Asansör Online Yazılımı Güvenlik Sertifikaları

İÇERİK

Asansör bakım firmaları artık müşteri bilgilerini, bina kayıtlarını, bakım formlarını, arıza geçmişini, tahsilat durumlarını, personel bilgilerini ve sözleşmeleri online yazılımlarda tutabiliyor. Bu dönüşüm operasyonu ciddi biçimde kolaylaştırsa da önemli bir soruyu beraberinde getiriyor: Firmanın yıllardır oluşturduğu veriler gerçekten güvende mi? Asansör online yazılımı seçerken yalnızca özellik listesine, mobil uygulamasına veya yıllık lisans ücretine bakmak yeterli değildir. Kullanılan altyapının güvenliği, erişim yetkileri, yedekleme sistemi, kişisel verilerin korunması yaklaşımı ve varsa bağımsız güvenlik sertifikaları da değerlendirilmelidir. Bu rehberde firma sahibinin teknik uzman olmak zorunda kalmadan hangi belgeleri sorması, hangi cevapları yeterli görmemesi ve satın alma öncesinde hangi kontrolleri yapması gerektiğini ele alacağız.

Güvenlik Sertifikası Neden Asansör Firmasını İlgilendirir?

Bir asansör bakım firmasının kullandığı yazılımda yalnızca asansör numarası veya bakım tarihi bulunmaz. Sistemin kapsamına göre çok daha geniş bir veri seti tutulabilir:

• Bina ve site bilgileri
• Yönetici adı, telefon numarası ve iletişim bilgileri
• Asansör bakım ve arıza geçmişi
• Teknik servis personeli bilgileri
• Fotoğraflar ve bakım formları
• Dijital imza veya teslim kayıtları
• Cari hesap ve tahsilat bilgileri
• Teklif ve sözleşmeler
• Ekipman ve stok kayıtları
• Personel görev ve konum bilgileri
• Müşteri portalı kullanıcı hesapları

Dolayısıyla online yazılımın kullanıcı adı ve parola ile açılması tek başına güvenlik anlamına gelmez.

Bir saldırganın sisteme erişmesi, çalışan hesabının ele geçirilmesi, yanlış yetkilendirme yapılması veya yedeklerin düzgün alınmaması durumunda firma hem operasyonel hem ticari açıdan zor durumda kalabilir.

Örneğin 800 asansörlük portföyün tüm bakım geçmişini dijital ortamda yöneten bir firmanın sistemindeki verilerin kaybolması, yalnızca birkaç dosyanın silinmesi anlamına gelmez. Yıllarca oluşturulmuş operasyon hafızasının zarar görmesi anlamına gelir.

Bu nedenle güvenlik konusu satın alma kararının ayrı bir maddesi olarak değerlendirilmelidir.

ISO 27001 Asansör Yazılımında Ne Anlama Gelir?

Yazılım firmalarında en sık karşılaşılabilecek güvenlik standartlarından biri ISO/IEC 27001 standardıdır. ISO, ISO/IEC 27001'i bilgi güvenliği yönetim sistemleri için gereklilikleri tanımlayan uluslararası standart olarak açıklıyor. 2026 itibarıyla temel güncel sürüm ISO/IEC 27001:2022'dir ve standarda ilişkin 2024 tarihli bir değişiklik de yayımlanmıştır. ([ISO][1])

ISO 27001 yalnızca sunucuya antivirüs kurulmasıyla ilgili değildir. Kuruluşun bilgi güvenliği risklerini nasıl yönettiğine yönelik daha geniş bir yönetim sistemi yaklaşımı sunar.

Firma sahibi açısından daha anlaşılır ifadeyle şu soruların sistematik biçimde yönetilmesi beklenir:

• Kim hangi verilere erişebilir?
• Çalışan ayrıldığında erişimleri nasıl kapatılır?
• Güvenlik olayı yaşandığında süreç nasıl yönetilir?
• Veriler nasıl korunur?
• Riskler nasıl belirlenir?
• Güvenlik politikaları düzenli olarak gözden geçiriliyor mu?
• Tedarikçilerden kaynaklanan riskler değerlendiriliyor mu?

