Bir Alman OEM'in tedarikçi portalından gelen sözleşme ekini imzalamadan önce hukuk müşavirimiz tek bir cümlenin altını çizmişti: "Tedarikçi, kendisine sağlanan teknik veriyi Avrupa Ekonomik Alanı dışındaki bir sunucuda işleyemez ve saklayamaz." O gün toplantıda bulunan kimse bunun kalite yazılımıyla ilgisi olduğunu düşünmedi. Altı ay sonra ikinci taraf denetiminde denetçi, kontrol planlarının hangi sunucuda tutulduğunu sordu. Cevap, adı bile bilinmeyen bir ülkedeki veri merkeziydi. Verinin yurt dışına çıkmaması meselesi, o gün bizim için soyut bir bilgi güvenliği başlığı olmaktan çıkıp somut bir sözleşme ihlali riskine dönüştü.
Sözleşmedeki "teknik veri" tanımını kimse okumuyor
Otomotiv müşterileriyle imzalanan gizlilik sözleşmelerinin tanımlar bölümü genelde atlanır. Oysa asıl mesele oradadır. Çoğu sözleşmede teknik veri, yalnızca müşterinin gönderdiği CAD dosyası değil, o dosyadan türeyen bütün belgelerdir. Yani müşterinin çiziminden çıkardığınız kontrol planı, ölçü ve tolerans taşıyan PFMEA satırı, ölçüm raporu ve PPAP dosyası da aynı kapsama girer. Bu belgeleri yurt dışındaki bir sunucuda tutuyorsanız, sözleşmenin lafzına göre teknik veriyi üçüncü ülkeye aktarmış olursunuz. Verinin yurt dışına çıkmaması, bu sözleşmelerde çoğu zaman yazılı bir şarttır; keyfi bir tercih değildir.
Burada bir ayrım yapmak gerekir. QDMS, Bimser firmasının ürün adıdır; Türkiye'de zamanla doküman yönetim yazılımı kategorisinin genel adı gibi kullanılır hâle geldi. Bu yazıda kategoriyi kastediyoruz. Hangi markayı kullanırsanız kullanın, sorulacak soru aynıdır: bu yazılımın veritabanı ve dosya ekleri fiziksel olarak hangi ülkede duruyor, oraya kimler erişebiliyor, ve bunu müşteriye kanıtlayabiliyor musunuz?
İhlalin sonucu genellikle mahkeme değildir, daha sessiz bir cezadır. Müşteri bulguyu tedarikçi denetim raporuna yazar, tedarikçi puanınız düşer, yeni proje dağıtımında bir sonraki tura kalırsınız. Bunu geri almak için hazırlayacağınız düzeltici faaliyet planı da genelde altı ay sürer, çünkü çözüm bir prosedür güncellemesi değil, bir sistem taşımasıdır. Bir kalite müdürü için en can sıkıcı bulgu türü budur: sebebi kalite biriminin dışında oluşmuş ama kapatma sorumluluğu size düşmüştür.
Kalite sistemindeki veri sandığınızdan hassas
Kalite yönetim sisteminin içinde biriken veri kümesine bir bakın. Müşteri çizimleri ve revizyonları, özel karakteristik listeleri, proses parametreleri, kalıp ve fikstür bilgileri, proses yeterlilik değerleri, müşteri şikâyetlerine yazılan 8D raporları, tedarikçi fiyat ve performans verileri. Bunların önemli bir kısmı rakibinizin eline geçtiğinde doğrudan ticari zarar doğurur. Bir kısmı ise müşterinizin sırrıdır ve korunmasından siz sorumlusunuz.
Bir de kişisel veri tarafı var ve genelde hiç konuşulmaz. Eğitim kayıtları, yetkinlik matrisi, operatör sicil numaraları, ıslak imza görüntüleri, iş kazası ve sağlık gözetim kayıtları kalite sisteminin içindedir. KVKK'nın 9. maddesi kişisel verinin yurt dışına aktarılmasını belirli hukuki mekanizmalara bağlar ve bu mekanizmayı kurma yükünü veri sorumlusuna, yani size yükler. Sunucu şirket içindeyse bu yükün tamamı gündeminizden düşer. Doküman yönetimi tarafında hangi kayıtların nerede tutulduğunu bilmek bu yüzden yalnızca IT işi değildir.
Alt yüklenici zinciri sessizce uzuyor
Bulut hizmetinde imza attığınız firma, veriyi kendi makinesinde tutmak zorunda değildir. Yazılım sağlayıcısı altyapıyı büyük bir bulut sağlayıcısından kiralar, o sağlayıcı da bölgesel veri merkezleri arasında yedekleme yapar. Zincirin her halkasında sözleşme koşulları biraz daha genelleşir. Müşterinize verdiğiniz taahhüt tek bir cümledir; o cümlenin arkasında ise üç ayrı şirketin zaman içinde değişebilen politikaları durur.
