Kamera Sistemi Teknik Denetimi: Kapsam, Yöntem ve Bulgu Raporu

Bakım raporu “tüm cihazlar çalışıyor” diyor, ama olay gecesi giriş kapısı kamerasından yüz seçilmiyor. Periyodik bakım “cihazlar çalışıyor mu?” sorusunu cevaplar; teknik denetim ise “olay anında bu sistem işe yarayan görüntü verir mi, güvenli mi, sürdürülebilir mi?” sorusunu kanıtla cevaplar. Aşağıda IT ve güvenlik yöneticileri için denetim kapsamını, örnekleme yöntemini, kanıt toplama pratiklerini ve eyleme dönük bir bulgu raporunun yapısını anlatıyoruz.

Teknik denetim ne zaman gerekir

Takvim kadar tetikleyici olaylar da belirleyicidir. Aşağıdakilerden biri varsa bağımsız bir teknik değerlendirme planlayın:

• Olay sonrası aranan kaydın bulunamaması, görüntünün kişi veya plaka teşhisine yetmemesi.
• Bakım firmasının veya yönetilen hizmet sağlayıcının değişmesi; devirden önce mevcut durumun kayda geçirilmesi.
• Büyük bir yenileme, VMS geçişi veya kapasite artırımı öncesinde temel durumun belirlenmesi.
• Bina kullanımının değişmesi: yeni üretim hattı, depo düzeni veya giriş noktaları.
• ISO 27001, TISAX veya müşteri denetimi öncesinde fiziksel güvenlik kontrollerinin teknik doğrulaması.
• Sistemin belgesiz büyüdüğü, kimin neyi yönettiğinin bilinmediği durumlar.

Uyum odaklı kontroller (erişim yetkileri, saklama, aydınlatma) TISAX ve ISO 27001 kamera kontrolleri yazısında ele alınıyor. Teknik denetim, bu kontrollerin altındaki teknik gerçekliği ölçer. Politika kâğıtta, gerçek sahadadır.

Denetim kapsamı ve alanları

Kapsam, denetime başlamadan yazılı olarak kararlaştırılır. Kamera sistemlerinde bütüncül bir değerlendirme için altı alan yeterlidir:

Alan	Değerlendirilen	Tipik kanıt
Görüntü kalitesi	Hedef görüntü seviyesine (DORI) ulaşım, gece performansı, WDR	Gündüz/gece anlık görüntü, piksel yoğunluğu ölçümü
Kapsama	Kritik noktaların görülmesi, kör noktalar, kadraj kayması	Kat planı üzerinde işaretli kapsama, referans karşılaştırma
Kayıt	Kayıt modu, saklama süresi, boşluklar, saat senkronu	VMS zaman çizelgesi, saklama raporu, NTP durumu
Ağ	Segmentasyon, PoE bütçesi, uplink kullanımı, port hataları	Switch çıktıları, VLAN ve ACL yapılandırması
Güvenlik	Varsayılan hesaplar, firmware, açık servisler, uzaktan erişim	Port taraması, hesap listesi, firmware sürüm tablosu
Enerji ve ortam	UPS süresi, kabin sıcaklığı, topraklama, dış ortam koruması	UPS test kaydı, sıcaklık ölçümü, saha fotoğrafı

Kapsam dışı bırakılanlar da yazılmalı. Hukuki uygunluk değerlendirmesi, yapısal (direk, cephe) statik inceleme veya sızma testi ayrı uzmanlık ister ve raporda “kapsam dışı” olarak belirtilir. Yazılmayan kapsam dışı, ileride “bunu da bakmanız gerekirdi” tartışmasına döner.

Örnekleme ve saha yöntemi

Birkaç yüz kameralı bir sistemde her kamerayı sahada tek tek incelemek çoğu zaman gerekmez. Doğru yöntem, uzaktan yapılabilen kontrolleri tüm popülasyona, sahada yapılması gerekenleri ise örneklemle uygulamaktır.

Tüm popülasyona uygulanan kontroller

• Firmware sürümleri, model dağılımı ve destek durumu (envanter ve ONVIF sorgusuyla).
• Kayıt durumu, saklama süresi ve son 30 günlük kayıt boşlukları (VMS raporlarıyla).
• Saat senkronu: tüm kameraların ve kayıt sunucularının aynı NTP kaynağına bağlı olması.
• Her kameradan gündüz ve gece anlık görüntü (uzaktan alınır, kadraj ve kalite ön değerlendirmesi yapılır).

