Asansör Bakım Yönetim Programı Seçerken Sorulacak Veri Güvenliği Soruları

İÇERİK

Asansör bakım firmaları yalnızca bakım tarihlerini ve arıza kayıtlarını değil; bina yöneticilerinin iletişim bilgilerini, asansörlerin teknik özelliklerini, sözleşmeleri, tahsilat durumlarını, teknisyen konumlarını ve imzalı servis formlarını da saklar. Bu nedenle bir asansör bakım yönetim programı seçerken ekranların kullanışlı görünmesi veya mobil uygulamanın hızlı çalışması tek başına yeterli değildir. Verilerin nerede tutulduğu, kimlerin hangi bilgilere erişebildiği, yedeklerin nasıl alındığı ve hizmet sona erdiğinde kayıtların nasıl teslim edileceği de değerlendirilmelidir.

Bu rehberde firma sahiplerinin, teknisyenlerin ve bina yöneticilerinin yazılım sağlayıcısına sorması gereken veri güvenliği sorularını ele alacağız. Amaç teknik terimlerle dolu bir güvenlik belgesi hazırlamak değil; satın alma kararından önce riskleri görünür hâle getirmek ve verilen cevapları karşılaştırabilmektir.

Asansör Bakım Programında Hangi Veriler Korunmalıdır?

Veri güvenliğini değerlendirebilmek için önce programda hangi kayıtların tutulacağını belirlemek gerekir. Birçok firma yalnızca müşteri listesini düşündüğü için fotoğraf, imza, finans ve çalışan verilerini gözden kaçırır.

Genel uygulamada bir asansör bakım programında şu bilgiler bulunabilir:

• Bina veya site adı, adresi ve konum bilgisi
• Bina yöneticisinin adı, telefonu ve e-posta adresi
• Asansör kimlik bilgileri ve teknik özellikleri
• Bakım, arıza, onarım ve parça değişim geçmişi
• Periyodik kontrol sonuçları ile A, B, C veya D kusur kayıtları
• Kırmızı, sarı, mavi veya yeşil bilgi etiketi süreçleriyle ilgili takip kayıtları
• Teknisyenlerin görev, çalışma ve gerektiğinde konum bilgileri
• Bakım sırasında çekilen fotoğraflar
• Müşteri ve teknisyen imzaları
• Sözleşmeler, teklifler ve servis formları
• Cari hesap, tahsilat ve fatura bilgileri
• Kullanıcı hareketleri ve işlem geçmişi

Bu listenin bir bölümü kişisel veri, bir bölümü ticari kayıt, bir bölümü ise hizmet verilen asansörün teknik geçmişidir. Bir veri kaybı yalnızca müşteri telefonlarının kaybolması anlamına gelmez. Bakım geçmişinin silinmesi, teknisyenin yaptığı işlemin kanıtlanamamasına ve bina yöneticisiyle firma arasında anlaşmazlık yaşanmasına da neden olabilir.

Güvenli yazılım, yalnızca dışarıdan gelebilecek saldırılara karşı koruma sağlamaz; kullanıcı hatası, cihaz kaybı, yanlış silme ve yetkisiz personel erişimi gibi günlük riskleri de yönetir.

Yazılım Sağlayıcısına Sorulması Gereken Temel Sorular

Bir satış görüşmesinde “Verilerimiz güvende mi?” diye sormak genellikle yeterli değildir. Bu soruya çoğu sağlayıcı doğal olarak “Evet” cevabını verir. Bunun yerine nasıl, nerede, ne sıklıkta ve kim tarafından sorularına odaklanılmalıdır.

Veriler nerede saklanıyor?

Programın bulut ortamında mı, firmanın kendi sunucusunda mı yoksa karma bir yapıda mı çalıştığı öğrenilmelidir. Bulut kullanılması tek başına güvenli veya güvensiz olduğu anlamına gelmez. Önemli olan sunucunun nasıl yönetildiği, erişimin nasıl sınırlandırıldığı ve düzenli güvenlik kontrollerinin yapılıp yapılmadığıdır.

Şu alt sorular yöneltilebilir:

• Üretim verileri ile test verileri birbirinden ayrılıyor mu?
• Sunucuya kimler erişebiliyor?
• Erişim işlemleri kayıt altına alınıyor mu?
• Sunucu kesintisi yaşanırsa hizmet nasıl devam ediyor?
• Fotoğraf, imza ve belgeler de ana kayıtlar kadar korunuyor mu?

Veriler aktarım sırasında korunuyor mu?

Ofisteki bilgisayar, teknisyenin telefonu ve sunucu arasında sürekli veri aktarımı yapılır. Oturum bilgileri, servis formları ve müşteri kayıtları aktarılırken güncel şifreli bağlantı yöntemlerinin kullanılması beklenir.