Bunu kontrol etmenin yolu, hizmet sözleşmesine alt yüklenici bildirim maddesi koydurmaktır: sağlayıcı, veriyi işleyen alt yükleniciyi ya da veri merkezi bölgesini değiştirmeden önce size yazılı bildirim yapacak ve itiraz hakkınız olacak. Bu maddeyi kabul etmeyen bir sağlayıcı, siz farkında bile olmadan verinizi başka bir ülkeye taşıyabilir demektir. Şirket içi kurulumda böyle bir zincir yoktur; sunucu odasının anahtarı kimdeyse sorumluluk da ondadır.
İki modelin yan yana karşılaştırması
Aşağıdaki tablo, aynı kalite kayıt setini yurt dışı bulutta ve şirket içi sunucuda tutmanın pratik farklarını gösteriyor. Kolonlardan hiçbiri diğerini topyekûn üstün yapmıyor; sorumluluğun nereye kaydığını gösteriyor.
| Başlık | Yurt dışı bulut | Şirket içi (on-premise) kurulum |
|---|---|---|
| Verinin fiziksel yeri | Sağlayıcının bildirdiği bölge; alt yüklenici zinciri değişebilir | Sunucu odanızdaki makine; envanter kaydıyla kanıtlanır |
| OEM gizlilik maddesi | Aktarım mekanizması kurulmalı, müşteriye bildirim gerekebilir | Aktarım olmadığı için madde kendiliğinden karşılanır |
| KVKK m.9 yükümlülüğü | Veri sorumlusunda; hukuki altyapı kurulması gerekir | Yurt dışı aktarım yok, yükümlülük doğmaz |
| Yedekleme sorumluluğu | Sağlayıcıda; geri dönüş süresi sözleşmeye bağlı | Tamamen sizde; tatbikatı siz yapmalısınız |
| İnternet kesintisi | Sistem erişilemez, saha dokümansız kalır | Yerel ağ ayakta olduğu sürece çalışır |
| Erişim kayıtları (log) | Sağlayıcının sunduğu kadar; ham loga erişim sınırlı | Veritabanı sizde, log kaydı denetçiye doğrudan gösterilir |
| Sistem yönetimi yükü | Düşük; sunucu bakımı sağlayıcıda | Yüksek; sunucu, yedek ve güncelleme sizin işiniz |
Bulut sağlayıcısının "verileriniz Türkiye'de" cümlesine dayanıp konuyu kapatan çok firma gördük. Sorulacak ikinci soru şudur: destek ekibi nereden bağlanıyor? Veri Türkiye'deki bir veri merkezinde dursa bile, sorun giderme için başka bir ülkedeki bir mühendis uzaktan bağlanıp veritabanını görüyorsa, o veri fiilen o ülkeye erişilmiş demektir. Sözleşmede destek erişiminin hangi ülkelerden yapılabileceğini yazılı isteyin.
Denetimde bu konu nasıl karşınıza çıkıyor
Müşteri denetimlerinde bilgi güvenliği bölümü her yıl biraz daha ağırlaşıyor. Alman otomotiv sanayisi tarafında VDA'nın bilgi güvenliği değerlendirmesi olan TISAX, tedarikçilerden bilgi varlıklarının nerede işlendiğini ve kimlerin eriştiğini yazılı göstermelerini bekliyor. İkinci taraf denetimlerinde denetçinin sorduğu üç soru şu şekilde geliyor: bu doküman hangi sunucuda duruyor, o sunucuya kimler erişebiliyor, ve yazılım dışarıya veri gönderiyor mu?
Bu üç sorunun cevabı hazır değilse denetim bir saatinizi alır. Cevap hazırsa, sunucu envanter kaydını, ağ topoloji şemasını ve yedekleme prosedürünü masaya koyarsınız, bölüm on dakikada kapanır. Denetim hazırlığında bu üç belgeyi bilgi güvenliği klasörünüzde ayrı bir sekmede tutmanızı öneririm.
Verinin yurt dışına çıkmaması internet kesildiğinde de işe yarıyor
Bu başlık genelde bilgi güvenliği kadar konuşulmaz ama sahada daha sık canınızı yakar. Fiber hattınız koptuğunda yurt dışı buluttaki kalite sisteminiz de kapanır. O anda montaj hattındaki operatörün elindeki iş talimatının güncel revizyon olduğunu doğrulama imkânınız kalmaz; kalite kontrolcü kabul kriterine bakamaz; laboratuvar ölçüm sonucunu kaydedemez. Vardiya devam eder, kayıtlar kâğıda düşer ve o kâğıtlar ertesi gün sisteme geriye dönük girilir. Denetçinin en sevmediği kayıt türü de tam olarak budur.
Şirket içi kurulumda internet kesintisi üretimi durdurmaz, çünkü sistem yerel ağ üzerinden çalışmaya devam eder. Buna karşılık sunucu donanımı arızalanırsa aynı sonuç sizde doğar. Bu yüzden on-premise kurulumun yanına bir yedek sunucu ya da en azından hızlı geri dönüş yapılabilecek bir sanal makine imajı koymak gerekir. Kesinti riskini yok etmiyorsunuz, yerini değiştiriyorsunuz; farkında olarak yapın.
