Asansör Periyodik Bakım Takip Programı Veri Güvenliği

İÇERİK

Asansör bakım firmalarında dijitalleşme yalnızca kâğıt formları telefona taşımak anlamına gelmez. Periyodik bakım planları, bina ve yönetici bilgileri, teknisyen kayıtları, fotoğraflar, imzalar, arıza geçmişi ve tahsilat bilgileri aynı sistemde tutulduğunda veri güvenliği doğrudan operasyon güvenliğinin bir parçası hâline gelir. Bu nedenle asansör periyodik bakım takip programı seçerken yalnızca özellik sayısına değil; verinin kim tarafından görüldüğüne, nasıl korunduğuna, ne sıklıkla yedeklendiğine ve bir sorun yaşandığında nasıl geri getirildiğine de bakılmalıdır.

Bu rehberde firma sahipleri, teknik sorumlular ve bina yöneticileri için uygulanabilir bir veri güvenliği kontrol sistemi oluşturacağız. Amaç teknik terimlerle dolu bir şartname hazırlamak değil, günlük kullanımda gerçek riskleri azaltacak doğru soruları belirlemektir.

Asansör Bakım Programında Hangi Veriler Bulunur?

Bir bakım programında yalnızca asansörün marka, model ve seri numarası tutulmaz. Sistemin kapsamına göre aşağıdaki bilgiler de işlenebilir:

• Firma ve şube bilgileri
• Bina adı, adresi ve konum bilgisi
• Bina yöneticisinin adı, telefonu ve e-posta adresi
• Asansörün kimlik, etiket ve teknik bilgileri
• Periyodik bakım tarihleri ve bakım maddeleri
• Arıza çağrıları ve müdahale açıklamaları
• Teknisyenin adı, görevi ve işlem zamanı
• Bakım öncesi ve sonrası çekilen fotoğraflar
• Müşteri veya görevli imzası
• Teklif, sözleşme, fatura ve tahsilat kayıtları
• Kullanılan veya değiştirilen malzemeler
• Kullanıcıların sisteme giriş ve işlem geçmişi

Bu verilerin bir kısmı doğrudan kişisel veri niteliğindedir. Bazıları ise tek başına kişisel veri gibi görünmese de telefon numarası, adres, kullanıcı hesabı veya işlem geçmişiyle birleştiğinde belirli bir kişiyle ilişkilendirilebilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin korunmasını sağlamak amacıyla uygun teknik ve idari tedbirleri alması gerekir. Kişisel Verileri Koruma Kurumu da bu konuda teknik ve idari tedbirlerin birlikte değerlendirilmesini istemektedir. ([Kişisel Verileri Koruma Kurumu][1])

Dolayısıyla “Programın sunucusu güvenli mi?” sorusu tek başına yeterli değildir. Firmanın kendi kullanıcı yetkileri, çalışan çıkış süreçleri, telefon güvenliği ve veri saklama alışkanlıkları da sistemin güvenliğini belirler.

En Büyük Risk: Her Kullanıcının Her Şeyi Görmesi

Asansör firmalarında en sık karşılaşılan güvenlik sorunlarından biri, bütün çalışanlara aynı kullanıcı hesabının verilmesidir. Örneğin ofis personeli, teknisyenler ve firma sahibi tek bir hesapla sisteme giriyorsa kimin hangi işlemi yaptığı anlaşılamaz.

Teknisyenin bakım formuna ulaşması gerekir; ancak bütün müşterilerin cari bakiyelerini, tekliflerini veya personel raporlarını görmesi gerekmeyebilir. Benzer şekilde muhasebe personelinin tahsilat kayıtlarını görmesi gerekirken bakım formu şablonlarını değiştirme yetkisine ihtiyacı olmayabilir.