Firma, özellikle teknisyenlerin ortak veya halka açık internet bağlantılarını kullanabildiğini hesaba katmalıdır. Şifreli iletişim, aktarım sırasında verinin üçüncü kişiler tarafından okunması riskini azaltır. Ancak tek başına yeterli değildir; güçlü parola, oturum yönetimi ve cihaz güvenliğiyle birlikte değerlendirilmelidir.

Parolalar nasıl korunuyor?

Kullanıcı parolalarının açık şekilde görüntülenip görüntülenemediği sorulmalıdır. Sağlıklı bir sistemde destek personelinin bile kullanıcının mevcut parolasını görmemesi gerekir. Parola unutulduğunda eski parolanın gönderilmesi yerine güvenli bir sıfırlama süreci işletilmelidir.

Mümkünse şu özellikler aranmalıdır:

• Güçlü parola kuralları
• İki aşamalı doğrulama seçeneği
• Başarısız giriş denemelerine karşı sınırlama
• Şüpheli oturumların sonlandırılabilmesi
• İşten ayrılan kullanıcının erişiminin hemen kapatılabilmesi

Yedekleme ve Veri Kurtarma İçin Hangi Cevaplar Aranmalı?

“Yedek alıyoruz” açıklaması tek başına anlamlı değildir. Yedeğin sıklığı, nerede saklandığı, ne kadar süre tutulduğu ve gerçekten geri yüklenip yüklenemediği önemlidir. Yedek dosyasının oluşturulması ile kullanılabilir bir kurtarma planına sahip olmak aynı şey değildir.

Sorulacak soru	Beklenen açıklama	Riskli cevap
Yedekler hangi sıklıkla alınıyor?	Belirlenmiş ve düzenli bir yedekleme planı	“Ara sıra alıyoruz”
Yedek nerede saklanıyor?	Ana sistemden bağımsız korunan ortam	Ana sunucuyla aynı yerde tek kopya
Yedekler ne kadar süre tutuluyor?	Açıklanmış saklama ve döndürme süresi	Süre bilinmiyor
Geri yükleme testi yapılıyor mu?	Düzenli test ve kontrol süreci	“Hiç ihtiyaç olmadı”
Yanlış silinen kayıt kurtarılabilir mi?	Belirli koşullarda geri dönüş prosedürü	Kesin bilgi verilemiyor
Kesintide tahmini dönüş planı var mı?	Öncelikleri belirlenmiş kurtarma planı	Plansız, kişiye bağlı müdahale

Firma açısından kritik konu, kabul edilebilir veri kaybının ne olduğudur. Örneğin gün sonunda alınan tek yedek, sabah ile akşam arasında girilen bakım kayıtlarının kaybolabileceği anlamına gelebilir. Yoğun operasyon yürüten bir firmanın ihtiyacıyla ayda birkaç servis kaydı oluşturan küçük bir işletmenin ihtiyacı aynı değildir.

Asansorex gibi bakım takip yazılımlarını değerlendirirken sadece otomatik yedekleme ifadesine bakmak yerine yedek sıklığı, erişim yetkileri ve kayıtların dışarı aktarılabilmesi birlikte sorgulanmalıdır.

Kullanıcı Yetkileri Nasıl Sınırlandırılmalı?

Asansör firmalarında herkesin bütün kayıtlara erişmesi gerekmez. Teknisyenin kendisine atanan iş emirlerini ve ilgili bina bilgilerini görmesi yeterliyken muhasebe personelinin cari hesaplara, operasyon sorumlusunun ise ekip planına erişmesi gerekebilir.

Yetkilendirme değerlendirilirken şu sorular sorulmalıdır:

1. Teknisyen yalnızca kendisine atanan işleri görebiliyor mu?
2. Müşteri fiyatları ve tahsilat bilgileri saha personelinden gizlenebiliyor mu?
3. Kayıt silme ve düzenleme yetkileri ayrı ayrı tanımlanabiliyor mu?
4. Şube çalışanları diğer şubelerin kayıtlarını görebiliyor mu?
5. Yetki değişiklikleri kim tarafından yapılabiliyor?
6. İşten ayrılan personelin tüm aktif oturumları kapatılabiliyor mu?
7. Kritik işlemler için ikinci bir onay mekanizması bulunuyor mu?

İşlem geçmişi neden önemlidir?

Bir bakım kaydının tarihi değiştirildiğinde, form silindiğinde veya tahsilat bilgisi düzenlendiğinde işlemi yapan kullanıcının belirlenebilmesi gerekir. İşlem geçmişi hem güvenlik hem de iç denetim açısından önem taşır.

