# Veri Merkezi Erişim Kontrolü Nedir? Sistem Odasına Kimin, Ne Zaman ve Neden Girdiğini Kanıtlamak

> Veri merkezi erişim kontrolü nedir, nasıl kurulur? Katmanlı bölgeler, süreli tedarikçi yetkisi ve denetim iziyle ISO 27001'e hazır 6 adımlı çerçeve.

Kaynak: https://digitalbridge.com.tr/blog/veri-merkezi-erisim-kontrolu.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Geçiş Kontrolü ve PDKS
Yayın: 2026-10-26 · Güncelleme: 2026-10-26

**Veri merkezi erişim kontrolü**, sunucu, depolama ve ağ ekipmanının bulunduğu alanlara yalnızca yetkili kişilerin, yalnızca gerektiği süre boyunca girmesini sağlayan ve her girişi kayda alan fiziksel güvenlik katmanıdır. İyi bir tasarım binadan veri salonuna iç içe bölgeler kurar, tedarikçiye süreli yetki verir ve denetçinin "sistem odasına kim girdi?" sorusunu dakikalar içinde cevaplar.

## Kısaca

- Veri merkezi erişim kontrolü bina girişinden kabinete uzanan iç içe bölgeler kurar; yetki dışarıdan içeriye doğru daralır.
- Kalıcı yetki yalnızca her gün veri salonuna giren az sayıda kişiye verilir; tedarikçi iş emrine bağlı süreli yetkiyle girer.
- ISO/IEC 27001 denetçisi kimin hangi alana yetkili olduğunu, yetkilerin nasıl verilip geri alındığını ve giriş kayıtlarını görmek ister.
- Verizon DBIR 2026'ya göre üçüncü tarafın dahil olduğu ihlaller toplamın %48'ine ulaştı; bakım ve tedarikçi ekipleri bu gruptadır.
- Digital Bridge'in geliştirdiği SmartPass, reddedilen her geçişi nedeniyle, her yetki değişikliğini önceki ve sonraki değeriyle kaydeder.

Siber güvenliğin en pahalı açıkları bazen bir kapının arkasında başlar; dijital tarafın kontrollerini ise [KOBİ siber güvenlik kontrol listemizde](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) topladık. Bu rehberde katmanlı bölge tasarımını, 6 adımlı uygulama çerçevesini, [ISO 27001](https://digitalbridge.com.tr/sozluk.html#iso-27001) denetiminde istenen kanıtı ve bir bakım ziyaretinin adım adım akışını bulacaksınız; fabrika, hastane ve okul gibi diğer senaryolar [Geçiş Kontrolü ve PDKS](https://digitalbridge.com.tr/blog/konu/gecis-kontrol.html) sayfamızda.

## Sistem odası erişiminde en sık görülen sorunlar nelerdir?

Büyük bir veri merkezinde de, bir fabrikanın bodrum katındaki sistem odasında da tablo benzerdir. Kapıyı açan anahtar ya da kart birkaç kişidedir ama "birkaç kişi"nin tam listesi kimsede yoktur. Klima bakımcısı, UPS (kesintisiz güç kaynağı) servisi, ağ tedarikçisi ve operatör firmanın teknisyeni yılda onlarca kez gelir. Çoğu zaman bir bilgi teknolojileri (BT) çalışanı kapıyı açar, iş bitene kadar bekler ya da beklemez.

Kurumsal veri merkezlerinde ek bir katman vardır: aynı salonda birden çok müşterinin ya da birimin ekipmanı durur. Hangi teknisyenin hangi kabinete eriştiği, sözleşmesi biten tedarikçinin kartının iptal edilip edilmediği, gece yarısı yapılan bir girişin planlı bir bakım mı yoksa bir ihlal mi olduğu, kayıt yoksa bilinemez.

