BLOGLAR

Biltek Logo Halka
Biltek Logo Halka
MAYIS012026

Bulut ERP'de Üçüncü Taraf Risk Yönetimi ve Erişim Optimizasyonu

Bulut ERP'de Üçüncü Taraf Risk Yönetimi ve Erişim Optimizasyonu
BULUT TABANLI ERP SİSTEMLERİNDE ÜÇÜNCÜ TARAF RİSK YÖNETİMİ VE ERİŞİM KONTROLLERİNİN OPTİMİZASYONU, MUHASEBE, İÇ KONTROL SİSTEMLERİ İÇ KONTROL SİSTEMLERİ

Bulut Tabanlı ERP Sistemlerinde Üçüncü Taraf Risk Yönetimi ve Erişim Kontrollerinin Optimizasyonu

 

Hukuki ve Mevzuat Altyapısı

Bulut tabanlı ERP (Kurumsal Kaynak Planlama) sistemlerinin kullanımı, beraberinde ciddi bir hukuki ve regülatif sorumluluk getirmektedir. Türkiye'de bu süreçler temel olarak aşağıdaki yasal çerçevelere dayanmaktadır:

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK): Bulut sağlayıcılarının "Veri İşleyen", kurumların ise "Veri Sorumlusu" olduğu bu yapıda, verilerin yurt dışına aktarımı ve işlenme şartları KVKK'nın 8. ve 9. maddeleri uyarınca sıkı denetime tabidir.
 
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi: Uluslararası bir standart olmasına rağmen, Türkiye'deki denetim mekanizmalarında (özellikle finans ve enerji sektörlerinde) temel referans kabul edilir. Üçüncü taraf risk yönetimi, standardın "Tedarikçi İlişkileri" kontrol maddeleriyle doğrudan ilişkilidir.
 
BTK (Bilgi Teknolojileri ve İletişim Kurumu) Düzenlemeleri: Özellikle kritik altyapı hizmetleri sunan kurumlar için bulut bilişim hizmetlerinin yerlileştirilmesi ve veri güvenliği standartlarına dair yayınlanan tebliğler esastır.
 
TFRS ve TMS (Türkiye Finansal Raporlama Standartları): İç kontrol sistemlerinin etkinliği, finansal tabloların doğruluğu için zorunludur. Erişim kontrollerindeki zafiyetler, "Hata ve Hile" riskini artırdığı için bağımsız denetim raporlarında kritik bulgu olarak yer almaktadır.
 
Resmi Gazete Referansları: Dijital Dönüşüm Ofisi tarafından yayınlanan "Bilgi ve İletişim Güvenliği Rehberi", kamu kurumları ve onlarla çalışan özel sektör paydaşları için uyulması zorunlu olan en güncel teknik çerçeveyi sunmaktadır.

Teknik Analiz ve Uygulama

 

Günümüz iş dünyasında ERP sistemleri artık sadece birer muhasebe yazılımı değil, şirketin tüm sinir sistemidir. Ancak, bu sistemlerin buluta taşınması, kontrolün bir kısmının üçüncü taraf hizmet sağlayıcılara (SaaS vendorları, sistem entegratörleri, dış kaynak danışmanları) devredilmesi anlamına gelir. Bu durum, Üçüncü Taraf Risk Yönetimi (TPRM) ve Erişim Kontrollerini stratejik bir öncelik haline getirir.

1. Üçüncü Taraf Risk Yönetimi (TPRM) Metodolojisi
Üçüncü taraf risklerini yönetmek, sadece bir sözleşme imzalamak değil, yaşayan bir ekosistem kurmaktır. Uygulama adımları şu şekilde optimize edilmelidir:

Tedarikçi Due Diligence (Ön İnceleme): Sağlayıcının SOC 2 Type II veya ISO 27017 (Bulut Güvenliği) sertifikalarına sahip olup olmadığı sorgulanmalıdır. Sadece sertifika yeterli değildir; denetim raporlarının detayları incelenmelidir.
 
SLA (Hizmet Seviyesi Anlaşmaları) Optimizasyonu: Sözleşmelerde sadece "uptime" (çalışma süresi) değil, veri ihlali durumunda bildirim süreleri, veri silme politikaları ve "Exit Strategy" (Sistemden çıkış ve veri geri alma süreci) net bir şekilde tanımlanmalıdır.
 
