"Kart okutuldu, kapı açılmadı." Bu bir bilinmezlik olmayacak.

Bir kaydın işe yaraması için ne gerekir

Bir geçiş kontrol sisteminin ürettiği en değerli şey açık kapı değildir. O kapının neden açık ya da kapalı kaldığının kaydıdır. "Kart okutuldu, kapı açılmadı" cümlesi güvenlik masasında sık duyulur. Burada bu cümle bir bilinmezlik olarak kalmaz: her geçiş denemesi makine tarafından okunabilir bir sebep koduyla sonuçlanır, bu kod geçiş olayları listesine, oradan ilgili rapora düşer.

Sebep kodları: gerçek, sabit, okunabilir

Karar motoru bir geçiş talebini değerlendirirken izlediği mantığı, sonuçta bıraktığı kodla açığa çıkarır. NO_RULE_MATCH kişi için hiçbir kural tanımlı değilse düşer. OUTSIDE_SCHEDULE zaman programı dışında bir denemeyse, CREDENTIAL_EXPIRED ya da CREDENTIAL_REVOKED kart süresi dolmuş ya da iptal edilmişse, PERSON_BLACKLISTED kişi kara listedeyse düşer. QUOTA_EXCEEDED günlük geçiş kotası dolmuşsa, ESCORT_REQUIRED refakat şartı karşılanmamışsa, PIN_REQUIRED ikinci faktör istenip girilmemişse görünür. Bu kodlar uydurulmuş etiketler değildir. Karar motorunun ürettiği sabit çıktılardır, aynı sebep aynı koda her seferinde düşer.

Filtreleme: tek satırda örüntü görmek

Geçiş olayları listesi tarih aralığı, kişi, bölge, terminal ve sebep koduna göre filtrelenir. Bir kişi bir saat içinde üç kez reddedildiyse, filtre bunu tek ekranda gösterir. Güvenlik sorumlusunun elle üç ayrı kaydı yan yana getirmesi gerekmez. Aynı filtre, tekrar eden DUPLICATE_READ ya da bilinmeyen kart denemelerini (CREDENTIAL_UNKNOWN) ayıklamak için de kullanılır. Bir terminalin sık sık tanınmayan kart okuması, o bölgede bir kart klonlama denemesi ya da basitçe eski bir kart stoğunun elden çıkmadığı anlamına gelebilir.

Şüpheli okumalar: sistem sizin yerinize fark eder

Bazı örüntüler tek bir kayıtta görünmez, yalnız yan yana konduğunda anlam kazanır. Aynı kartın kısa sürede iki farklı terminalde, aralarındaki mesafeye göre yürünmesi mümkün olmayan bir sürede okunması IMPOSSIBLE_TRAVEL ve ANTIPASSBACK_VIOLATION kodlarıyla işaretlenir, ayrı bir görünümde birikir. Bu, kartın kopyalanmış olabileceğinin ya da bir kişinin kartını başkasına verdiğinin erken sinyalidir. Rapor beklemeden, o gün fark edilir.

Mesai dışı geçişler ayrı bir raporda toplanır

Mesai saatleri dışında gerçekleşen her geçiş denemesi ayrı bir raporda toplanır: mesai dışı geçişler raporu, kişi ve bölge kırılımında hangi kartın, hangi terminalde, saat kaçta OUTSIDE_SCHEDULE koduyla karşılaştığını listeler. Vardiya amiri bu raporu haftalık kontrol ettiğinde, tekrar eden bir örüntü varsa (aynı kişinin sürekli mesai dışı geçiş denemesi gibi) zaman programının mı güncellenmesi gerektiğini, yoksa bir usulsüzlüğün mü söz konusu olduğunu ayırt eder. Rapor tek bir olayı değil, birikimi gösterir.

Rapor kimin elinde işe yarar

21 hazır rapor tek bir kişiye değil, farklı rollere göre tanımlıdır. Güvenlik amiri şüpheli okuma ve mesai dışı geçiş raporlarına bakar. İK, devamsızlık ve fazla mesai raporlarını puantaj kapanışında kullanır. Tesis müdürü haftalık özet raporu tek sayfada görür, tek tek kayda inmez. Bir dış denetim geldiğinde istenen genelde tek bir şeydir: belirli bir tarih aralığında, belirli bir bölgeye kimlerin girdiği. Bu sorunun cevabı ekrandan birkaç filtreyle çıkar, denetçinin gelişinden önce ayrı bir rapor hazırlamanız gerekmez.

Denetçi hesabı yanlışlıkla bir şeyi değiştirirse ne olur?

Değiştiremez. Denetçi rolü tanım gereği salt okunurdur: gösterge panelinden yetki matrisine, geçiş olaylarından denetim izine kadar her ekranı görür ama hiçbir kaydetme düğmesi ona açılmaz. Bu ayrım, dış denetim ya da iç kontrol için ayrı bir hesap açmanızı sağlar. Denetçiye erişim verirken "acaba yanlışlıkla bir şey bozar mı" sorusunu sormanıza gerek kalmaz.

Denetim izi: sistemde ne değişti

Geçiş olayları "kapıda ne oldu" sorusuna cevap verirken, denetim izi "sistemde ne değişti" sorusuna cevap verir. Bir yönetici bir kuralı değiştirdiğinde, bir kartı iptal ettiğinde ya da bir kullanıcı rolünü düzenlediğinde bu işlem kim tarafından, ne zaman, hangi alanın hangi değerden hangi değere çevrildiği bilgisiyle kayıtlıdır. Bu ayrım, iç denetim ya da dış denetim taleplerinde elle kayıt aramak zorunda kalmamanızı sağlar.

KVKK: saklama süreli, anonimleştirme geri alınamaz

Bir geçiş sistemi doğası gereği kişinin nerede olduğunu bilir. Bu bir sorumluluktur. Saklama süresi bölge ve kayıt türüne göre tanımlanır, süre dolduğunda kayıt geri döndürülemez biçimde anonimleştirilir: kişi bilgisi kayıttan sökülür, istatistiksel veri (kaç geçiş, hangi saat aralığı) kalır. Anonimleştirme tek yönlüdür. Eski bir kart yeniden okutularak geçmiş kayıt yeniden kimliğe bağlanamaz. Kart numarası da zaten düz metin saklanmaz, yalnızca HMAC özeti tutulur; cihaza inen özet ayrı bir anahtarla üretilir.

Çok tesisli yapılarda konsolide görünüm

Adana, Mersin ve Gaziantep'te birden çok tesisi olan holding yapılarında merkez, her tesisin geçiş olaylarını kendi ayrı veritabanında tutarken konsolide bir rapor talep edebilir. Tesis düzeyinde denetim izi bağımsız kalır, merkez tesisler arası karşılaştırma yapar. Tek tesisin verisine başka bir tesisin kullanıcısı ulaşamaz. Bir tesisteki denetçi rolü yalnız kendi tesisinin kayıtlarını görür. Merkezdeki konsolide rapor ayrı ve daha kısıtlı bir yetkiye bağlıdır.