Geçiş Kontrol Yazılımında Raporlama ve Denetim İzi: Kim Hangi Kapıdan Geçti, Yetkiyi Kim Verdi, Kim Sildi?

Geçiş kontrol yazılımında iki ayrı kayıt türü vardır

Geçiş kontrol sistemi iki ayrı soruya cevap verecek biçimde iki ayrı kayıt tutar: kapıda ne oldu ve sistemde kim ne yaptı. Birincisine olay (event) kaydı, ikincisine operatör kaydı ya da denetim izi (audit trail, audit log) denir.

Olay kaydı kapıdan doğar: okuyucuya bir kart okutulur, kontrolör kartı değerlendirir, kapı açılır ya da açılmaz ve bu sonuç yazılıma aktarılır. Operatör kaydı ise yazılımın içinden doğar: bir yönetici bir kişiye kart tanımlar, kapı grubu atar, zaman dilimini değiştirir ya da kartı siler.

İkisi karıştırılınca denetimde sorun çıkar. Bir kişinin geceyarısı sunucu odasına girdiğini olay kaydı gösterir; ama o kişiye o odanın yetkisini kimin, ne zaman verdiğini yalnızca operatör kaydı gösterir. Bu yüzden yazılım seçerken iki kaydın da ayrı ayrı sorgulanabildiğine bakmak gerekir.

Olay (event) kaydında hangi alanlar bulunmalı?

İyi bir olay kaydı, bir geçiş girişimini tek satırda baştan sona anlatır. Saat bilgisinin güvenilir olması için cihazların saat ayarının doğru tutulması gerekir; kayıt tarihi yanlışsa rapor da yanlış çıkar.

Olay kaydı yalnızca başarılı geçişleri değil, reddedilen girişimleri ve kapının kendi durum değişikliklerini de içermelidir. Reddedilen girişimler çoğu zaman güvenlik açısından en değerli kayıtlardır.

• Kim: kart numarası ve kartın bağlı olduğu kişi (sicil no, ad soyad).
• Hangi kapı ve hangi okuyucu: giriş ya da çıkış yönü dahil.
• Ne zaman: tarih ve saniye hassasiyetinde saat.
• Sonuç: kabul ya da red.
• Red nedeni: tanımsız kart, süresi dolmuş kart, zaman dilimi dışı, kapı yetkisi yok, anti-passback ihlali, kara liste.
• Kapı durum olayları: kapı açık kaldı, kapı zorlandı, kapı kilidi acil açma ile açıldı, kontrolörün gücü kesildi, kapak (tamper) açıldı.

Operatör kaydı: yetkiyi kim verdi, kim değiştirdi, kim sildi?

Operatör kaydı, yazılımda yapılan her yönetim işleminin 'kim, ne, ne zaman, nereden' cevabını tutar. Bilgi güvenliği standartlarında da aynı mantık geçer: ISO/IEC 27001:2022 Ek A'daki günlük kaydı (logging) kontrolü, kayıtlarda kullanıcı kimliği, olay, tarih-saat, cihaz ve ağ adresi gibi bilgilerin yer almasını önerir.

Geçiş kontrol yazılımında bu karşılığın en az şu alanları taşıması beklenir. Kaydın 'önce' ve 'sonra' değerlerini göstermesi çok işe yarar; böylece yalnızca 'yetki değişti' değil, 'Ahmet'in yetkisi A bloktan A ve B bloka çıkarıldı' bilgisi görülebilir.

• Operatör: işlemi yapan yönetici hesabı (ortak değil, kişiye özel).
• İşlem: kişi ekleme, kart tanımlama, kart iptali, yetki grubu atama, zaman dilimi değişikliği, kapı ayarı değişikliği, rapor alma, kayıt silme girişimi.
• Etkilenen kayıt: hangi kişi, hangi kart, hangi kapı grubu.
• Önce ve sonra değeri: değişiklikten önceki ve sonraki yetki.
• Zaman damgası: işlemin yapıldığı tarih ve saat.
• Kaynak: işlemin yapıldığı bilgisayarın adı ya da IP adresi.
• Oturum olayları: başarılı ve başarısız giriş denemeleri, oturum açma ve kapatma.

