B2B Bayi ve CRM Sistemlerinde Veri Güvenliği ve KVKK Uyumluluğu

Kurumsal B2B bayi yönetim sistemlerinde ve CRM platformlarında müşteri bilgileri, sipariş geçmişleri, cari hesaplar ve finansal veriler işletmenin en kritik varlıkları arasındadır. Bu verilerin korunması hem ticari güven hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülükler açısından önemlidir. tufiworks olarak geliştirdiğimiz B2B panellerinde güvenliği yazılımın temel mimari kararlarından biri olarak ele alıyoruz. Bu yaklaşımın iki ana bileşeni rol bazlı erişim kontrolü (RBAC) ve şifreli veri depolamadır.

Bu yazıda B2B veri güvenliği için hangi teknik önlemlerin alınabileceğini, RBAC'ın ne olduğunu, şifreli veri depolamanın nasıl çalıştığını ve CRM KVKK uyumluluğu için kullanabileceğiniz bir kontrol listesini bulacaksınız.

B2B Bayi ve CRM Sistemlerinde Veri Güvenliği Neden Kritik?

Bir B2B bayi paneli genellikle çok sayıda kullanıcıya hizmet verir: merkez ofis çalışanları, bölge sorumluları, bayiler, bayi personeli ve muhasebe ekipleri. Her kullanıcı grubunun ihtiyaç duyduğu veri farklıdır. Bu çeşitlilik doğru yönetilmediğinde şu riskler ortaya çıkabilir:

• Yetkisiz erişim: Bir bayinin başka bir bayinin fiyat listesine, iskonto oranlarına veya müşteri bilgilerine ulaşabilmesi.
• Veri sızıntısı: Veritabanı veya yedeklerin ele geçirilmesi durumunda kişisel ve finansal verilerin okunabilir halde açığa çıkması.
• İç tehditler: Gereğinden geniş yetkiye sahip kullanıcıların verileri dışa aktarması veya değiştirmesi.
• Hukuki ve itibari sonuçlar: KVKK kapsamında idari para cezaları ve iş ortaklarının güven kaybı.

Bu nedenle bayi paneli güvenliği, yalnızca bir parola ekranından ibaret değildir; yetkilendirme, şifreleme, kayıt tutma ve süreç yönetimini birlikte kapsamalıdır.

RBAC Nedir?

RBAC (Role-Based Access Control), yani rol bazlı erişim kontrolü, kullanıcılara yetkilerin tek tek değil, tanımlanmış roller üzerinden verildiği bir erişim yönetimi modelidir. Kullanıcı bir role atanır; rol ise hangi ekranları görebileceğini, hangi verileri okuyabileceğini ve hangi işlemleri yapabileceğini belirler.

Rol Bazlı Erişim Kontrolü Nasıl Çalışır?

Tipik bir B2B bayi yönetim sisteminde roller şu şekilde kurgulanabilir:

• Sistem yöneticisi: Kullanıcı ve rol tanımlarını yönetir, sistem ayarlarına erişir.
• Satış yöneticisi: Sorumlu olduğu bölgedeki bayilerin siparişlerini ve performansını görüntüler.
• Bayi yöneticisi: Yalnızca kendi firmasına ait sipariş, cari hesap ve fiyat bilgilerine erişir.
• Bayi personeli: Sipariş oluşturabilir ancak finansal raporları veya kullanıcı ayarlarını göremez.
• Muhasebe: Fatura ve cari hareketlere erişir, ürün veya fiyat tanımlarını değiştiremez.

RBAC'ın B2B Panellere Sağladığı Avantajlar

• En az yetki ilkesi: Her kullanıcı yalnızca görevi için gereken verilere erişir. Bu, KVKK'daki ölçülülük ve amaçla sınırlılık ilkeleriyle de örtüşür.
• Yönetim kolaylığı: Yeni bir bayi personeli eklendiğinde tek tek izin vermek yerine ilgili rol atanır.
• Veri izolasyonu: Bayiler birbirlerinin verilerini göremez.
• Denetlenebilirlik: Kimin hangi yetkiye sahip olduğu raporlanabilir ve periyodik olarak gözden geçirilebilir.

Şifreli Veri Depolama Nasıl Çalışır?

Şifreli veri depolama, verilerin okunabilir hali yerine kriptografik algoritmalarla dönüştürülmüş haliyle saklanması anlamına gelir. Doğru anahtara sahip olmayan biri veriyi ele geçirse bile içeriği anlamlandıramaz. Güvenli bir B2B veya CRM sisteminde şifreleme iki katmanda ele alınır.

Aktarım Sırasında Şifreleme (Data in Transit)

Kullanıcının tarayıcısı ile sunucu arasındaki tüm trafik TLS (Transport Layer Security) protokolüyle şifrelenir. Güncel uygulamalarda TLS 1.2 ve TLS 1.3 sürümleri tercih edilir; eski ve zayıf protokoller devre dışı bırakılır. Böylece giriş bilgileri, sipariş ve fiyat verileri ağ üzerinde dinlenmeye karşı korunur.

