Alarm Panelini Uzaktan Programlama ve Servis Erişimi: Müşteri İzni, Erişim Kaydı ve KVKK

Alarm paneline uzaktan erişim nedir ve hangi yollarla yapılır?

Alarm paneline uzaktan erişim, kurulumcunun sahaya gitmeden panelin ayarlarını internet üzerinden açıp değiştirmesidir. Bu iş genellikle üç yoldan biriyle yapılır: üreticinin bulut hizmeti, panelin IP veya GSM modülü üzerinden doğrudan bağlantı ya da üreticinin kurulumcuya özel masaüstü ve mobil yazılımı.

Uzaktan erişimle zon ekleme, kullanıcı kodu tanımlama, çıkış-giriş süresi değiştirme, bildirim ve izleme merkezi ayarları, firmware güncelleme gibi işler yapılabilir. Bunların bir kısmı alarmın güvenliğini doğrudan etkiler; bu yüzden erişimin kim tarafından, hangi izinle ve ne kadar süreyle açıldığı baştan netleşmelidir.

Buradaki ana ilke basittir: panel müşterinin güvenlik sistemidir ve erişimin kapısını müşteri açar. Kurulumcunun işi, bu kapıyı kendi başına açık bırakmak değil, müşterinin verdiği yetkiyle ve kayıt altında çalışmaktır.

Müşteriden yazılı veya kayıtlı izin nasıl alınır?

Uzaktan erişim için en sağlam dayanak, müşterinin işin kapsamını bilerek verdiği yazılı veya sistem üzerinde kayıtlı izindir. İzin ister servis sözleşmesinin bir maddesi, ister her müdahale için ayrı bir onay olsun, ne yapılacağını ve ne kadar süreceğini açıkça içermelidir.

Hazır yazılım yaklaşımları da bu mantığı destekler. Ajax'ta kurulumcu (PRO) ayarlara erişimi hub sahibinden talep eder; sahip bunu sınırsız veya 1, 2, 4 ya da 8 saatlik süreli olarak verebilir ve süre dolunca yetki kendiliğinden kalkar. Hikvision'ın Hik-Partner Pro akışında da kurulumcu site yetkisi için başvurur, site sahibi Hik-Connect uygulamasından onaylar; müşteri hangi işlevlere ve ne kadar süreyle izin vereceğini belirler. Her iki örnekte de kurulumcunun müşterinin hesap parolasını bilmesi gerekmez.

• Kimin adına, hangi panele ve hangi tarihte erişileceğini yazın.
• İşin kapsamını sınırlayın: örneğin yalnızca zon ve bildirim ayarı, kullanıcı kodlarına dokunmadan.
• Erişimin başlangıç ve bitiş zamanını belirtin; mümkünse tek seferlik tanımlayın.
• Müşterinin onay yöntemini saklayın: imzalı form, e-posta yanıtı ya da uygulamadaki onay kaydı.
• Sürekli izleme veya bakım için ayrı, yıllık yenilenen bir servis izni tanımlayın.

Erişim süreli açılmalı ve iş bitince kapatılmalıdır

Servis erişimi mümkün olan en kısa süre için açılmalı ve iş biter bitmez kapatılmalıdır. Kalıcı ve sınırsız erişim hem müşterinin güvenlik riskini hem kurulumcunun sorumluluğunu büyütür; bir kurulumcu hesabı ele geçirilirse o kurulumcunun erişebildiği bütün paneller etkilenir.

Üreticilerin kendi yaklaşımı da bu yöndedir. Ajax, tam yönetici haklarının üçüncü kişilere, geçici de olsa verilmemesini önerir; ayar erişimi için süreli yetki mekanizması sunar. Kalıcı erişim gerekiyorsa bunun sözleşmede gerekçeli ve müşteri tarafından iptal edilebilir olması gerekir.

• Bağlantıyı iş başlamadan açın, iş bitince yetkiyi geri alın veya bitişini bekleyin.
• Panelde kurulumcuya özel kullanıcı veya servis hesabı varsa işten sonra devre dışı bırakın.
• Uzaktan programlama bağlantısı için panelde ayrı şifre veya onay özelliği varsa kullanın; kapalı tutulabilen seçenekleri kapalı bırakın.
• Bağlantı sonrası paneli test edin: kurma, kaldırma ve bildirim akışı beklendiği gibi mi çalışıyor?
• Müşteriye işin bittiğini ve erişimin kapandığını bildirin.

Teknik kod müşteri tarafında nasıl yönetilmelidir?

