Asansör Teklif Programı Veri Güvenliği Checklist

İÇERİK

Asansör bakım firmalarında teklif dosyaları yalnızca fiyat listesinden oluşmaz. Apartman veya site adı, bina yöneticisinin iletişim bilgileri, asansör sayısı, mevcut bakım firması, teklif bedeli, özel iskonto oranı, sözleşme şartları ve bazen teknik keşif notları aynı sistem içerisinde tutulabilir. Bu nedenle asansör teklif programı veri güvenliği, yalnızca yazılım firmasının ilgilenmesi gereken teknik bir konu değildir; firma sahibinin ticari bilgilerini, müşterinin kişisel verilerini ve satış ekibinin çalışma düzenini doğrudan etkiler.

İyi bir güvenlik kontrolü için yalnızca “veriler bulutta mı?” sorusunu sormak yeterli değildir. Kim hangi müşteriyi görebiliyor, eski personelin erişimi kapatılıyor mu, yedek gerçekten geri yüklenebiliyor mu, kullanıcı hareketleri takip edilebiliyor mu ve verilerin gerektiğinde dışarı alınabilmesi mümkün mü gibi konular birlikte değerlendirilmelidir. Aşağıdaki checklist, bir asansör teklif programını seçerken veya mevcut sisteminizi gözden geçirirken kullanabileceğiniz pratik bir çerçeve sunar.

Asansör Teklif Programında Hangi Veriler Korunmalıdır?

İlk adım, programda hangi bilgilerin bulunduğunu belirlemektir. Çünkü korunması gereken veriyi bilmeden doğru güvenlik tedbiri oluşturulamaz.

Tipik bir asansör teklif programında şu bilgiler bulunabilir:

• Apartman, site, fabrika veya iş merkezi bilgileri
• Bina yöneticisinin adı, telefonu ve e-posta adresi
• Asansörlerin sayısı, türü ve teknik özellikleri
• Keşif sırasında alınan teknik notlar
• Bakım ve modernizasyon teklifleri
• Teklif fiyatları ve iskonto oranları
• Firma maliyet hesapları
• Satış personelinin müşteri notları
• Teklif PDF'leri ve ek belgeler
• Kabul veya ret bilgileri
• Müşteri ile yapılan görüşmelerin tarihçesi
• Sözleşmeye dönüşen tekliflerin kayıtları

Bu listenin bir kısmı kişisel veri, bir kısmı ise işletmenin ticari açıdan hassas bilgisidir. Örneğin bina yöneticisinin telefon numarası kişisel veri niteliği taşırken, belirli bir müşteriye verilen özel iskonto oranı firmanın ticari bilgisidir.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemeye, ayrıca verilerin güvenli şekilde muhafaza edilmesini sağlamaya yönelik gerekli teknik ve idari tedbirleri alması gerekir. ([KVKK][1])

Bu nedenle güvenlik değerlendirmesi yalnızca “hacklenir miyiz?” sorusuna indirgenmemelidir. Yanlış kişinin doğru sisteme erişmesi de bir veri güvenliği problemidir.

Asansör Teklif Programı Veri Güvenliği Checklist

Bir yazılım satın almadan veya mevcut sisteminizi değerlendirmeden önce aşağıdaki tabloyu kullanabilirsiniz.

Kontrol noktası	Kontrol edilmesi gereken	Öncelik
Kullanıcı yetkileri	Her çalışan yalnızca işi için gerekli verilere erişebiliyor mu?	Çok yüksek
Şifre güvenliği	Güçlü parola politikası ve mümkünse iki aşamalı doğrulama var mı?	Çok yüksek
Veri aktarımı	İnternet üzerinden aktarılan bilgiler güvenli bağlantıyla iletiliyor mu?	Çok yüksek
Yedekleme	Düzenli ve otomatik yedekleme yapılıyor mu?	Çok yüksek
Geri yükleme	Yedeklerin gerçekten çalıştığı test ediliyor mu?	Çok yüksek
İşlem kayıtları	Kritik kullanıcı hareketleri kayıt altına alınabiliyor mu?	Yüksek
Personel çıkışı	İşten ayrılan kullanıcının erişimi hemen kapatılabiliyor mu?	Çok yüksek
Veri dışa aktarma	Firma kendi verilerini gerektiğinde alabiliyor mu?	Yüksek
Silme ve saklama	Gereksiz veriler süresiz tutuluyor mu?	Yüksek
Mobil güvenlik	Kaybolan veya değişen personel telefonlarının erişimi kapatılabiliyor mu?	Yüksek
Yetkisiz paylaşım	Tekliflerin herkes tarafından indirilebilmesi engelleniyor mu?	Yüksek
Güvenlik süreci	Veri ihlali durumunda izlenecek süreç belli mi?	Çok yüksek

Checklist'i yalnızca satın alma günü doldurmak yerine belirli aralıklarla yeniden değerlendirmek daha sağlıklıdır. Personel sayısı, müşteri portföyü ve kullanılan cihazlar büyüdükçe güvenlik ihtiyacı da değişir.

