Bulut tabanlı muayenehane yazılımı seçerken güvenlikte nelere bakılmalı?

Satın alma görüşmesinde sorulacak ilk soru fiyat değil, adrestir: verilerimiz hangi ülkede, hangi veri merkezinde tutuluyor? Cevabı sözlü almak yeterli değildir; teklif ekinde ya da sözleşme metninde yazılı olarak isteyin. Sağlayıcı kendi altyapısını başka bir bulut şirketinden kiralıyorsa, o şirketin adı ve bölgesi de bu cevabın parçasıdır. Zincirin bir halkası bilinmiyorsa cevap tamamlanmamıştır.

Yedeklerin nerede tutulduğunu ayrıca sorun; ana verisi Türkiye’de olup yedeği başka bir ülkeye kopyalanan kurgular mümkündür. Sonra destek ekibinin verinize erişip erişemediğini, eriştiğinde bunun kayda geçip geçmediğini öğrenin. Uzak destek bağlantısıyla hasta kaydına bakabilen bir teknik ekip, sözleşmede tanımlanmamışsa görünmeyen bir erişim kapısıdır.

Broşürde “rol bazlı yetkilendirme var” yazması yeterli değildir; bu cümlenin arkasında bazen yalnızca iki seçenek bulunur: yönetici ve kullanıcı. Deneme hesabında gerçek bir sınav yapın. Sekreter rolüyle giriş yapıp bir hastanın seans notunu açmayı deneyin; muhasebe rolüyle tanı bilgisine ulaşmayı deneyin. Görmemesi gereken bir ekran açılıyorsa, o yazılımın yetki modeli kliniğinizin ihtiyacını karşılamıyor demektir.

Aynı sınavı yetki kapatma tarafında da yapın: bir kullanıcıyı pasife alın ve o hesapla tekrar giriş deneyin. Erişimin ne kadar sürede kapandığı, açık oturumun devam edip etmediği ve kullanıcının indirdiği belgelerin ne olacağı önemlidir. Personel değişikliği her klinikte yaşanır; yetki kapatmanın tek işlemle ve anında olması, sonradan telafi edilemeyen bir özelliktir.

Denetim izi, bir kaydı kimin ne zaman açtığını ve değiştirdiğini gösteren kayıttır; KVKK açısından da klinik içi güven açısından da belirleyicidir. Ancak birçok yazılımda bu kayıt yalnızca giriş ve çıkış saatlerini tutar. Deneme sırasında bir hasta kaydını açın, bir alanı değiştirin ve ardından denetim ekranında bu iki işlemin göründüğünü kendi gözünüzle kontrol edin.

İkinci soru daha önemlidir: bu kaydı kim silebiliyor? Yönetici tarafından temizlenebilen bir denetim izi, en çok ihtiyaç duyulduğu anda boş çıkar. Kaydın değiştirilemez olması ekibi denetlemek için değil, herkesi korumak içindir; bir suçlama olduğunda kimin ne yaptığı tartışmaya değil kayda bakılarak belirlenir.

İki teknik soru, cevaplarını tam anlamasanız bile ayırt edicidir. Birincisi: hassas alanlar veritabanında şifreli mi saklanıyor? Kimlik numarası ve benzeri veriler açık metin olarak duruyorsa, veritabanına erişen herkes için okunabilir demektir. İkincisi: benim kurumumun verisi başka bir kliniğin verisinden hangi katmanda ayrılıyor? Cevap yalnızca uygulama içindeki bir filtreye dayanıyorsa, ayrım kod hatasına açıktır.

Sağlıklı cevap, izolasyonun veritabanı seviyesinde de uygulandığını söyler; yani yazılım katmanında bir hata olsa bile veritabanı komşu kurumun satırlarını döndürmez. Bu soruyu sormanız, size teknik detay anlatılmasını sağlamaktan çok, konunun düşünülmüş olup olmadığını ortaya çıkarır. Hazırlıksız kalan bir cevap tek başına anlamlı bir sinyaldir.

Bulut sağlayıcısının kendi altyapısını yedeklemesi, sizin kurtarma ihtiyacınızı karşılamaz. İki farklı soru vardır: sistem çökerse ne kadar sürede ayağa kalkar ve klinik yanlışlıkla bir dosyayı silerse o kayıt geri getirilebilir mi? İkinci soruya cevap veremeyen bir sağlayıcı, en sık yaşanan veri kaybı türüne hazırlıksızdır; çünkü kliniklerde asıl kayıp felaketten değil, sıradan bir hatadan doğar.

Cevapları rakama çevirin: yedek ne sıklıkla alınıyor, en fazla kaç saatlik veri kaybı kabul ediliyor, kurtarma talebi kaç saatte karşılanıyor. Bu üç rakam yazılı olarak alındığında sözleşme, güven ifadesi olmaktan çıkıp ölçülebilir bir taahhüde dönüşür. Rakam veremeyen sağlayıcı bu senaryoyu bugüne kadar hiç çalışmamış olabilir.

İlişkinin en riskli anı başlangıç değil, bitiştir. Sözleşme sona erdiğinde ya da sağlayıcı değiştirildiğinde verinizi hangi biçimde, ne kadar sürede ve hangi ücretle alacağınız baştan yazılmalıdır. “Talep hâlinde veririz” cümlesi yeterli değildir; dışa aktarımın kapsamına belgeler dâhil mi, kayıtlar hangi dosya biçiminde teslim edilecek, teslim sonrası sağlayıcı verinizi ne zaman silecek — hepsi maddeye bağlanmalıdır.

Aynı metne ihlal bildirimini de ekleyin: sağlayıcı tarafında bir güvenlik olayı yaşandığında klinik kaç saat içinde bilgilendirilecek? Bu süre önemlidir, çünkü Kişisel Verileri Koruma Kurumuna bildirim yükümlülüğü kliniğe aittir ve süre olaydan itibaren işlemeye başlar. Sağlayıcı size üç gün sonra haber verirse, gecikmenin sonucuna klinik katlanır.