Özel Güvenlik Firması ve Üçüncü Tarafların Kamera Erişimi

Kamera sistemine bağlanan hesapların önemli bir kısmı kurumun kendi çalışanına ait değildir: özel güvenlik operatörleri, NVR’yi kuran ve bakımını yapan servis firması, binanın yönetim şirketi, AVM veya plaza kiracıları, çok lokasyonlu yapılarda merkezi izleme yapan dış ekipler. Yıllar önce açılmış “servis” hesabı hâlâ yönetici yetkisiyle duruyorsa sorun sözleşmede değil, konsoldadır. Aşağıda üçüncü tarafların canlı ve kayıtlı görüntüye erişimini sözleşme, yetki ve teknik kontrol açısından ele alıyor; taraf tipine göre erişim modelini ve erişimin kapatılmasını adım adım veriyoruz.

Üçüncü taraf erişim senaryoları

Üçüncü taraf erişimi tek tip değildir. Risk; tarafın ne gördüğüne, ne yapabildiğine ve nereden bağlandığına göre değişir. Sahada en sık karşılaştığımız senaryolar:

• Yerinde özel güvenlik: Güvenlik firması personeli, kurumun kontrol odasındaki istemciden canlı izleme yapar ve olay anında kayıt oynatır.
• Uzaktan izleme merkezi: Alarm doğrulama veya mesai dışı izleme hizmeti veren firma, kendi merkezinden internet üzerinden bağlanır.
• Bakım ve servis firması: Firmware güncelleme, disk değişimi ve arıza giderme için NVR/VMS’e yönetici yetkisiyle erişir.
• Bina veya site yönetimi: Ortak alan kameralarının sahibi veya işletmecisidir; kiracı kurum ise kendi alanındaki kayıtlara erişmek ister.
• Kiracılar: AVM, plaza veya organize sanayi yapılarında kendi giriş noktalarını görmek isteyen işletmeler.
• Yazılım ve bulut hizmet sağlayıcıları: Bulut VMS, VSaaS veya analitik hizmeti sunan, platform üzerinden teknik erişimi olan sağlayıcılar.

Her senaryo için üç soruyu yazılı yanıtlayın. Taraf hangi kameraları görebilir? Canlı izleme, kayıt oynatma, dışa aktarma, PTZ kontrolü ve yapılandırma yetkilerinden hangilerine sahiptir? Hangi ağ yolundan, hangi kimlik doğrulamayla bağlanır? Bu üç sorunun cevabı yoksa erişim modeli de yoktur.

Veri sorumlusu ve veri işleyen ilişkisi

KVKK’da veri sorumlusu işleme amacını ve araçlarını belirleyen taraftır; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veriyi işleyen kişi veya kuruluştur. KVKK’nın 12. maddesi, veri işleyenin işlediği veriler bakımından veri güvenliği tedbirlerinin alınmasında veri sorumlusunun veri işleyenle birlikte müştereken sorumlu olduğunu öngörür. “İzlemeyi güvenlik firması yapıyor” demek kurumu sorumluluktan çıkarmaz. Sorumluluk devredilmez.

Kamera senaryolarında nitelendirme çoğu zaman şöyle şekillenir; yine de her durum somut ilişkiye göre değerlendirilmelidir:

• Kurumun talimatıyla izleme yapan özel güvenlik firması ve bakım firması tipik olarak veri işleyendir.
• Ortak alan kameralarını kendi kararıyla kuran ve işleten bina yönetimi, bu kameralar için kendisi veri sorumlusu olabilir; kiracı kuruma kayıt vermesi bir aktarım niteliği taşır.
• Bulut hizmet sağlayıcısı genellikle veri işleyendir; altyapısının yurt dışında olması ayrıca aktarım değerlendirmesi gerektirir.

Nitelendirme ne çıkarsa çıksın, üçüncü taraflar kişisel veri işleme envanterinde alıcı grubu olarak yer almalıdır. Envanter yapısı kamera sistemi ve VERBİS yazısında anlatılıyor. KVKK metni ve Kurul rehberleri kvkk.gov.tr üzerinden takip edilir.

Taraf tipine göre erişim modeli

Aşağıdaki tablo, sık görülen taraf tipleri için başlangıç noktası olarak kullanabileceğiniz bir erişim modelidir. Kurumun risk değerlendirmesine göre daraltılabilir. Genişletmek ise yazılı gerekçe ister.

