KVKK Uyumlu ERP Altyapısı Nasıl Kurulur?
Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016 tarihinde yürürlüğe girmiş ve işletmelerin müşteri, çalışan ve tedarikçi verilerini nasıl işleyeceğini düzenlemektedir. ERP sistemleri, bu verilerin büyük bölümünü barındırdığından KVKK uyumluluğu açısından kritik öneme sahiptir.
1. KVKK Kapsamında ERP'de Hangi Veriler Yer Alır?
ERP sistemlerinde aşağıdaki kişisel veriler işlenmektedir:
- Müşteri verileri: Ad, soyad, TC kimlik numarası, vergi numarası, adres, telefon, e-posta
- Çalışan verileri: Bordro bilgileri, SGK numarası, banka hesabı, sağlık verileri
- Tedarikçi verileri: İletişim bilgileri, ödeme bilgileri
- İşlem verileri: Fatura, sipariş, ödeme geçmişi
2. Sunucu Altyapısı Gereksinimleri
KVKK uyumlu bir ERP altyapısı için sunucu tarafında şu önlemler alınmalıdır:
- Veri şifreleme: Veritabanı ve disk şifreleme (SQL Server TDE - Transparent Data Encryption)
- Erişim kontrolü: Rol tabanlı yetkilendirme, en az ayrıcalık ilkesi
- Denetim kaydı: Tüm veri erişim ve değişikliklerinin loglanması
- Güvenli bağlantı: SSL/TLS ile şifreli iletişim
- Yedekleme güvenliği: Yedeklerin şifreli saklanması
3. SQL Server'da KVKK Uyumlu Yapılandırma
Logo ERP'nin çalıştığı SQL Server'da KVKK uyumluluğu için:
- SQL Server Audit özelliğini aktif edin — tüm SELECT, INSERT, UPDATE, DELETE işlemlerini kaydedin
- Transparent Data Encryption (TDE) ile veritabanını şifreleyin
- Always Encrypted özelliği ile hassas alanları (TC kimlik, banka hesabı) şifreleyin
- Row-Level Security ile kullanıcıların yalnızca yetkili verilere erişmesini sağlayın
- Dynamic Data Masking ile hassas verileri maskelleyin
4. Kullanıcı Yetkilendirme ve Erişim Yönetimi
KVKK'nın "veri minimizasyonu" ilkesi gereği, her kullanıcı yalnızca göreviyle ilgili verilere erişebilmelidir:
- Logo ERP'de departman bazlı yetki grupları oluşturun
- Muhasebe personeli müşteri TC kimlik numaralarına erişemesin
- Satış personeli çalışan bordro bilgilerine erişemesin
- Yönetici hesapları için güçlü parola politikası uygulayın
- Çalışan ayrılığında hesapları derhal devre dışı bırakın
5. Veri İhlali Müdahale Planı
KVKK, veri ihlali durumunda 72 saat içinde Kişisel Verileri Koruma Kurumu'na (KVKK) bildirim yapılmasını zorunlu kılar. Bu nedenle:
- Veri ihlali tespit ve müdahale prosedürü oluşturun
- Güvenlik olaylarını izleyen SIEM sistemi kurun
- Düzenli güvenlik denetimleri yapın
- Çalışanlara KVKK farkındalık eğitimi verin
6. Bulut Sunucuda KVKK Uyumluluğu
ERP'nizi bulut sunucuda çalıştırıyorsanız, hizmet sağlayıcınızın KVKK uyumlu olduğundan emin olun:
- Veri merkezinin Türkiye'de veya AB'de olması tercih edilir
- Hizmet sağlayıcıyla Veri İşleme Sözleşmesi imzalayın
- ISO 27001 sertifikalı altyapı tercih edin
- Veri silme ve taşıma haklarını sözleşmede güvence altına alın