Örneğin bina yöneticisi bakımın ayın 12’sinde yapılmadığını iddia ediyor, sistemdeki kayıt ise ayın 12’sini gösteriyorsa yalnızca son hâli görmek yeterli olmayabilir. Kaydın ne zaman oluşturulduğu, sonradan değiştirilip değiştirilmediği ve işlemi kimin yaptığı anlaşmazlığın çözümünü kolaylaştırır.

Mobil Uygulamada Veri Güvenliği Nasıl Değerlendirilir?

Teknisyenlerin kullandığı telefonlar ofis bilgisayarlarından daha fazla fiziksel risk altındadır. Cihaz kaybolabilir, çalınabilir, başka bir çalışan tarafından kullanılabilir veya teknisyen işten ayrıldıktan sonra uygulamadaki oturum açık kalabilir.

Mobil kullanım için kontrol edilmesi gereken başlıca noktalar şunlardır:

• Uygulamaya giriş zorunlu mu?
• Uzun süre kullanılmayan oturum otomatik kapanıyor mu?
• Kaybolan cihazdaki oturum uzaktan sonlandırılabiliyor mu?
• Uygulama telefonda gereğinden fazla veri saklıyor mu?
• Çevrimdışı kaydedilen bilgiler bağlantı geldiğinde güvenli biçimde aktarılıyor mu?
• Fotoğraf ve imzalar telefonun herkese açık galerisinde mi tutuluyor?
• Ekran görüntüsü veya dosya indirme konusunda hassas alanlar korunuyor mu?
• Teknisyenin kişisel telefonu ile kurumsal cihaz arasında farklı bir politika uygulanabiliyor mu?

Çevrimdışı çalışma saha için önemli bir avantajdır. Bodrum katta veya makine dairesinde internet çekmediğinde bakım formunun doldurulabilmesi gerekir. Fakat çevrimdışı kayıtların cihazda nasıl korunduğu ve sunucuya aktarıldıktan sonra yerel kopyaların nasıl yönetildiği açıkça sorulmalıdır.

KVKK ve Müşteri Verileri Açısından Neler Sorulmalı?

Asansör bakım firması, hizmet verirken bina yöneticisi, apartman görevlisi, çalışan ve tedarikçi gibi kişilere ait verileri işleyebilir. Bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki sorumluluklarını kendi faaliyet yapısına göre değerlendirmelidir. Yazılım satın almak, firmanın veri sorumluluğunu tamamen yazılım sağlayıcısına devretmez.

Burada amaç her kaydı süresiz saklamak değil; işin gerektirdiği veriyi belirli bir amaçla, uygun güvenlik önlemleri altında tutmaktır. Firma şu konuları netleştirmelidir:

• Hangi kişisel veriler programa girilecek?
• Her veri alanı gerçekten gerekli mi?
• Veriler hangi amaçlarla kullanılacak?
• Yazılım sağlayıcısı verilere hangi kapsamda erişebilecek?
• Destek sırasında gerçek müşteri verilerinin görülmesi gerekiyor mu?
• Saklama süresi sona eren bilgiler nasıl silinecek veya anonim hâle getirilecek?
• Bir güvenlik olayı yaşandığında firmaya nasıl bilgi verilecek?
• Hizmet alınan diğer altyapı sağlayıcıları bulunuyor mu?
• Sözleşmede gizlilik, veri güvenliği ve hizmet sona ermesi düzenlenmiş mi?

Özellikle teknisyen konumu gereksiz ve sürekli biçimde izlenmemelidir. Konum kullanılıyorsa bunun operasyonel amacı, kapsamı ve çalışanlara yapılacak bilgilendirme açık olmalıdır. Firma, kendi koşullarına ilişkin hukuki yükümlülükleri gerektiğinde uzman desteğiyle değerlendirmelidir.

Program Değiştirirken Veriler Nasıl Teslim Alınmalı?

Veri güvenliği yalnızca program kullanılırken değil, programdan ayrılırken de önemlidir. Firma yıllar boyunca oluşturduğu müşteri, cihaz, bakım ve arıza kayıtlarına erişimini kaybetmemelidir.

Satın alma öncesinde şu noktalar yazılı olarak netleştirilmelidir:

• Veriler hangi dosya biçimlerinde dışarı aktarılabilir?
• Fotoğraf, imza ve PDF formları da teslimata dâhil midir?
• Cihazlarla bakım geçmişi arasındaki ilişki korunur mu?
• Dışa aktarım için ek ücret alınır mı?
• Abonelik sona erdiğinde verilere erişim ne kadar sürer?
• Teslimattan sonra sağlayıcının sistemindeki kopyalar ne zaman silinir?
• Silme işlemiyle ilgili yazılı teyit sunulur mu?

Yalnızca müşteri listesinin Excel dosyası olarak verilmesi, eksiksiz veri teslimi anlamına gelmez. Bir asansörün yıllara yayılan bakım geçmişi; fotoğrafları, parça değişimleri, arıza kayıtları ve imzalı formlarıyla birlikte anlamlıdır.

