İşletmeler bulut tabanlı bir ERP’ye geçmeyi düşündüğünde akla gelen ilk soru genellikle aynıdır: “Verilerimiz güvende mi?” Bu haklı bir sorudur, çünkü bir ERP sistemi finanstan müşteri bilgisine, personel kayıtlarından tedarikçi sözleşmelerine kadar bir işletmenin en hassas verilerini barındırır.
Bulut, otomatik olarak güvenli midir?
Bulut altyapıları genellikle kurumsal düzeyde fiziksel ve ağ güvenliği sunar; ancak güvenlik tek başına altyapının değil, paylaşılan sorumluluğun sonucudur. Sağlayıcı altyapıyı korur; işletme ise erişim yetkilerini, kullanıcı davranışını ve veri yönetimi politikalarını doğru kurmaktan sorumludur. İki taraf da üzerine düşeni yapmadığında, en sağlam altyapı bile yeterli olmaz.
Bir ERP’de aranması gereken güvenlik temelleri
Rol bazlı yetkilendirme
Herkesin her veriye erişmesi gerekmez. İyi bir sistem, kullanıcıların yalnızca işlerini yapmak için ihtiyaç duydukları veriye erişmesini sağlayan rol bazlı yetkilendirme (least privilege) sunmalıdır.
Şifreleme
Veriler hem aktarım sırasında hem de depolanırken şifrelenmelidir. Bu, verinin yetkisiz biçimde okunmasını ciddi biçimde zorlaştırır.
Yedekleme ve kurtarma
Güvenlik, kötü niyetin yanında kazaya ve arızaya karşı korunmayı da kapsar. Düzenli yedekleme ve test edilmiş bir kurtarma planı, bir sorun anında işin durmaması için şarttır.
Denetim izi
Kimin neyi ne zaman değiştirdiğini gösteren bir denetim izi, hem güvenlik incelemeleri hem de iç kontrol açısından gereklidir. Her işlemin kayıt altında olduğunu bilmek caydırıcı da olur.
KVKK uyumu pratikte ne anlama gelir?
Türkiye’de kişisel veri işleyen her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. ERP tarafında bunun karşılığı birkaç pratik başlıktır:
- Amaçla sınırlılık. Kişisel veriler yalnızca belirli, açık ve meşru amaçlarla işlenmelidir.
- Erişim kontrolü. Kişisel verilere kimlerin eriştiği yönetilebilir ve izlenebilir olmalıdır.
- Saklama ve imha. Veriler süresiz tutulamaz; amaç ortadan kalktığında uygun biçimde silinmeli veya anonimleştirilmelidir.
- İlgili kişi hakları. Bir kişinin kendi verisine erişme veya silinmesini isteme hakkı, sistemin desteklemesi gereken bir süreçtir.
KVKK uyumu bir kez kurulup bırakılmaz, sürekli yürütülen bir disiplindir. Yazılım bunu kolaylaştırabilir; ancak uyumun sorumluluğu sonuçta veri sorumlusu olan işletmededir.
Sonuç
Bulut ERP’de güvenlik iyi bir altyapı, doğru yapılandırma ve disiplinli kullanımla sağlanır. Rol bazlı yetki, şifreleme, yedekleme ve denetim izi gibi temeller ile KVKK’nın pratik gerekleri birlikte ele alındığında, bulut hem güvenli hem de yönetilebilir bir tercih olur.
