Asansör Bakım Yazılımı Veri Güvenliği Soruları

İÇERİK

Asansör bakım yazılımı seçerken ilk sorular genellikle bakım planı, mobil kullanım ve fiyat üzerine olur. Oysa müşteri telefonları, bina adresleri, bakım fotoğrafları, sözleşmeler ve tahsilat kayıtları aynı yerde toplandığında başka bir soru önem kazanır: Bu bilgilere kim erişebilir, kayıtlar kaybolursa nasıl geri alınır? Veri güvenliğini değerlendirmek için teknik uzman olmanız gerekmez. Doğru soruları sormanız, cevapları örneklerle görmeniz ve verilen taahhütleri yazılı almanız gerekir. Bu rehber, 2026 yılında Türkiye’de faaliyet gösteren bir bakım firmasının yazılım görüşmesinde kullanabileceği somut kontrol noktalarını açıklıyor.

1. Hangi Verileri Koruduğunuzu Biliyor musunuz?

Güvenlik değerlendirmesine yazılımın özelliklerinden önce firmanızın kayıtlarıyla başlayın. Çünkü günlük işlerde sıradan görünen bilgiler, bir araya geldiklerinde hem müşteri ilişkilerini hem de ticari faaliyetleri etkileyebilir.

Bir bina yöneticisinin telefonu iletişim bilgisidir. Aynı kayıtta sözleşme bedeli, ödeme geçmişi ve bina erişim notları da bulunuyorsa erişim ihtiyacı değişir. Teknisyenin bakım yapabilmek için görmesi gereken bilgilerle firma sahibinin finansal değerlendirme için ihtiyaç duyduğu bilgiler aynı değildir.

Önce şu grupları belirleyin:

• Müşteri bilgileri: İsim, telefon, e-posta ve bina adresi.
• Teknik kayıtlar: Asansör bilgileri, arıza açıklamaları ve bakım geçmişi.
• Ticari bilgiler: Teklifler, sözleşme bedelleri ve tahsilat kayıtları.
• Saha belgeleri: Fotoğraflar, servis formları ve imzalar.
• Çalışan bilgileri: Görev atamaları ve işlem geçmişi.

Her grubun yanına “Kim görmeli, kim değiştirebilmeli, kim indirebilmeli?” sorularının cevaplarını yazın. Bu küçük çalışma, görüşmede “Yetkilendirme var mı?” demek yerine gerçek ihtiyacınızı tarif etmenizi sağlar.

Gereksiz veri toplamamak da işinizi kolaylaştırır. Örneğin teknik arızayı göstermek için çekilen fotoğrafta apartman sakinlerinin yüzlerinin veya kapı üzerindeki kişisel bilgilerin görünmesine ihtiyaç olmayabilir.

2. Kullanıcılar Yalnızca İhtiyaç Duydukları Bilgilere Erişebiliyor mu?

Bir çalışanın bakım formu doldurabilmesi, bütün müşteri listesini indirebilmesini gerektirmez. Benzer şekilde bina yöneticisinin kendi binasının geçmişini görmesi, başka binaların kayıtlarına ulaşması anlamına gelmemelidir.

Yazılım sağlayıcısına şu soruyu yöneltin: “Görev, şube ve müşteri kapsamına göre erişimi sınırlandırabiliyor muyuz?”

Sadece menülerin görünürlüğünü sormayın. Kayıt görüntüleme, değiştirme, silme ve dışa aktarma yetkilerinin ayrı değerlendirilmesini isteyin. Bir çalışanın kayıtları okuyabilmesi ile topluca silebilmesi arasında ciddi fark vardır.

Demoda hangi örnekleri denemelisiniz?

Gerçek müşteri bilgileri yerine örnek kayıtlarla şu senaryoları uygulayın:

1. Teknisyen yalnızca kendisine atanan işleri açsın.
2. Teknik ekip hesabından sözleşme fiyatına erişim denensin.
3. Bir şube kullanıcısının başka şubenin müşterilerini görüp göremediği kontrol edilsin.
4. Bina yöneticisi hesabıyla yalnızca ilgili binanın belgeleri görüntülensin.
5. Dışa aktarma yetkisi olmayan kullanıcıyla müşteri listesi indirme işlemi denensin.

Bu testlerin amacı ekranları gezmek değil, koyduğunuz sınırların gerçekten çalıştığını görmektir. İhtiyaç kadar erişim verme yaklaşımı, OWASP yetkilendirme rehberinde de temel güvenlik ilkeleri arasında yer alır.

3. Hesap ve Telefon Güvenliği Nasıl Sağlanıyor?

Sahada telefon kaybolabilir, çalışan cihaz değiştirebilir veya bir şifre yanlış kişiye gönderilebilir. Yazılım görüşmesinde yalnızca normal çalışma koşullarını değil, bu durumları da konuşun.

İlk sorunuz kişiye özel hesaplarla ilgili olsun. Üç teknisyenin aynı kullanıcı adıyla çalışması, hangi kaydı kimin değiştirdiğini ayırt etmeyi zorlaştırır. Ayrıca bir kişi ayrıldığında ortak şifrenin değiştirilmesi ve bütün cihazların kontrol edilmesi gerekir.