Sistem odası erişimindeki bu boşluklar denetim geldiğinde netleşir. ISO/IEC 27001 gibi bilgi güvenliği standartları, fiziksel giriş kontrollerini ve bunların kanıtını açıkça ister; "kapı kilitliydi" demek yetmez, kimin, ne zaman, hangi yetkiyle girdiğinin kaydı gerekir. Kapsamlı bir [sızma testi](https://digitalbridge.com.tr/blog/sizma-testi-nedir.html) de çoğu zaman bu soruyu sahada sınar: test ekibi kılık değiştirerek sistem odasına kadar ilerleyebiliyorsa, ağdaki güvenlik duvarlarının anlamı azalır.

## Kontrolsüz veri merkezi erişiminin maliyeti nedir?

Veri merkezinde fiziksel erişim açığı iki yoldan pahalıya patlar: kesinti ve veri ihlali.

> Uptime Institute'un 2025 yıllık anketine göre katılımcıların **%57'si** son büyük kesintilerinin **100 bin dolardan fazlaya** mal olduğunu söyledi; her beş katılımcıdan biri ise maliyetin **1 milyon doları** aştığını bildirdi. ([Uptime Institute, Annual Outage Analysis 2026](https://uptimeinstitute.com/about-ui/press-releases/uptime-announces-annual-outage-analysis-report-2026))

Uptime Institute aynı bültende, insan hatasından kaynaklanan kesintilerin başlıca nedeninin belirlenmiş prosedürlere uyulmaması olduğunu vurguluyor. Yani sorun çoğu zaman teknoloji değil, doğru kişinin doğru prosedürle doğru alana girmesinin garanti altına alınamaması.

Veri ihlali tarafında da insan ve üçüncü taraf etkisi büyüyor. [Verizon 2026 Veri İhlali Araştırmaları Raporu'na (DBIR)](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) göre ihlallerin %62'sinde insan faktörü rol oynadı; üçüncü tarafın dahil olduğu ihlaller ise %60 artarak toplamın %48'ine ulaştı. Veri merkezine giren tedarikçi ve bakım ekipleri tam da bu üçüncü taraf kategorisindedir. İhlal gerçekleştiğinde fatura yüksektir: [IBM Veri İhlali Maliyeti Raporu 2026](https://www.ibm.com/reports/data-breach)'ya göre bir veri ihlalinin küresel ortalama maliyeti 4,99 milyon dolara ulaştı.

Türkiye'de KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) veri sorumlusundan kişisel verilerin güvenliği için teknik ve idari tedbir almasını ister. Kişisel veri barındıran sunucuların fiziksel erişim kaydı, bu tedbirin kanıtıdır. Bir ihlal yaşandığında aynı kayıt, [72 saat içinde veri ihlali bildirimi](https://digitalbridge.com.tr/blog/kvkk-veri-ihlali-72-saat.html) için gereken bilgiyi de sağlar.

