Personel devam kontrol sistemleri, çalışanların işe giriş ve çıkış saatlerini kayıt altına almak için uzun yıllardır kullanılıyor. Ancak klasik kartlı, parmak izli veya fiziksel terminal kullanılan sistemlerin yerini giderek mobil PDKS çözümleri almaya başladı.
Mobil PDKS sistemlerinde çalışanlar, fiziksel bir cihaza ihtiyaç duymadan cep telefonları üzerinden giriş ve çıkış işlemlerini gerçekleştirebilir. Bu kullanım kolaylığı beraberinde önemli bir soruyu da getirir: Mobil PDKS sistemleri ne kadar güvenli?
Aslında güvenli bir personel takip sistemi yalnızca kullanıcının “Giriş Yap” butonuna basmasını kayıt altına almamalıdır. İşlemin doğru çalışan, doğru cihaz, doğru konum ve doğru zamanda gerçekleştirildiğini farklı güvenlik katmanlarıyla doğrulaması gerekir.
Konum doğrulama, dinamik QR kod, kayıtlı cihaz kontrolü, kullanıcı yetkilendirmeleri ve veri güvenliği önlemleri birlikte kullanıldığında mobil PDKS sistemlerinde sahte veya yetkisiz girişlerin önüne geçmek çok daha mümkün hale gelir.
Konum doğrulamalı PDKS güvenli mi?
Konum doğrulamalı PDKS , çalışanın giriş veya çıkış işlemi sırasında bulunduğu konumu kontrol ederek işlemin belirlenen çalışma alanından gerçekleştirildiğini doğrulamayı amaçlar.
Örneğin bir işletmenin Ankara'daki ofisi sistem üzerinde çalışma lokasyonu olarak tanımlanmışsa, çalışan giriş yapmak istediğinde telefonundan alınan konum bilgisi tanımlanan iş yeri koordinatlarıyla karşılaştırılabilir.
Çalışan izin verilen mesafenin dışındaysa sistem giriş işlemini reddedebilir.
Bu yöntem özellikle farklı şubeleri, mağazaları, depoları, fabrikaları veya saha ekipleri bulunan işletmeler için önemli bir güvenlik katmanı oluşturur.
Ancak yalnızca GPS kontrolüne güvenmek yeterli değildir. Güvenli bir mobil PDKS mimarisinde konum doğrulamanın başka kontrollerle desteklenmesi gerekir.
Çünkü teorik olarak mobil cihazlarda konum manipülasyonu, hesap bilgilerinin başka kişilerle paylaşılması veya QR kodun uzaktan iletilmesi gibi senaryolar yaşanabilir. Bu nedenle modern PDKS sistemlerinde güvenlik tek bir kontrolden değil, birbirini tamamlayan birden fazla doğrulama mekanizmasından oluşmalıdır.
Örneğin bir giriş işleminde aynı anda kullanıcının oturumu, kayıtlı telefonu, iş yeri konumu ve kullanılan QR kod doğrulanabilir. Bu kontrollerden birinin başarısız olması durumunda giriş işlemi engellenebilir.
Böylece sistem yalnızca "Bu kullanıcı giriş yapmak istiyor mu?" sorusunu değil, aynı zamanda "Bu işlem gerçekten doğru kişi tarafından, yetkili cihazdan ve doğru lokasyondan mı gerçekleştiriliyor?" sorusunu da kontrol eder.
QR kod ile sahte giriş nasıl önlenir?
QR kod ile çalışan PDKS sistemlerinde en sık akla gelen senaryolardan biri, çalışanın QR kodun fotoğrafını çekerek iş arkadaşına göndermesidir.
Eğer sistemde kullanılan QR kod sürekli aynı kalıyorsa, bu gerçekten önemli bir güvenlik riski oluşturabilir.
Bu nedenle güvenli PDKS çözümlerinde dinamik QR kod kullanılabilir.
Dinamik QR kodlar belirli aralıklarla otomatik olarak değişir. Daha önce oluşturulmuş veya ekran görüntüsü alınmış bir QR kod kısa süre sonra geçerliliğini kaybeder. Böylece çalışanın sabah QR kodun fotoğrafını çekip daha sonra başka bir kişiye göndermesiyle giriş yapılmasının önüne geçilmesi amaçlanır.
Ancak QR kodun dinamik olması da tek başına yeterli değildir.
Güvenli bir sistemde QR kod okutulduktan sonra çalışanın konumu da kontrol edilebilir. Çalışan QR kodu fiziksel olarak görmüş olsa bile tanımlanan çalışma lokasyonunda değilse işlem kabul edilmez.