Taraf	Yetki kapsamı	Bağlantı yolu	Kimlik ve süre
Yerinde özel güvenlik	Canlı izleme, sınırlı oynatma; dışa aktarma yok	Kontrol odası istemcisi, yerel ağ	Kişiye özel hesap, vardiya bazlı
Uzaktan izleme merkezi	Alarm tetikli canlı görüntü ve olay klibi	VPN veya VMS’in güvenli ağ geçidi	Kişiye özel hesap, MFA
Bakım firması	Yapılandırma; kayıt oynatma ve dışa aktarma kapalı	Talep üzerine açılan, süreli uzaktan erişim	Süreli hesap, oturum kaydı
Bina yönetimi	Ortak alan kameraları; kurum alanı hariç	Ayrı VMS kullanıcı grubu	Kişiye özel hesap
Kiracı	Yalnız kendi giriş noktası, canlı izleme	Web/mobil istemci, kısıtlı rol	Kişiye özel hesap, yıllık yenileme
Bulut sağlayıcı	Platform işletimi; içerik erişimi sözleşmeyle sınırlı	Sağlayıcı altyapısı	Sözleşme ve denetim hakları

Modelin dayandığı ilke, rol bazlı yetki matrisinin üçüncü taraflara da aynen uygulanmasıdır. Canlı izleme, oynatma, dışa aktarma ve PTZ yetkilerinin ayrıştırılması kamera kayıt erişim yetki modeli rehberinde ayrıntılı anlatılıyor. Dış taraflar için en önemli ayrım dışa aktarma yetkisidir. Dışa aktarılan bir klip VMS’in denetim alanından çıkar, kurumun kontrolü dışında çoğaltılabilir ve geri çağrılamaz. Klip çıktıysa çıkmıştır.

Sözleşmede yer alması gereken maddeler

Hizmet sözleşmesi veya ek veri işleme protokolü, teknik yapılandırmanın hukuki karşılığıdır. Sahada en sık gördüğümüz eksik, sözleşmenin yalnız hizmet bedelini ve arıza müdahale süresini düzenlemesi, erişimden hiç bahsetmemesidir. Kamera erişimi olan üçüncü taraflarla yapılan sözleşmelerde en az şu konular yer almalıdır:

1. İşleme kapsamı: Hangi kameralar, hangi amaçla, hangi yetki düzeyiyle; kapsam dışı işlemelerin yasaklanması.
2. Talimata bağlılık: Tarafın kayıtları kendi amaçları için kullanmaması, kurumun yazılı talimatı olmadan kayıt çıkarmaması.
3. Personel yükümlülükleri: Erişimi olan personelin listesi, gizlilik taahhütnamesi, personel değişikliğinin bildirilme süresi.
4. Güvenlik tedbirleri: Kişiye özel hesap, parola ve MFA kuralları, bağlanılan cihazların güvenliği, paylaşılan hesap yasağı.
5. Alt yükleniciler: Tarafın erişimi başka bir firmaya devredip devredemeyeceği, devrin önceden onaya bağlanması.
6. İhlal bildirimi: Yetkisiz erişim, kayıt sızıntısı veya kimlik bilgisi kaybının kuruma bildirilme süresi ve yöntemi.
7. Denetim hakkı: Kurumun erişim kayıtlarını ve tarafın uygulamalarını denetleyebilmesi.
8. Sona erme: Sözleşme bittiğinde hesapların kapatılması, elde kalan kayıtların iadesi veya imhası ve bunun yazılı teyidi.

Teknik kontroller ve izleme

Teknik kontrolü olmayan sözleşme uygulanamaz. Üçüncü taraf erişiminde şu kontrolleri birlikte kullanın:

• Kişiye özel hesap: “guvenlik”, “servis” gibi paylaşılan hesapları kaldırın. Paylaşılan hesapta denetim izi kimin ne yaptığını göstermez; yalnız “birinin” bir şey yaptığını gösterir.
• Kamera grubu kısıtı: VMS’de taraf için ayrı kullanıcı grubu ve yalnız ilgili kamera grubunu gören bir rol tanımlayın.
• Ağ katmanında sınırlama: Uzaktan bağlanan taraflar kamera VLAN’ına doğrudan değil, yalnız VMS sunucusunun istemci portlarına erişir; kameraların web arayüzüne doğrudan erişim kapatılır.
• Güvenli uzaktan erişim: Port yönlendirme ve üretici P2P servisleri yerine VPN, VMS ağ geçidi veya ayrıcalıklı erişim çözümü kullanın. Mimari seçenekler P2P bulut erişimi ve VPN karşılaştırmasında ele alınıyor.
• Süreli erişim: Bakım hesapları varsayılan olarak devre dışıdır; talep ve onaydan sonra belirli bir süre için etkinleştirilir, iş bitince yeniden kapatılır.
• Denetim izi ve inceleme: Dış taraf hesaplarının oturum açma, oynatma ve dışa aktarma olaylarını ayrı bir raporla aylık inceleyin; mesai dışı ve olağan dışı hacimli oynatmaları işaretleyin.