Ancak önemli bir ayrım vardır:

Bir yazılım firmasının “ISO 27001'e uygun çalışıyoruz” demesi ile bağımsız bir belgelendirme kuruluşundan geçerli sertifikaya sahip olması aynı şey değildir.

Satın alma sırasında yalnızca logoya bakmak yerine sertifikanın hangi kuruluşa ait olduğunu, kapsamını ve geçerlilik durumunu görmek daha sağlıklıdır.

Sertifikanın kapsamına özellikle bakın

Bir şirketin ISO 27001 sertifikasına sahip olması, şirket tarafından sunulan bütün ürünlerin otomatik olarak sertifika kapsamına girdiği anlamına gelmeyebilir.

Bu nedenle şu soruyu sorun:

“Kullanacağımız asansör yazılımı ve onu çalıştıran operasyon bu sertifikanın kapsamına dahil mi?”

Sertifika üzerinde veya kapsam dokümanında yazılım geliştirme, bulut hizmetleri, SaaS hizmetleri ya da ilgili bilgi sistemlerinin bulunması değerlendirmeyi güçlendirir.

SSL/TLS Sertifikası ile ISO 27001 Aynı Şey Değildir

Satış görüşmelerinde en çok karıştırılan konulardan biri SSL sertifikasıdır.

Bir yazılım firmasının sitesinin HTTPS ile çalışması önemlidir. Kullanıcı ile sunucu arasındaki iletişimin güvenli biçimde gerçekleştirilmesinde TLS teknolojisi temel unsurlardan biridir. Ancak HTTPS kullanılması, şirketin ISO 27001 gibi kurumsal bir bilgi güvenliği sertifikasına sahip olduğu anlamına gelmez.

Basit bir karşılaştırma şöyle yapılabilir:

Güvenlik unsuru	Ne gösterir?	Tek başına yeterli mi?
SSL/TLS	İnternet bağlantısındaki veri aktarımının korunmasına yardımcı olur	Hayır
ISO/IEC 27001	Bilgi güvenliğinin kurumsal olarak yönetildiğini gösteren standarttır	Hayır, uygulama da kontrol edilmeli
KVKK süreçleri	Kişisel verilerin hukuka uygun ve güvenli işlenmesine yönelik süreçleri kapsar	Teknik güvenliğin tamamı değildir
Yedekleme sistemi	Veri kaybına karşı geri dönüş imkânı sağlar	Hayır
İki aşamalı doğrulama	Hesap ele geçirilme riskini azaltmaya yardımcı olur	Hayır
Yetki yönetimi	Kullanıcının yalnızca gerekli verilere erişmesini sağlar	Hayır
Sızma testi	Belirli zamanda sistemdeki teknik zayıflıkları araştırır	Sürekli güvenlik garantisi değildir

Buradaki temel fikir şudur: güvenlik tek bir sertifikadan oluşmaz.

Katmanlı değerlendirme yapmak gerekir.

KVKK Uyumluluğu Sertifika Gibi Düşünülmemeli

Türkiye'deki firmalar açısından kişisel verilerin korunması konusu ayrıca önemlidir. Kişisel Verileri Koruma Kurumu, veri sorumlularının uygun güvenlik düzeyini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu belirtiyor. Kurumun Kişisel Veri Güvenliği Rehberi de bu tedbirlerin uygulanmasına yönelik başlıca yöntemleri ele alıyor. ([KVKK][2])

Burada yaygın bir yanlış anlaşılmaya dikkat etmek gerekir.

“KVKK sertifikamız var” ifadesi tek başına yeterli bir güvenlik göstergesi olarak kabul edilmemelidir.