Buna kayıtlı cihaz kontrolü de eklendiğinde güvenlik seviyesi bir kat daha yükselir.
Örneğin çalışanın hesabı başka bir telefonda açılırsa sistem cihazın daha önce yetkilendirilmiş cihaz olup olmadığını kontrol edebilir. Yetkisiz bir cihazdan gerçekleştirilmeye çalışılan giriş işlemi engellenebilir veya ek doğrulama istenebilir.
Bu nedenle güçlü bir QR tabanlı PDKS yapısında güvenlik şu mantığa dayanır:
Kullanıcı + QR kod + cihaz + konum + zaman
Bu unsurların birlikte doğrulanması, yalnızca QR kod kontrolüne göre sahte giriş riskini ciddi biçimde azaltır.
PDKS ve KVKK
PDKS sistemleri çalışanlara ait çeşitli kişisel verileri işleyebilir. Çalışanın kimlik bilgileri, işe giriş ve çıkış saatleri, çalışma kayıtları ve kullanılan sisteme bağlı olarak konum bilgileri bu kapsamda değerlendirilebilir.
Bu nedenle PDKS kullanılırken yalnızca teknik güvenliğe değil, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri işleme süreçlerine de dikkat edilmesi gerekir.
KVKK'nın temel ilkeleri kapsamında kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve gerekli süre boyunca muhafaza edilmesi gerekir.
Örneğin bir mobil PDKS uygulamasının amacı çalışanın işe giriş sırasında tanımlanan iş yerinde bulunup bulunmadığını doğrulamaksa, sistemin çalışma saatleri dışında sürekli konum takibi yapması aynı amaç kapsamında otomatik olarak gerekli kabul edilemez. Veri işleme yönteminin amaçla bağlantılı ve ölçülü olması gerekir.
Burada önemli noktalardan biri de aydınlatma yükümlülüğüdür . Çalışanlara hangi kişisel verilerin hangi amaçla işlendiği, verilerin kimlere ve hangi amaçlarla aktarılabileceği, verilerin hangi yöntemle toplandığı ve işlemenin hukuki sebebi konusunda bilgi verilmesi gerekir. KVKK kapsamında aydınlatma yükümlülüğü, veri işleme açık rızaya dayansa da başka bir hukuki işleme şartına dayansa da devam eder.
Her veri işleme faaliyetinin mutlaka açık rızaya dayanması gerektiği şeklindeki yaklaşım da doğru değildir. KVKK'nın 5. maddesinde açık rıza dışında farklı kişisel veri işleme şartları bulunmaktadır. Hangi hukuki sebebin geçerli olduğu, gerçekleştirilen veri işleme faaliyetinin niteliğine göre ayrıca değerlendirilmelidir.
Bu nedenle işletmeler açısından doğru yaklaşım, PDKS sistemini yalnızca teknik olarak kurmak değil; hangi verinin neden toplandığını, ne kadar süre saklandığını ve kimlerin bu verilere erişebildiğini de açık biçimde belirlemektir.
Özellikle yüz tanıma ve parmak izi gibi biyometrik yöntemler kullanıldığında konu daha hassas hale gelir. KVKK kararlarında biyometrik verilerin özel nitelikli kişisel veri olduğu açıkça belirtilmektedir. Bu nedenle personel devam kontrolünde biyometrik teknolojilerin kullanılması, sıradan kullanıcı adı veya konum doğrulamasına göre daha farklı hukuki değerlendirmeler gerektirebilir.
Mobil PDKS'te cihaz doğrulama
Mobil PDKS sistemlerinde karşılaşılabilecek risklerden biri de çalışanın kullanıcı adı ve şifresini başka bir kişiye vermesidir.
Konum kontrolü yapılmasına rağmen çalışan iş arkadaşına hesap bilgilerini verdiyse ve diğer çalışan aynı iş yerindeyse, yalnızca konum doğrulaması böyle bir durumda yeterli olmayabilir.
Cihaz doğrulama bu noktada ek bir güvenlik katmanı sağlar.
Çalışanın sisteme erişmesine izin verilen mobil cihaz kayıt altına alınabilir ve daha sonraki işlemlerde hesabın yetkilendirilmiş cihazdan kullanılıp kullanılmadığı kontrol edilebilir.
Örneğin çalışanın hesabı ilk kez kendi telefonunda doğrulandıktan sonra farklı bir telefondan giriş yapılmaya çalışıldığında sistem bu cihazı tanımayabilir. İşletmenin belirlediği güvenlik politikasına göre işlem reddedilebilir veya yeni cihaz için yeniden yetkilendirme süreci başlatılabilir.
