ERP güvenliğini yalnızca girişte değil, operasyonun tamamında yönetin

Auth & ACL kimin eriştiğini, hangi modül ve kaydı görebileceğini ve hangi aksiyona izin verildiğini tanımlar. Security & Governance ise bu kuralların sistem genelinde nasıl yönetildiğine, devreye almadan önce nasıl kontrol edildiğine, runtime/workflow/entegrasyon sınırlarına ve düzenli gözden geçirmeye odaklanır. İkisi birbirini tamamlar.

Mevcut ürün anlatımında doğrulanmış bir SSO veya MFA özelliği yer almaz; bu nedenle hazır bir kabiliyet olarak sunmuyoruz. Kurumsal kimlik entegrasyonları, ürün kapsamı ve teknik uygunluk açısından ayrıca değerlendirilmelidir.

Doğrulanmış bir SAML/OIDC kimlik federasyonu desteği bulunmuyor. Böyle bir gereksinim, ilgili kimlik sağlayıcısı ve teknik uygunluk üzerinden ayrı bir değerlendirme gerektirir.

Kullanıcının rolü, profili ve veri kapsamı belirler. Kapsam SELF, TEAM, BRANCH ve ALL_RUNTIME seviyeleriyle sınırlandırılır; kullanıcılar yalnızca kendileri için tanımlanan kapsamdaki kayıtları görür.

Bunlar veri kapsamı seviyeleridir: SELF kullanıcının kendi kayıtları, TEAM ekip kapsamı, BRANCH şube/birim kapsamı, ALL_RUNTIME ise runtime geneli erişimdir. Çoğu kullanıcı için dar kapsam yeterlidir; geniş kapsam yalnızca ihtiyaç halinde verilmelidir.

Hayır. Kullanıcılar, menüler, modüller ve kayıtlar ilgili firma runtime bağlamında yönetilir; başka firma bağlamlarına ilişkin görünürlük verilmemesi hedeflenir.

Hayır. Runtime ayrımı, operasyon kapsamının runtime seçimi ve veri kapsamı kontrolleriyle sınırlandırılmasıdır. Her firma için ayrı database, sunucu veya şifreleme anahtarı gibi fiziksel bir izolasyon iddiası içermez.

Sistem üzerindeki hareketler denetim kaydı kapsamında incelenebilir. Kapsam kullanılan modül ve kayıt türüne göre değişir; her okuma, yazma ve giriş olayının eksiksiz kaydedildiği bir garanti olarak sunulmaz.

Audit kaydını değiştirilemez (tamper-proof) veya WORM depolama gibi bir garanti olarak tanımlamıyoruz. Mevcut audit ve operasyon kayıtları, ilgili değişikliğin incelenmesine yardımcı olur.

Hazır bir SIEM export, Splunk veya Datadog entegrasyonu doğrulanmış bir ürün özelliği olarak sunulmaz. Böyle bir ihtiyaç ayrı bir teknik entegrasyon çalışması gerektirir.

Bu repository ürünün pazarlama sitesidir; backend ve hosting şifreleme yapılandırması burada doğrulanamaz. Bu nedenle belirli bir algoritma veya protokol (AES-256, TLS 1.3, BYOK) garantisi vermiyoruz; teknik detaylar kurulum ve bakım kapsamında değerlendirilmelidir.

Doğrulanmış bir sertifika bilgisi olmadığından herhangi bir sertifika veya resmî uyumluluk iddiasında bulunmuyoruz.

SAVA tek başına hukuki uyumluluk garantisi veremez. Ürün; en az veri, ihtiyaçla sınırlı erişim, yetki kontrolleri ve izlenebilir işlem yaklaşımı gibi tasarım ilkelerini destekler; ancak doğru kullanıcı yetkileri, veri kapsamı ve firma süreçlerinin ayrıca değerlendirilmesi gerekir.

Otomatik ve garantili bir yedekleme veya felaket kurtarma sistemi doğrulanmadığından bunu bir garanti olarak sunmuyoruz. Yedekleme ve kurtarma yaklaşımı teknik kurulum ve bakım kapsamında netleştirilmelidir.

Workflow'lar mevcut rol, profil, veri kapsamı ve runtime kuralları dikkate alınarak kurgulanmalıdır; erişim kontrolünün yerine geçmez. Hedef modül ve kayıt kapsamının kontrollü yapılandırılması önemlidir.

Bağlantı için gereken endpoint, kimlik bilgisi ve yetkiler ilgili servisin modeline göre teknik kurulum kapsamında yapılandırılır. Merkezi bir secret vault veya otomatik redaction bir ürün özelliği olarak sunulmaz; hassas bilgilerin arayüz ve loglarda gereksiz gösterilmemesi bir yönetişim ilkesidir.

Kritik süreçler doğrudan otomatik işlem yerine kullanıcı incelemesine veya takip adımına yönlendirilebilir. Bu, yerleşik bir pause/resume onay motoru bulunduğu anlamına gelmez.

Evet. Rol, profil, veri kapsamı ve operasyon ayarları ekip ve süreç değişikliklerine göre yeniden değerlendirilip güncellenebilir.

Ayrılan kullanıcının hesabı ve sorumlulukları kontrollü biçimde yeniden değerlendirilir; erişimlerin kaldırılması ve devredilen kayıtların doğru kapsamda kalması firma tarafında yönetilmesi gereken bir süreçtir.

Dashboard ve raporlar, kullanıcının profil ve veri kapsamına uygun sonuç üretecek şekilde yapılandırılır; kullanıcılar yalnızca kendileri için tanımlanan görünümleri görür.

Hayır. AI yalnızca kullanıcının yetkili olduğu ERP bağlamını kullanmalıdır; erişilemeyen kayıtlar AI bağlamına dahil edilmez ve kritik çıktılar insan tarafından değerlendirilir.

Gerçek zamanlı bir güvenlik izleme, threat detection veya canlı olay akışı sunmuyoruz. İşlemler, mevcut audit ve operasyon kayıtları üzerinden kendi kapsamı içinde incelenir.

Doğrulanmış bir penetrasyon testi veya otomatik güvenlik taraması iddiasında bulunmuyoruz. Bu tür değerlendirmeler ayrı bir kapsam olarak ele alınmalıdır.

Paylaşılan veri gerekli alanlarla sınırlandırılmalı ve harici servis erişimleri firma tarafından yönetilmelidir. Verinin hukuki ve operasyonel uygunluğunun değerlendirilmesi firma sorumluluğundadır.

Hayır. Bunlar ayrı gözlem noktalarıdır: audit log sistem hareketlerini, webhook teslim kaydı giden gönderimlerin sonucunu, e-posta takibi ise gönderilen e-postaların açılma durumunu kendi kapsamında gösterir.