Firma sahibi bunun yerine yazılım sağlayıcısına somut süreçleri sormalıdır:

1. Kişisel verilere kimler erişebiliyor?
2. Kullanıcı yetkileri firma bazında ayrılıyor mu?
3. Veriler başka müşterilerden mantıksal olarak ayrıştırılıyor mu?
4. Personel ayrıldığında hesabı kapatılabiliyor mu?
5. Veri silme ve saklama süreçleri nasıl yönetiliyor?
6. Güvenlik ihlali halinde uygulanacak prosedür bulunuyor mu?
7. Alt hizmet sağlayıcılar kullanılıyor mu?
8. Verilerin yedekleri nasıl korunuyor?

KVKK Kurumu ayrıca kullanıcı güvenliği kapsamında güçlü parola uygulamaları ve iki kademeli kimlik doğrulama gibi önlemlere dikkat çekmektedir. ([KVKK][3])

Dolayısıyla hukuki metinlerin yanında gerçek teknik uygulamanın da sorgulanması gerekir.

Asansör Online Yazılımında Sertifikadan Daha Önemli 8 Kontrol

Bir yazılım şirketinin duvarında birkaç sertifika bulunması güven verici olabilir. Fakat günlük kullanım açısından aşağıdaki kontroller çoğu zaman daha doğrudan sonuç verir.

1. Kullanıcı bazlı yetkilendirme

Teknisyenin finans ekranlarını görmesi gerekmiyorsa erişmemelidir. Muhasebe personelinin de gereksiz şekilde saha personeli yönetim alanlarına erişmesi önlenebilmelidir.

Firma içinde görevler değiştikçe yetkilerin değiştirilebilmesi önemlidir.

2. Yedekleme sıklığı

“Yedek alıyoruz” cevabı yeterli değildir.

Şunları sorun:

• Ne sıklıkla yedek alınıyor?
• Yedekler farklı bir ortamda tutuluyor mu?
• Kaç günlük geçmiş saklanıyor?
• Geri yükleme testi yapılıyor mu?
• Büyük bir arıza durumunda veriye nasıl dönülecek?

Yedek alınması kadar yedekten geri dönüşün test edilmiş olması da önemlidir.

3. Kullanıcı hareketlerinin kayıt altına alınması

Özellikle finans, sözleşme ve müşteri verilerinde kritik işlemlerin kim tarafından gerçekleştirildiğinin izlenebilmesi faydalıdır.

Örneğin bir cari kayıt değiştirildiğinde veya önemli bir işlem silindiğinde firma sahibi sonradan ne olduğunu araştırabilmelidir.

4. Parola güvenliği

Aynı şifrenin bütün çalışanlar tarafından kullanıldığı sistemler ciddi operasyon riski oluşturur.

Her personelin ayrı hesabı olmalıdır.

5. Personel ayrılış prosedürü

Teknisyen işten ayrıldığında yalnızca telefonundan uygulamayı silmek yeterli değildir.

Kullanıcı hesabı merkezi olarak kapatılabilmelidir.

6. Veri dışa aktarma imkânı

Güvenliğin yalnızca saldırılara karşı korunmak olmadığını unutmayın.

Firma, kendi operasyon verilerine ihtiyaç duyduğunda erişebilmelidir. Yazılım değiştirildiğinde verilerin hangi formatta teslim edileceği satın alma öncesinde sorulmalıdır.

7. Güncelleme politikası

Online sistemlerin düzenli olarak güncellenmesi gerekir. Kritik güvenlik açıklarının ortaya çıkması halinde sağlayıcının nasıl aksiyon aldığı öğrenilmelidir.

8. Olay müdahale planı

“Sistemimize hiçbir şey olmaz” cevabı profesyonel bir güvenlik yaklaşımı değildir.

Doğru soru şudur:

“Bir güvenlik problemi yaşanırsa ne yapacaksınız?”

Bulut Sağlayıcının Sertifikası Yazılım Firmasının Sertifikası Değildir

Satış görüşmelerinde karşılaşılabilecek başka bir konu da altyapı sağlayıcısının sertifikalarının gösterilmesidir.

