SaaS CRM Veri Güvenliği: Sağlayıcıya Sormanız Gereken 12 Soru

SaaS CRM veri güvenliği; firmaların verisinin birbirinden ayrılması, bağlantının şifrelenmesi, oturum ve şifre güvenliği, yetkilendirme, işlem günlüğü ve yedekleme gibi katmanların birlikte çalışmasıyla sağlanır. Güvenliğin bir kısmı sağlayıcının, bir kısmı ise sizin sorumluluğunuzdadır: en güçlü altyapı bile paylaşılan şifreleri veya kapatılmayan eski çalışan hesaplarını koruyamaz. Bir bulut CRM seçerken bu katmanları sağlayıcıya açıkça sormalı, kendi tarafınızdaki kuralları da yazılı hale getirmelisiniz.

SaaS CRM'de güvenlik sorumluluğu kimde?

Bulut hizmetlerinde "paylaşılan sorumluluk" yaklaşımı geçerlidir. Kabaca ayrım şöyledir:

Çok kiracılı (multi-tenant) yapı güvenli mi?

SaaS CRM'lerin çoğunda birçok firma aynı yazılımı ve altyapıyı paylaşır. Bu yapının güvenliği, her firmanın verisinin uygulama ve veritabanı düzeyinde ne kadar sıkı ayrıldığına bağlıdır. İyi tasarlanmış bir sistemde bir firmanın kullanıcısı, adres çubuğuyla oynayarak bile başka bir firmanın kaydına ulaşamaz. Sağlayıcıya veri ayrımının nasıl yapıldığını ve bunun nasıl test edildiğini sorabilirsiniz.

Bir bulut CRM sağlayıcısına hangi güvenlik soruları sorulmalı?

1. Firmaların verisi birbirinden nasıl ayrılıyor?
2. Tüm bağlantılar HTTPS ile mi yapılıyor?
3. Hatalı şifre denemelerine karşı sınırlama var mı?
4. Kullanıcı rolleri ve izinler nasıl tanımlanıyor? Silme gibi kritik işlemler kısıtlanabiliyor mu?
5. Kimin hangi işlemi ne zaman yaptığı işlem günlüğüne yazılıyor mu?
6. Bir kullanıcı veya firma durdurulduğunda açık oturumlar ne oluyor?
7. Veriler hangi ülkede, hangi altyapıda barındırılıyor?
8. Yedekleme ne sıklıkla yapılıyor ve geri yükleme nasıl işliyor?
9. Ses kaydı gibi hassas verilere erişim nasıl kontrol ediliyor?
10. Entegrasyonlarda (santral, SMS, WhatsApp) hangi bilgiler, hangi tarafla paylaşılıyor?
11. Aboneliği sonlandırdığımda verilerime ne oluyor?
12. Bir güvenlik olayı yaşanırsa nasıl bilgilendiriliyorum?

Cevapları yazılı almak, hem karar vermenizi kolaylaştırır hem de ileride KVKK kapsamındaki belgelendirme için kaynak oluşturur.

KVKK açısından SaaS CRM nasıl değerlendirilmeli?

CRM'e kaydettiğiniz isim, telefon, adres, görüşme notu ve ses kaydı gibi bilgiler 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir. Bu verilerin işlenmesinde genellikle siz veri sorumlusu, CRM sağlayıcısı ise sizin adınıza veri işleyen konumundadır. Kanun, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun idari ve teknik tedbirleri almasını bekler.

Pratikte dikkat edilecek başlıklar:

• Sağlayıcıyla veri işleme ilişkisini düzenleyen sözleşme veya hükümler.
• Verilerin yurt dışında barındırılması halinde aktarım kuralları.
• Aydınlatma metni ve gerekiyorsa açık rıza süreçleri.
• Ticari elektronik ileti gönderilecekse 6563 sayılı Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ve İleti Yönetim Sistemi (İYS) yükümlülükleri.
• Saklama ve imha süreleri.

Bu bölüm genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Yükümlülüklerin kapsamı firmanıza göre değişir; bir uzmana danışmanız önerilir. Ceza tutarları ve güncel düzenlemeler için Kişisel Verileri Koruma Kurumu'nun resmi kaynaklarını kontrol edin.

Firma olarak hangi önlemleri almalısınız?

• Kişiye özel hesap: Ortak hesap ve şifre paylaşımı olmasın.
• Güçlü şifre: Başka hizmetlerde kullanılmayan, tahmin edilmesi zor şifreler kullanın; bir şifre yöneticisi işinizi kolaylaştırır.
• Zamanında kapatma: İşten ayrılan çalışanın hesabını aynı gün kapatın.
• En az yetki: Yönetici sayısını az tutun; hassas izinleri yalnız gerekenlere verin. Ayrıntılar CRM kullanıcı rolleri ve yetkilendirme yazısında.
• Cihaz güvenliği: CRM'e girilen bilgisayar ve telefonlarda ekran kilidi ve güncel işletim sistemi olsun.
• Ortak bilgisayarlarda dikkat: Paylaşılan cihazlarda oturumu kapatmayı alışkanlık haline getirin.
• Dışa kopyaları sınırlayın: Müşteri listelerinin e-postayla veya mesajla dolaşmasını engelleyin.
• Günlüğü inceleyin: İşlem günlüğünde beklenmedik silme veya toplu değişiklikleri kontrol edin.

