Global Standartlar: ISO 27001, Çoklu Vergi ve Uluslararası ERP Uyumu

2013 sürümündeki 14 alan altında dağılan 114 kontrol, 2022'de dört tema (organizasyonel, insan, fiziksel, teknolojik) altında 93 kontrolde toplandı. Tehdit istihbaratı, bulut hizmetleri güvenliği, güvenli kodlama, veri sızıntısı önleme ve konfigürasyon yönetimi gibi doğrudan yazılım ekiplerini ilgilendiren yeni kontroller eklendi. Eski belgelerin geçiş süreci Ekim 2025'te tamamlandı; bugün tüm denetimler 2022 sürümüne göre yapılıyor.

Standart yazılımda rol bazlı erişim kontrolü (RBAC), verilerin hem iletimde hem saklamada şifrelenmesi, değiştirilemez denetim izi (audit log), güvenli oturum yönetimi, iki adımlı doğrulama ve düzenli yedeklemeyle hayata geçer. Kritik nokta bu kontrollerin sonradan eklenen bir katman değil, veri modelinden itibaren mimarinin parçası olmasıdır; sonradan uyarlamak hem pahalı hem eksik kalır.

A.8.25–8.31 arası kontroller güvenli geliştirme yaşam döngüsünü tanımlar: geliştirme, test ve canlı ortamların ayrılması, değişiklik yönetimi, kabul öncesi güvenlik testleri ve dış kaynaklı geliştirmenin denetlenmesi. Günlük pratikte bu; kod incelemesi olmadan canlıya çıkmamak, bağımlılıkları zafiyet taramasından geçirmek ve test ortamında gerçek müşteri verisi yerine maskelenmiş veri kullanmak demektir.

Kuruluşa verilir; "ISO 27001 sertifikalı yazılım" ifadesi teknik olarak yanlıştır. Belge, şirketin bilgi güvenliği yönetim sisteminin akredite denetimden geçtiğini gösterir. Yazılımın rolü, erişim kontrolü, loglama ve şifreleme gibi kontrollerin çalıştığını denetçiye kanıtlayacak çıktıları üretmektir. Uyumlu mimariye sahip bir yazılım, kuruluşun belge sürecini hızlandırır ama tek başına belge anlamına gelmez.

KOBİ ölçeğinde hazırlık genellikle 3-6 ay, çok lokasyonlu kurumsal yapılarda 6-12 ay sürer. Maliyet üç kalemden oluşur: danışmanlık, belgelendirme kuruluşu ücreti (çalışan sayısı ve kapsamdaki lokasyon sayısına göre belirlenir) ve yıllık gözetim denetimleri. Yazılım tarafındaki hazırlık da bütçenin parçasıdır; kurumsal projelerde bütçe kalemlerinin nasıl oluştuğunu ayrı bir rehberde detaylandırdık.

ISO 27001, yönetim sisteminin bütününü belgeleyen uluslararası bir sertifikadır; SOC 2 ise özellikle ABD pazarında istenen, bağımsız denetçi raporudur (Type I anlık, Type II süreç bazlı). ABD'li kurumsal müşteriler çoğunlukla SOC 2, Avrupa ve Türkiye ihaleleri ISO 27001 sorar. İyi haber: teknik kontroller büyük ölçüde örtüşür; erişim kontrolü, loglama ve şifreleme altyapısı doğru kurulduysa aynı temel iki denetime de hizmet eder.

İkisi de benzer ilkelere (rıza, aydınlatma, silme hakkı, güvenli işleme) dayanır; GDPR Avrupa Birliği'nin, KVKK Türkiye'nin düzenlemesidir. En kritik fark yaptırımda: GDPR cezaları yıllık küresel ciroya oranlanabilir. AB vatandaşlarının verisini işleyen Türk şirketleri her iki düzenlemeye birden tabidir; yazılımın rıza kaydı, silme akışı ve loglama altyapısı ikisini birlikte karşılayacak şekilde tasarlanmalıdır.