Kullanıcı Yetkilerini Personelin Görevine Göre Sınırlayın

Asansör firmalarında en sık karşılaşılan risklerden biri gereğinden fazla kullanıcı yetkisidir.

Örneğin sekiz kişilik bir firmada yeni başlayan saha teknisyeninin;

• bütün müşteri portföyünü,
• tüm fiyat tekliflerini,
• özel iskonto oranlarını,
• cari bilgileri,
• başka satış personellerinin müşteri notlarını

görmesine çoğu zaman ihtiyaç yoktur.

En az yetki prensibi burada önemli bir kontrol noktasıdır. Kullanıcıya işini yapabilmesi için gereken erişim verilmeli, bunun dışındaki bilgiler kapalı tutulmalıdır.

Örnek bir yapı şöyle olabilir:

Firma sahibi

Genel müşteri ve teklif verilerine ulaşabilir, kullanıcı yetkilerini kontrol eder ve firmanın genel satış durumunu takip eder.

Satış personeli

Kendi müşterileri, keşifleri ve teklifleri üzerinde çalışır. Firmanın ihtiyaçlarına göre diğer satış personelinin özel fiyatlandırmalarını görmesi sınırlandırılabilir.

Teknisyen

Keşif veya teknik inceleme için gerekli bina ve asansör bilgilerine erişir. Ticari olarak ihtiyaç duymadığı finansal bilgileri görmez.

Muhasebe personeli

Sözleşmeye veya tahsilata dönüşmüş kayıtlarla ilgilenebilir ancak teknik keşif notlarına erişmesi gerekmeyebilir.

Buradaki amaç çalışanı kısıtlamak değil, bir hesabın ele geçirilmesi veya yanlış kullanım durumunda oluşabilecek zararı sınırlandırmaktır.

Kişisel veri güvenliğinde çalışanların görev ve yetkileriyle uyumlu erişim yetkileri verilmesi ve erişim ihtiyaçlarının düzenli değerlendirilmesi önemli idari kontroller arasındadır. ([KVKK][2])

Şifre, Oturum ve Personel Çıkış Sürecini Kontrol Edin

Birçok firma gelişmiş güvenlik çözümlerine odaklanırken en temel riski gözden kaçırır: kullanıcı hesabı.

123456, firma telefon numarası veya herkesin bildiği ortak parola kullanılıyorsa güçlü bir altyapı tek başına yeterli olmaz.

Pratik olarak şu adımlar uygulanmalıdır:

1. Her çalışana ayrı kullanıcı hesabı açın.
2. Ortak kullanıcı adı ve parola kullanımından kaçının.
3. Tahmin edilmesi kolay parolaları kullanmayın.
4. Mümkünse iki aşamalı doğrulama kullanın.
5. İşten ayrılan personelin hesabını aynı gün kapatın.
6. Görevi değişen personelin yetkilerini yeniden düzenleyin.
7. Kullanılmayan eski hesapları periyodik olarak kontrol edin.
8. Yetkili cihazları ve aktif oturumları düzenli gözden geçirin.

Özellikle satış personelinin değiştiği firmalarda eski kullanıcı hesaplarının aylarca açık kalması ciddi bir risk oluşturur.

Örneğin firma çalışanı işten ayrıldı ancak program erişimi kapatılmadıysa, eski çalışan firmanın hangi apartmana ne fiyat verdiğini veya hangi müşterilerin sözleşme aşamasında olduğunu görebilir. Bu sadece KVKK açısından değil, ticari rekabet açısından da önemli bir problemdir.

Yedekleme Var Demek Yetmez: Geri Yükleme Testini Sorun

Yedekleme, asansör teklif programı veri güvenliği kontrolünün temel maddelerinden biridir. Ancak burada sık yapılan hata yalnızca “yedek alınıyor mu?” sorusunu sormaktır.