İkinci soru, çok faktörlü kimlik doğrulama desteğidir. Bu yöntem, girişte şifrenin yanında ek bir doğrulama ister. Özellikle geniş yetkili hesaplar açısından değerlendirilmelidir. CISA’nın çok faktörlü doğrulama rehberi, şifre ele geçirilmesine karşı ek koruma sağladığını açıklar.

Telefon kaybolursa hangi işlemler yapılabilir?

Sağlayıcıdan aşağıdaki durumları açıklamasını isteyin:

• Kullanıcının açık oturumları merkezi olarak kapatılabiliyor mu?
• Hesap devre dışı bırakıldığında eski oturumlar geçersizleşiyor mu?
• Cihazda çevrimdışı kayıt tutuluyorsa bunlar nasıl korunuyor?
• Uygulamadan indirilen belgeler cihazda kalıyor mu?
• Yeni cihazla girişte ek doğrulama uygulanabiliyor mu?

Oturumu kapatmak, telefona önceden indirilmiş PDF dosyalarını otomatik olarak silmek demek değildir. Bu nedenle cihaz ekran kilidi, dosya paylaşım alışkanlıkları ve çalışan ayrılış süreci de değerlendirmeye dâhil edilmelidir.

Telefonların güncel tutulmasını firma rutininin parçası yapın. Güvenlik açıklarını gideren güncellemelerin geciktirilmemesi gerektiği, CISA yazılım güncelleme rehberinde de vurgulanır.

4. Yedekler Gerçekten Geri Yüklenebiliyor mu?

“Her gün yedek alıyoruz” cevabı başlangıçtır; değerlendirmeyi tamamlamaz. Yedeğin ne sıklıkta alındığı kadar, gerektiğinde kullanılabilir olması da önemlidir.

Şu soruları birlikte sorun:

• Hangi kayıtlar ve dosyalar yedekleniyor?
• Yedekler ne kadar süre tutuluyor?
• Ana sistemdeki bir sorun yedekleri de etkileyebilir mi?
• Son başarılı geri yükleme denemesi ne zaman yapıldı?
• Tek bir müşterinin yanlışlıkla silinen kaydı geri getirilebilir mi?
• Geri yükleme sırasında yeni girilmiş kayıtlar nasıl korunur?

Örneğin günde bir kez yedeklenen bir sistemde, son yedekten sonra girilen kayıtların ayrıca korunup korunmadığını öğrenin. “Günlük yedek” ifadesi tek başına sıfır veri kaybı anlamına gelmez.

Görüşmede iki süreyi sade biçimde netleştirin: En fazla ne kadar yeni kayıt kaybedilebilir ve hizmet ne kadar sürede yeniden kullanılabilir? Sağlayıcının hedef olarak söylediği sürelerle sözleşmede taahhüt ettiği süreleri birbirine karıştırmayın.

Asansorex gibi bir bakım takip yazılımında kayıtları bir arada tutmak, geçmişe erişimi kolaylaştırabilir. Bu kolaylığın güvenli biçimde sürmesi için yedek kapsamını ve geri yükleme koşullarını ayrıca değerlendirin.

5. Veriler Nerede Tutuluyor ve Kimler Erişebiliyor?

“Veriler bulutta” cevabı, verilerin nasıl korunduğunu açıklamaz. Ana kayıtların, yedeklerin ve destek sırasında oluşturulan kopyaların nerede tutulduğunu ayrı ayrı sorun.

Sağlayıcıya şu soruları yöneltebilirsiniz: Veriler aktarılırken ve saklanırken şifreleniyor mu? Destek personeli müşteri kayıtlarını hangi koşullarda görebiliyor? Destek erişimi süreyle sınırlandırılıyor ve kayda alınıyor mu? Başka hizmet sağlayıcıları kullanılıyorsa bunların görevleri neler?

Sunucunun bulunduğu ülke tek başına güvenlik kalitesini göstermez. Değerlendirmeyi erişim sınırları, yedekleme, güncelleme ve olay yönetimiyle birlikte yapın. Kişisel verilerin işlenmesine ilişkin sözleşme ve bilgilendirme belgelerini de incelemek üzere talep edin.

Aşağıdaki tabloyu görüşmede kullanabilirsiniz:

Güvenlik sorusu	İstenecek somut kanıt	Açıklama gerektiren cevap
Kim hangi kaydı görebilir?	Örnek hesaplarla yetki testi	“Bütün çalışanlar her şeyi görebilir.”
Hesap erişimi nasıl kesilir?	Oturum kapatma gösterimi	“Şifre değişmesi yeterli olur.”
Yedekler çalışıyor mu?	Tarihli geri yükleme test özeti	“Şimdiye kadar gerekmedi.”
Veriler nerede tutulur?	Ana veri ve yedek konumu açıklaması	“Bulutta, ayrıntısını bilmiyoruz.”
Destek erişimi nasıl yapılır?	Erişim ve kayıt prosedürü	“Destek ekibi istediğinde bakar.”
Veriler nasıl teslim edilir?	Örnek dışa aktarma dosyası	“İptal sırasında konuşuruz.”

