Bulut ERP Güvenli mi? Verileriniz İçin Sorulacak 10 Soru

Problem

ERP, bir işletmenin en kritik verilerini tutar: cari bakiyeler, fiyatlar, maliyetler, personel bilgileri, banka hareketleri. Bu verilerin şirket dışında, bir veri merkezinde durması birçok işletme sahibine ilk bakışta riskli gelir. "Bulut ERP güvenli mi?" sorusu bu yüzden ERP seçiminde en sık sorulan sorulardan biridir.

Sorunun tek cümlelik bir cevabı yoktur. Bulut ERP'nin güvenliği, hem sağlayıcının altyapısına hem de işletmenin sistemi nasıl kullandığına bağlıdır. İkisinden biri zayıfsa, diğerinin güçlü olması tek başına yetmez.

Belirtiler

Bulut güvenliği konusunun işletmenizde doğru ele alınmadığını şu durumlardan anlayabilirsiniz:

• Sağlayıcının hangi sertifikalara sahip olduğunu ve verilerin nerede tutulduğunu bilmiyorsunuz.
• Birden fazla çalışan aynı kullanıcı adını ve parolayı kullanıyor.
• Herkes, görevinin gerektirmediği ekranlara ve raporlara erişebiliyor.
• İşten ayrılan çalışanların kullanıcıları hemen kapatılmıyor.
• İnternet kesildiğinde ne yapılacağı belirlenmemiş; tek bir bağlantıya güveniliyor.
• Aydınlatma metinlerinizde ERP sağlayıcısına yapılan veri aktarımından hiç söz edilmiyor.

Nedenler

1. Sorumluluk paylaşımı bilinmiyor: Bulutta güvenliğin tamamen sağlayıcının işi olduğu düşünülüyor; oysa kullanıcı ve yetki güvenliği işletmede kalır.
2. Seçim yalnızca fiyatla yapılıyor: Sağlayıcıya güvenlik, yedekleme ve veri konumu soruları sorulmuyor.
3. Yetkiler kolaylık için geniş veriliyor: Kurulumda herkese tam yetki verilip sonra daraltılmıyor.
4. Kullanıcı yaşam döngüsü yok: İşe giriş ve çıkışlarda kullanıcı açma ve kapatma bir sürece bağlanmıyor.
5. KVKK tarafı unutuluyor: ERP'ye kişisel veri girildiği hâlde veri sorumlusu ve veri işleyen rolleri yazılı hale getirilmiyor.

Çözüm

Bulut ile kendi sunucunuzu karşılaştırın

Kendi sunucusunda çalışan bir ERP'de; sunucu donanımı, işletim sistemi ve veritabanı lisansları, yedekleme, güvenlik duvarı, antivirüs, kesintisiz güç kaynağı, güncellemeler ve sunucunun fiziksel güvenliği işletmenin sorumluluğundadır. Disk arızası, yangın veya hırsızlık gibi durumlar da doğrudan işletmenin riskidir ve yedekten geri dönüşün düzenli olarak denenmesi gerekir.

Bulut ERP'de bu altyapı işleri sağlayıcıya geçer. İşletmenin elinde kalanlar ise şunlardır: kullanıcı hesapları, yetkiler, parola düzeni, bilgisayarların güvenliği ve internet bağlantısı.

DİA bulut tabanlı bir ERP'dir; DİA verilerin bulutta yüksek düzeyde şifrelemeyle korunduğunu belirtir. Altyapıyla ilgili güncel ayrıntıları (sertifikalar, veri merkezi, yedekleme) iş ortağınız aracılığıyla DİA'dan yazılı olarak isteyebilirsiniz.

Sağlayıcıya sorulacak 10 soru

1. Hangi bilgi güvenliği sertifikalarına sahipsiniz (örneğin ISO/IEC 27001) ve bu sertifikaların kapsamı nedir?
2. Verilerimiz hangi ülkede ve hangi veri merkezinde tutuluyor?
3. Yedekler ne sıklıkla alınıyor, nerede saklanıyor ve ne kadar süre tutuluyor?
4. Bir sorun olduğunda verilerimiz en fazla hangi ana kadar geri getirilebilir?
5. Veriler aktarım sırasında ve saklanırken şifreleniyor mu?
6. Hizmet kesintilerinde nasıl bilgilendiriliyoruz?
7. Sağlayıcının çalışanları verilerimize hangi durumlarda ve hangi kayıt altında erişebilir?
8. Sözleşme sona ererse verilerimizi hangi biçimde alabiliriz ve veriler ne zaman silinir?
9. KVKK kapsamında veri işleyen sıfatıyla hangi taahhütleri veriyorsunuz?
10. Kullanıcı girişlerini ve kritik işlemleri geriye dönük izleyebiliyor muyuz?

Kendi tarafınızda yapmanız gerekenler

• Herkese kendi kullanıcısı: Ortak hesap kullanmayın; her çalışan kendi kullanıcısıyla girsin ki yapılan işlemler kişiye bağlanabilsin.
• Rol bazlı yetki: Yetkileri kişiye değil göreve göre tanımlayın. Satış ekibi maliyetleri, depo ekibi banka bakiyelerini görmek zorunda değildir.
• Giriş ve çıkış süreci: İşe başlayan çalışanın kullanıcısını ve yetkisini kimin açacağını, işten ayrılanın kullanıcısını kimin ve ne zaman kapatacağını yazılı hale getirin.
• Parola düzeni: Güçlü ve kişiye özel parolalar kullanın; parolaları ekran kenarına veya ortak dosyalara yazmayın.
• Bilgisayar güvenliği: ERP'ye erişen bilgisayarların işletim sistemi ve tarayıcı güncellemelerini yapın; ortak ve korumasız bilgisayarlardan giriş yapmayın.
• İkinci internet bağlantısı: Ana bağlantınızdan farklı bir altyapıdan yedek bağlantı bulundurun ve kesinti anında kimin ne yapacağını belirleyin.
• Düzenli dışa aktarım: Kritik raporlarınızı ve listelerinizi belirli aralıklarla dışa alıp kendi arşivinizde saklayın.

KVKK tarafını yazılı hale getirin

ERP'ye müşteri, tedarikçi ve personel bilgisi giren işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusudur; bulut sağlayıcısı ise çoğunlukla veri işleyen konumundadır. Aydınlatma metinlerinizde bu aktarımı belirtin, sağlayıcıyla veri işleme şartlarını yazılı hale getirin ve veriler yurt dışında tutuluyorsa yurt dışına aktarım kurallarını uygulayın.

Kontrol Listesi

Sonuç

Bulut ERP, doğru bir sağlayıcıyla ve doğru kurulmuş bir kullanıcı düzeniyle çoğu işletme için ofisteki bir sunucudan daha güvenli bir seçenektir. Güvenlik ise yalnızca sağlayıcının işi değildir: altyapıyı sağlayıcıya sorarak doğrulayın, kullanıcı ve yetki düzenini kendi tarafınızda baştan doğru kurun.

DİA'ya geçişi değerlendiriyorsanız ya da mevcut DİA'nızda kullanıcı ve yetki yapısını gözden geçirmek istiyorsanız DİA Danışmanlık sayfamızdan bize ulaşabilirsiniz. Kullanımınızın genel durumunu görmek için DİA Verimlilik Analizi hizmetimizden de yararlanabilirsiniz.