Sağlıklı bir yetkilendirme yapısı en az şu rolleri ayırabilmelidir:

Kullanıcı rolü	Görmesi gereken bilgiler	Sınırlandırılabilecek işlemler
Firma sahibi	Operasyon, finans, müşteri ve personel raporları	İhtiyaca göre tam yetki
Teknik sorumlu	Bakım planları, arızalar, ekipler, teknik geçmiş	Finansal raporlar ve sistem ayarları
Ofis personeli	Müşteri, planlama, sözleşme ve çağrı kayıtları	Kritik silme ve yetki değiştirme
Muhasebe personeli	Cari, fatura, tahsilat ve finansal raporlar	Teknik form ve bakım planı değiştirme
Teknisyen	Kendisine atanan işler, cihaz geçmişi, bakım formu	Diğer ekipler, fiyatlar ve genel raporlar
Bina yöneticisi	Kendi binasına ait bakım ve arıza kayıtları	Diğer müşterilere ait bütün veriler

Buradaki temel yaklaşım en az yetki prensibidir. Bir kullanıcı işini yapmak için hangi bilgilere ihtiyaç duyuyorsa yalnızca o alanlara erişebilmelidir.

Personelin görev değiştirmesi veya işten ayrılması durumunda erişim yetkileri aynı gün güncellenmelidir. Kullanılmayan hesapları açık bırakmak, güçlü bir sunucu altyapısına sahip olunsa bile ciddi risk oluşturur.

Şifre ve Oturum Güvenliği Nasıl Sağlanmalı?

“Şifremiz güçlü” demek için şifrenin yalnızca uzun olması yeterli değildir. Aynı şifrenin farklı çalışanlar tarafından kullanılması veya WhatsApp grubunda paylaşılması durumunda hesap güvenliği ortadan kalkar.

Firma içinde şu kurallar uygulanabilir:

1. Her çalışan için ayrı kullanıcı hesabı açılmalıdır.
2. Ortak kullanıcı adı ve şifre kullanımından kaçınılmalıdır.
3. Kolay tahmin edilebilen firma adı, telefon numarası veya 123456 gibi şifreler kullanılmamalıdır.
4. Aynı şifre farklı platformlarda tekrar kullanılmamalıdır.
5. Mümkünse iki aşamalı doğrulama kullanılmalıdır.
6. İşten ayrılan personelin hesabı bekletilmeden kapatılmalıdır.
7. Şüpheli giriş görüldüğünde açık oturumlar sonlandırılabilmelidir.
8. Başarısız giriş denemeleri ve kritik işlemler kayıt altına alınmalıdır.

Programın oturum yönetimi de kontrol edilmelidir. Ortak kullanılan ofis bilgisayarında kullanıcı saatlerce işlem yapmadığında oturumun açık kalması risklidir. Belirli bir hareketsizlik süresinden sonra yeniden giriş istenmesi, yetkisiz kişilerin açık ekrandan verilere ulaşmasını zorlaştırır.

Firma sahibi ayrıca “Hangi kullanıcı, hangi kaydı, ne zaman değiştirdi?” sorusuna cevap alabilmelidir. Bakım tarihi, kullanılan parça veya müşteri imzası sonradan değiştirildiğinde eski bilgi tamamen kayboluyorsa denetim ve müşteri uyuşmazlıklarında kayıtların güvenilirliği zayıflar.

Mobil Cihazlarda Veri Güvenliği

Teknisyenler bakım programını çoğunlukla sahada telefon veya tablet üzerinden kullanır. Bu nedenle veri güvenliğinin en hassas noktalarından biri mobil cihazlardır.

Bir teknisyenin telefonu kaybolduğunda veya yetkisiz bir kişinin eline geçtiğinde yalnızca telefon rehberi değil, bakım programındaki müşteri ve bina kayıtları da risk altına girebilir. Bu riski azaltmak için cihazlarda ekran kilidi kullanılmalı, işletim sistemi güncellemeleri ihmal edilmemeli ve uygulama şifresi başkalarıyla paylaşılmamalıdır.

