mutlaka sorulmalıdır.

Veri güvenliği yalnızca yazılım sağlayıcısının sorumluluğunda mı?

Hayır. Yazılım sağlayıcısının güvenli bir altyapı sunması önemlidir ancak kullanıcı hesaplarının doğru yönetilmesi, personel yetkilerinin sınırlandırılması ve şirket içi veri güvenliği kurallarının uygulanması da bakım firmasının kontrol etmesi gereken başlıklardır.

Özet

Asansör bakım takip programı seçerken yalnızca bakım planı oluşturuyor mu, mobil uygulaması var mı veya rapor hazırlıyor mu diye bakmak yeterli değildir. Verilerin nerede tutulduğu, nasıl yedeklendiği, kimlerin hangi bilgilere erişebildiği, çalışan ayrıldığında erişimin nasıl kapatıldığı ve program bırakıldığında verilerin nasıl geri alınacağı en az fonksiyonlar kadar önemlidir.

Özellikle müşteri bilgilerinin, bakım geçmişlerinin, servis formlarının ve saha kayıtlarının yıllar boyunca biriktiği düşünüldüğünde veri güvenliği doğrudan işletme sürekliliğinin parçasıdır. Asansorex gibi dijital bakım yönetim çözümleri değerlendirilirken de özellik listesinin yanında yetkilendirme, veri yönetimi ve güvenlik süreçlerini sorgulamak, firma sahibinin uzun vadede daha sağlıklı bir yazılım seçimi yapmasına yardımcı olur.