Böylece yalnızca kullanıcı adı ve şifrenin bilinmesi PDKS kaydı oluşturmak için yeterli olmaz.
Cihaz doğrulamasının konum ve QR doğrulamasıyla birlikte kullanılması çok daha güçlü bir yapı oluşturur.
Bir çalışan adına giriş yapılabilmesi için hem doğru kullanıcı hesabının kullanılması, hem yetkilendirilmiş mobil cihazdan işlem yapılması, hem geçerli QR kodun okutulması hem de cihazın tanımlanan çalışma alanında bulunması gerekebilir.
İnsanların birbirlerinin kartlarını basabildiği klasik sistemlerle karşılaştırıldığında, bu kontroller mobil PDKS çözümlerine önemli bir güvenlik avantajı kazandırabilir.
Personel takip sistemlerinde veri güvenliği
PDKS güvenliği yalnızca sahte girişlerin engellenmesinden ibaret değildir.
Sistem içerisinde çalışanlara ait kişisel veriler, çalışma saatleri, izin kayıtları, giriş-çıkış hareketleri ve farklı insan kaynakları verileri bulunabileceğinden, bu bilgilerin yetkisiz erişime karşı korunması da önemlidir.
KVKK'nın 12. maddesi kapsamında veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, ayrıca verilerin güvenli şekilde muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Bu nedenle kurumsal bir PDKS çözümünde kullanıcıların sisteme yalnızca yetkileri kapsamında erişebilmesi önemlidir.
Örneğin bir departman yöneticisinin yalnızca kendi ekibindeki çalışanları görebilmesi, sistem yöneticisinin ise şirket genelindeki verilere erişebilmesi gibi rol bazlı yetkilendirme mekanizmaları uygulanabilir.
Web ve mobil uygulamalar arasındaki veri iletişiminin güvenli bağlantılar üzerinden gerçekleştirilmesi, kullanıcı parolalarının güvenli yöntemlerle saklanması, yönetici hesaplarında iki faktörlü kimlik doğrulama kullanılması ve şüpheli girişlerin takip edilmesi de veri güvenliğinin önemli parçalarıdır.
Kişisel Verileri Koruma Kurumu da kullanıcı hesaplarının güvenliği kapsamında iki faktörlü kimlik doğrulama, güvenli HTTPS bağlantıları ve güvenli parola saklama yöntemleri gibi teknik önlemleri tavsiye etmektedir.
Ayrıca işletmelerde tüm kullanıcıların tüm verilere erişmesi yerine ihtiyaç kadar yetki yaklaşımının uygulanması gerekir. Çünkü veri güvenliğindeki riskler yalnızca dışarıdan gerçekleştirilen siber saldırılardan kaynaklanmaz. Gereğinden fazla yetkilendirilmiş kullanıcı hesapları da önemli bir güvenlik riski oluşturabilir.
Mobil PDKS'te güvenlik tek bir özellikten oluşmaz
Güvenli bir PDKS sistemi oluşturmanın temelinde tek bir teknoloji değil, katmanlı güvenlik yaklaşımı bulunur.
Konum doğrulaması çalışanın doğru lokasyonda olduğunu kontrol eder. Dinamik QR kod, eski veya paylaşılmış QR kodların kullanılmasını zorlaştırır. Cihaz doğrulama, kullanıcı hesabının başka telefonlardan kullanılmasını engellemeye yardımcı olur. Kullanıcı ve rol yetkilendirmeleri ise sistemdeki verilere kimlerin erişebileceğini sınırlar.
Bunlara güvenli veri iletişimi, güçlü kimlik doğrulama, kayıtların korunması ve KVKK'ya uygun veri işleme süreçleri eklendiğinde çok daha güvenilir bir personel takip altyapısı oluşturulabilir.
SoftPDKS , mobil personel devam kontrol süreçlerinde konum doğrulama, QR kod ve kayıtlı cihaz kontrolü gibi farklı doğrulama mekanizmalarını birlikte kullanarak giriş-çıkış işlemlerinin güvenli şekilde gerçekleştirilebilmesine yardımcı olur.
Böylece personel takibi yalnızca “çalışan giriş yaptı” bilgisinden ibaret kalmaz. Sistemin amacı, mümkün olduğunca doğru çalışanın, doğru cihazla, doğru yerde ve doğru zamanda işlem yaptığını doğrulayabilmektir.
PDKS sürecinizi birlikte değerlendirelim.
İşletmenizin şube, vardiya ve puantaj yapısına göre uygun kurguyu konuşabiliriz.
