İşletmeler bulut tabanlı bir ERP’ye geçmeyi düşündüğünde akla gelen ilk soru genellikle aynıdır: “Verilerimiz güvende mi?” Bu meşru bir sorudur, çünkü bir ERP sistemi finanstan müşteri bilgisine, personel kayıtlarından tedarikçi sözleşmelerine kadar bir işletmenin en hassas verilerini barındırır.
Bulut, otomatik olarak güvenli midir?
Bulut altyapıları genellikle kurumsal düzeyde fiziksel ve ağ güvenliği sunar; ancak güvenlik tek başına altyapının değil, paylaşılan sorumluluğun sonucudur. Sağlayıcı altyapıyı korur; işletme ise erişim yetkilerini, kullanıcı davranışını ve veri yönetimi politikalarını doğru kurmaktan sorumludur. İki taraf da üzerine düşeni yapmadığında, en sağlam altyapı bile yeterli olmaz.
Bir ERP’de aranması gereken güvenlik temelleri
Rol bazlı yetkilendirme
Herkesin her veriye erişmesi gerekmez. İyi bir sistem, kullanıcıların yalnızca işlerini yapmak için ihtiyaç duydukları veriye erişmesini sağlayan rol bazlı yetkilendirme (least privilege) sunmalıdır.
Şifreleme
Veriler hem aktarım sırasında hem de depolanırken şifrelenmelidir. Bu, verinin yetkisiz biçimde okunmasını anlamlı ölçüde zorlaştırır.
Yedekleme ve kurtarma
Güvenlik yalnızca kötü niyete karşı değil, kazaya ve arızaya karşı da korumadır. Düzenli yedekleme ve test edilmiş bir kurtarma planı, bir sorun anında işin durmaması için kritiktir.
Denetim izi
Kimin neyi ne zaman değiştirdiğini gösteren bir denetim izi, hem güvenlik incelemeleri hem de iç kontrol açısından vazgeçilmezdir. Şeffaflık, caydırıcılığın da en güçlü biçimidir.
KVKK uyumu pratikte ne anlama gelir?
Türkiye’de kişisel veri işleyen her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Bir ERP söz konusu olduğunda bu, birkaç pratik başlığa dönüşür:
- Amaçla sınırlılık. Kişisel veriler yalnızca belirli, açık ve meşru amaçlarla işlenmelidir.
- Erişim kontrolü. Kişisel verilere kimlerin eriştiği yönetilebilir ve izlenebilir olmalıdır.
- Saklama ve imha. Veriler süresiz tutulamaz; amaç ortadan kalktığında uygun biçimde silinmeli veya anonimleştirilmelidir.
- İlgili kişi hakları. Bir kişinin kendi verisine erişme veya silinmesini isteme hakkı, sistemin desteklemesi gereken bir süreçtir.
KVKK uyumu tek seferlik bir kurulum değil, sürekli yürütülen bir disiplindir. Yazılım bunu kolaylaştırabilir; ancak nihai uyum sorumluluğu veri sorumlusu olan işletmededir.
Sonuç
Bulut ERP’de güvenlik; sağlam altyapı, doğru yapılandırma ve disiplinli kullanımın birleşimidir. Rol bazlı yetki, şifreleme, yedekleme ve denetim izi gibi temeller ile KVKK’nın pratik gerekleri birlikte ele alındığında, bulut yalnızca güvenli değil aynı zamanda yönetilebilir bir tercih hâline gelir.