Satın Alma Öncesi Uygulanabilir Güvenlik Kontrolü

Teknik bilgisi sınırlı bir firma yöneticisi de düzenli bir değerlendirme yapabilir. Bunun için aşağıdaki adımlar izlenebilir:

1. Programda tutulacak veri türlerini listeleyin.
2. Finans, müşteri, personel ve teknik kayıtların kimler tarafından görüleceğini belirleyin.
3. Yazılım sağlayıcısından yedekleme ve veri kurtarma sürecini yazılı isteyin.
4. Deneme hesabında farklı roller oluşturarak yetkileri kontrol edin.
5. Bir kullanıcıyı pasif hâle getirip açık oturumun kapanıp kapanmadığını deneyin.
6. Örnek bakım kayıtlarını dışarı aktararak dosyanın kullanılabilirliğini inceleyin.
7. Mobil uygulamada çevrimdışı oluşturulan kaydın senkronizasyonunu test edin.
8. Sözleşmedeki gizlilik, hizmet kesintisi ve veri teslimi hükümlerini okuyun.
9. Firmanızdaki kullanıcı açma, yetki değiştirme ve çalışan ayrılış süreçlerini yazılı hâle getirin.
10. Kontrolü yalnızca kurulumda değil, belirli aralıklarla tekrarlayın.

En güvenli yazılım bile ortak parola kullanımı, açık bırakılmış oturumlar veya işten ayrılan personele ait aktif hesaplar nedeniyle riskli hâle gelebilir. Bu nedenle teknoloji ile şirket içi disiplin birlikte ele alınmalıdır.

Sıkça Sorulan Sorular

Bulut tabanlı asansör bakım programı güvenli midir?

Bulut tabanlı olması tek başına güvenlik garantisi veya risk göstergesi değildir. Sunucu yönetimi, şifreli bağlantı, yedekleme, kullanıcı yetkilendirme ve olay müdahale süreçleri birlikte değerlendirilmelidir.

Bütün teknisyenler aynı hesabı kullanabilir mi?

Teknik olarak mümkün olsa bile ortak hesap kullanımı doğru değildir. Her çalışanın ayrı hesabı bulunursa işlemi kimin yaptığı izlenebilir, yetkiler kişiye göre sınırlandırılabilir ve çalışan ayrıldığında yalnızca ilgili hesap kapatılabilir.

Bakım formlarındaki imzalar kişisel veri sayılır mı?

İmza, belirli bir kişiyle ilişkilendirilebildiği için kişisel veri niteliği taşıyabilir. Bu nedenle imzalı formlara erişim sınırlandırılmalı, kayıtlar yalnızca gerekli amaç ve süre kapsamında tutulmalıdır.

Yazılım sağlayıcısı verilerimizi görebilir mi?

Bu durum kullanılan altyapıya ve destek modeline bağlıdır. Sağlayıcının hangi koşullarda, hangi personelle ve ne kadar süreyle verilere erişebileceği sözleşmede ve ilgili bilgilendirmelerde açıkça belirtilmelidir.

Programdan ayrılırsak bakım kayıtlarımızı alabilir miyiz?

Bu konu satın alma öncesinde netleştirilmelidir. Müşteri ve cihaz listelerinin yanında bakım geçmişi, fotoğraflar, imzalar, belgeler ve ilişkili kayıtların hangi biçimde teslim edileceği yazılı olarak öğrenilmelidir.

Veri güvenliği kontrolü bir kez yapılması yeterli midir?

Hayır. Personel, cihazlar, şubeler ve kullanılan modüller değiştikçe riskler de değişir. Kullanıcı hesapları, yetkiler, yedekler ve dışa aktarım süreçleri düzenli aralıklarla yeniden kontrol edilmelidir.

Özet

Asansör bakım yönetim programı seçiminde veri güvenliği, yalnızca sunucunun korunmasından ibaret değildir. Yedekleme, kurtarma, kullanıcı yetkileri, mobil cihazlar, işlem geçmişi, KVKK süreçleri ve hizmet sonunda veri teslimi aynı değerlendirmenin parçalarıdır.

Firma sahibi yazılım sağlayıcısından somut ve mümkünse yazılı cevaplar istemeli; teknisyenler kişisel hesaplarla çalışmalı; bina yöneticilerinin bilgilerine yalnızca görev gereği erişilmelidir. Asansorex gibi sektörel bir çözüm değerlendirilirken de bakım planlama özelliklerinin yanında bu güvenlik soruları sorulmalı ve firmanın çalışma düzenine uygun kontroller deneme sürecinde uygulanmalıdır. Böylece dijitalleşme yalnızca işleri hızlandırmaz; teknik geçmişin, müşteri güveninin ve şirket hafızasının korunmasına da katkı sağlar.