Örneğin yazılım şirketi güvenilir ve sertifikalı bir veri merkezi veya bulut sağlayıcısı kullanabilir. Bu olumlu bir durumdur ancak iki farklı konunun birbirine karıştırılmaması gerekir:

Sunucu sağlayıcısının güvenliği ile uygulamayı geliştiren şirketin güvenlik süreçleri aynı değildir.

Veri merkezi fiziksel ve altyapısal açıdan güçlü olabilir. Ancak yazılım firması kullanıcı yetkilerini yanlış tasarlamışsa veya çalışan hesaplarını kontrol etmiyorsa yine risk oluşabilir.

Bu nedenle iki soruyu ayrı sorun:

• Altyapının hangi güvenlik standartları bulunuyor?
• Yazılım sağlayıcısının kendi bilgi güvenliği süreçleri neler?

Asansorex gibi bakım, arıza, cari, sözleşme ve saha kayıtlarını tek merkezde toplamayı amaçlayan bir asansör yönetim yazılımını değerlendirirken de yalnızca sunucunun nerede bulunduğuna değil; yetkilendirme, yedekleme, veri erişimi ve operasyon sürekliliği gibi başlıklara birlikte bakmak daha doğru olur.

ISO 27701, SOC 2 ve Diğer Belgeler Gerekli mi?

Daha kapsamlı SaaS sağlayıcılarında ISO 27001 dışında başka güvenlik veya gizlilik çalışmalarına da rastlanabilir.

Örneğin ISO/IEC 27701, gizlilik bilgi yönetimi alanıyla ilişkilidir. ISO 27000 ailesi içerisinde bilgi güvenliği, veri koruma ve siber dayanıklılığa yönelik farklı standartlar bulunmaktadır. ([ISO][4])

Uluslararası hizmet veren yazılım şirketlerinde SOC 2 raporlarıyla da karşılaşılabilir.

Ancak bir asansör firması satın alma kararını yalnızca belge sayısına göre vermemelidir.

Öncelik sırası genel uygulamada şöyle kurulabilir:

• Güvenli HTTPS bağlantısı
• Kullanıcı bazlı erişim kontrolü
• Sağlam parola ve mümkünse ek doğrulama seçenekleri
• Düzenli yedekleme
• Yedekten geri dönüş prosedürü
• Veri dışa aktarma imkânı
• KVKK süreçleri
• Bilgi güvenliği politikaları
• ISO 27001 gibi bağımsız standart ve belgelendirmeler
• Gerekiyorsa sızma testi ve güvenlik denetimi sonuçları

Bu sıralamanın amacı sertifikaları önemsizleştirmek değil, sertifika ile gerçek operasyon güvenliğini birlikte değerlendirmektir.

Satın Alma Görüşmesinde Sorulacak Güvenlik Soruları

Firma sahibi teknik terimlerin tamamını bilmek zorunda değildir. Aşağıdaki soruları yazılım tedarikçisine yöneltmek önemli ölçüde fikir verir:

1. Verilerimiz hangi altyapıda tutuluyor?
2. Veriler ne sıklıkla yedekleniyor?
3. Yedekten geri yükleme testi yapıyor musunuz?
4. Her personele ayrı kullanıcı hesabı açabiliyor muyuz?
5. Kullanıcıların görebileceği bölümleri sınırlayabiliyor muyuz?
6. İşten ayrılan personelin erişimini anında kapatabilir miyiz?
7. Kritik kullanıcı işlemlerinin geçmişi tutuluyor mu?
8. Verilerimizi istediğimiz zaman dışarı aktarabilir miyiz?
9. KVKK kapsamında hangi teknik ve idari tedbirleri uyguluyorsunuz?
10. ISO/IEC 27001 veya benzeri geçerli bir sertifikanız bulunuyor mu?
11. Varsa sertifikanın kapsamı kullandığımız ürünü içeriyor mu?
12. Güvenlik ihlali halinde müşterilerinize nasıl bilgi veriyorsunuz?
13. Yazılım güvenlik güncellemeleri nasıl uygulanıyor?
14. Düzenli güvenlik testi veya sızma testi gerçekleştiriliyor mu?
15. Hizmet sona erdiğinde verilerimizin teslim ve silme süreci nasıl ilerliyor?