Teknik (mühendis/installer) kod, panelin kurulum ayarlarını açan koddur ve ilke olarak müşterinin güvenlik sisteminin parçasıdır; kurulumcunun kişisel bilgisi değildir. Müşteri kullanıcı kodundan farklı olarak bu kod panelin temel davranışını değiştirir, bu yüzden dağıtımı kontrollü yapılmalıdır. Kodun unutulması ve fabrika ayarı konusu ayrı bir yazıda ele alındı: Alarm paneli teknik kodu unutuldu.

Uzaktan çalışmada iki taraf için de güvenli düzen şudur: varsayılan teknik kod değiştirilir, yeni kod teslim tutanağıyla müşteriye bildirilir ve müşteri talep ettiğinde kurulumcunun erişimi kapatabilir. Kod kurulumcu tarafında tutulacaksa bu, yazılı olarak ve hangi koşulda kullanılacağıyla birlikte kararlaştırılmalıdır.

• Fabrikadaki varsayılan teknik kodu hiçbir sistemde bırakmayın.
• Her müşteri için farklı kod belirleyin; aynı kodu tüm panellerde kullanmayın.
• Kodu açık metinle e-posta veya mesajla göndermeyin; müşteriye teslim tutanağıyla verin.
• Teknik kodu müşteri veya kurulumcu değişirse yeniden belirleyin.
• Kurulumcu notlarında kodu tutuyorsanız bu kayıt da parolalı ve yetkilendirilmiş bir yerde olsun.

İşlemlerin kaydı: erişim logu neden tutulmalı?

Her uzaktan müdahalenin kim tarafından, ne zaman ve hangi ayar değişikliğiyle yapıldığı kaydedilmelidir. Bu kayıt hem müşteriye karşı şeffaflıktır hem de 'alarm neden çalmadı' gibi bir uyuşmazlıkta kurulumcuyu korur. Ayrıca 6698 sayılı KVKK'nın 12. maddesi, veri sorumlusunu kişisel verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri almakla yükümlü kılar; erişim kaydı bu tedbirlerin doğal parçasıdır.

Birçok panel ve bulut hizmeti olay geçmişinde kullanıcı girişlerini ve ayar değişikliklerini tutar. Bu geçmişin yeterli olmadığı durumlarda kurulumcu kendi iş kaydını ayrıca tutmalıdır.

• Tarih ve saat, bağlantıyı yapan kişi (kurulumcu çalışanı adı), panel kimliği ve müşteri adı.
• Bağlantının nedeni: arıza kaydı, bakım ya da müşteri talebi numarası.
• Yapılan değişikliklerin kısa listesi ve değişiklik öncesi ayarların yedeği.
• Müşteri onayının nasıl alındığı ve erişimin ne zaman kapatıldığı.
• Kayıtların saklama süresi ve kime açık olduğu.

Panel geçmişi ve kullanıcı listesi KVKK açısından neden hassastır?

Panelin olay geçmişi ve kullanıcı listesi, kimin eve ne zaman girip çıktığını gösterebildiği için kişisel veri niteliği taşıyabilir. Kullanıcı adları, telefon numaraları, kodlara bağlı kişi isimleri ve kurma-kaldırma saatleri bir ailenin veya işletme çalışanlarının günlük düzenini açığa çıkarır.

KVKK'nın temel ilkeleri (madde 4) gereği veri belirli ve meşru amaç için, amaçla bağlantılı ve ölçülü biçimde işlenmelidir. Kurulumcunun arıza çözmek için panele bağlanması meşru bir amaçtır; ama geçmişi toplu indirmek, kullanıcı listesini kendi tablosuna kopyalamak veya müşterinin alışkanlıklarını incelemek bu amacın dışına çıkar. Müşteri veri sorumlusu, işini yürüten kurulumcu çoğunlukla veri işleyendir; veri işleyen de sorumlu ile birlikte tedbir almakla yükümlüdür (madde 12). Rol ayrımı için ayrıntılı yazımız: Kurulumcunun uzaktan erişiminde KVKK.

Burada hukuki yorum gerektiren noktalar vardır; bu yazı genel bilgilendirmedir ve hukuki danışmanlık yerine geçmez. Sözleşme ve gizlilik taahhüdü gibi belgeleri bir hukukçuya kontrol ettirmek sağlıklı olur.