Asıl sorular şunlardır:

• Yedekleme ne sıklıkla yapılıyor?
• Otomatik mi, manuel mi?
• Yedekler ana sistemden bağımsız tutuluyor mu?
• Hatalı veya bozuk yedek fark edilebiliyor mu?
• Geri yükleme testi yapılıyor mu?
• Sistem arızasında hangi tarihteki veriye dönülebiliyor?
• Teklif PDF'leri ve ek dosyalar da yedekleniyor mu?
• Firma verileri gerektiğinde dışarı aktarılabiliyor mu?

Örneğin firmanızda günde 40 yeni müşteri hareketi oluşuyorsa ve son kullanılabilir yedek üç gün önceye aitse teorik olarak yüzlerce hareketin yeniden girilmesi gerekebilir.

Bu nedenle yedek almak ile kurtarılabilir bir sistem kurmak aynı şey değildir.

Asansorex gibi bakım, arıza ve teklif süreçlerini merkezi ortamda takip etmeyi sağlayan yazılımlar kullanılırken de firma tarafında kullanıcı yetkilerinin düzenli kontrol edilmesi, personel hesaplarının güncel tutulması ve kritik verilerin yönetim politikasının belirlenmesi önemlidir.

Teklif Dosyalarının Paylaşımını da Güvenlik Kapsamında Değerlendirin

Veri güvenliği yalnızca yazılım içerisindeki bilgilerle sınırlı değildir. Hazırlanan teklif sistemden çıktıktan sonra da korunmalıdır.

Örneğin satış personeli bir teklifi PDF olarak indirip kişisel mesajlaşma hesabına gönderiyor, masaüstünde bırakıyor veya yanlış müşteriye iletiyorsa güvenlik zincirinin en zayıf noktası yazılım değil kullanım biçimi olur.

Firma içerisinde basit kurallar belirlenebilir:

• Teklif dosyalarını kişisel e-posta hesaplarında saklamayın.
• Müşteri bilgilerini gereksiz WhatsApp gruplarında paylaşmayın.
• Teklif ekranının ekran görüntüsünü ihtiyaç olmadan göndermeyin.
• Ortak kullanılan bilgisayarlarda oturumu açık bırakmayın.
• Teklif PDF'lerini herkesin erişebildiği klasörlerde tutmayın.
• Kullanılmayan eski dışa aktarımları düzenli temizleyin.
• Müşteri telefonlarını kişisel rehberlere kontrolsüz aktarmayın.

Özellikle aynı isimde iki apartman veya iki bina yöneticisinin bulunduğu durumlarda teklifin yanlış kişiye gönderilmesi ihtimaline karşı alıcı kontrolü yapılmalıdır. KVKK kararlarında kişisel verilerin yanlış kişiye gönderilmesinin veri güvenliği açısından sorun oluşturabileceğine ilişkin örnekler bulunmaktadır. ([KVKK][3])

Yazılım Sağlayıcısına Sorulması Gereken Güvenlik Soruları

Firma sahibi olarak bütün teknik detayları bilmek zorunda değilsiniz. Ancak yazılım sağlayıcısına doğru soruları sormanız gerekir.

Satın alma veya demo görüşmesinde şu soruları yöneltebilirsiniz:

• Kullanıcıları ayrı ayrı yetkilendirebilir miyim?
• Çalışan işten ayrıldığında erişimini hemen kapatabilir miyim?
• Kritik işlemler kayıt altında tutuluyor mu?
• Veriler düzenli olarak yedekleniyor mu?
• Yedeklerden geri dönüş süreci test ediliyor mu?
• Veriler internet üzerinden güvenli şekilde aktarılıyor mu?
• Firma verilerimi gerektiğinde dışarı alabilir miyim?
• Abonelik sona erdiğinde verilerime ne olur?
• Silme veya saklama politikası nasıl uygulanıyor?
• Güvenlik ihlali yaşanması durumunda nasıl bir prosedür izleniyor?
• Kullanıcı hesabı güvenliği için hangi seçenekler bulunuyor?
• Mobil cihaz değiştiğinde eski cihazın erişimi nasıl engelleniyor?

Burada dikkat edilmesi gereken nokta, yalnızca “KVKK uyumlu musunuz?” diye sormamaktır.

Bu soruya hemen hemen her sağlayıcı olumlu cevap verebilir. Daha yararlı yaklaşım, uyumun hangi teknik ve idari kontrollerle sağlandığını sormaktır.

Güvenli yazılım yalnızca saldırılara karşı korunan yazılım değildir; doğru kullanıcının doğru bilgiye, doğru zamanda erişmesini sağlayan sistemdir.

Firma İçinde 15 Dakikalık Güvenlik Kontrolü Nasıl Yapılır?