Bu sorulara açık ve belgelenebilir cevap veren tedarikçi ile yalnızca “sistemimiz çok güvenli” diyen tedarikçi arasında ciddi fark vardır.

Sıkça Sorulan Sorular

Asansör online yazılımında ISO 27001 zorunlu mu?

Her yazılım satın alımında ISO 27001 sertifikasını otomatik bir yasal zorunluluk gibi değerlendirmek doğru değildir. Ancak özellikle müşteri, personel, finans ve saha verilerinin yoğun şekilde tutulduğu sistemlerde bilgi güvenliği yönetiminin olgunluğunu değerlendirmek açısından önemli bir kriter olabilir.

SSL sertifikası yazılımın tamamen güvenli olduğunu gösterir mi?

Hayır. SSL/TLS bağlantının korunması açısından temel bir unsurdur ancak uygulama güvenliği, kullanıcı yetkilendirmesi, yedekleme, parola politikası ve şirket içi güvenlik süreçleri ayrıca değerlendirilmelidir.

ISO 27001 sertifikasını nasıl kontrol etmeliyim?

Sertifikanın üzerinde şirket adı, kapsam, sertifikalandıran kuruluş, standardın sürümü ve geçerlilik bilgileri incelenmelidir. En önemli noktalardan biri kullandığınız yazılım veya hizmetin sertifika kapsamına girip girmediğini doğrulamaktır.

KVKK uyumlu yazılım ne demektir?

Tek başına bir özellik veya logo üzerinden “KVKK uyumlu” sonucu çıkarmak doğru değildir. Kişisel verilerin işlenmesi, erişim yetkileri, saklanması, korunması ve gerektiğinde silinmesi gibi idari ve teknik süreçlerin birlikte değerlendirilmesi gerekir.

Yedekleme güvenlik açısından neden bu kadar önemli?

Siber saldırı dışında donanım arızası, yazılım problemi veya insan hatası nedeniyle de veri kaybı yaşanabilir. Düzenli yedekleme ve test edilmiş geri yükleme prosedürü, operasyonun devamlılığı açısından kritik koruma katmanlarından biridir.

Asansör yazılımı satın alırken en önemli güvenlik kriteri hangisidir?

Tek bir kriter yoktur. ISO 27001 gibi sertifikalar güçlü göstergeler olabilir ancak kullanıcı bazlı yetkilendirme, yedekleme, erişim kayıtları, veri dışa aktarma, KVKK süreçleri ve güvenlik olaylarına müdahale yaklaşımı birlikte değerlendirilmelidir.

Özet

Asansör online yazılımı seçerken güvenliği yalnızca “SSL var mı?” veya “ISO belgesi var mı?” sorusuna indirgemek doğru değildir. Güvenli bir sistem; teknik altyapı, erişim kontrolü, düzenli yedekleme, kullanıcı yönetimi, veri koruma prosedürleri ve kurumsal güvenlik yaklaşımının birlikte çalışmasıyla oluşur.

Özellikle yüzlerce binanın bakım, arıza, cari ve sözleşme bilgisini dijital ortamda yöneten asansör firmaları için veri artık şirketin en değerli operasyon varlıklarından biridir. Bu nedenle yazılım satın almadan önce güvenlik sorularını satış görüşmesinin sonuna bırakmak yerine değerlendirme formunun temel bölümüne koymak gerekir.

Asansorex gibi asansör bakım ve yönetim yazılımlarını değerlendirirken de yalnızca günlük operasyonu ne kadar hızlandırdığına değil, firmanın kendi verileri üzerindeki kontrolüne, kullanıcı yetkilerine, yedekleme yaklaşımına ve veri erişim süreçlerine birlikte bakılması sağlıklı bir satın alma kararı verir.