Uzaktan erişim altyapısının tasarımı ve dış tarafların bağlantı yolunun daraltılması güvenli uzaktan kamera erişimi kapsamında, rol ve log tasarımı ise kamera kayıt erişim yetkileri ve denetim izi çalışmasıyla birlikte ele alınabilir. Tedarikçi bağlantılarının genel güvenlik ilkeleri için ağdaki tedarikçi uzaktan erişimi rehberine de bakabilirsiniz.

Erişimin sona erdirilmesi

Üçüncü taraf erişiminde en sık görülen zafiyet, ilişki bittikten sonra açık kalan hesaplardır. Firma gider, hesap kalır. Güvenlik firması değiştiğinde, bakım sözleşmesi bittiğinde, kiracı taşındığında veya firma personeli işten ayrıldığında şu listeyi uygulayın:

• Tarafa ait tüm VMS, NVR ve kamera kullanıcı hesapları devre dışı bırakıldı mı?
• VPN, uzaktan erişim aracı ve bulut platformu kimlik bilgileri iptal edildi mi?
• Taraf personelinin bildiği paylaşılmış parolalar (yerel yönetici, kamera yönetici parolası) değiştirildi mi?
• Tarafın kurduğu ve kurum envanterinde olmayan bir erişim yolu (port yönlendirme, P2P bağlantısı, 4G modem) kaldı mı?
• Tarafın elinde kalmış dışa aktarılmış kayıtların iadesi veya imhası yazılı olarak teyit edildi mi?
• Son 90 günlük erişim kayıtları gözden geçirildi ve olağan dışı bir işlem tespit edildi mi?
• Kişisel veri işleme envanterindeki alıcı grupları güncellendi mi?

Personel değişikliği firma değişikliğinden çok daha sık yaşanır ve çok daha kolay gözden kaçar. Bu yüzden sözleşmeye, firmanın personel ayrılışlarını belirli bir süre içinde bildirme şartını koyun. Buna güvenip beklemeyin: dış taraf hesaplarını üç ayda bir firma personel listesiyle siz karşılaştırın. Listede olmayan isim, kapatılacak hesaptır.

Sık sorulan sorular

Özel güvenlik firması veri işleyen mi, veri sorumlusu mu sayılır?

İlişkinin fiili kurgusuna bağlıdır. Firma yalnız kurumun talimatıyla, kurumun belirlediği amaç ve araçlarla izleme yapıyorsa genellikle veri işleyen sayılır. Kayıtları kendi amaçlarıyla kullanıyor veya işleme yöntemini kendisi belirliyorsa durum değişebilir. Nitelendirmeyi hukuk birimiyle birlikte yapın ve sözleşmeye yansıtın.

Bakım firmasına kalıcı uzaktan erişim vermek doğru mu?

Hayır. Bakım erişimi talep üzerine açılan, süreli, kişiye özel hesapla yapılan ve oturumu kayıt altına alınan bir modelle verilmelidir. Kalıcı açık port veya paylaşılan yönetici hesabı hem güvenlik açığıdır hem de erişimi kimin yaptığını ispatlamayı imkansız hale getirir.

Kiracılar ortak alan kameralarını izleyebilir mi?

Genel erişim yerine, yalnız kiracının kendi alanının giriş noktasını gösteren kameralarla sınırlı ve tercihen canlı izlemeye kısıtlı bir erişim değerlendirilebilir. Ortak alan kayıtlarının incelenmesi talep ve onay süreciyle, bina yönetiminin yetkili personeli üzerinden yürütülmelidir.

Firma değiştiğinde ilk yapılması gereken nedir?

Firma personeline ait tüm kullanıcı hesaplarını, VPN veya uzaktan erişim kimlik bilgilerini ve paylaşılmış parolaları aynı gün devre dışı bırakın. Ardından firmada kalmış dışa aktarılmış kayıtların iadesini veya imhasını yazılı olarak teyit edin ve erişim kayıtlarını son bir kez gözden geçirin.