Müşterinin Üretimine Dokunan Yazılım Evi: Kanıt Kimde Durmalı?

Bu yazı, bu konudaki çoğu yazının tersine, müşterinin değil tedarikçinin gözünden yazıldı. Bir bankacılık yazılımı geliştiriyorsunuz. Ya da bir kurumun veritabanlarını yönetilen hizmet olarak işletiyorsunuz. Ya da bir sistem entegratörüsünüz ve müşterinin ortamında canlıya çıkış yapıyorsunuz. Hangisi olursa olsun ekibinizden biri arada müşterinin üretim veritabanına dokunuyor: bir düzeltme, bir veri taşıma, bir hata inceleme, bir sürüm kurulumu. Bir gün müşterinin denetçisi ya da düzenleyici soruyor: "O tarihte veritabanına kim, ne yaptı?" Cevap kimde?

Eylülün Tablosu: İhlaller Veri İşleyende

KVKK eylül 2026'da 44 veri ihlali bildirimi ilan etti. İlk dalgadaki 28 bildirimin tamamında ihlal, veri sorumlusunun kendi sistemlerinde değil, hizmet aldığı veri işleyende gerçekleşti. Çoğu ortak bir e-ticaret altyapısındaki yazılım açığından kaynaklandı. Hukuki çerçeve de açık: 6698 sayılı Kanun'un 12. maddesi, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde, veri güvenliği tedbirlerinin alınmasında veri sorumlusu ile o kişiyi müştereken sorumlu tutuyor.

Yani müşterinin üretim veritabanına dokunan bir tedarikçi hukuken ihlalin tarafı olabilir. Ve "bizim ekip değildi" cümlesi ancak bir kayıtla kanıtlanabilir.

Tedarikçinin İki Riski

1. Kanıtsızlık. Bir sorun çıktığında "bunu bizim ekibimiz yapmadı" ya da "yaptı ama onaylı bir işti" diyecek bir kayıt yoksa ispat yükü tedarikçiye kalır.
2. Yetki büyümesi. Bir tedarikçi personeli yıllar içinde müşteri ortamında kalıcı hesaplar biriktirir. Ayrılan bir çalışanın hesabı kapatılmaz, bir projenin erişimi proje bittikten sonra sürer. Bu hem müşterinin hem tedarikçinin riskidir.

Bu iki riskin tehlikesini gösteren bir vaka var: bir kripto borsasında dış tedarikçinin destek personeli rüşvetle kandırıldı ve borsanın iç destek araçlarına erişimi sağladı. Yaklaşık 70 bin müşterinin verisi etkilendi. Şirket maliyeti 400 milyon dolara kadar tahmin etti ve düzenleyici inceleme başlattı. Saldırının kapısı tedarikçinin erişimiydi.

Kanıt Kimde Durmalı?

İki taraf için doğru cevap aynıdır: kanıt müşterinin kendi ağında, müşterinin kontrolünde durmalı; ama tedarikçi bu kanıta erişebilmeli.

• Neden müşteride? Denetçi ve düzenleyici müşteriye gelir; kanıt müşterideyse cevap hızlı olur. Tedarikçinin kendi sistemindeki bir kayıt tarafsız kanıt sayılmaz, çünkü tedarikçi kendi kaydını değiştirebilir. Müşteri verisi müşterinin ağından çıkmaz.
• Neden tedarikçi erişebilmeli? Tedarikçi kendini savunabilmeli: "şu talep, şu onayla, şu metinle çalıştı." Tedarikçinin kendi iç denetimi ve kalite süreci de bunu ister.

Nasıl Kurulur?

SQL Change Guard müşterinin kendi ağına kurulur. Tedarikçi personelinin müşterinin üretimine dokunma şekli şöyle olur:

• Her personel adıyla bir kullanıcıdır. Paylaşılan hesap yoktur. Bir işlem kimin tarafından yapıldıysa o kişinin adıyla kaydedilir.
• Rol ve yetki müşteride tanımlıdır. Tedarikçi personeline onay yetkisi verilip verilmediği müşterinin kararıdır ve kullanıcı ile rol listesinde görünür.
• Her iş bir taleptir. Gerekçe, risk bandı, onaylar, çalışan metnin özeti ve sonuç tek kayıtta durur.
• Görev ayrılığı kuralları müşteride açılır. Talebi açanın kendi talebini onaylamasını ve çalıştırmasını kapatan kurallar kurum ayarıdır. Müşteri bu kuralları açar; açık olup olmadığı Yönetişim Kurulum Kontrolü ekranında ve kanıt dosyasında görünür. Kapalıysa denetim dosyası bunu istisna olarak gösterir. Açıkken bu, tedarikçi tarafında da iç kontrol demektir.
• Kanıt tek dosyada paketlenir. Müşteri denetçisi bu dosyayı ürün dışında da doğrulayabilir; tedarikçi de aynı dosyayı kendi savunmasında kullanır.
• Yetki büyümesi görünürdür. Kullanıcı ve rol listesi ile yetki değişiklikleri raporlanır. Bir proje bitince erişimi kapatmak bir rapor satırı olur, bir unutkanlık olmaz.

Tedarikçi İçin Ticari Bir Avantaj

Bu yalnız bir savunma değil. Müşterisi düzenlemeye tabi olan bir tedarikçi için "biz müşterinin üretimine kanıtlı biçimde dokunuruz" cümlesi bir satış argümanıdır. Bankaların ve regüle kurumların tedarikçi değerlendirmelerinde sıkça sorulan sorulardan biri şudur: "Bizim ortamımıza dokunan personeliniz nasıl denetleniyor?" Cevabı bir politika belgesi olan tedarikçi ile cevabı bir kanıt dosyası olan tedarikçi aynı yerde durmaz. Yönetilen hizmet sağlayanlar için de aynı mantık geçerli: her müşteri için ayrı bir kurulum, ayrı bir kanıt kümesi. Müşteri A'nın kaydı müşteri B'nin kaydıyla karışmaz.

Dürüst Sınırlar

• Ürün müşterinin ağında çalışır. Tedarikçinin tüm müşterilerini tek bir bulut panelinden yöneten çok kiracılı bir hizmet değildir. Her müşteri kendi kurulumuna sahiptir.
• Bir tedarikçinin müşteri veritabanına doğrudan bağlantısını engellemez. Bir personel kendi hesabıyla bağlanabilirse bunu tespit etmek müşterinin veritabanı etkinlik izleme ve SIEM'inin işidir. Doğru kurgu: tek kanal talep, kanal dışı erişim alarm.
• Tedarikçinin kendi geliştirme ortamı kapsam dışıdır. Ürün müşterinin üretimine giden yolu yönetir.

Tedarikçi Olarak Kendinize Beş Soru

1. Ekibinizden biri geçen ay bir müşterinin üretim veritabanına dokundu mu? Kaç kez, hangi işle?
2. Bunların her birinin kaydı, müşterinin de erişebileceği bir yerde mi?
3. Bir müşteri denetçisi "o gün ne yapıldı" dese kaç dakikada cevap verirsiniz?
4. Bitmiş projelerin hesapları ve erişimleri kapatıldı mı?
5. Bir personeliniz ayrıldığında hangi müşteri ortamlarındaki hesapları kapanıyor, kim kontrol ediyor?

Sık Sorulan Sorular

Müşterinin üretimine dokunan tedarikçi hukuken sorumlu olabilir mi?

Evet. 6698 sayılı Kanun'un 12. maddesi, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde, veri güvenliği tedbirlerinin alınmasında veri sorumlusu ile o kişiyi müştereken sorumlu tutar. "Bizim ekip değildi" cümlesi ancak bir kayıtla kanıtlanabilir.

Kanıt tedarikçide mi müşteride mi durmalı?

Müşterinin kendi ağında, müşterinin kontrolünde; tedarikçi bu kanıta erişebilmeli. Tedarikçinin kendi sistemindeki kayıt tarafsız kanıt sayılmaz ve müşteri verisi müşterinin ağından çıkmaz.

Görev ayrılığı tedarikçi personeli için zorunlu mu?

Görev ayrılığı kuralları kurum ayarıdır; müşteri bu kuralları açtığında zorunlu olur. Açık olup olmadığı Yönetişim Kurulum Kontrolü ekranında ve kanıt dosyasında görünür; kapalıysa denetim dosyası bunu istisna olarak gösterir.

SQL Change Guard birden fazla müşteriyi tek panelden yönetir mi?

Hayır. Ürün müşterinin kendi ağına kurulur ve çok kiracılı bir bulut hizmeti değildir. Her müşteri kendi kurulumuna ve kendi kanıt kümesine sahiptir.