## Veri merkezi erişim kontrolü nasıl kurulur? 6 adımlı çerçeve

1. **Katmanlı bölgeler kurun.** Bina girişi → veri merkezi koridoru → veri salonu → kabinet ya da kafes alanı. Her katman bir öncekinin içindedir ve [bölge bazlı yetkilendirme](https://digitalbridge.com.tr/sozluk.html#zone-based-access) ile yetki dışarıdan içeriye doğru daralır. Kart, okuyucu ve kontrolörün rolünü [kartlı geçiş sistemi rehberimizde](https://digitalbridge.com.tr/blog/kartli-gecis-sistemi-nedir.html) anlattık.
2. **"Asgari yetki" ile başlayın.** Kalıcı yetki yalnızca işi gereği her gün salona giren az sayıda kişiye verilir. Diğer herkes, BT'nin geri kalanı dahil, talep ve onayla süreli yetki alır. Bu, BT hesaplarındaki [en az yetki ilkesinin](https://digitalbridge.com.tr/blog/en-az-yetki-ilkesi.html) kapıdaki karşılığıdır.
3. **Tedarikçiyi ve ziyaretçiyi süreli kimlikle yönetin.** Bakım firmasına kalıcı kart değil, iş emrine bağlı ve gün ile saat aralığıyla sınırlı geçici kart ya da kullandığınız sistem destekliyorsa [süreli QR kod](https://digitalbridge.com.tr/blog/qr-kod-ziyaretci-girisi.html) verin. İş bitince yetki kendiliğinden kapanmalı.
4. **Kart paylaşımını ve peşinden girişi engelleyin.** Veri salonu gibi kritik alanlarda tek kişilik geçiş sağlayan kabin tipi geçişler ve giriş-çıkış sırasını denetleyen kurallar düşünülmeli. Geçiş sırası denetiminin mantığını [anti-passback nedir](https://digitalbridge.com.tr/blog/anti-passback-nedir.html) yazımızda anlattık; aynı çift kapı ve sıra mantığının kontaminasyonu önlemek için kullanıldığı örnek [temiz oda giriş kontrolü](https://digitalbridge.com.tr/blog/temiz-oda-giris-kontrolu.html) yazısında.
5. **Kimlik doğrulama gücünü alana göre seçin.** Koridorda kart yeterli olabilir; veri salonunda kart ile parmak izini birlikte istemek değerlendirilebilir. Seçenekleri [parmak izi, kart ve yüz tanıma karşılaştırması](https://digitalbridge.com.tr/blog/parmak-izi-kart-yuz-tanima-karsilastirma.html) yazımızda karşılaştırdık.
6. **Kaydı denetime hazır tutun ve düzenli gözden geçirin.** Her yetki değişikliği eski ve yeni değeriyle kaydedilmeli; üç ayda bir "bu kişinin hâlâ bu yetkiye ihtiyacı var mı?" incelemesi yapılmalı. Denetçiye salt okunur erişim verilebilmeli.

### Veri merkezi katmanlarına göre örnek yetki tablosu

| Katman | Kim girer? | Kimlik | Kayıt |
|---|---|---|---|
| Bina girişi | Tüm personel, kayıtlı ziyaretçi | Kart / geçici ziyaretçi kartı | Giriş-çıkış |
| Veri merkezi koridoru | BT, tesis ekibi, onaylı tedarikçi | Kart / iş emrine bağlı geçici kart | Giriş-çıkış + bölge |
| Veri salonu | Az sayıda kalıcı yetkili, onaylı iş emri | Kart + ikinci doğrulama | Her geçiş, onay kaydıyla |
| Kabinet / kafes | Yalnızca ilgili ekip | Salon yetkisi + ayrı kural | Kişi, saat, alan |

## ISO 27001 denetiminde fiziksel erişim için hangi kanıt istenir?

ISO/IEC 27001:2022, Ek A kontrol listesinde fiziksel güvenliğe ayrı bir başlık ayırır. Veri merkezi erişim kontrolüyle en doğrudan ilgili kontroller aşağıdaki tabloda; denetçi her biri için yazılı bir kural ve o kuralın uygulandığını gösteren kayıt arar.

| Ek A kontrolü | Konusu | Veri merkezinde gösterilecek kanıt |
|---|---|---|
| 5.18 Erişim hakları | Yetkilerin verilmesi, gözden geçirilmesi ve geri alınması | Onaylı yetki talepleri, üç aylık gözden geçirme kaydı, ayrılan personelin kapatılan yetkisi |
| 7.1 Fiziksel güvenlik çevresi | Güvenli alanların sınırlarının tanımlanması | Katman ve bölge planı |
| 7.2 Fiziksel giriş | Güvenli alanlara girişin kontrol edilmesi | Kişi, kapı ve saat bazında giriş kayıtları; ziyaretçi ve tedarikçi kayıtları |
| 7.4 Fiziksel güvenlik izleme | Tesisin yetkisiz girişe karşı izlenmesi | Kamera kayıtları, reddedilen geçişler ve alarm kayıtları |

Pratikte denetçi bir dönem seçip örnek ister: "Geçen çeyrekte veri salonuna kimler girdi ve her biri hangi iş emriyle?" Veri merkezi erişim kaydı bu soruya dakikalar içinde cevap verebiliyorsa kontrol çalışıyor demektir; cevap birkaç gün süren bir Excel çalışması gerektiriyorsa denetim bulgusu kaçınılmazdır.