Ayda bir veya personel değişikliklerinden sonra kısa bir kontrol yapmak birçok sorunu erken aşamada ortaya çıkarabilir.

Şu sırayı kullanabilirsiniz:

1. Aktif kullanıcı listesini açın.
2. Firmadan ayrılmış hesap olup olmadığını kontrol edin.
3. Kullanıcıların yetkilerini görevleriyle karşılaştırın.
4. Ortak kullanılan hesapları belirleyin.
5. Kritik tekliflerin kimlerle paylaşılabildiğini kontrol edin.
6. Yedekleme durumunu gözden geçirin.
7. Son dönemde oluşturulan dışa aktarma dosyalarını kontrol edin.
8. Personelin kişisel cihazlarında gereksiz müşteri dosyası bulunup bulunmadığını değerlendirin.
9. Kullanılmayan hesapları kapatın.
10. Yeni başlayan personele temel veri güvenliği kurallarını hatırlatın.

Küçük firmalarda bu kontrol birkaç dakikada yapılabilir. Büyük portföylerde ise kullanıcı ve veri sayısı arttığı için düzenli bir prosedüre dönüştürülmesi daha doğru olur.

Sıkça Sorulan Sorular

Asansör teklif programında hangi bilgiler kişisel veri olabilir?

Bina yöneticisinin adı, telefon numarası, e-posta adresi veya gerçek kişiyi belirlenebilir hâle getiren diğer bilgiler kişisel veri kapsamında değerlendirilebilir. Program içerisindeki her bilginin kişisel veri olması gerekmez; fiyat politikası ve iskonto oranları gibi bilgiler ise ticari açıdan hassas olabilir.

Bulut tabanlı asansör teklif programı güvenli midir?

Bulut tabanlı olması tek başına güvenli veya güvensiz olduğu anlamına gelmez. Yetkilendirme, güvenli veri aktarımı, yedekleme, erişim kontrolü, kullanıcı hesaplarının yönetimi ve sağlayıcının güvenlik süreçleri birlikte değerlendirilmelidir.

Her personelin ayrı kullanıcı hesabı olması gerekli mi?

Pratik güvenlik açısından ayrı hesap kullanılması çok önemlidir. Ortak hesaplarda hangi işlemi kimin yaptığı anlaşılamaz ve personel ayrıldığında parola değiştirme gibi ek riskler oluşur.

Teklif programında yedekleme ne kadar önemli?

Çok önemlidir. Teklifler yalnızca fiyat belgesi değildir; aylar boyunca oluşan müşteri geçmişi ve satış sürecini içerir. Ancak yalnızca yedek alınması değil, gerektiğinde bu yedeğin geri yüklenebilir olması da kontrol edilmelidir.

İşten ayrılan satış personelinin hesabı ne zaman kapatılmalı?

Genel uygulamada iş ilişkisi sona erdiğinde veya erişim ihtiyacı ortadan kalktığında hesap mümkün olan en kısa sürede devre dışı bırakılmalıdır. Aynı süreçte firmanın kullandığı diğer uygulama ve e-posta erişimleri de kontrol edilmelidir.

Asansör teklif programı KVKK uyumunu tek başına sağlar mı?

Hayır. Yazılım gerekli teknik araçları sağlayabilir ancak KVKK uyumu yalnızca yazılımdan oluşmaz. Firmanın veri toplama, saklama, erişim, personel eğitimi, yetkilendirme ve silme süreçleri de doğru yönetilmelidir.

Özet

Asansör teklif programı seçerken ekran tasarımı, teklif hazırlama hızı ve PDF şablonları kadar veri güvenliği de değerlendirilmelidir. Özellikle kullanıcı yetkilendirme, güçlü hesap güvenliği, personel çıkış prosedürü, düzenli yedekleme, geri yükleme testi, veri dışa aktarma ve teklif paylaşım kuralları temel kontrol noktalarıdır.

En iyi sonuç için güvenliği yalnızca yazılım sağlayıcısının sorumluluğu olarak görmemek gerekir. Firma sahibi kullanıcı yetkilerini doğru belirlemeli, teknisyen ve satış personeli yalnızca ihtiyaç duyduğu verilere erişmeli, bina yöneticilerinin bilgileri gereksiz ortamlarda paylaşılmamalıdır.

Asansorex gibi teklif, bakım ve müşteri süreçlerini tek yerde takip etmeye yardımcı olan sistemlerden yararlanırken bu checklist'i şirket içi kullanım kurallarıyla birlikte uygulamak, hem müşteri bilgilerinin hem de firmanın ticari verilerinin daha kontrollü yönetilmesini sağlar.