Bu listede en çok sürpriz çıkaran kalem saat senkronudur. Birkaç dakika kaymış bir kamera, olay incelemesinde farklı kameralardan gelen görüntülerin sıralamasını bozar.

Örnekleme ile uygulanan saha kontrolleri

Saha örneklemi rastgele değil, risk tabanlı seçilir. Önerdiğimiz yaklaşım: kritik noktalardaki (giriş, kasa, sevkiyat, çevre) kameraların tamamı; uzaktan ön değerlendirmede sorun görülen kameraların tamamı; kalan popülasyondan da her model, her bina ve her montaj tipi (iç, dış, yüksek direk) temsil edilecek şekilde bir örnek. Örneğin nasıl seçildiğini ve büyüklüğünü raporda gerekçesiyle yazın; okuyucu bulguların sistemin geneline ne ölçüde genellenebileceğini ancak böyle anlar. Örnekleme yaklaşımının genel ilkeleri için iç denetimde örneklem seçimi yazısı tamamlayıcıdır.

Görüntü kalitesinde yöntem, sistemin tasarlandığı görüntü seviyesiyle karşılaştırmadır. Hedef seviyeler ve piksel yoğunluğu hesabı IP kamera projelendirme rehberinde açıklanıyor; video gözetim sistemlerinde görüntü seviyesi sınıflandırmasının dayandığı standart IEC 62676-4’tür (IEC). Sahada bilinen boyutta bir hedef veya test kartıyla ilgili mesafede ölçüm yapılır, hem gündüz hem gece tekrarlanır. Gündüz testi tek başına yetmez. Teşhis sorunlarının çoğu gece çıkar.

Kanıt toplama: ekran görüntüsü, log, ölçüm

Kanıtla desteklenmeyen bulgu, görüş bildirmekten öteye geçmez. Her kanıt kaynağıyla, zaman damgasıyla ve ilgili cihaz kimliğiyle kaydedilir.

• Ekran görüntüsü: VMS yapılandırma sayfaları, kayıt programı, kullanıcı listesi. Ekran görüntüsünde sistem saati ve cihaz adı görünmeli.
• Anlık görüntü: Kameranın kendisinden veya VMS’ten, kamera adı ve zaman damgasıyla.
• Log ve rapor dışa aktarımı: Kayıt boşluk raporu, olay logları, kullanıcı oturum logları.
• Yapılandırma çıktıları: Switch, VLAN, ACL ve PoE durumu.
• Ölçümler: UPS süresi testi, kabin sıcaklığı, kablo testi sonuçları.
• Saha fotoğrafları: Montaj, kablo girişi, kabin düzeni; konum bilgisiyle.

Ağ ve güvenlik alanında kullanılabilecek bazı komutlar (Cisco IOS ve Linux örneği):

# PoE bütçesi ve port bazında güç durumu (Cisco IOS)
show power inline

# Kamera VLAN’ındaki portlarda hata sayaçları
show interfaces counters errors

# Kamera VLAN’ında açık yönetim ve akış servislerinin tespiti (yetkili tarama)
nmap -sV -p 21,22,23,80,443,554,8000,8080 10.20.0.0/24 -oA kamera-vlan-tarama

Taramayı yalnız yazılı izinle ve kayıt sistemini etkilemeyecek bir zaman diliminde yapın. Bazı eski kameralar yoğun tarama altında yeniden başlar; önce küçük bir alt ağda deneyin. Denetçinin taraması kayıt boşluğu üretmemeli.

Bulgu sınıflandırma tablosu

Bulgular etki ve olasılığa göre tutarlı bir ölçekle sınıflandırılır. Aşağıdaki dört seviyeli ölçek kamera sistemleri için pratik bir çerçevedir:

Seviye	Tanım	Örnek bulgu	Önerilen süre
Kritik	Kayıt kaybı veya yetkisiz erişim mevcut ya da çok yakın	NVR yönetim arayüzü internete açık; kritik kamera kayıt yapmıyor	Hemen
Yüksek	Olay anında kanıt üretilemeyecek veya ciddi güvenlik zafiyeti	Giriş kamerası gece teşhis seviyesine ulaşmıyor; varsayılan parola	30 gün
Orta	Sistemin güvenilirliğini veya yönetilebilirliğini azaltan durum	Saat senkronu yok; desteği biten firmware	90 gün
Düşük / gözlem	İyileştirme fırsatı	Adlandırma tutarsız; kablo etiketleri eksik	Planlı bakımda

Süreler öneridir; kurumun risk iştahına göre yönetimle birlikte belirlenir. Asıl mesele, aynı bulgunun iki farklı denetimde farklı seviyede sınıflandırılmamasıdır. Bunun için her seviyenin örnekleriyle birlikte yazılı bir kılavuzu olmalı.