ISO 9001 madde 7.5.3.2, dokümante bilginin (documented information) korunmasını isterken gizliliği açıkça sayar. Yani doküman kontrolü yalnızca "güncel sürüm sahada mı" sorusundan ibaret değildir; o dokümanın yetkisiz kişiye açılmaması da aynı maddenin şartıdır. Kalite dokümanlarının nerede saklandığını ve kimin erişebildiğini gösteremeyen bir sistem, bu maddenin ikinci yarısını karşılamıyor demektir.
Aynı soruyu kendi tedarikçilerinize de sormanız gerekiyor. Müşteri çizimini bir alt tedarikçiye gönderiyorsanız, gizlilik zinciri onun sunucusunda devam eder. Tedarikçi yönetimi tarafında bunu tedarikçi soru listesine bir satır olarak eklemek yeterlidir: teknik dokümanları hangi sistemde ve hangi ülkede saklıyorsunuz? Bu satırı sormayan bir tedarikçi denetim formu, kendi sözleşmenizi tek başına koruyamaz.
On-premise size hangi sorumlulukları yükler
Veriyi içeri almak sihirli bir çözüm değil. Sunucuyu kendi odanıza koyduğunuz an, daha önce sağlayıcının üstlendiği işler sizin listenize geçer. Yedekleme planını siz kurarsınız, yedeğin gerçekten geri döndüğünü yılda en az bir kez tatbikatla siz kanıtlarsınız, işletim sistemi ve veritabanı güncellemelerini siz uygularsınız, disk şifrelemesi ve fiziksel erişim kontrolü sizin sorumluluğunuzdadır. Bu işler kâğıt üzerinde küçük görünür ama sahiplenilmediğinde en kötü anda ortaya çıkar.
Uygulamada kurduğumuz asgari çerçeve şu şekilde işliyor: gece bir tam yedek alınıyor, gün içinde işlem günlüğü saat başı yedekleniyor, kopyalardan biri başka bir binada duruyor ve altı ayda bir geri dönüş tatbikatı yapılıp tutanağa bağlanıyor. Yetki ve log tarafındaki ayrıntıları veri güvenliği yazımızda ayrıca ele aldık. Bu çerçeveyi kuramayacak durumdaysanız, iyi yönetilen bir bulut sizin için daha az riskli olabilir; dürüst cevap budur.
Geçişi nasıl planlarsınız
Yurt dışı bulutta duran bir kalite arşivini şirket içine almak, teknik olarak veritabanı taşımaktan ibaret değil. Önce bir envanter çıkarın: hangi doküman türü, kaç kayıt, kaç GB dosya eki, hangi müşteriye ait. Sonra bu envanteri gizlilik sözleşmelerinizle eşleştirin ve hangi kayıtların hangi müşteri maddesine tabi olduğunu işaretleyin. Bu eşleştirme tablosu, hem geçiş önceliğini hem de müşteriye vereceğiniz cevabı belirler.
Envanter çıktıktan sonra üç aşamalı bir takvim işe yarar. İlk aşamada yalnızca yeni kayıtlar şirket içi sisteme açılır, eski arşiv bulutta salt okunur kalır; bu aşama iki ay sürer ve kullanıcı alışkanlığını oturtur. İkinci aşamada son üç yılın aktif dokümanları ve açık DÖF kayıtları taşınır, çünkü denetimde en çok sorulan dönem budur. Üçüncü aşamada geri kalan tarihsel arşiv aktarılır ve bulut aboneliği kapatılır. Bu sırayla gidildiğinde hiçbir gün "sistem yok" durumu yaşanmaz.
Taşıma sırasında en çok zorlanılan yer dosya ekleridir. Veritabanı satırları düzgün aktarılır ama eklerin klasör yapısı ve doküman-ek ilişkisi bozulursa, on beş yıllık arşiv açılamayan bağlantılar yığınına döner. Taşımadan önce sağlayıcıdan hem veritabanı yedeğini hem de eklerin orijinal klasör yapısını isteyin; ikisini ayrı ayrı doğrulayın.
PaKalite'yi bu ihtiyaç yüzünden şirket içi kurulum üzerine kurduk: veritabanı sizin sunucunuzda çalışır, dosya ekleri sizin diskinizde durur, yazılım dışarıya kalite verisi göndermez. Bu tercihin arkasındaki gerekçeleri ayrı bir sayfada yazdık; verinin yurt dışına çıkmaması burada bir pazarlama başlığı değil, kurulum modelinin doğal sonucu. Ürün tercihiniz ne olursa olsun, sözleşmenizdeki teknik veri tanımını okumadan sunucu kararı vermeyin. O tanım, yazılım kararınızın sınırını çizen belgedir.