Sık istenen raporlar ve cevapladıkları sorular

Raporların çoğu olay ve operatör kayıtlarının farklı filtrelerle sorgulanmasından ibarettir. Aşağıdaki liste, kurulum sırasında müşteriyle birlikte kontrol edilebilecek temel rapor setidir.

• Kişi geçmişi: belirli bir kişinin seçilen tarih aralığında hangi kapılardan, hangi saatte geçtiği.
• Kapı geçmişi: belirli bir kapıdan kimlerin geçtiği; olay sonrası inceleme için kullanılır.
• Reddedilen girişler: kimin hangi kapıda, hangi nedenle reddedildiği; tekrar eden redler yetki hatasını ya da yetkisiz deneme girişimini gösterir.
• Hiç kullanılmayan kartlar: tanımlı olduğu halde belirli süredir hiç okutulmamış kartlar; ayrılmış çalışanın açık kalan kartını bulmak için işe yarar.
• Mesai dışı girişler: tanımlı çalışma saatleri, hafta sonu ve tatil günleri dışındaki geçişler.
• Kapı açık kaldı ve zorlanmış kapı olayları: kapının süresinden uzun açık kaldığı ya da geçerli bir okutma olmadan açıldığı kayıtlar. Alarmın nasıl ayarlanacağı için kapı açık kaldı ve zorlanmış kapı alarmı rehberine bakabilirsiniz.
• Son bir haftada yetkisi değişenler: operatör kaydından çıkarılan, yeni yetki alan ya da yetkisi alınan kişiler.
• Operatör işlem raporu: belirli bir yöneticinin belirli günde yaptığı tüm tanımlama ve silme işlemleri.
• Yönetici girişleri: yazılıma kimin, ne zaman, hangi bilgisayardan girdiği ve başarısız şifre denemeleri.

Mustering raporu: o anda binada kim var?

Mustering (toplanma) raporu, seçilen bir anda binada ya da bölgede kimlerin bulunduğunu listeler. Yangın tatbikatı ve acil durumda toplanma alanında eksik kişiyi bulmak için kullanılır.

Rapor, içeri ve dışarı yönlü okuyucuların kayıtlarına dayanır; yani çıkışlarda da okuyucu olması gerekir. Çıkışta kart okutulmayan, kapıdan peşinden geçilen ya da çıkış butonuyla çıkılan kişiler listede hâlâ 'içeride' görünür. Bu nedenle rapor yaklaşık bir tablodur; çıkış okuyucusu olan, tek geçişli (anti-tailgating) kapı düzenlerinde daha güvenilir çalışır.

Aynı mantık bölge bazında da kurulabilir: yalnızca üretim hattında ya da sunucu katında o anda kimlerin olduğu raporlanır. Kontrolör kapasitesi ve olay hafızası konusu için kontrolöre kaç kart ve kaç kapı bağlanır yazısı yardımcı olur.

PDF, Excel dışa aktarım ve zamanlanmış e-posta raporu

Rapor yalnızca ekranda görünüyorsa denetçiye ya da yönetime ulaştırmak zordur; bu yüzden dışa aktarım ve zamanlama özellikleri raporlamanın yarısı kadar önemlidir. Çoğu yazılım raporu PDF, Excel (XLSX) ya da CSV olarak verir.

PDF değişmez bir görünüm sunduğu için denetime sunulacak çıktılarda, Excel ise filtreleme ve pivot analizi gerektiğinde tercih edilir. Zamanlanmış rapor ise belirli bir saatte (örneğin her pazartesi sabahı) seçilen raporu otomatik üretip e-postayla gönderir.

• Zamanlanmış raporlar: haftalık reddedilen girişler, aylık kullanılmayan kartlar, günlük mesai dışı giriş özeti.
• Rapor çıktısında filtre koşulları, üretim saati ve raporu alan operatörün adı yer almalı.
• Raporu alma işleminin kendisi de operatör kaydına düşmeli; kişisel veri içeren rapora kimin eriştiği izlenebilmeli.
• Muhasebe ve bordro tarafına veri aktarılacaksa PDKS verisini bordro programına aktarma rehberindeki sicil numarası eşleştirmesi göz önünde tutulmalı.
• Zamanlanmış rapor e-postaları kişisel veri içerdiğinden alıcı listesi sınırlı tutulmalı.