## Digital Bridge veri merkezi erişim kontrolünü nasıl kuruyor?

Digital Bridge, veri merkezi erişim kontrolünü [fiziksel ve siber güvenliğin kesiştiği](https://digitalbridge.com.tr/blog/kapi-karti-siber-guvenlik.html) yerde ele alır:

1. **Risk ve mevcut durum analizi.** [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında fiziksel erişimi de değerlendiriyoruz: kimde anahtar ya da kart var, tedarikçi nasıl giriyor, kayıt nerede tutuluyor.
2. **Bölge ve kural tasarımı.** Bina girişinden kabinete uzanan katmanları tesisinize göre çiziyor, kimin hangi koşulda gireceğini sade dilde yazıyoruz.
3. **Donanım.** Kapı okuyucuları, turnike ve kilitler için [kartlı geçiş sistemleri](https://digitalbridge.com.tr/endustriyel-urunler/kartli-gecis.html), ikinci doğrulama gereken noktalar için [parmak izi geçiş](https://digitalbridge.com.tr/endustriyel-urunler/parmak-izi-gecis.html) çözümlerimizi kullanıyoruz. Donanımda teknik fizibilite ücretsizdir.
4. **Görüntü ve ortam izleme.** Kritik kapıları görüntüyle de izlemek için ONVIF uyumlu kameraları [IP kamera izleme](https://digitalbridge.com.tr/endustri-40/ip-kamera-izleme.html) altyapısında merkezi olarak izlenebilir hale getiriyoruz. Sıcaklık, nem ve enerji gibi bina verileri için [akıllı bina ve BMS](https://digitalbridge.com.tr/endustri-40/akilli-bina-bms.html) (bina yönetim sistemi) tarafında Modbus, BACnet, KNX ve DALI protokolleriyle çalışıyoruz.
5. **KVKK ve denetim.** Erişim kayıtlarının saklama süresini ve kimlerin göreceğini [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) ile birlikte netleştiriyoruz.
6. **Yazılı teklif ve destek.** Kapsam, aşamalar ve bedel yazılı sunulur; Türkiye'nin tüm illerine uzaktan ve yerinde hizmet, 7/24 teknik destek.

## SmartPass ile sistem odasına bakım ziyareti nasıl yönetilir?

[SmartPass](https://digitalbridge.com.tr/smartpass.html), Digital Bridge'in geliştirdiği; kartlı geçiş kontrolü, personel devam kontrol sistemi (PDKS), ziyaretçi kabulü ve yemekhane yönetimini tek panelde birleştiren yazılımdır. Veri merkezi gibi hassas alanlarda öne çıkan yanları bölgelere bağlanan yetki grupları, nedeniyle kaydedilen her red ve her değişikliği önceki ve sonraki değeriyle tutan denetim kaydıdır. Bir UPS bakım ziyaretini adım adım düşünelim:

**Bir gün önce.** BT müdürü bakım firmasının teknisyeni için ön kayıt oluşturur: ad, soyad, firma, sorumlu personel, ziyaret amacı ve bitiş. Ziyaret, yalnızca bina girişi, veri merkezi koridoru ve UPS odası bölgelerine bağlı bir yetki grubuyla tanımlanır. Veri salonu bu yetkinin dışındadır.

**10:05 — Giriş.** Teknisyen resepsiyonda geçici kart alır; sorumlu personele e-posta gider. Kartın yetkisi ziyaretin yetki grubu ve süresiyle sınırlıdır. Personelin 13,56 MHz MIFARE kartları ile ziyaretçinin geçici kartı aynı terminalde okunur ve aynı kurallarla, sunucudaki tek karar motorunda değerlendirilir.

