Evet, kapı kartı sistemi bir siber güvenlik konusudur: sunucu odasına, dosya dolabına ya da üretim hattının kontrol paneline fiziksel olarak ulaşan biri, en iyi güvenlik duvarını da devre dışı bırakabilir. Üstelik bugünkü kartlı geçiş sistemleri ağa bağlı yazılımlardır; yetki listesi, cihaz kimliği ve geçiş kayıtları dijital varlık olarak korunmalıdır.
Kısaca
- Fiziksel erişim ile dijital erişim aynı kimlik ve yetki mantığıyla, tek sorumluluk altında yönetilmelidir.
- Verizon DBIR 2026'ya göre ihlallerin %62'sinde insan faktörü rol oynadı; kapıdan izinsiz geçiş de bu riskin fiziksel tarafıdır.
- En sık açıklar: kopyalanabilen eski kartlar, işten ayrılanın açık kalan kartı, paylaşılan yönetici hesabı ve değiştirilebilen geçiş kayıtları.
- Geçiş kayıtları kişisel veridir; KVKK açısından saklama süresi, yetki ve silme kuralı tanımlanmalıdır.
- Kapı sistemini seçerken "kart okuyor mu?" yerine "kararı kim veriyor, kaydı kim değiştirebiliyor?" diye sorun.
Birçok şirkette kapı kartı güvenlik görevlisinin, e-posta ve sunucular ise bilgi işlemin işidir. Saldırgan için bu ayrım yoktur; hangi kapı daha az korunuyorsa oradan girer. Bu rehber, kartlı geçiş sistemini siber güvenlik planınızın bir parçası olarak nasıl ele alacağınızı adım adım anlatıyor.
Fiziksel erişim neden bir siber güvenlik sorunudur?
Siber saldırıların büyük kısmı ekran başında başlasa da sonucu çoğu zaman fiziksel bir boşluk belirler. Kilitlenmemiş bir sunucu odası, prize takılan yabancı bir USB bellek ya da masada açık bırakılan bir dizüstü bilgisayar, ağ güvenliğine harcanan bütçeyi anlamsız kılabilir. Endüstriyel tesislerde risk daha da büyüktür; OT ve SCADA güvenliği yazısında anlattığımız gibi kontrol panellerine fiziksel erişim, üretimi doğrudan etkiler.
İnsan faktörü bu tablonun merkezindedir. Verizon 2026 Data Breach Investigations Report verilerine göre ihlallerin %62'sinde insan faktörü rol oynadı. Arkadan takılarak kapıdan geçmek, kartını iş arkadaşına ödünç vermek ya da kargocu kılığında binaya girmek, oltalamanın fiziksel karşılığıdır.
Bedeli de küçük değildir. IBM'in Cost of a Data Breach Report 2026 çalışmasına göre bir veri ihlalinin küresel ortalama maliyeti rekor düzeye, 4,99 milyon dolara ulaştı. İngiltere hükümetinin Cyber Security Breaches Survey 2025/2026 verilerine göre ise işletmelerin %43'ü son 12 ayda bir siber ihlal ya da saldırı yaşadı.
Kapı kartı sistemlerinde hangi siber riskler var?
Kartlı geçiş sistemi; kart, okuyucu, kapı denetleyicisi, sunucu ve yönetim panelinden oluşur. Her katman ayrı bir saldırı yüzeyidir ve çoğu kurum yalnızca ilkine, yani karta bakar.
| Risk | Nasıl ortaya çıkar? | Ne yapılmalı? |
|---|---|---|
| Kart kopyalama | Şifresiz 125 kHz kartlar ve yalnız seri numarası (UID) okunan kartlar kısa mesafeden okunup çoğaltılabilir | Kritik bölgelerde kriptografik doğrulama yapan 13,56 MHz kartlar, ek doğrulama, kart numarasını açık saklamayan sistem |
| Açık kalan yetki | İşten ayrılan ya da sözleşmesi biten taşeronun kartı kapatılmaz | Geçerlilik süresi ve tek noktadan pasifleştirme |
| Paylaşılan yönetici hesabı | Panele herkes aynı kullanıcıyla girer, kim neyi değiştirdi belli olmaz | Kişiye özel giriş, ayrıştırılmış izinler, denetim kaydı |
| Değiştirilebilen kayıt | Geçiş kayıtları sonradan silinebilir ya da düzeltilebilir | Değiştirilemez ya da değişikliği tespit eden kayıt yapısı |
| Sahte cihaz | Ağa bağlanan yetkisiz bir okuyucu ya da terminal veri gönderir | Cihaz kimliği, şifreli bağlantı, panelden iptal |
| Bağlantı kesintisi | İnternet gidince kapı ya kilitli kalır ya da herkese açılır | Nokta bazında seçilen çevrimdışı davranış |
Kart tarafındaki farkları 125 kHz ve 13,56 MHz kart karşılaştırmasında, kopyalamanın pratikte nasıl yapıldığını ise geçiş kartı kopyalama rehberinde ayrıntılandırdık.