Sürekli İzleme (Continuous Monitoring): Yıllık denetimler yerine, gerçek zamanlı güvenlik skorlama araçları kullanılarak tedarikçinin güvenlik duruşu anlık olarak takip edilmelidir.

 

2. Erişim Kontrollerinin Optimizasyonu ve Modern Yaklaşımlar
ERP sistemlerinde "herkese her yetki" yaklaşımı, iç kontrol sistemlerinin en büyük düşmanıdır. Modern erişim yönetimi şu üç sütun üzerine inşa edilmelidir:

A. RBAC'tan ABAC'a Geçiş:
Geleneksel Rol Tabanlı Erişim Kontrolü (RBAC) artık yetersiz kalmaktadır. Bunun yerine Öznitelik Tabanlı Erişim Kontrolü (ABAC) uygulanmalıdır.

*Örnek:* Bir muhasebe uzmanı, sadece "mesai saatleri içinde", "şirket IP adresinden" ve "kendi sorumlu olduğu bölgeye ait" faturaları onaylayabilmelidir.

 

B. Privileged Access Management (PAM - Ayrıcalıklı Erişim Yönetimi):
Sistem yöneticileri ve dış danışmanların sahip olduğu "Super User" yetkileri en büyük risk kaynağıdır. PAM çözümleri ile:

Yüksek yetkili hesaplar "Just-in-Time" (Tam Zamanında) prensibiyle, sadece ihtiyaç anında ve belirli bir süre için tanımlanmalıdır.
 
Tüm ayrıcalıklı oturumlar video kaydı altına alınmalı ve loglanmalıdır.

 

C. Zero Trust (Sıfır Güven) Mimarisi:
"Asla güvenme, her zaman doğrula" prensibiyle, ağ içindeki kullanıcı da olsa her erişim isteği yeniden kimlik doğrulamasına tabi tutulmalıdır. MFA (Çok Faktörlü Kimlik Doğrulama) artık bir seçenek değil, zorunluluktur.

3. İç Kontrol ve Görevler Ayrılığı (Segregation of Duties - SoD)
Muhasebe operasyonlarında riskleri minimize etmek için SoD matrisi oluşturulmalıdır. Örneğin; tedarikçiyi sisteme tanımlayan kişi ile ödemeyi onaylayan kişi aynı kullanıcı olmamalıdır. Bulut ERP'lerde bu matris, otomatik uyarı mekanizmalarıyla (Conflict Detection) desteklenmelidir.

Stratejik Öngörü ve AI

 

2026 yılına doğru ilerlerken, bulut ERP güvenliği "statik kurallar"dan "dinamik zekaya" evriliyor. Geleceğin stratejik projeksiyonları şunlardır:

1. AI Tabanlı Anomali Tespiti (UEBA):
Kullanıcı ve Varlık Davranış Analitiği (UEBA), yapay zeka ile entegre olarak "normal" kullanıcı davranışını öğrenecek. Eğer bir muhasebe personeli, alışılmışın dışında bir saatte, normalde erişmediği binlerce müşteri kaydını dışa aktarmaya çalışırsa, AI sistemi bunu anında fark ederek erişimi otomatik olarak askıya alacaktır.

2. Otonom Uyumluluk (Autonomous Compliance):
Yapay zeka, mevzuat değişikliklerini (örneğin KVKK'da yapılacak bir güncelleme) gerçek zamanlı takip ederek, ERP sistemindeki erişim politikalarını ve veri maskeleme kurallarını insan müdahalesi olmadan güncelleyebilecektir.

3. Kuantum Sonrası Kriptografi (Post-Quantum Cryptography):
Verilerin bulutta saklanması, gelecekteki kuantum bilgisayar tehditlerine karşı risk taşımaktadır. 2026 ve sonrası için, bulut sağlayıcılarının "kuantum dayanıklı şifreleme" yöntemlerine geçişi, kurumsal veri güvenliğinin temel taşı olacaktır.

Sonuç olarak; Bulut tabanlı ERP sistemlerinde güvenlik, sadece IT departmanının değil, CFO ve İç Denetim birimlerinin ortak stratejisi olmalıdır. Teknik optimizasyon ile mevzuat uyumunu birleştiren kurumlar, dijital dönüşüm sürecinde sadece verimlilik değil, aynı zamanda sarsılmaz bir kurumsal direnç kazanacaklardır.

ATAKAN KOÇAK BİLGİ KÜTÜPHANESİ