CRM Veri Güvenliği

CRM, bir şirketin en değerli ticari bilgisini barındırır: müşteri listesi, fiyatlar, görüşme geçmişi, satış stratejisi. Bu veriye erişim, rakip için de değerlidir.

Güvenlik yalnız teknik bir konu değildir; en yaygın kayıplar teknik saldırıdan değil iç kaynaklı olaylardan doğar.

Teknik önlemler

Erişim kontrolü

• Rol bazlı yetkilendirme
• Güçlü parola politikası
• Çok faktörlü doğrulama (özellikle yöneticiler için)
• Oturum zaman aşımı
• Gerekiyorsa IP kısıtlaması
• Kullanılmayan hesapların kapatılması

Veri koruma

• Aktarımda şifreleme (https)
• Depolamada şifreleme
• Yedeklerin şifrelenmesi
• Test ortamlarında gerçek veri kullanmama

İzleme

• Erişim kayıtları
• Toplu dışa aktarım uyarıları
• Olağandışı erişim tespiti (mesai dışı, yüksek hacim)
• Başarısız giriş denemelerinin izlenmesi

Yedekleme

• Düzenli otomatik yedek
• Yedeklerin ayrı konumda tutulması
• Geri yükleme testi — test edilmemiş yedek, yedek değildir
• Yedek saklama süresi politikası

En büyük risk: dışa aktarım

CRM güvenliğinde en sık yaşanan kayıp, teknik saldırı değil, ayrılan bir çalışanın müşteri listesini indirmesidir.

Önlemler:

• Toplu dışa aktarım yetkisini çok az kişiye verin.
• Dışa aktarım işlemlerini kaydedin ve düzenli inceleyin.
• Yüksek hacimli aktarımda otomatik uyarı alın.
• İstifa bildirimi sonrası yetkileri gözden geçirin.
• Ayrılış günü erişimi kapatın.
• Gizlilik taahhütnamelerini iş sözleşmesine ekleyin.

İdari önlemler

• Personel gizlilik taahhütnameleri
• Düzenli farkındalık eğitimi
• Yetki matrisinin belgelenmesi
• İşe giriş/çıkış süreçlerinde erişim kontrolü
• Tedarikçi ve danışman erişimlerinin sınırlandırılması
• Cihaz politikası (kişisel cihazda veri saklama kuralları)

Bulut hizmeti kullanıyorsanız

Sorulacaklar:

1. Veri nerede tutuluyor?
2. Şifreleme uygulanıyor mu?
3. Yedekleme sıklığı ve saklama süresi ne?
4. Erişim kayıtları tutuluyor mu, bana açık mı?
5. Güvenlik sertifikaları var mı?
6. Alt yükleniciler kimler?
7. Veri işleyen sözleşmesi yapılıyor mu?
8. İhlal durumunda bildirim süreci nasıl işliyor?
9. Hizmet sonlandığında veri nasıl teslim ediliyor ve siliniyor?

Veri ihlali hazırlığı

İhlal olmayacağını varsaymak yerine, olduğunda ne yapılacağını yazın:

• Kim haberdar edilecek?
• Kim müdahale edecek?
• Etki nasıl tespit edilecek?
• Bildirim yükümlülükleri neler?
• İlgili kişiler nasıl bilgilendirilecek?
• Olay nasıl kayıt altına alınacak?

Güvenlik kontrol listesi

1. Rol bazlı yetkilendirme kuruldu mu?
2. Çok faktörlü doğrulama açık mı?
3. Dışa aktarım yetkisi sınırlı mı?
4. Erişim kayıtları tutuluyor mu?
5. Yedekler alınıyor ve geri yükleme test edildi mi?
6. Kullanılmayan hesaplar kapatıldı mı?
7. Personel taahhütnameleri imzalandı mı?
8. Ayrılış prosedüründe erişim iptali var mı?
9. Hizmet sağlayıcı sözleşmesi yapıldı mı?
10. İhlal müdahale planı yazıldı mı?
11. Test ortamında gerçek veri var mı? (Olmamalı)
12. API anahtarları güvenli saklanıyor mu?

Özet

CRM güvenliği teknik ve idari önlemlerin birlikte uygulanmasıyla sağlanır. En büyük risk toplu dışa aktarımdır: yetkiyi sınırlayın, işlemleri kaydedin ve ayrılışlarda erişimi aynı gün kapatın. Yedeklerinizi düzenli alın ve geri yüklenebildiğini test edin.