Özellikle şu durumlar kontrol edilmelidir:

• Uygulama çıkış yapıldıktan sonra yerel veriler erişilebilir kalıyor mu?
• Fotoğraflar otomatik olarak telefonun kişisel galerisine kaydediliyor mu?
• İndirilen PDF bakım formları cihazda sınırsız süre tutuluyor mu?
• Uygulama bildirimlerinde müşteri bilgileri açık şekilde görünüyor mu?
• Kaybolan cihazdaki oturum uzaktan kapatılabiliyor mu?
• Teknisyen yalnızca kendisine atanan işleri mi görebiliyor?
• Ortak kullanılan tabletlerde kullanıcı değişimi güvenli biçimde yapılabiliyor mu?

Çevrimdışı kullanım destekleniyorsa cihazda geçici olarak saklanan kayıtların da korunması gerekir. İnternet bağlantısı geldiğinde senkronizasyonun doğru tamamlanması, aynı bakım kaydının iki kez oluşmaması ve eski bilginin yeni kaydın üzerine yazılmaması önemlidir.

Yedekleme Tek Başına Yeterli Değildir

Birçok firma “Veriler yedekleniyor” cevabını yeterli görür. Oysa yedek alınmasıyla yedeğin kullanılabilir olması aynı şey değildir. Bozuk, eksik veya hiç test edilmemiş bir yedek, ihtiyaç anında işletmeyi kurtaramaz.

Program sağlayıcısına veya firmanın bilgi işlem sorumlusuna şu sorular yöneltilmelidir:

• Yedekler hangi sıklıkla alınıyor?
• Yedekler ana sistemden ayrı bir ortamda tutuluyor mu?
• Geri yükleme işlemi düzenli olarak test ediliyor mu?
• Yanlışlıkla silinen tek bir kayıt geri getirilebiliyor mu?
• Büyük bir kesintide hizmetin yeniden açılması ne kadar sürüyor?
• Firma kendi verilerini dışarı aktarabiliyor mu?
• Sözleşme sona erdiğinde veriler hangi formatta teslim ediliyor?
• Yedeklere kimlerin erişim yetkisi bulunuyor?

Yedekleme ihtiyacı firmanın büyüklüğüne göre değişebilir:

Operasyon yapısı	Kabul edilebilir veri kaybı hedefi	Önerilen kontrol yaklaşımı
Küçük firma, sınırlı günlük işlem	En fazla bir iş günü	Günlük yedek ve düzenli geri yükleme testi
Orta ölçekli firma, yoğun saha ekibi	Birkaç saat	Gün içinde tekrarlanan yedekleme
Çok şubeli, yüksek işlem hacimli firma	Çok düşük kayıp toleransı	Sık yedekleme, ayrı ortam ve kesinti planı
Kritik kurumsal operasyon	İş ihtiyacına göre dakikalar	Özel süreklilik ve felaket kurtarma planı

Bu süreler yasal zorunluluk olarak değil, iş sürekliliği hedefi olarak değerlendirilmelidir. Firma bir günlük bakım kaydını kaybettiğinde kaç binanın yeniden aranacağını ve kaç formun tekrar oluşturulacağını hesaplayarak kendi toleransını belirlemelidir.

Kayıt Silme, Değişiklik Geçmişi ve Veri Bütünlüğü

Veri güvenliği yalnızca bilgilerin çalınmasını önlemek değildir. Kayıtların yanlışlıkla değiştirilmesini, iz bırakmadan silinmesini ve gerçeğe aykırı hâle gelmesini önlemek de veri güvenliğinin parçasıdır.

Örneğin bir teknisyen bakım formunu tamamladıktan sonra bakım tarihi veya kontrol sonucu değiştirilebiliyorsa şu sorular önem kazanır:

• Değişikliği kim yaptı?
• Değişiklik ne zaman yapıldı?
• Önceki değer neydi?
• Değişiklik için açıklama girildi mi?
• Onaylanmış PDF ile sistemdeki güncel kayıt aynı mı?