Bu cevapları tek başına kesin hüküm olarak kullanmayın. Belirsiz noktaları yazılı açıklama ve gösterimle netleştirin.

6. Kayıt Değişiklikleri ve Hizmetten Ayrılış İzlenebiliyor mu?

Bakım tarihi değiştiğinde veya tahsilat kaydı silindiğinde, firma sahibinin ne olduğunu anlayabilmesi gerekir. Bunun için yalnızca son hâli görmek yeterli değildir.

“Kim, ne zaman, hangi kaydı değiştirdi?” sorusunun cevabını isteyin. Mümkünse eski ve yeni değerlerin izlenip izlenmediğini, işlem geçmişine kimlerin erişebildiğini ve bu geçmişin ne kadar tutulduğunu öğrenin. Bu bilgiler, hatalı işlemi araştırırken çalışanların hafızasına bağımlı kalmanızı azaltır.

Abonelik bittiğinde kayıtlarınızı nasıl alırsınız?

Veri teslimini sözleşme imzalanmadan önce konuşun. Yalnızca müşteri listesinin Excel olarak verilmesi, bakım geçmişinin tamamını taşıyabileceğiniz anlamına gelmez.

Dışa aktarma kapsamını şu parçalar üzerinden kontrol edin:

• Müşteri ve bina kayıtları.
• Asansör bilgileri ile bakım ve arıza geçmişi.
• Fotoğraflar, imzalar ve ek belgeler.
• Sözleşmeler ve ilgili ticari kayıtlar.
• Belgelerin hangi bina veya iş kaydına ait olduğunu gösteren eşleştirmeler.

Örnek bir binanın verilerini dışarı alın. Dosyaları açıp bakım tarihi, açıklama ve fotoğraf bağlantılarının anlaşılır olduğunu kontrol edin. Teslim süresini, varsa ücretini ve hizmet sonrasında erişimin ne zaman sona ereceğini yazılı alın. Silme talebinin aktif kayıtlar ve yedekler için nasıl uygulanacağını da sorun.

Güvenlik olayı yaşandığında kiminle iletişim kurulacağı, hangi bilgilerin paylaşılacağı ve hizmet kesintisinin nasıl duyurulacağı da aynı görüşmede netleşmelidir.

Sıkça Sorulan Sorular

Küçük bir bakım firmasının ayrıntılı güvenlik kontrolüne ihtiyacı var mı?

Evet. Kontrolün kapsamı firmanın büyüklüğüne göre sadeleşebilir; ancak müşteri erişimleri, kişiye özel hesaplar, yedekleme ve veri teslimi her ölçekte önemlidir. Küçük ekiplerde ortak şifre kullanımı gibi alışkanlıkları düzeltmek iyi bir başlangıçtır.

Güçlü şifre kullanmak tek başına yeterli mi?

Hayır. Güçlü ve benzersiz şifreye ek olarak çok faktörlü doğrulama, uygun kullanıcı yetkileri ve açık oturumların yönetimi değerlendirilmelidir. Telefona indirilen belgeler için cihaz güvenliği de gerekir.

Yedekleme ile veri dışa aktarma aynı şey mi?

Hayır. Yedekleme, kayıp veya arıza sonrasında sistemi geri getirmeyi amaçlar. Dışa aktarma ise kayıtları firmanın kullanabileceği biçimde teslim eder. İndirilen müşteri listesi, bütün fotoğrafların ve bakım belgelerinin yedeği olmayabilir.

Çevrimdışı çalışma veri güvenliği açısından sorun oluşturur mu?

Tek başına sorun sayılmaz; cihazda veri tutulması ek kontrol gerektirir. Yerel kayıtların korunması, oturum sonlandırma davranışı ve internet geldiğinde eşitlemenin nasıl yapıldığı sorulmalıdır. Kaybolan cihazdaki kayıtlarla ilgili sınırlar açıkça öğrenilmelidir.

Yazılım sağlayıcısının güvenlik belgesi olması yeterli mi?

Belgenin hangi hizmeti ve kapsamı içerdiği incelenmelidir. Bir belge, firmanızın kullanıcı yetkilerinin doğru ayarlandığını veya veri tesliminin eksiksiz olduğunu tek başına göstermez. Belge incelemesini demo testleri ve yazılı taahhütlerle tamamlayın.

Özet

Asansör bakım yazılımı veri güvenliği değerlendirmesinde genel vaatlerden çok, gösterilebilir sonuçlara odaklanın. Kullanıcı erişimini örnek hesaplarla deneyin, yedeğin geri yüklenebildiğine ilişkin kanıt isteyin ve hizmetten ayrılırken kayıtların nasıl teslim edileceğini önceden belirleyin.

Asansorex’i değerlendirirken de aynı soru listesini kullanarak firmanızın saha ve ofis ihtiyaçlarını görüşmeye taşıyabilirsiniz. Satın alma öncesinde netleştirilen bu konular, günlük kullanımda çalışanların neye erişeceğini ve beklenmedik bir durumda nasıl hareket edileceğini belirginleştirir.