Gölge BT: Kredi Kartıyla Alınan SaaS Araçları Şirketinizi Nasıl Riske Atar?

Faturası Kredi Kartına Gelen Risk

Bir pazarlama uzmanı yeni bir anket aracına üye olur, bir satış temsilcisi ücretsiz bir not uygulamasına müşteri görüşmelerini kaydeder, İK ekibi aday özgeçmişlerini bir çevrim içi dönüştürücüye yükler. Her biri iş görmek için iyi niyetle atılmış adımlardır. Ancak bu araçların hiçbiri satın alma sürecinden geçmediği için şirketin sözleşme, güvenlik ve veri koruma kontrollerinin de dışında kalır.

Bu yazıda gölge BT'nin neden yaygınlaştığını, kişisel veri ve yurt dışı aktarım açısından hangi riskleri doğurduğunu ve satın alma ekibinin bu araçları nasıl görünür hâle getirebileceğini ele alıyoruz. Amaç yasak listesi çıkarmak değil; çalışanların ihtiyaç duyduğu araçlara kontrollü bir yoldan ulaşmasını sağlamaktır.

Gölge BT nedir, neden yaygınlaşıyor?

Gölge BT (İngilizce “shadow IT”), kurumun bilgi işlem birimi ve satın alma süreci dışında edinilen ve kullanılan yazılım, uygulama ve hizmetlerin genel adıdır. Eskiden bir çalışanın kendi bilgisayarına izinsiz program kurması akla gelirdi. Bugün ise büyük kısmı tarayıcıdan açılan, birkaç dakikada üye olunan ve aylık küçük tutarlarla faturalanan SaaS hizmetlerinden oluşur.

Yaygınlaşmasının birkaç nedeni vardır:

Düşük giriş eşiği: Ücretsiz deneme sürümleri ve kredi kartıyla anında aktive edilen abonelikler, satın alma onayına takılmayacak kadar küçük görünür.

Yavaş algılanan resmî süreç: Talep formu, teklif karşılaştırması ve sözleşme incelemesi haftalar sürüyorsa ekipler kısa yolu tercih eder.

Departman bütçeleri: Masraf kalemi olarak geçen abonelikler, merkezi yazılım bütçesinde görünmez.

Yapay zekâ araçları: Metin, görsel ve toplantı özeti üreten yeni araçlar, çalışanların kendi başına denediği en hızlı büyüyen kategoridir.

Sorun aracın kendisinden çok, şirketin o aracın varlığından habersiz olmasıdır. Bilinmeyen bir aracın güvenlik ayarı kontrol edilemez, sözleşmesi incelenemez ve çalışan ayrıldığında hesabı kapatılamaz.

Kişisel veri ve yurt dışı aktarım boyutu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından, çalışanın şirket işi için kullandığı araca yüklediği kişisel veriden şirket veri sorumlusu olarak sorumludur. Aracı kimin, hangi kartla edindiği bu sorumluluğu değiştirmez. Bu durum üç ayrı risk doğurur.

Kontrolsüz veri işleyen: SaaS sağlayıcısı, şirket adına veri işlediği ölçüde veri işleyen konumundadır. KVKK'nın 12. maddesinin ikinci fıkrası, veri sorumlusunu güvenlik tedbirleri konusunda veri işleyenle birlikte müştereken sorumlu tutar. Kredi kartıyla kabul edilen standart kullanım koşulları ise çoğu zaman sağlayıcının lehine yazılmıştır ve şirketin talimat verme, denetleme ya da sözleşme sonunda veriyi geri alma imkânını düzenlemez. Veri sorumlusu ile veri işleyen ayrımını veri sorumlusu ve veri işleyen farkı yazımızda ayrıntılı ele aldık.

Fark edilmeyen yurt dışı aktarım: Popüler SaaS araçlarının büyük bölümü verileri yurt dışındaki sunucularda tutar. 7499 sayılı Kanunla 2024'te yeniden düzenlenen KVKK'nın 9. maddesi, yurt dışına aktarımı; yeterlilik kararı, uygun güvenceler (ör. Kurul'un ilan ettiği standart sözleşmeler) ya da dar kapsamlı arızi aktarım istisnalarından birine bağlar. Standart sözleşmeye dayanan bir aktarımda sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilir. Kimsenin haberdar olmadığı bir araç için bu adımların hiçbiri atılmış olmaz. Kurum'un yurt dışı aktarım rehberine ilişkin özetimizi yurt dışı veri aktarımı uygulama rehberi yazısında bulabilirsiniz.

Aydınlatma metniyle çelişki: Şirketin aydınlatma metni verilerin hangi alıcı gruplarına ve hangi amaçla aktarıldığını anlatır. Gölge bir araçla yapılan aktarım bu metinde yer almaz; metin ile gerçek uygulama birbirinden kopar. Bir veri ihlali ya da ilgili kişi başvurusu gündeme geldiğinde şirket, verinin nerede olduğunu dahi gösteremeyebilir.

