Sorun: Akreditasyonun Önünde Bir Engel Olarak BT Güvenliği
ISO/IEC 17025:2018 standardına göre akreditasyon almak isteyen deney laboratuvarları ciddi bir zorlukla karşı karşıyadır: bilgi sisteminin güvenliği nasıl belgelenir?
PCA (Polonya Akreditasyon Merkezi) denetçileri şunları sorar:
- „Veriler yetkisiz erişime karşı korunuyor mu?”
- „Deney sonuçlarının bütünlüğünü nasıl sağlıyorsunuz?”
- „Yedekler nerede saklanıyor?”
- „Sisteme kimin, hangi temelde erişimi var?”
- „Güvenlik olaylarına nasıl müdahale ediyorsunuz?”
Laboratuvar yöneticilerinin tipik tepkisi: „Bunlar yazılım tedarikçisine sorulacak sorular, değil mi?”
Sorun:
Birçok laboratuvar, güvenlik ilkelerini tanımlayan uygun bir hizmet sözleşmesi olmadan bir LIMS sistemi devreye alır. Sonuç olarak akreditasyon denetimi sırasında standardın gerekliliklerine uygunluğu teyit eden belgeleri sunamazlar.
Çözüm: Güvenliğin Temeli Olarak Profesyonel Bir Hizmet Sözleşmesi
Önemli Bilgi:
LIMS sistemi tedarikçisiyle iyi hazırlanmış bir hizmet sözleşmesi, ISO/IEC 17025 standardının belirlediği güvenlik gerekliliklerinin yaklaşık %70’ini otomatik olarak karşılar.
Neden? Çünkü güvenlik önlemlerinin çoğu altyapı ve sistem yönetimi tarafındadır – yani yazılım tedarikçisinin sorumlu olduğu alanlarda.
Bunun pratikte nasıl işlediğine CleverLAB sistemi örneği üzerinden bakalım.
Hizmet Sözleşmesinin Kapsadığı 10 Temel Güvenlik Alanı
1. ISO 27001 Sertifikalı Sunucu Altyapısı
Denetçinin gerekliliği:
„Verilerimiz nerede saklanıyor? Veri merkezi güvenli mi?”
Tedarikçinin sağladıkları:
- ISO 27001 sertifikalı profesyonel veri merkezi
- Tier III veya daha yüksek standart (%99,982 erişilebilirlik)
- Fiziksel güvenlik: 7/24 izleme, biyometrik erişim kontrolü
- Yangın söndürme sistemleri ve hassas iklimlendirme
- Yedekli internet bağlantıları
Laboratuvar için fayda: Kendi sunucu odanıza yatırım yapmanız ya da altyapının fiziksel güvenliği konusunda endişelenmeniz gerekmez. Tedarikçinin uygun sertifikalara sahip olduğunu belgelemeniz yeterlidir.
2. Her Düzeyde Veri Şifreleme
Denetçinin gerekliliği:
„Veriler iletim ve depolama sırasında nasıl korunuyor?”
Tedarikçinin sağladıkları:
- İletim şifrelemesi: SSL/TLS sertifikası (HTTPS protokolü)
- Parola şifrelemesi: bcrypt veya SHA-256 algoritmaları
- Yedek şifrelemesi: Tüm yedekler şifrelenir
- Veriler AB’de: GDPR uyumluluğu
3. Kurtarma Prosedürleri Test Edilmiş Otomatik Yedeklemeler
Denetçinin gerekliliği:
„Sunucu arızalanırsa ne olur? Veriler güvende mi?”
Tedarikçinin sağladıkları:
- Veritabanının günlük yedekleri (otomatik)
- 3 ay saklanan haftalık yedekler
- 1 yıl saklanan aylık yedekler
- Coğrafi ayrım: Yedekler ayrı bir konumda
- Veri kurtarma prosedürlerinin düzenli testleri
- Tüm yedeklerin şifrelenmesi
Fayda: Yedek almayı hatırlamanız ya da veri kaybı konusunda endişelenmeniz gerekmez. Sistem kurumsal düzeyde güvence altındadır.
4. RBAC Yetki Sistemi – Kim Neyi Görür?
Denetçinin gerekliliği:
„Hassas verilere erişimi nasıl kontrol ediyorsunuz?”
CleverLAB sisteminin sağladıkları:
- Rol Tabanlı Erişim Kontrolü (RBAC) – rollere dayalı yetkiler
- Bireysel yetkiler (örneğin „numune ekle”, „sonucu düzenle”, „raporu onayla”)
- Yetki grupları (örneğin „Laboratuvar Teknisyeni”, „Yönetici”, „Sistem Yöneticisi”)
- Müşteriler arasında veri ayrımı
- Çalışan hesaplarının anında devre dışı bırakılması
Bir laboratuvardaki tipik roller:
- Sistem Yöneticisi – sistem yapılandırmasına tam erişim
- Laboratuvar Müdürü – yönetim, raporlar, onaylar
- Analist – sonuç girişi ve görüntüleme
- Onaylayıcı – deney raporlarının onaylanması
- Görüntüleyici – salt okunur erişim
5. Eksiksiz Denetim İzi – Kim, Ne Zaman, Neyi Değiştirdi
Denetçinin gerekliliği:
„Deney sonuçlarındaki değişikliklerin geçmişini gösterebilir misiniz?”