Silme işlemleri de rol bazlı sınırlandırılmalıdır. Teknisyenin yanlış açılmış bir işi iptal edebilmesi gerekebilir; ancak tamamlanmış bakım geçmişini kalıcı olarak silmesi uygun değildir. Bunun yerine “iptal edildi” veya “arşivlendi” gibi durumlar kullanılabilir.

Fotoğraf, imza ve bakım formu arasında bağlantı korunmalıdır. Başka bir binada çekilmiş fotoğrafın yanlış iş emrine eklenmesi veya eski imzanın yeni forma taşınması operasyonel ve hukuki uyuşmazlıklara neden olabilir.

Program Seçerken Kullanılabilecek Güvenlik Kontrol Listesi

Demo görüşmesinde yalnızca ekranların hızlı çalışıp çalışmadığını incelemeyin. Aşağıdaki senaryoları uygulamalı olarak test edin:

• Yeni bir teknisyen hesabı açın ve hangi müşterileri görebildiğini kontrol edin.
• Teknisyen hesabıyla finansal raporlara erişmeyi deneyin.
• Tamamlanmış bir bakım kaydını değiştirin ve işlem geçmişine bakın.
• Kullanıcıyı pasif hâle getirerek eski oturumunun kapanıp kapanmadığını sorun.
• Yanlışlıkla silinen bir kaydın nasıl geri getirildiğini gösterilmesini isteyin.
• Firma verilerinin Excel, PDF veya uygun başka bir formatta dışarı aktarımını test edin.
• Telefon kaybolduğunda uygulanacak süreci öğrenin.
• Yedekleme ve hizmet kesintisi prosedürünü yazılı olarak talep edin.
• Müşteri portalında bir bina yöneticisinin başka binaları görüp göremediğini kontrol edin.
• Fotoğraf ve PDF dosyalarının erişim bağlantılarının yetkisiz kişilerce açılıp açılamadığını sorun.
• Sözleşme sona erdiğinde veri teslimi ve silme sürecini netleştirin.
• Destek ekibinin müşteri verilerine hangi şartlarda erişebildiğini öğrenin.

Bu kontroller satış sunumundaki genel “verileriniz güvende” ifadesinden çok daha değerlidir. Güvenlik özelliğinin yalnızca bulunduğunu değil, günlük iş akışında gerçekten çalıştığını görmenizi sağlar.

Asansorex gibi rol bazlı kullanıcı yönetimi, saha kayıtları ve merkezi bakım geçmişi sunan bir bakım takip yazılımı kullanmak; farklı Excel dosyaları, kişisel telefon galerileri ve mesajlaşma gruplarında dağınık kalan verileri tek düzen içinde yönetmeye yardımcı olur. Ancak program kullanmak tek başına yeterli değildir; kullanıcı yetkilerinin firma tarafından doğru yapılandırılması gerekir.

Firma İçinde Uygulanması Gereken İdari Tedbirler

En gelişmiş yazılım bile çalışan şifresini başka biriyle paylaşıyorsa tam koruma sağlayamaz. Bu nedenle teknik önlemler, açık ve uygulanabilir firma kurallarıyla desteklenmelidir.

Firma içinde kısa bir veri güvenliği prosedürü hazırlanabilir. Bu prosedürde şunlar bulunmalıdır:

• Hangi personelin hangi verilere erişebileceği
• Yeni kullanıcı hesabını kimin açacağı
• Yetki değişikliklerini kimin onaylayacağı
• İşten ayrılan personelin hesabının ne zaman kapatılacağı
• Kaybolan telefon veya tabletin kime bildirileceği
• Müşteri bilgilerinin kişisel cihazlara indirilip indirilemeyeceği
• Bakım fotoğraflarının nerede saklanacağı
• Veri ihlali şüphesinde izlenecek bildirim süreci
• Verilerin ne kadar süreyle saklanacağı
• Süresi dolan kayıtların nasıl silineceği veya anonim hâle getirileceği

Bu dokümanın onlarca sayfa olması gerekmez. Çalışanların okuyup uygulayabileceği iki veya üç sayfalık net bir prosedür, yalnızca dosyada bekleyen uzun bir metinden daha faydalıdır. Yeni personelin işe giriş eğitiminde bu kurallar anlatılmalı ve belirli aralıklarla hatırlatılmalıdır.