• Yalnızca işin gerektirdiği ekranlara girin; kullanıcı listesini ve olay geçmişini işle ilgisi yoksa açmayın.
• Geçmiş veya kullanıcı listesini kendi cihazınıza indirmeyin, ekran görüntüsü almayın; gerekiyorsa müşteri onayı ve silme süresi ile.
• Arızayı çözmek için veri görülmek zorundaysa bunun kaydını tutun.
• Müşterinin telefon ve kişi bilgilerini pazarlama listesine eklemeyin.
• Panel sahibini kurulumcunun hangi veriye eriştiği konusunda bilgilendirin.

Kurulumcunun kendi hesabında müşteri panellerini toplaması ve hesap güvenliği

Kurulumcu hesabı tek bir kimlik bilgisiyle çok sayıda müşteri paneline açılan bir kapıdır; bu yüzden hesap güvenliği müşteri güvenliğinin parçasıdır. Ajax PRO, Hik-Partner Pro gibi kurulumcu platformları kullanışlıdır; ancak ele geçirilen tek bir kurulumcu hesabı yüzlerce paneli riske atabilir.

Güçlü ve benzersiz parola, iki adım doğrulama ve çalışanlara ayrı hesap açılması temel önlemlerdir. Üreticiler de kurulumcu şirketleri için ayrı çalışan hesapları sunar; Ajax PRO Desktop'ta şirket çalışanı hesapları yalnızca SSO ile giriş yapabilir ve şirket adına çalışır. Böylece ortak parola paylaşımı gerekmez.

• Kurulumcu hesabında iki adım doğrulamayı açın; kodu SMS yerine mümkünse doğrulama uygulamasıyla alın.
• Her teknisyene kendi hesabını açın; ortak hesap ve ortak parola kullanmayın.
• Müşteri panellerini kurulumcu hesabına eklerken müşteri onayını kayda geçirin.
• Hesabı paylaşılan bilgisayarda açık bırakmayın; kayıp telefon için uzaktan oturum kapatmayı bilin.
• Düzenli aralıkla hangi panellere erişiminiz olduğunu gözden geçirin ve artık bakmadığınız panelleri listeden çıkarın.

İş bırakma, çalışan ayrılığı ve devirde erişim nasıl kapatılır?

Servis sözleşmesi bittiğinde, çalışan işten ayrıldığında veya müşteri başka kurulumcuya geçtiğinde uzaktan erişim yazılı olarak ve aynı gün kapatılmalıdır. Açık kalan eski erişim, hem müşteri hem eski kurulumcu açısından belirsiz bir sorumluluk oluşturur.

Hikvision'ın kurulumcu akışında site sahibi yetkiyi site ayrıntıları sayfasından kaldırabilir; AX PRO cihazlarında site yetkisi verildiğinde cihaz üzerinde kurulumcu hesapları oluşur ve kurulumcu cihazı sildiğinde veya devrettiğinde bu hesaplar kalkar. Ajax'ta ise yalnızca tam yetkili yönetici ve tam yetkili PRO, bir PRO'nun ayar erişimini iptal edebilir. Yani erişimi kapatma yetkisi çoğu sistemde sahibin ve yetkili kullanıcıların elindedir, kurulumcu hesabını kapatmak yetmeyebilir.

Cihaz devri ile ilgili ayrıntı ayrı bir yazıda ele alınacağından burada yalnızca erişim yönü anlatılmıştır; devir sonrasında eski kurulumcunun bildirimlerinin ve izleme merkezi bağlantısının kapandığını doğrulamak gerekir. İzleme merkezi tarafı için: Alarm izleme merkezine bağlanma süreci.

• Çalışan ayrıldığında kurulumcu hesabını, kayıtlı cihazlarını ve oturumlarını aynı gün kapatın.
• Müşteriye devir veya sözleşme bitiminde erişimin kapandığını yazılı bildirin.
• Teknik kodu devirde yeniden belirleyin veya yeni kurulumcuya sahibin onayıyla teslim edin.
• Sahibin uygulamasındaki yetkili kurulumcular listesinde eski firmanın kalmadığını birlikte kontrol edin.
• Bulutta müşteri adına ya da kurulumcu hesabında tutulan panel kayıtlarını devrin ardından uygun şekilde silin.

Bayifi'de kurulumcu ve toptancı için yeri

Bayifi'de alarm kurulumunu üstlenen firmaları /bayiler sayfasından il il bulabilir, panel ve dedektör gibi ürünleri toptancıların anlık stoklarıyla /pazar üzerinden karşılaştırabilirsiniz. Üreticilerin kendi kurulumcu araçları için Ajax ve Hikvision marka sayfalarına bakabilirsiniz. Firmanızı kurulumcu veya toptancı olarak eklemek için /kaydol sayfası kullanılır.