Sistemin sağladıkları:
- Tüm oturum açma ve kapatma işlemlerinin kaydı
- Başarısız oturum açma girişimlerinin kaydedilmesi
- Kritik verilerdeki değişikliklerin (deney sonuçları, sertifikalar) izlenmesi
- Yönetimsel işlemlerin kaydı
- Her kayıt için meta veriler: created_by, created_date, verified_by, verified_date
Kayıtların saklanması:
- En az 2 yıl (veya akreditasyon gerekliliklerine göre)
- Değiştirilmeye karşı korumalı
- Denetçiler için rapor oluşturma imkânı
6. En İyi Uygulamalara Uygun Parola Politikası
Sistemin zorunlu kıldıkları:
- Asgari uzunluk: 8 karakter
- Karmaşıklık: harfler, rakamlar, özel karakterler
- Tekrar yasağı: Son kullanılan parolalar kullanılamaz
- Belirli sayıda başarısız denemeden sonra otomatik kilitleme
- Belirli bir hareketsizlik süresinden sonra otomatik oturum kapatma
7. 7/24 İzleme ve Olaylara Müdahale
Tedarikçinin sağladıkları:
- Sistem erişilebilirliğinin 7/24 izlenmesi
- Anormallikler için otomatik uyarılar
- Güvenlik açığı taraması
- 24 saat içinde bildirim içeren olay yönetimi prosedürü
- Kök neden analiziyle her olayın belgelenmesi
8. GDPR Uyumluluğu ve Kişisel Verilerin Korunması
Tedarikçinin sağladıkları:
- Veri işleme sözleşmesi (GDPR’ın gerektirdiği)
- AB’deki sunucularda saklanan veriler
- Kişisel hakların kullanılmasına ilişkin prosedürler (silme, düzeltme hakkı vb.)
- İşleme faaliyetleri kaydı
- Veri ihlali bildirim prosedürleri
9. Düzenli Güvenlik Güncellemeleri
Tedarikçinin sağladıkları:
- İşletim sisteminin ve yazılımın düzenli güncellemeleri
- Öncelikli olarak uygulanan kritik yamalar
- Canlı ortama almadan önce test
- Planlı bakım çalışmaları hakkında müşterilerin bilgilendirilmesi
10. SLA ve Garanti Edilen Erişilebilirlik
Hizmet sözleşmesinin sağladıkları:
- Garanti edilen erişilebilirlik (SLA): genellikle %99,5 veya üzeri
- Kurtarma Süresi Hedefi (RTO): karşılıklı belirlenir (örneğin 4 saat)
- Kurtarma Noktası Hedefi (RPO): karşılıklı belirlenir (örneğin en fazla 24 saatlik veri kaybı)
- Mesai saatlerinde erişilebilen yardım masası
- SLA sözleşmesine göre acil durum iletişimi
Laboratuvar Tarafında Yapılması Gerekenler Neler? (Gerekliliklerin %30’u)
Hizmet sözleşmesi teknik gerekliliklerin çoğunu kapsasa da laboratuvar şunlardan sorumlu olmaya devam eder:
1. Kullanıcı Yönetimi
- Çalışan hesaplarının oluşturulması ve devre dışı bırakılması
- Uygun rollerin ve yetkilerin atanması
- Aktif kullanıcı listesinin düzenli olarak doğrulanması
2. Kurumsal Politikalar
- Sisteme erişim verilmesine ilişkin prosedür
- Laboratuvarın güvenlik politikası
- Çalışanların sistemin kullanımı konusunda eğitimi
3. Dokümantasyon
- Kullanıcı talimatları
- Arızaların ele alınmasına ilişkin prosedürler
- Sorumlu kişilerin belirlenmesi (Sistem Yöneticisi)
4. Yerel İzleme
- Olağan dışı kullanıcı davranışlarının takibi
- Olayların tedarikçiye bildirilmesi
- İç denetimler sırasında iş birliği
Pratikte Nasıl İşler – Vaka Çalışması
PCA akreditasyonu için başvuran, 15 çalışanlı bir mikrobiyoloji laboratuvarı
| Konu | CleverLAB’den önce | CleverLAB’den sonra |
|---|---|---|
| Sistem | Excel + kâğıt dokümantasyon | Eksiksiz dokümantasyona sahip LIMS sistemi |
| Değişiklik kayıtları | Yok | Eksiksiz denetim izi |
| Erişim kontrolü | Herkes her şeye erişebiliyor | RBAC yetki sistemi |
| Yedeklemeler | Elle, düzensiz | Otomatik, günlük |
| Dokümantasyon hazırlama süresi | 2-3 ay | 2 gün |
| Güvenlik dokümantasyonunun maliyeti | 15.000 - 30.000 PLN | 0 PLN (dahil) |
| PCA denetçisinin değerlendirmesi | „Sistem kabul edilemez” | „Tüm gereklilikleri karşılıyor” |
Rekabet Avantajı Olarak Hizmet Sözleşmesi
Profesyonel bir hizmet sözleşmesi yalnızca bir akreditasyon gerekliliği değildir – laboratuvarın iş sürekliliğinin güvencesidir.
