Masaüstü PDKS Yazılımlarından Bulut (SaaS) Sistemlere Geçişte Veri Güvenliği

Türkiye'de PDKS pazarının yaklaşık %40'ı hâlâ ofis bilgisayarına kurulmuş masaüstü yazılımlar üzerinde çalışıyor. Bu sistemler 2000'lerin başında yaygınlaştı; o günkü internet altyapısı ve KVKK öncesi düzenleme boşluğu için makul bir tercihti. Bugün ise aynı mimari, hem güvenlik hem de yasal uyum açısından tek başına en büyük risk kaynağıdır. Bu yazıda bulut PDKS'in neden bu riskleri ortadan kaldırdığını mühendislik düzeyinde anlatıyoruz.

1. "Verilerim Şirket Sunucusunda Daha Güvendeydi" Mitinin Çürüğü

Yöneticilerin en sık duyduğumuz cümlesi şudur: "Veriler benim sunucumda kalsın, bulutta başkasının eline geçer." Bu cümle, sektörde yapılmış güvenlik incelemelerinin tam tersini söyler. Pratikte ofis ortamındaki sunucularda gözlemlenen en sık zaaflar şunlardır:

• Şifresiz veya zayıf yedekleme: Çoğu masaüstü PDKS gece otomatik yedek alır, dosyayı aynı disk veya USB'ye yazar. Bilgisayar çalındığında veriler de gider.
• Güncellenmemiş işletim sistemi: Aynı bilgisayar muhasebe, raporlama ve PDKS için kullanılır. Bir kullanıcı bilinmeyen bir USB takar, sistem ele geçirilir.
• Yetkilendirme yok: "Şirket bilgisayarı"na giren herkes İK verisini görür. Audit log yoktur.
• Felaket kurtarma yok: Yangın, elektrik kesintisi, fiziksel hırsızlık → tek seferde tüm veri kaybedilir.

VARDIO gibi modern bulut PDKS'lerde bu zaaflar tasarım gereği yoktur. Veri katmanı; coğrafi olarak yedekli, şifreli, denetim kayıtlı ve sınırlandırılmış erişimle korunur. "Bulut" bir lokasyon değildir, bir güvenlik mimarisidir.

2. AES-256 ve Firma Bazlı Anahtar (Tenant Encryption Key)

VARDIO'nun veri katmanında her firma için ayrı bir Tenant Encryption Key (TEK) üretilir. Bu, AES-256 simetrik anahtarıdır ve HSM benzeri korumalı bir alanda tutulur. Veri tabanına yazılan tüm hassas alanlar — ad-soyad, log kayıtları, lokasyon damgaları — yazılmadan önce şirketin TEK'i ile şifrelenir.

Bunun pratik anlamı şudur: Bir şekilde tüm veri tabanı dump'ı dışarı çıksa dahi, saldırgan elinde okunamayan bir bit topluluğu bulur. Çünkü her firmanın verisini sadece o firmanın anahtarı açabilir. Anahtar olmadan AES-256'yı kaba kuvvetle kırmak için gerekli süre, evrenin yaşından çok daha uzundur.

Çok Kiracılı (Multi-Tenant) Veri İzolasyonu

VARDIO'nun MongoDB veri modelinde her doküman, firma kimliği ile etiketlenir. Sorgular sunucu tarafında bu kimlik üzerinden zorlanır. Aynı dökümanın yazılması, okunması ve silinmesi yalnızca o firmaya ait anahtarla mümkündür. Bir geliştirici hata yapsa bile sistemin yapısal kuralı (multi-tenant guard) hatalı erişimi derhal reddeder.

3. Fransa-Türkiye Yedekli Mimari: Felaket Kurtarma (DR)

VARDIO'nun bulut altyapısı iki coğrafi bölgede çalışır: Türkiye birincil ve Fransa ikincil. Bu yapı; yangın, sel, fiber kesintisi ve elektrik krizi gibi olaylarda hizmet sürekliliğini sağlar.

• RTO (Recovery Time Objective) < 15 dakika: Birincil bölgede sorun yaşandığında ikincil bölge en geç 15 dakika içinde devralır.
• RPO (Recovery Point Objective) < 60 saniye: En kötü senaryoda dahi en fazla 60 saniyelik veri farkı oluşur.
• Yalnızca şifreli yedek aktarımı: Fransa bölgesi asla okunabilir veri tutmaz; yalnızca AES-256 ile şifrelenmiş snapshot taşır.

KVKK m. 9 anlamında yurt dışına aktarımda, şifreli ve okunamaz hâle getirilmiş veri anonimleştirilmiş veri muamelesi görür. VARDIO bunu yine de aydınlatma metnine açıkça yazar ve müşteri sözleşmesinde bağlayıcı şirket kuralları (BCR) eklemiştir.

4. KVKK Açısından Bulut PDKS, Masaüstü PDKS'ten Neden Üstün?

KVKK m. 12, veri sorumlusunun "uygun teknik ve idari tedbirleri" almasını zorunlu kılar. Aşağıdaki maddelerde bulut PDKS, masaüstü PDKS'ten doğal olarak öndedir:

1. Yetki yönetimi: Rol bazlı erişim, tek tıkla ekleme/çıkarma.
2. Denetim kaydı: Her okuma/yazma değişmez bir audit log oluşturur.
3. Şifreleme: Hem dinlenme (at-rest) hem aktarım (in-transit) sırasında.
4. Saklama süresi yönetimi: Politika oluşturulur, sistem otomatik uygular.
5. Silinme yükümlülüğü: KVKK m. 7 talebine 30 gün içinde kalıcı silme.

Masaüstü PDKS'te bu beş maddenin tamamı, "şirket içinde el yordamıyla yapılır" cevabı doğurur; bu cevap KVKK Kurulu kararlarında çoğu kez yeterli bulunmamıştır.

5. Masaüstünden Buluta 4 Aşamalı Güvenli Geçiş Planı

VARDIO'nun migrasyon ekibi aşağıdaki dört aşamayı uygular:

1. Veri envanteri: Mevcut sistemde hangi tablolar var, hangi alanlar kişisel veri? Hazırlanır.
2. Şema dönüşümü: SQL/Access tablolarındaki kayıtlar MongoDB doküman modeline normalize edilir. Geçmiş 5 yıllık tüm puantaj korunur.
3. İlk yükleme: AES-256 ile şifrelenmiş jsonl akışı, üretim ortamına gece pencerelerinde aktarılır.
4. Çift yazma penceresi: Geçişin son 7 günü hem eski sisteme hem VARDIO'ya yazılır. Doğrulama sonrası eski sistem read-only'e alınır.

Tüm sürecin sonunda işveren, KVKK denetiminde gösterebileceği bir geçiş raporu alır. Bu rapor; verinin nereden nereye, hangi şifreleme ile, hangi tarihte taşındığını imzalı olarak belgeler.

"Bulut PDKS, masaüstü PDKS'in modern hâli değildir; başka bir güvenlik felsefesinin uygulamasıdır."

Detaylı teknik anlatım için KVKK & Güvenlik sayfamızı; başlamak için ücretsiz PDKS planını inceleyebilirsiniz.