Kısa cevap: CRM, şirketin en değerli veri varlıklarından birini (müşteri ve fırsat bilgisi) tutar; güvenliği de birkaç temel kontrolle sağlanır: herkes yalnızca işi için gereken veriyi görsün (en az yetki ilkesi), her kullanıcı iki aşamalı doğrulama kullansın, toplu dışa aktarma sınırlansın, denetim kaydı tutulsun, yedekleme düzenli olsun ve çalışan ayrıldığında erişim aynı gün kapansın. Bunların hiçbiri pahalı değildir; çoğu CRM'in yerleşik ayarıdır. Yeter ki kurulum sırasında düşünülsün. Bu yazı 12 maddelik bir kontrol listesi sunar; KVKK yönü için KVKK ve CRM rehberine de bakın. Hukuki değerlendirme için uzman görüşü almanızı öneririz.
Neden CRM güvenliği çoğu şirkette ihmal ediliyor?
Çünkü riskin en büyük kısmı dış saldırgandan değil, içeriden ve dikkatsizlikten gelir: ayrılan bir satışçının hesabının açık kalması, herkesin tüm müşteri listesini Excel'e aktarabilmesi, ortak şifre paylaşımı, yanlış kişiye paylaşılan rapor. CRM 'ekibin ortak aracı' olduğu için güvenlik kararı ertelenir; kurulumda kolaylık adına herkese yönetici yetkisi verilir ve sonradan geri alınması zorlaşır.
12 maddelik kontrol listesi
A. Erişim ve yetki
- Rol bazlı yetki: Satışçı, takım yöneticisi, yönetim, operasyon, muhasebe için ayrı roller tanımlayın. Satışçı kendi müşterilerini (ya da kendi ekibinin müşterilerini) görsün, tüm şirketi değil.
- Alan düzeyinde gizlilik: Hassas alanlar (maliyet, kâr marjı, özel notlar, kimlik/finans bilgisi) yalnızca yetkili rollere görünsün.
- Yönetici sayısını sınırlayın: Tam yönetici yetkisi 1-2 kişide olsun; 'herkes admin' hem güvenlik hem de veri kalitesi sorunudur.
- Ortak hesap yasağı: Her kullanıcının kendi hesabı olsun; ortak şifre, kimin ne yaptığını görünmez kılar.
B. Kimlik doğrulama
- İki aşamalı doğrulama (2FA/MFA): Tüm kullanıcılar için zorunlu hale getirin; çoğu platformda yerleşik ayardır.
- Tek oturum açma (SSO) ve güçlü parola politikası: Şirketiniz kurumsal bir kimlik sağlayıcı kullanıyorsa CRM'i ona bağlayın; yoksa parola karmaşıklığını ve değişim kurallarını belirleyin.
- IP/cihaz kısıtı (gerekiyorsa): Hassas sektörlerde erişimi şirket ağına ya da onaylı cihazlara sınırlayın.
C. Veri çıkışı ve izleme
- Dışa aktarma kontrolü: Toplu dışa aktarma yetkisi yalnızca ihtiyacı olan rolde olsun; aktarımlar kayda geçsin ve yönetici bilgilendirilsin.
- Denetim kaydı (audit log): Kim, neyi, ne zaman görüntüledi/değiştirdi/sildi kayıtlı olsun; düzenli aralıklarla (örn. aylık) şüpheli aktiviteye bakılsın.
- Silme ve geri alma kuralı: Toplu silme yetkisini kısıtlayın; çöp kutusu ve geri yükleme süresini tanımlayın.
D. Süreklilik ve uyum
- Düzenli yedekleme: Platformun yedekleme politikasını öğrenin; kritik veriler için ek periyodik yedek alınsın ve geri yükleme denensin.
- Çalışan ayrılığı prosedürü: Çalışan ayrıldığı gün erişim kapansın, müşterileri devredilsin, kişisel e-posta/WhatsApp bağlantıları sonlandırılsın.
- Üçüncü taraf uygulamaları denetleyin: CRM'e bağlı eklenti ve entegrasyonlar hangi verilere erişiyor? Kullanılmayanları kaldırın.
En az yetki ilkesi pratikte nasıl uygulanır?
| Rol | Görmesi gerekenler | Görmemesi gerekenler |
|---|---|---|
| Satışçı | Kendi (veya takımının) müşteri/fırsatları, ürün ve fiyat listesi | Diğer ekiplerin müşterileri, maliyet ve marj bilgileri |
| Takım yöneticisi | Takımın tüm verisi, performans raporları | Diğer takımların detay kayıtları, sistem ayarları |
| Operasyon / servis | Sipariş ve teslimat bilgisi, müşteri iletişim bilgisi | Teklif marjları, satış hedefleri |
| Muhasebe | Cari, fatura ve ödeme alanları | Ham lead listeleri, pazarlama verisi |
| Yönetim | Özet raporlar ve dashboard'lar | Gerek yoksa kayıt düzenleme yetkisi |
| Sistem yöneticisi | Ayarlar, yetki ve entegrasyon yönetimi | Günlük iş için kullanılmamalı; ayrı hesap önerilir |
Çalışan ayrılığı süreci: 8 adım
- Ayrılış kararı alındığı gün IT ve CRM yöneticisi bilgilendirilir.
- Müşteri ve açık fırsatlar önceden devredilir (devir listesi hazırlanır).
- Son çalışma gününde hesap kilitlenir (silinmez; kayıtlar korunur).