**10:20 — Yetkisiz kapı denemesi.** Teknisyen yanlışlıkla veri salonu kapısına kartını okutur. Kapı açılmaz ve geçiş "bölge yetkisi yok" nedeniyle reddedilip kayda geçer; çünkü kartın yetkisi yalnızca UPS odasına giden bölgeleri kapsar. Yetki dışı bir alana "bir kereliğine" girmek için kimsenin kapıyı açık tutması gerekmez.

**Zaman profilleri.** BT ekibi, altyapı ekibinin veri salonuna hafta içi girmesini, hafta sonu ise yalnızca nöbetçinin girmesini ister. SmartPass'te kişinin yetkisi üye olduğu yetki gruplarının birleşimidir ve her grup bölgelere isteğe bağlı haftalık zaman profiliyle bağlanır: altyapı ekibinin grubu veri salonuna hafta içi profiliyle, nöbetçi grubu hafta sonu profiliyle bağlanır. Kural panelde değiştiği anda bütün kapılarda geçerli olur; hafta sonu yetkisiz bir okutma "izinli saat dışı" nedeniyle reddedilir ve kayda geçer.

**14:00 — Ziyaretin bitişi.** Ziyaretin süresi dolduğunda kart hiçbir noktada geçmez ve panelde uyarı çıkar; teknisyen çıkışta kartı iade eder. Kimsenin kartı iptal etmeyi hatırlaması gerekmez.

**Denetim günü.** İç denetçiye panelde yalnızca ihtiyaç duyduğu izinler verilir: SmartPass'te 43 ayrı panel izni vardır ve denetim kaydı raporu ayrıca izin ister. Denetçi geçen çeyrekte veri salonuna yapılan geçişleri, red nedenlerini ve her değişikliği önceki ve sonraki değeriyle görür. Geçiş ve denetim kayıtları özet zinciriyle bağlıdır; bir kaydın silinmesi ya da değiştirilmesi zincir doğrulamasında tespit edilir.

**Fiziksel ve dijital erişim aynı yerde.** SmartPass, [Smart360 ürün ailesinin](https://digitalbridge.com.tr/smart360.html) bir parçasıdır: panele Smart360 kimliğiyle (SmartID) girilir, kullanıcılar ve roller Smart360 müşteri panelinde yönetilir. Kurumdan ayrılan bir çalışan Smart360'ta silindiğinde SmartPass'teki adı ve kişisel bilgileri silinir, kartı iptal edilir.

**Acil durum ve anlık doluluk.** SmartPass'te acil durum modundaki noktada çıkışlar serbest kalır, girişler kapanır ve kurumun bildirim alıcılarına e-posta gider; gerektiğinde bir nokta panelden kilitlenir. Panoda o an içeride olan personel, taşeron ve ziyaretçi sayısı görülür.

**KVKK ve çok tesisli yapı.** SmartPass kart numarasını saklamaz: numara okunduğu anda cihazda kuruma özel anahtarla tek yönlü özete çevrilir, veritabanında yalnızca özet ve son dört hane tutulur. Saklama süresi dolan kayıtlarda kişiyle ilişkilendiren alanlar kendiliğinden silinir; sayılar ve raporlar korunur. Birden çok veri merkezi ya da tesisi olan kurumlarda her tesis ayrı bir SmartPass kurumu olarak açılabilir; her kurumun verisi kendi ayrı veritabanında tutulur ve yetkili kullanıcı "Kurumlarım" listesinden parola girmeden tesisler arasında geçer.

## Sonraki adım: sistem odanızın erişim envanterini çıkarın

Sistem odanızın ya da veri merkezinizin anahtarı ve kartı kimlerde, bugün bir liste halinde yazın. Son üç ayda gelen tedarikçileri ve bu girişlerin nerede kaydedildiğini ekleyin. Liste beklediğinizden uzunsa ya da kayıt yoksa, başlangıç noktası bellidir.

