Kurumsal yazılım güvenliği: verileriniz nerede durur?
Verileriniz, sözleşmenizde yazdığı yerde durur — o yüzden ilk soru 'hangi teknoloji' değil 'hangi sunucu, hangi ülke, kimin anahtarı' olmalıdır. Doğru kurguda veri sizin seçtiğiniz sunucuda (kendi altyapınız veya tercih ettiğiniz bulut) yaşar, rol bazlı yetkilendirme ve işlem kayıtlarıyla korunur ve tedarikçiyle ilişkiniz bitse bile aynen okunabilir kalır.
Üç barındırma seçeneği
| Seçenek | Artı | Dikkat |
|---|---|---|
| Kendi sunucunuz (on-prem) | Tam kontrol; ağ içinde kalır | Yedekleme disiplini sizde |
| Yerli bulut | Bakım kolay; KVKK uyumu rahat | Sağlayıcı seçimi önemli |
| Yurt dışı SaaS | Hızlı başlangıç | KVKK m.9 aktarım koşulları; veri artık 'orada' |
Beş kontrol sorusu (tedarikçiye sorun)
- Veri hangi ülkede, hangi sunucuda duruyor?
- Yedekler nerede, ne sıklıkla, geri dönüş test ediliyor mu?
- Yetkilendirme rol bazlı mı; kim neyi görebiliyor?
- İşlem kayıtları (audit log) tutuluyor mu?
- İlişki biterse veriyi hangi formatta, kaç günde teslim ediyorsunuz?
Beşincisi en kritiğidir: çıkış planı olmayan giriş, kilit demektir. Bizde kaynak kod ve veri modeli teslim edilir — SSS'deki sahiplik taahhüdümüz.
KVKK açısından üç satır
Veri yerinde durur (aktarım yoksa sorun azalır), amaç sınırlı işlenir, saklama süresi tanımlıdır. Ayrıntı: Aydınlatma Metnimiz.
Pratik güvenlik kontrol listesi
Tedarikçi görüşmesinde bu onay listesini kullanın — her madde somut, doğrulanabilir bir cevap ister:
- Tüm erişim HTTPS/TLS ile mi? (HTTP yönlendirmesi zorunlu)
- Veritabanı ve yedekler diskte şifreli mi?
- Oturum süresi ve otomatik kapanma tanımlı mı?
- Roller görev bazlı mı — muhasebe üretim ekranını görebiliyor mu?
- Denetim izi: kim ne zaman hangi kaydı değiştirdi, log ne kadar saklanıyor?
- Yedekleme 3-2-1 mi ve geri dönüş yılda en az bir kez test ediliyor mu?
- 2FA seçeneği var mı?
- Veri işleme sözleşmesi (KVKK VDPS) imzalı mı?
En sık ihmal edilen iki nokta
Birincisi yedek testi: yedek alınır ama geri dönüş hiç denenmez — gerçek krizde işe yaramayan yedek, yedek değildir. İkincisi çıkış planı: tedarikçiyle başlarken sözleşmeye "verilerimin tamamını işlenebilir formatta alabilirim" maddesini koydurun; PDF rapor veri değildir. Ayrıntılı çerçeve veri yerleşimi rehberimizde.
İhtiyacınızı konuşalım.
Keşif görüşmesi ücretsizdir.