Data residency, verinin fiziksel olarak hangi ülkedeki sunucularda saklandığını ifade eder. Karar, hedef pazarların düzenlemelerine göre verilir: AB müşteri verisi için AB içi, Türkiye verisi için yurt içi barındırma yaygın tercihtir; finans ve sağlıkta ek yerellik kuralları olabilir. Yedeklemenin hangi coğrafyada tutulduğu ve ülkeler arası aktarım kuralları da kararın parçasıdır.

Denetim izi; kimin, ne zaman, hangi veriye eriştiğini veya hangi işlemi yaptığını değiştirilemez biçimde kaydeden günlüktür. ISO 27001 denetiminde teknik kanıtın omurgası, bir ihlal anında ise kaynağı dakikalar içinde bulmanın tek yoludur. GDPR ve KVKK bildirimlerinde "neyin etkilendiğini" ancak sağlam bir logla gösterebilirsiniz; logsuz sistemde ihlalin kapsamı tahminden öteye geçemez.

Hazır global ERP'ler güçlüdür ancak kullanıcı başına lisans maliyeti, süreçlerinizi ürünün kalıbına uydurma zorunluluğu ve üreticiye bağımlılık getirir. Özel geliştirmede vergi motoru, raporlama ve onay akışları kendi operasyonunuza göre kurulur, kaynak kod size ait olur (bkz. Edge Core Suite modüler headless framework'ü). Karar kriteri şudur: süreçleriniz sektör standardıysa hazır ürün, rekabet avantajınız süreçlerinizin kendisindeyse özel geliştirme daha doğru sonuç verir.

Teknik olarak evet, ama maliyeti yüksektir: tutar alanları tek para birimi varsayımıyla yazılmışsa faturalama, muhasebe ve raporlama katmanlarının tamamı elden geçer. Bu yüzden yurt dışı hedefi olan şirketlerde para birimi, kur tarihi ve vergi kuralı alanları ilk günden şemaya eklenmelidir; kullanılmasa bile maliyeti düşük, sonradan eklemenin maliyeti ise katlanarak büyüktür.

Evet. Türkiye'de GİB e-fatura/e-arşiv entegrasyonu standarttır; birçok AB ülkesi de zorunlu e-fatura ağlarına geçiyor ve bu sistemlere API üzerinden bağlanılır. Her entegrasyonda kimlik doğrulama, şifreli iletişim ve hata durumunda yeniden deneme mantığı kurulur. Kapsam, hedef ülkelerin teknik altyapısına göre proje başında netleştirilir; her yeni pazar bir entegrasyon kalemi olarak planlanmalıdır.

Giderek daha fazla. Büyük kurumsal alıcılar tedarik zincirlerini denetliyor; ihale ve tedarikçi anketlerinde ISO 27001 uyumu ya doğrudan şart ya da güçlü bir artı puan. İhracat yapan, yabancı müşteri verisi işleyen veya büyük markalara tedarikçi olan bir KOBİ için soru "gerekli mi" değil, "ne zaman isteyecekler" sorusudur. Standartlara uygun altyapıyı erken kurmak, o gün geldiğinde kapıyı açık bulmak demektir.

Önce denetim izi üzerinden ihlalin kaynağı ve etkilenen veriler tespit edilir; ardından bildirim süreleri işler. GDPR ihlali ilgili otoriteye kural olarak 72 saat içinde bildirmeyi zorunlu kılar; KVKK tarafında da Kurul kararıyla 72 saatlik bildirim süresi uygulanır. Hazırlıklı bir log ve müdahale altyapısı bu süreyi yetiştirilebilir kılar; logsuz bir sistemde ihlalin kapsamını süresi içinde raporlamak fiilen mümkün değildir.

Evet. Belge, güvenliğin bağımsız denetimle tescilidir; güvenliğin kendisi ise erişim kontrolü, şifreleme, denetim izi ve yedeklemeyle kurulur. Edge Bilişim'de belge hedefi olmayan projelerde de aynı kontrol setini uyguluyoruz; çünkü bu yapı bir gün sertifikasyona gitmek istediğinizde denetime hazır bir temel bırakır, istemeseniz bile ihlal riskini ve olası müşteri denetimlerindeki sürprizleri azaltır.