- Kişisel cihazlarda CRM uygulaması ve oturumları uzaktan sonlandırılır.
- E-posta, WhatsApp ve telefon santrali bağlantıları devredilir ya da kapatılır.
- Dışa aktarma ve son 30 günlük aktivite kayıtları denetlenir.
- Müşterilere iletişim kişisi değişikliği bildirilir (gerekiyorsa).
- Süreç kontrol listesi dosyalanır.
KVKK ile CRM güvenliği arasındaki bağ
KVKK, kişisel verileri işleyen kuruluşlardan uygun teknik ve idari tedbirleri almasını bekler. CRM bağlamında bu, yetkilendirme, erişim kaydı, veri saklama süresi, silme/anonimleştirme süreci ve aydınlatma/açık rıza kayıtlarının tutulması anlamına gelir. Özel nitelikli veriler (ör. sağlık verisi) için ek hassasiyet gerekir; klinik, sigorta ve eğitim gibi sektörlerde CRM'e hangi verinin yazılacağı baştan sınırlandırılmalıdır (klinik CRM, sigorta CRM, eğitim kurumları CRM). Teknik kurguyu yapabiliriz; yasal uyumun değerlendirmesi için uzman hukuk görüşü alınmalıdır.
Kurulum sırasında alınacak 'bir kerelik' kararlar
- Roller ve profil yapısı (kim neyi görür/değiştirir/siler/dışa aktarır) — tablo hâlinde yazılsın.
- Hassas alan listesi ve bu alanlara erişecek roller.
- 2FA zorunluluğu ve parola politikası.
- Dışa aktarma yetkisi ve izleme kuralı.
- Çalışan giriş/çıkış prosedürünün sahibi.
- Veri saklama ve silme politikası (hukuki görüşle).
Bu kararlar kurulumun başında 1-2 saatlik bir çalışmayla alınır; sonradan düzeltmek ise yetkileri tek tek geri almak, kullanıcıları yeniden eğitmek ve veri sızıntısı riskini yönetmek demektir. Kurulum yaklaşımımız için CRM kurulumu sayfamıza bakabilirsiniz.
Sık görülen 6 güvenlik hatası ve düzeltmesi
| Hata | Sonucu | Düzeltme |
|---|---|---|
| Herkes yönetici (admin) | Yanlışlıkla toplu silme, ayar bozma, veri sızıntısı | Yönetici sayısını 1-2'ye indir; günlük iş için standart rol kullan |
| Ortak hesap ve ortak şifre | Kimin ne yaptığı bilinmez; ayrılanın erişimi kapatılamaz | Kişi başı hesap; ortak hesap yasak |
| Toplu dışa aktarma herkese açık | Müşteri listesinin Excel'e alınıp dışarı taşınması | Dışa aktarma yetkisini kısıt; kayıt ve bildirim |
| 2FA zorunlu değil | Çalınan parola tek başına hesabı ele geçirir | Tüm kullanıcılar için zorunlu 2FA |
| Ayrılan çalışanın hesabı açık | Eski çalışanın veri çekmesi ya da erişimi | Ayrılış kontrol listesi; aynı gün kilitle |
| Üçüncü taraf eklenti denetimsiz | Eklenti geniş veri erişimi ile risk yaratır | Kullanılmayanları kaldır, erişim kapsamını gözden geçir |
Çeyreklik güvenlik kontrolü: 30 dakikalık rutin
- Aktif kullanıcı listesini gözden geçirin: hâlâ çalışan mı, rolü doğru mu?
- Yönetici hesaplarını kontrol edin: gerekli mi, 2FA açık mı?
- Dışa aktarma ve toplu silme kayıtlarına bakın; beklenmedik olay var mı?
- Bağlı entegrasyon ve eklentileri listeleyin; kullanılmayanları kapatın.
- Yedekten bir örnek kaydı geri yüklemeyi deneyin (yılda en az bir kez).
- Sonuçları kısa bir notla kaydedin; bulunan eksikleri sahibine atayın.
Devamını okuyun: CRM e-posta entegrasyonu: gizlilik ayarları.
İlgili sayfalar: Müşteri portalı güvenliği · İşe alım CRM ve aday verisi.
Sık sorulan sorular
Bulut CRM güvenli mi, kendi sunucumuzda mı tutmalıyız?
Büyük bulut CRM sağlayıcıları genellikle KOBİ'nin kendi sunucusundan daha güçlü fiziksel ve yazılımsal güvenlik sunar; asıl risk yapılandırma (yetki, 2FA, paylaşım) hatalarıdır. Veri yerleşimi (verinin hangi ülkede tutulduğu) ve sözleşme şartlarını kontrol edin; sektör zorunluluğu varsa şirket içi (on-premise) seçenekler değerlendirilir.
Satışçılar tüm müşteriyi görmeli mi?
Genellikle hayır. Müşteri sahipliği ve devir kuralları net olmalı; küçük ekiplerde tam görünürlük pratik olabilir, ama büyüdükçe en az yetki ilkesi uygulanmalıdır.
CRM'e girilen müşteri verisi KVKK açısından ne gerektirir?
Aydınlatma, açık rıza (gereken durumlarda), saklama süresi ve silme süreçlerini kapsayan bir yapı gerekir. Teknik tedbirler yetkilendirme ve kayıt tutmayı içerir. Ayrıntılar için KVKK ve CRM yazısına bakın ve hukuki görüş alın.