Bağlantı kesildiğinde kapının nasıl davranması gerektiği için geçiş sisteminde çevrimdışı çalışma yazısına bakabilirsiniz.
Fiziksel ve dijital erişim nasıl birlikte yönetilir?
Hedef, bir kişinin binadaki ve sistemlerdeki yetkisinin aynı mantıkla verilip aynı anda geri alınmasıdır. Sıfır güven (zero trust) yaklaşımındaki "her erişimi doğrula, en az yetkiyi ver" ilkesi kapılar için de geçerlidir. Aşağıdaki yedi adım, küçük bir ofisten çok tesisli bir fabrikaya kadar uygulanabilir.
- Kritik alanları sınıflandırın. Sunucu odası, arşiv, kasa, insan kaynakları dosyaları ve üretim kontrol odası ayrı bölge olarak tanımlanmalı; veri merkezi erişim kontrolü bu alanlar için iyi bir örnek sunar.
- Yetkiyi role göre verin. Kişiye tek tek kapı açmak yerine yetki gruplarıyla çalışın ve her gruba yalnız gereken bölgeleri ve saatleri bağlayın.
- Kart teknolojisini gözden geçirin. Kopyalanması kolay kartları kademeli olarak değiştirin; yalnız frekansa değil, okuyucunun kartı kriptografik olarak doğrulayıp doğrulamadığına bakın ve kart numarasının sistemde açık metin olarak tutulup tutulmadığını sorun.
- İşten ayrılışı tek süreç yapın. E-posta, dosya ve kapı yetkisi aynı gün, aynı listeyle kapanmalı; kontrol listesi işten ayrılan çalışanın tüm hesapları yazısında.
- Taşeron ve ziyaretçiyi süreyle sınırlayın. Sözleşme ya da ziyaret bitince kart kendiliğinden geçersiz olmalı; taşeron personel giriş kontrolü bu konuyu işler.
- Paneli ve cihazları birer BT varlığı gibi koruyun. Kişiye özel giriş, ayrıştırılmış izinler, güncel yazılım ve cihaz envanteri olmadan kapı sistemi ağınızdaki zayıf halka olabilir.
- Kayıtları koruyun ve gözden geçirin. Red nedenleri ve mesai dışı geçişler düzenli izlenmeli; olası bir ihlalde KVKK'da 72 saatlik bildirim süreci bu kayıtlara dayanır.
Bu adımlar teknik olduğu kadar davranışsal da olmalıdır. Arkadan takılarak geçişi fark edip durdurmak bir çalışan alışkanlığıdır; siber güvenlik farkındalık eğitimi programınıza fiziksel senaryoları da ekleyin.
Geçiş kayıtları KVKK açısından neden önemli?
Bir çalışanın hangi kapıdan, hangi saatte geçtiği kişisel veridir ve KVKK kapsamında veri sorumlusu olarak kurum bu veriyi korumakla yükümlüdür. Kanunun veri güvenliğine ilişkin hükmü, uygun güvenlik düzeyini sağlamak için teknik ve idari tedbir alınmasını ister. Bu nedenle geçiş kayıtlarının kimler tarafından görüldüğü, ne kadar saklandığı ve süresi dolunca nasıl silindiği yazılı olarak belirlenmelidir.
Ziyaretçi kayıtlarında da aynı soru geçerlidir. Kâğıt deftere yazılan ad, telefon ve kimlik bilgisi herkesin görebileceği bir yerde durur; seçenekleri kâğıt ziyaretçi defteri ve KVKK yazısında karşılaştırdık. Konunun tamamı için güvenlik ve KVKK rehberleri sayfasına göz atabilirsiniz.
SmartPass ile bu iş nasıl kolaylaşır?