Sıkça Sorulan Sorular

Bulut tabanlı asansör bakım programı güvenli midir?

Bulut tabanlı olması tek başına güvenli veya güvensiz olduğu anlamına gelmez. Yetkilendirme, şifreleme, yedekleme, işlem kayıtları, güncelleme yönetimi ve hizmet sağlayıcının güvenlik uygulamaları birlikte değerlendirilmelidir.

Teknisyen bütün müşteri kayıtlarını görmeli mi?

Genel olarak teknisyenin görevini yapması için ihtiyaç duyduğu bina, cihaz ve bakım bilgilerini görmesi yeterlidir. Cari bakiye, genel müşteri listesi veya diğer ekiplerin işleri görev gerektirmiyorsa sınırlandırılabilir.

Bakım fotoğraflarının teknisyenin galerisinde tutulması doğru mu?

Fotoğrafların kişisel telefon galerisinde kalması; yanlışlıkla paylaşılma, cihaz kaybı ve personel ayrılığı durumlarında risk yaratır. Mümkünse fotoğraflar doğrudan ilgili iş kaydına yüklenmeli ve cihazdaki gereksiz kopyalar tutulmamalıdır.

Firma programdaki verilerini dışarı aktarabilmeli mi?

Evet. Firma, hizmet değişikliği veya iş sürekliliği ihtiyacında kendi kayıtlarını kullanılabilir bir formatta alabilmelidir. Dışa aktarımın hangi verileri kapsadığı demo aşamasında test edilmelidir.

Silinen bakım kaydı geri getirilebilir mi?

Bu, programın yedekleme ve arşiv yapısına bağlıdır. Kritik kayıtların doğrudan kalıcı silinmesi yerine önce arşivlenmesi veya pasif hâle getirilmesi daha güvenli bir yaklaşımdır. Geri yükleme süreci satın almadan önce sorulmalıdır.

KVKK uyumu yalnızca yazılım firmasının sorumluluğunda mıdır?

Hayır. Yazılım sağlayıcının teknik tedbirleri önemli olmakla birlikte asansör firmasının veri sorumlusu olarak kendi işleme amaçlarını, kullanıcı yetkilerini, saklama sürelerini, çalışan süreçlerini ve idari tedbirlerini de yönetmesi gerekir. Somut yükümlülükler için firmanın hukuk veya KVKK danışmanından görüş alınmalıdır.

Özet

Asansör periyodik bakım takip programında veri güvenliği; güçlü şifre kullanmaktan çok daha geniş bir konudur. Rol bazlı yetkilendirme, işlem geçmişi, mobil cihaz güvenliği, düzenli yedekleme, test edilmiş geri yükleme, kontrollü veri silme ve personel prosedürleri birlikte ele alınmalıdır.

Program seçerken özellik listesini okumak yerine gerçek senaryoları deneyin: Teknisyen hangi kayıtları görüyor, işten ayrılan kullanıcının erişimi kapanıyor mu, değişiklikler izlenebiliyor mu ve bir kayıt kaybolduğunda geri getirilebiliyor mu? Asansorex üzerinden bakım ve saha kayıtlarını merkezi biçimde yönetmek dağınık veri riskini azaltmaya yardımcı olabilir. Güvenliğin devamlılığı ise doğru yetkilendirme, düzenli kontrol ve çalışan farkındalığıyla sağlanır.