Depolama Sırasında Şifreleme (Data at Rest)

Veritabanında, dosya depolama alanlarında ve yedeklerde tutulan veriler, sektörde yaygın olarak kabul gören AES-256 gibi güçlü simetrik şifreleme algoritmalarıyla korunabilir. Özellikle T.C. kimlik numarası, iletişim bilgileri ve banka bilgileri gibi hassas alanlar için alan bazlı şifreleme ek bir koruma katmanı sağlar.

Parolalar ve Anahtar Yönetimi

• Parolalar şifrelenmez, özetlenir: Kullanıcı parolaları geri çevrilebilir şekilde değil, bcrypt veya Argon2 gibi yavaş ve tuzlanmış (salted) özetleme algoritmalarıyla saklanmalıdır.
• Anahtarların ayrı tutulması: Şifreleme anahtarları, şifrelenmiş verilerle aynı yerde saklanmamalı; erişimi sınırlandırılmalı ve belirli aralıklarla yenilenmelidir.
• Yedeklerin korunması: Yedekler de şifreli tutulmalı ve geri yükleme süreçleri düzenli olarak test edilmelidir.

KVKK Uyumlu CRM Yazılımı Neleri İçermelidir?

KVKK'nın 12. maddesi, veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını öngörür. Burada önemli bir nokta vardır: KVKK uyumluluğu yalnızca yazılımla sağlanamaz. Yazılım, uyumu destekleyen teknik altyapıyı sunar; aydınlatma metinleri, veri işleme envanteri ve iç politikalar gibi idari süreçler ise kurumun sorumluluğundadır.

Bu nedenle bir yazılımın KVKK'ya tamamen uyumlu olduğunu iddia etmek yerine, KVKK uyumlu CRM yazılımı olarak hangi teknik tedbirleri sunduğuna bakmak daha doğru bir değerlendirme yöntemidir:

• Rol bazlı ve granüler yetkilendirme
• Aktarımda TLS, depolamada AES-256 gibi güçlü şifreleme
• Kullanıcı işlemlerinin kayıt altına alınması (log ve denetim izi)
• İki faktörlü kimlik doğrulama (2FA) seçeneği
• Kişisel verilerin silinmesi, anonimleştirilmesi ve dışa aktarılması için araçlar
• Saklama sürelerinin tanımlanabilmesi
• Düzenli yedekleme ve felaket kurtarma planı

KVKK Uyumluluk Kontrol Listesi

B2B bayi paneli veya CRM projenizde aşağıdaki kontrol listesini başlangıç noktası olarak kullanabilirsiniz. Kesin uyum değerlendirmesi için bir hukuk danışmanıyla çalışmanızı öneririz.

Teknik Tedbirler

1. Tüm trafiğin TLS 1.2 veya üzeri ile şifrelendiğini doğrulayın.
2. Hassas verilerin veritabanı ve yedeklerde şifreli saklandığını kontrol edin.
3. Parolaların güçlü özetleme algoritmalarıyla saklandığından emin olun.
4. RBAC ile en az yetki ilkesini uygulayın ve yetkileri periyodik olarak gözden geçirin.
5. Yönetici ve kritik hesaplar için iki faktörlü kimlik doğrulamayı etkinleştirin.
6. Giriş, veri görüntüleme, değiştirme ve dışa aktarma işlemlerini loglayın.
7. Sızma testi ve güvenlik açığı taramalarını düzenli aralıklarla yaptırın.
8. Yazılım bağımlılıklarını ve sunucu bileşenlerini güncel tutun.

İdari Tedbirler

1. Kişisel veri işleme envanterini hazırlayın.
2. Aydınlatma metinlerini ve gerekli açık rıza metinlerini oluşturun.
3. Yükümlülük kapsamındaysanız VERBİS kaydınızı yapın.
4. Kişisel veri saklama ve imha politikası belirleyin.
5. Çalışanlara veri güvenliği eğitimi verin ve gizlilik taahhütleri alın.
6. Veri ihlali durumunda izlenecek müdahale ve bildirim prosedürünü tanımlayın.
7. Hizmet sağlayıcılarla (barındırma, e-posta vb.) veri işleme sözleşmeleri yapın.

Denetim ve Sürekli İzleme

Güvenlik tek seferlik bir kurulum değil, sürekli bir süreçtir. Erişim loglarının düzenli incelenmesi, kullanılmayan hesapların kapatılması, rol tanımlarının iş süreçlerindeki değişikliklere göre güncellenmesi ve periyodik güvenlik testleri, B2B veri güvenliği seviyesini zaman içinde korumanın temel yollarıdır. Kurumsal projelerde bu süreçlerin sorumlularını ve takvimini proje başlangıcında netleştirmek, sonradan ortaya çıkabilecek boşlukları azaltır.

tufiworks olarak B2B ve CRM projelerimizde rol bazlı erişim kontrolünü ve şifreli veri depolamayı mimarinin parçası olarak tasarlıyor, KVKK kapsamındaki teknik tedbirleri karşılamanıza yardımcı olacak altyapıyı kuruyoruz.