Veri merkezi erişim kontrolünün bütçe kalemlerini [kartlı geçiş sistemi maliyeti](https://digitalbridge.com.tr/blog/kartli-gecis-sistemi-maliyeti.html) yazımızda ayrıntılı anlattık. [SmartPass sayfamızdan](https://digitalbridge.com.tr/smartpass.html) ürünü inceleyebilir, SmartPass'i satın almak için [teklif formunu](https://smart360.com.tr/teklif-iste?urun=smartpass) doldurabilir, fiziksel ve siber güvenliği birlikte değerlendirmek için [bizimle iletişime geçebilirsiniz](https://digitalbridge.com.tr/iletisim.html).

## Sık Sorulan Sorular

### Veri merkezi erişim kontrolü ile normal kartlı geçiş arasındaki fark nedir?

Temel teknoloji aynıdır; fark tasarımdadır. Veri merkezinde yetki katman katman daralır, kalıcı yetki çok az kişiye verilir, tedarikçi süreli yetkiyle girer ve her giriş ile her yetki değişikliği denetime hazır biçimde kaydedilir. Veri salonu gibi kritik alanlarda kart yanında ikinci bir doğrulama katmanı da değerlendirilir.

### Bakım firmalarına kalıcı kart vermek neden risklidir?

Kalıcı kart, sözleşme bittikten sonra da kapı açmaya devam edebilir ve kimin kullandığı belirsizleşir. Geçici kart ya da süreli yetki, girişi belirli bir iş emri, gün ve saat aralığı ile sınırlar; süre dolunca yetki kendiliğinden kapanır. Böylece her bakım ziyareti bir iş emrine bağlanır ve denetimde hangi girişin hangi işe ait olduğu gösterilebilir.

### ISO 27001 denetiminde fiziksel erişim için ne istenir?

ISO/IEC 27001, güvenli alanlara girişin kontrol edilmesini ve bunun kanıtlanmasını ister. Pratikte denetçi kimlerin hangi alana yetkili olduğunu, yetkilerin nasıl verilip geri alındığını ve belirli bir dönemdeki giriş kayıtlarını görmek ister. SmartPass'te nedeniyle kaydedilen red kararları ve her değişikliği önceki ve sonraki değeriyle tutan, ayrı izinle açılan denetim kaydı bu kanıtı sunmayı kolaylaştırır.

### Küçük bir sistem odası için de bu kadar katman gerekir mi?

Gerekmez; katman sayısı riske göre belirlenir. Küçük bir sistem odasında bile kişiye özel kart, süreli tedarikçi yetkisi ve değişiklikleri denetim izine düşen giriş kaydı, anahtarla yönetilen bir kapıya göre büyük fark yaratır. Tek kapılı bir odada kart okuyucu ve kilitle başlanıp ihtiyaç büyüdükçe katman eklenebilir.

### Veri merkezi erişim kayıtları ne kadar süre saklanmalı?

Süre; sektör düzenlemelerine, sözleşmelere ve kurumun kendi politikasına göre belirlenir, KVKK ise kişisel verinin gerektiği kadar saklanmasını ister. SmartPass'te kurum geçiş kayıtlarının saklama süresini 30 gün ile paketindeki üst sınır arasında seçer; süresi dolan kayıtlarda kişiyle ilişkilendiren alanlar kendiliğinden silinir. Belirlenen süre saklama ve imha politikasına yazılmalı ve sistemde otomatik uygulanmalıdır.

### Veri merkezi erişim kontrol sistemi fiyatı neye göre belirlenir?

Fiyat; geçiş noktası sayısına, kişi sayısına ve donanım ihtiyacına (kapı okuyucu, kilit, gerekiyorsa ikinci doğrulama) göre belirlenir. SmartPass donanımla birlikte kurulduğu için çevrimiçi satılmaz, teklifle fiyatlandırılır. Kesin bedel, katman sayısı ve risk düzeyi keşifte netleştikten sonra yazılı teklifle verilir.