Bulut mu, kendi sunucunuz mu daha güvenli?

Bu sorunun tek bir cevabı yoktur. Kendi sunucunuz, düzenli güncellenmiyor, yedeklenmiyor ve izlenmiyorsa ciddi risk taşır. İyi işletilen bir bulut hizmeti ise bu işleri profesyonelce üstlenir, ancak verinin kontrolünü kısmen sağlayıcıya bırakmanız gerekir. İki modelin karşılaştırması için bulut CRM mi, kurulu CRM mi? yazısına bakabilirsiniz.

Bir güvenlik olayı yaşanırsa ne yapılmalı?

En iyi önlemlere rağmen bir şifre ele geçirilebilir, bir çalışanın cihazı kaybolabilir veya şüpheli bir işlem fark edilebilir. Böyle bir durumda hızlı ve sakin hareket etmek, zararı sınırlar. Önceden hazırlanmış kısa bir plan işinizi kolaylaştırır:

• Erişimi kesin: Şüpheli hesabın şifresini değiştirin veya hesabı geçici olarak devre dışı bırakın.
• İşlem günlüğünü inceleyin: Hangi kayıtlara ne zaman erişildiğini ve neyin değiştirildiğini tespit edin.
• Sağlayıcıyı bilgilendirin: Altyapı kaynaklı bir sorun olup olmadığını öğrenmek ve destek almak için CRM sağlayıcınızla iletişime geçin.
• Kaydı tutun: Ne olduğunu, ne zaman fark edildiğini ve hangi adımların atıldığını yazılı olarak not edin.
• Yasal yükümlülükleri değerlendirin: Kişisel veri ihlali söz konusuysa KVKK kapsamında bildirim yükümlülükleri doğabilir; süreleri ve usulü bir uzmanla ve Kurum'un resmi kaynaklarından kontrol edin.

Olay sonrasında nedenini anlamaya odaklanın: paylaşılan bir şifre mi, kapatılmamış eski bir hesap mı, korumasız bir cihaz mı? Kök nedeni ortadan kaldırmadan yalnızca şifre değiştirmek, aynı olayın tekrar yaşanmasına yol açabilir. Ekibe kısa bir bilgilendirme yapmak ve kuralları hatırlatmak da tekrarı önlemenin en ucuz yoludur.

Çalışanlara güvenlik farkındalığı nasıl kazandırılır?

Güvenlik olaylarının önemli bir kısmı teknik açıklardan değil, insan hatalarından kaynaklanır: tahmin edilebilir bir şifre, açık bırakılan bir oturum, sahte bir bağlantıya tıklanması. Bu yüzden ekibinize kısa ve düzenli hatırlatmalar yapmak, en ucuz ve en etkili önlemlerden biridir.

Uzun eğitimler yerine somut kurallar belirleyin: şifreler paylaşılmaz ve not kâğıdına yazılmaz; CRM'e yalnızca firmanın bildirdiği adresten girilir; şifre isteyen beklenmedik e-posta veya mesajlara cevap verilmez; ortak bilgisayarlarda iş bitince oturum kapatılır; müşteri listeleri kişisel e-posta veya mesajlaşma hesaplarına gönderilmez. Bu kuralları işe başlayan her çalışana ilk gün anlatın ve yılda birkaç kez hatırlatın.

Güvenlik bir kez kurulup unutulacak bir ayar değil, süreklilik isteyen bir alışkanlıktır. Yılda en az bir kez kullanıcı listesini, rolleri, ek izinleri ve işlem günlüğündeki olağan dışı hareketleri gözden geçirmek; sağlayıcının güvenlik ve gizlilik belgelerindeki değişiklikleri takip etmek, küçük bir zaman yatırımıyla büyük riskleri önler.

selfCRM ile nasıl yapılır?

selfCRM çok kiracılı bir bulut CRM'dir ve her firmanın verisi veritabanında ayrılır. Bağlantılar HTTPS ile yapılır, hatalı giriş denemeleri sınırlanır ve işlemler günlüğe yazılır. Bir firma durdurulduğunda o firmanın açık oturumları hemen kapanır. Kayıt silme ve kullanıcı tanımlama yönetici yetkisindedir; görüşme ses kayıtlarını yalnız yöneticiler ve "ses kaydı dinler" izni verilen kullanıcılar dinleyebilir, her dinleme günlüğe işlenir. Santral entegrasyonunda her firmanın santrali ayrı sunucuda çalışır. Aday ve müşteri kartındaki "Onam ve İYS" bölümü, KVKK metinlerinin selfOnam ile SMS'le gönderilmesini ve İYS izin durumunun görülmesini sağlar. Ayrıntılar özellikler sayfasında.

selfCRM'i yakından tanıyın: CRM programı nedir? · Özellikler · Paketler · Demo ve iletişim