SmartPass, kartlı geçiş kontrolü, personel devam takibi (PDKS), ziyaretçi kabulü ve yemekhane yönetimini tek panelde birleştiren bir yazılımdır. Kart okutulduğunda geçişe sunucu karar verir ve panelde değişen bir kural bütün kapılarda geçerli olur. Yukarıdaki risk tablosundaki başlıkların çoğu ürünün tasarımında karşılık bulur.
Bir senaryo düşünelim: üç vardiyalı bir fabrikada bakım taşeronunun sözleşmesi cuma günü bitiyor ve aynı hafta muhasebeden bir çalışan ayrılıyor. SmartPass'te taşeron firmanın sözleşme süresi tanımlı olduğu için sözleşme bitince ilk okutmada geçiş "Firma sözleşmesi dışında" nedeniyle reddedilir; kartları tek tek kapatmak gerekmez. Ayrılan çalışan pasifleştirildiğinde kartı da geçmez; Smart360'ta silinen kişinin SmartPass'teki adı ve kişisel bilgileri silinir, kartı iptal edilir.
Siber güvenlik açısından öne çıkan özellikler şunlardır:
- Kart numarası saklanmaz: Okunduğu anda cihazda kuruma özel anahtarla tek yönlü özete çevrilir; veritabanında yalnız özet ve son dört hane bulunur.
- Cihaz kimliği: Her cihaz kendi kimliğiyle ve yönetici onayıyla katılır, karşılıklı kimlik doğrulamalı şifreli bağlantı kullanır; panelden iptal edilen cihaz bir sonraki istekte reddedilir.
- Kayıt zinciri: Geçiş ve denetim kayıtları özet zinciriyle bağlıdır; silme ya da değiştirme zincir doğrulamasında tespit edilir.
- Ayrıştırılmış yetki: 43 ayrı panel izniyle örneğin yalnız ziyaretçi kabulü ya da yalnız puantaj görme yetkisi verilebilir; her değişiklik önceki ve sonraki değeriyle denetim kaydına girer.
- Bağlantısız çalışma: Kapılar sunucunun imzaladığı yetki listesinin kopyasını taşır; internet kesilse de aynı kurallarla karar verilir ve noktanın davranışı (önbelleğe göre, kapalı kal, açık kal) ayrı ayrı seçilir.
KVKK tarafında kurum, geçiş kayıtlarının saklama süresini 30 gün ile paketindeki üst sınır arasında seçer; süresi dolan kayıtlarda kişiyle ilişkilendiren alanlar her gün kendiliğinden silinir. Ziyaretçiden kimlik numarası alınmaz. Ayrıntılar için SmartPass ürün sayfasına bakabilirsiniz.
Digital Bridge nasıl yardımcı olur?
Kapı güvenliği yalnız yazılım seçimi değildir; mevcut turnike ve okuyucuların değerlendirilmesi, bölge ve yetki tasarımı ve BT politikalarıyla uyum da gerekir. Digital Bridge, kartlı geçiş sistemleri tarafında keşif ve saha kurulumunu üstlenir. SmartPass'in sabit terminali OSDP okuyucu ve kuru kontak röleyle çalıştığı ve marka bağımsız olduğu için röle girişi olan mevcut turnike ve kapılar çoğu zaman yeniden kullanılabilir; kesin durum keşifte netleşir.
Fiziksel erişimi daha geniş bir güvenlik programına bağlamak isterseniz siber güvenlik danışmanlığı hizmetimizle risk değerlendirmesi, yetki modeli ve işten ayrılış süreçlerini birlikte ele alırız. Başlangıç noktası olarak KOBİ siber güvenlik kontrol listesi de işinize yarar.
Sonraki adım ne olmalı?
Önce bu yazıdaki risk tablosunu kendi tesisinize uygulayın: hangi kart türünü kullandığınızı, ayrılan çalışanların kartlarının aynı gün kapatılıp kapatılmadığını ve panele kimlerin hangi yetkiyle girdiğini not edin. En çok "bilmiyoruz" cevabı alan satır önceliğinizdir.
SmartPass'i kendi kapılarınızda değerlendirmek isterseniz özellikleri SmartPass sayfasında inceleyebilirsiniz. SmartPass donanımla birlikte kurulduğu için fiyat geçiş noktası ve kişi sayısına göre teklifle belirlenir; satın almak için SmartPass satış formunu doldurabilir ya da keşif için iletişim sayfamızdan bize ulaşabilirsiniz.