İyi Bir Hizmet Sözleşmesi Neleri İçermelidir?
- Altyapının ayrıntılı tanımı (barındırma, sertifikalar, yedekleme)
- Garanti edilen erişilebilirlik (SLA)
- Güvenlik prosedürleri (şifreleme, erişim kontrolü, izleme)
- Olay yönetimi (müdahale süresi, eskalasyon)
- GDPR uyumluluğu (veri işleme sözleşmesi)
- Teknik destek (yardım masası, yanıt süresi)
- Güvenlik güncellemeleri (takvim, test)
- Sorumluluk yapısı (kim neden sorumlu)
CleverLAB ve Kapsamlı Güvenlik
CleverLAB sistemi ISO/IEC 17025:2018 standardının gereklilikleri göz önünde bulundurularak tasarlandı. Standart devreye alma sözleşmesinde bile şunları alırsınız:
Bu da devreye almanın ertesi günü denetçiye sistem güvenliğine ilişkin eksiksiz dokümantasyonu sunabileceğiniz anlamına gelir.
Ek Hizmetler: Laboratuvarlarda BT Güvenlik Denetimleri
Standart hizmet sözleşmesine ek olarak şunları da sunuyoruz:
🔍 Laboratuvar BT Güvenlik Denetimi
- Mevcut güvenlik durumunun değerlendirilmesi
- Eksikliklerin ve tehditlerin belirlenmesi
- Akreditasyon gerekliliklerine uyarlanmış öneriler
- PCA denetçisi için rapor
🔍 Akreditasyon Denetimine Hazırlık
- Güvenlik dokümantasyonunun doğrulanması
- Denetçi sorularının simülasyonu
- Personelin sistem güvenliği konusunda eğitimi
🔍 Sızma Testleri (İsteğe Bağlı)
- Sistemin saldırılara karşı dayanıklılığının test edilmesi
- Tespit edilen güvenlik açıklarına ilişkin rapor
- Düzeltici faaliyet planı
Özet: Güvenlik Pahalı veya Karmaşık Olmak Zorunda Değil
Temel Sonuçlar:
- Akreditasyona ilişkin güvenlik gerekliliklerinin %70’i, bir LIMS tedarikçisiyle yapılan profesyonel bir hizmet sözleşmesiyle karşılanır
- Güvenli bir sistemi devreye almak için BT uzmanı olmanız gerekmez – tedarikçi hazır altyapı ve dokümantasyon sağlar
- Güvenlik dokümantasyonunun maliyeti: 0 PLN (dahil) ve 15.000 - 30.000 PLN (dış uzmanlık)
- Hazırlık süresi: 2 gün (doğrulama) ve 2-3 ay (sıfırdan oluşturma)
- Hizmet sözleşmesi bir maliyet değil, yatırımdır – iş sürekliliğini ve standarda uygunluğu güvence altına alır
Daha Fazlasını Öğrenmek İster misiniz?
10 güvenlik alanının her birini bir toplantıda veya özel bir PDF belgesinde ayrıntılı olarak ele alabiliriz
Bazı konular ayrıntılı açıklama ve karşılıklı mutabakat gerektirir. Ayrıca laboratuvar sistemleri için BT güvenlik denetimleri de sunuyoruz.
İlgili Makaleler
LIMS’in ISO/IEC 17025’e Uygunluğu
Standardın gerekliliklerine ve LIMS sistemlerinin bunları nasıl karşıladığına dair kapsamlı bir rehber
LIMS’te Veri Güvenliği
Hassas laboratuvar verileri siber tehditlere karşı nasıl korunur
LIMS Sisteminin Devreye Alınması
Laboratuvar yönetim sisteminin devreye alma sürecine dair pratik bir rehber
Yazar Hakkında
Bu makale, akredite laboratuvarlar için LIMS sistemleri tasarlamada uzun yıllara dayanan deneyimimize dayanarak hazırlanmıştır. Ekibimiz BT güvenliği uzmanlığını ISO/IEC 17025 standardının gerekliliklerine ilişkin pratik bilgiyle birleştirir.
Laboratuvarlarda onlarca BT güvenlik denetimi gerçekleştirdik ve birçok laboratuvarı PCA akreditasyonu alma ve sürdürme sürecinde destekledik.
Temel Çıkarım
Akreditasyon gerekliliklerini karşılamak için siber güvenlik uzmanı olmanız gerekmez. LIMS sistemi tedarikçisiyle iyi hazırlanmış bir hizmet sözleşmesi, kurumsal düzeyde profesyonel güvenliği otomatik olarak sağlar – bir BT uzmanı istihdam etmenin maliyetinin çok küçük bir kısmıyla ve kendi altyapınızı kurmaktan çok daha ucuza.