Kayıt bütünlüğü: ortak admin hesabı en sık hata

Kurulumda en sık görülen hata, tüm yöneticilerin aynı 'admin' hesabını ve şifresini kullanmasıdır. Bu durumda operatör kaydı 'admin yetkiyi sildi' der, ama hangi kişinin sildiğini söyleyemez; denetim izi fiilen işlevini yitirir.

Doğru yapı, her operatöre ayrı kullanıcı adı, güçlü şifre ve rolüne uygun yetki vermektir. Örneğin güvenlik görevlisi yalnızca olayları görür ve rapor alır, ik uzmanı kişi ve kart tanımlar, sistem yöneticisi ise ayar değiştirir. Kurulumcunun kullandığı servis hesabı da müşterinin hesaplarından ayrı olmalı ve teslimden sonra şifresi müşteriye devredilmelidir.

• Kişiye özel hesap: her operatör için ayrı kullanıcı; ayrılan yöneticinin hesabı hemen kapatılmalı.
• Silinemez kayıt: operatörler, hangi yetkide olursa olsun kendi kayıtlarını silememeli ve değiştirememeli. ISO/IEC 27001 günlük kaydı kontrolü de hiçbir kullanıcının kendi olay kayıtlarını silememesi gerektiğini vurgular.
• Salt-okunur ya da yalnızca eklemeli (append-only) kayıt: kayıt tabanı yedeklenmeli, mümkünse ayrı bir sunucuya aktarılmalı.
• Silme girişimi de kayıt: kayıt silme, veri tabanı temizleme ve ayar değişikliği operatör kaydına yazılmalı.
• Saat doğruluğu: sunucu, kontrolör ve okuyucular aynı zaman kaynağına bağlı olmalı; saat sapması kayıtların güvenilirliğini bozar.
• Ağ bağlantısı kesilince: kontrolör olayları kendi hafızasında tutup bağlantı gelince yazılıma aktarmalı; ayrıntı için kontrolörün ağ bağlantısı ve offline çalışma yazısına bakın.

Saklama süresi ve denetimlerde bu raporların istenmesi

Kayıtların ne kadar saklanacağı tek bir sayıya bağlı değildir; kayıt türüne, kurumun politikasına ve ilgili mevzuata göre belirlenir. Geçiş kayıtları kişisel veri sayıldığından, 6698 sayılı KVKK kapsamında amaçla sınırlı tutulmalı, süresi dolunca silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Çalışan giriş-çıkış kayıtlarının saklama süresi için PDKS kayıtları ne kadar saklanır yazısı ayrıntılı bilgi verir.

ISO/IEC 27001 gibi bilgi güvenliği yönetim sistemi denetimlerinde ve iç denetimlerde fiziksel erişim kontrolünün çalıştığını göstermek için genellikle şu kanıtlar istenir: erişim yetkisi olan kişilerin listesi, yetki verme ve kaldırma kayıtları, ayrılan çalışanın kartının iptal tarihi ve kritik alanlara ait giriş kayıtları. Denetçinin tam olarak neyi isteyeceği kuruluşun kapsamına ve denetçiye göre değişir; bu nedenle kurulumdan önce müşterinin bilgi güvenliği sorumlusuyla konuşmak yerinde olur.

Pratikte iyi bir kurulum, saklama süresini yazılımda tanımlar; süresi dolan olay kayıtlarını otomatik arşivler ya da siler, operatör kayıtlarını ise olay kayıtlarından daha uzun tutar. Hangi süreyi seçeceğiniz müşterinin saklama ve imha politikasına göre yazılı olarak belirlenmelidir.

Kurulumcu için kısa kontrol listesi ve Bayifi

Teslim öncesinde müşteriyle birlikte şu soruların cevabı kayda geçirilmelidir: her yönetici için ayrı hesap açıldı mı, olay ve operatör kayıtları ayrı sorgulanabiliyor mu, rapor dışa aktarımı ve zamanlanmış e-posta çalışıyor mu, saklama süresi tanımlandı mı, yedekleme nerede yapılıyor.

Bayifi'de il il kurulumcu dizininden geçiş kontrol işi yapan firmalara bayiler sayfasından ulaşabilir, toptancıların stoktaki kontrolör, okuyucu ve kart ürünlerini pazar bölümünde görebilirsiniz. Kurulumcu ya da toptancıysanız firmanızı kaydol sayfasından ekleyebilirsiniz.