Denetim raporunun yapısı

Rapor okuyucusuna göre katmanlanır: yönetici iki sayfada karar verebilmeli, teknik ekip her bulguyu yeniden üretebilmeli. Önerilen bölüm yapısı:

1. Yönetici özeti: Genel değerlendirme, seviye bazında bulgu sayıları, ilk üç öncelikli eylem.
2. Kapsam ve yöntem: Denetlenen lokasyonlar ve sistemler, kapsam dışı alanlar, örnekleme yöntemi ve büyüklüğü, denetim tarihleri.
3. Alan bazında sonuçlar: Altı alanın her biri için kısa değerlendirme.
4. Bulgu kayıtları: Her bulgu için kimlik numarası, başlık, seviye, etkilenen cihazlar, kriter (neye göre eksik), mevcut durum, risk, kanıt referansı ve öneri.
5. Ekler: Kanıt dosyaları, cihaz listesi, anlık görüntü arşivi, ölçüm tabloları.

Bulgu metni “kriter–durum–neden–etki” yapısıyla yazıldığında tartışmaya az yer kalır: “Giriş kapısı kamerasının gece teşhis seviyesi sağlaması bekleniyor (kriter); gece görüntüsünde piksel yoğunluğu hedefin altında ve yüz ayrıntısı seçilmiyor (durum); IR menzili mesafeye yetmiyor ve WDR kapalı (neden); gece giriş olaylarında kişi teşhisi yapılamaz (etki).” Sık yapılan hata, yalnız “kamera görüntüsü yetersiz” yazıp bırakmaktır. Neden yazılmazsa düzeltme de tahmine kalır.

Düzeltici faaliyet takibi

Raporun değeri bulgular kapandığında ortaya çıkar. Takip için önerdiğimiz yapı:

• Her bulgu için sorumlu kişi, hedef tarih ve kabul edilen düzeltme yöntemi yazılır.
• Düzeltilemeyecek bulgular için risk kabulünü yetkili yönetici imzalar ve gerekçesi kaydedilir.
• Kapatma yeni kanıtla doğrulanır: düzeltilen kameranın yeni gece görüntüsü, değiştirilen parolanın denetim logu, yeni firmware sürümünün ekran görüntüsü.
• Kritik ve yüksek bulgular için ara kontrol, tüm bulgular için bir sonraki denetimde doğrulama yapılır.
• Tekrarlayan bulgular kök neden açısından incelenir; aynı sorun her denetimde çıkıyorsa süreç eksiktir.

Düzeltmelerin bir kısmı rutin işe dönüşür ve periyodik bakım kontrol listesine eklenir. Denetimin hızlı yapılabilmesi için güncel envanter şart; envanter yapısı kamera envanteri rehberinde anlatılıyor. Bağımsız değerlendirme kapsamı için kamera sistemleri teknik denetimi, bulgular sonrası yeniden tasarım ihtiyacı için keşif ve danışmanlık sayfası incelenebilir.

Sık sorulan sorular

Kamera sistemi denetimi ile periyodik bakım arasındaki fark nedir?

Periyodik bakım cihazları çalışır durumda tutmaya yönelik rutin işlerdir. Teknik denetim ise sistemin görüntü kalitesi, kapsama, kayıt, ağ, güvenlik ve enerji açısından amacını karşılayıp karşılamadığını kanıta dayalı olarak değerlendirir ve risk sınıflandırılmış bulgular üretir.

Denetimde her kamera sahada incelenmeli mi?

Gerekmez. Firmware, kayıt, saat senkronu ve anlık görüntü kontrolleri uzaktan tüm kameralara uygulanır. Saha kontrolleri kritik noktaların tamamını, sorunlu görünen kameraları ve her model ile montaj tipini temsil eden risk tabanlı bir örneklemi kapsar.

Denetim sırasında bulunan kritik açık hemen düzeltilmeli mi?

Denetçi yapılandırmayı kendisi değiştirmez. Kritik bir risk görüldüğünde sistem sahibine derhal yazılı bildirim yapılır, düzeltmeyi sistem sahibi yürütür ve sonuç yeni kanıtla raporda belgelenir.

Kamera sistemi ne sıklıkla denetlenmelidir?

Sabit bir zorunlu sıklık yoktur. Pratikte yılda bir kapsamlı değerlendirme, ayrıca hizmet sağlayıcı değişimi, büyük yenileme veya kaydın bulunamadığı bir olay gibi tetikleyicilerde ek denetim önerilir.