Özel nitelikli kişisel veri (ör. sağlık raporu, biyometrik veri, sendika üyeliği) bu araçlara yüklendiğinde risk ağırlaşır; bu veriler için Kurul'un belirlediği yeterli önlemlerin alınması ayrıca gerekir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Envanter çıkarma yöntemleri

Gölge BT'yi yönetmenin ilk adımı onu görünür kılmaktır. Tek bir yöntem tüm araçları yakalamaz; aşağıdaki kaynakların birlikte kullanılması önerilir.

Ağ ve e-posta kayıtlarının incelenmesi de çalışanların kişisel verisini işlemek anlamına gelir. Bu inceleme amaçla sınırlı tutulmalı, yalnızca uygulama düzeyinde (hangi hizmet kullanılıyor) yapılmalı ve çalışan aydınlatma metninde yer almalıdır.

Bulunan her araç için en az şu bilgiler kaydedilir: aracın adı ve sağlayıcısı, kullanan departman, işlenen veri kategorileri, verilerin tutulduğu ülke, sözleşme veya kullanım koşullarının türü ve hesabın sahibi. Bu kayıt, kişisel veri envanterinin bir parçası hâline gelmelidir.

Gölge BT Envanter Kaynakları

Onay ve satın alma süreci

Gölge BT çoğu zaman resmî sürecin yavaşlığına verilen bir tepkidir. Bu yüzden çözüm, süreci daha da ağırlaştırmak yerine risk düzeyine göre kademelendirmektir.

Kısa talep formu: Aracın adı, kullanım amacı, kullanıcı sayısı ve araca hangi verilerin yükleneceği birkaç soruyla alınır.

Risk sınıflandırması: Kişisel veri içermeyen araçlar hızlı onay yoluna, kişisel veri veya özel nitelikli veri içerenler ayrıntılı incelemeye yönlendirilir.

Sağlayıcı incelemesi: Verilerin tutulduğu ülke, alt işleyenler, güvenlik belgeleri ve veri işleme şartları kontrol edilir.

Sözleşme ve aktarım dayanağı: Veri işleyen hükümleri ile yurt dışı aktarım varsa KVKK'nın 9. maddesine uygun mekanizma belirlenir.

Kayıt ve devreye alma: Araç envantere ve izinli araç listesine eklenir; hesap kurumsal kimlikle açılır, sahibi atanır.

Satın alma ekibinin bu süreçteki rolü kritik bir kontrol noktasıdır: kurumsal kartla yapılan yeni bir yazılım aboneliği, talep kaydı olmadan masraf olarak onaylanmamalıdır. Bu tek kural, gölge BT'nin önemli bir kısmını kaynağında yakalar.

Çalışanlar için izinli araç listesi

Yasaklamak tek başına işe yaramaz; çalışan ihtiyacını karşılayan onaylı bir alternatif bulamazsa kısa yolu kullanmaya devam eder. İzinli araç listesi, hangi iş için hangi aracın kullanılabileceğini açıkça gösteren yaşayan bir belgedir.

Liste üç kategoriyle kurulabilir:

Onaylı araçlar: Kurumsal hesapla kullanılan, sözleşmesi ve güvenlik incelemesi tamamlanmış araçlar. Hangi veri türlerinin yüklenebileceği her araç için belirtilir.

Sınırlı kullanım: Yalnızca kişisel veri içermeyen işlerde (ör. genel metin taslağı, kamuya açık bilgilerle sunum) kullanılabilecek araçlar.

Kullanılmaması gerekenler: İncelemeden geçemeyen veya kişisel verinin yüklenmesine uygun olmayan araçlar ve gerekçesi.

Liste intranette kolay erişilen bir yerde yayımlanmalı, yeni talep yolu listenin hemen altında gösterilmelidir. Yapay zekâ araçları için ayrı bir kullanım çerçevesi gerekiyorsa AI kullanım politikası yazımız başlangıç noktası olabilir; sohbet robotlarına veri yüklemenin risklerini ise ChatGPT'nin kurumsal kullanımı yazısında ele aldık.

Hızlı aksiyon planı

Gölge BT'yi tek seferde ortadan kaldırmak gerçekçi değildir. Aşağıdaki sıra, ilk üç ayda en yüksek riski azaltmaya odaklanır:

Bu adımlar sırasında ayrılan çalışanların araç hesaplarının kapatılması da unutulmamalıdır. Kurumsal kimlikle açılmamış bir hesap, çalışan ayrıldıktan sonra da müşteri verisine erişim sağlamaya devam edebilir.

Üç Aylık Aksiyon Planı

Sonuç ve Sonraki Adım

Gölge BT, kötü niyetten çok hız ihtiyacından doğar; ancak sonucu, şirketin bilmediği yerlerde ve çoğu zaman yurt dışında işlenen kişisel verilerdir. KVKK açısından sorumluluk aracı kimin edindiğine bakmaksızın veri sorumlusu olan şirkette kalır. Kart ekstrelerinden başlayan bir envanter, risk düzeyine göre kademelenen bir onay süreci ve izinli araç listesi, bu sorumluluğu yönetilebilir hâle getirir.

Satın alma ekibinin tedarikçi ve sözleşme süreçlerinde KVKK'yı nasıl ele alabileceğini satın alma departmanı için KVKK sayfamızda bir arada bulabilirsiniz.

Sık Sorulan Sorular