Birçok şirket "IT'ye çok para harcıyoruz ama ne aldığımızı bilmiyoruz" cümlesini kurar. Doğrudur; çünkü harcama dağınıktır: bir ajansa site, bir yazılım evine ERP modülü, bir personele "bilgi işlem", bulutta ise bir zamanlar açılmış ama kimsenin sahiplenmediği hesaplar. Denetim, bu tabloyu netleştirmek ve karar vericinin masasına risk–maliyet–yol haritası koymaktır.
WorldwideTradeX danışmanlığında IT denetimi, "daha çok yazılım satın alın" demek değildir. Çoğu zaman çıktı şudur: üç harcama kalemini kapatın, bir süreci düzeltin, bir güvenlik boşluğunu kapatın, sonra büyümeye yatırım yapın. Türkiye'de ihracatçı ve proje tedarikçilerinde denetim, ayrıca Körfez/Orta Asya satış operasyonunun dijital taşıyıcılığını da sorgular. Ödediğiniz sistemlerin ve aboneliklerin listesini gönderin; teklif isteyin, bunları envanter, risk tablosu ve yol haritasına çeviren denetimi fiyatlandıralım.
Bu yazıda; IT denetiminin kapsamını, sık bulunan sorunları (gölge Excel, yedeksiz site, ajans bağımlılığı, açık yönetim panelleri), güvenlik ve KVKK izlerini, ERP olgunluk ölçütlerini ve bağımsız danışmanlığın nasıl çalıştığını anlatıyoruz.
Denetim Neyi Kapsar?
Yazılım ve lisans envanteri. Hangi ürün, hangi sürüm, hangi lisans, kim sahibi? "Crack'li Photoshop" ve süresi dolmuş güvenlik duvarı lisansları hem hukuki hem teknik risktir.
Altyapı. Sunucu, bulut, CDN, alan adı, SSL, DNS. Süresi dolan SSL veya başkasının hesabındaki domain, klasik kriz kaynaklarıdır.
Uygulamalar ve veri. Site, ERP, CRM, e-posta, depolama; kişisel veri nerede, kim erişiyor, yedek gerçekten dönüyor mu?
Süreç ve yetki. İşe alım/çıkışta hesap kapanıyor mu? Ayrılan çalışanın VPN'i duruyor mu? "Ortak şifre" var mı?
Güvenlik. Yama durumu, açık portlar, zayıf parola, yedek izolasyonu, log. Sızma testi ayrı bir derinlik; denetim en azından "düşük asılı meyveleri" listeler.
Maliyet ve sözleşme. Gereksiz abonelikler, çakışan ajans işleri, destek kapsamı boşlukları.
Dijital ticaret olgunluğu. RFQ → teklif → sevkiyat zinciri sistemde mi? Çok dilli içerik ve SEO altyapısı pazar hedefiyle uyumlu mu?
Türkiye'de Sık Görülen Bulgu Desenleri
| Bulgu | Etki | Yaygın kök |
|---|---|---|
| Gölge Excel | Veri çiftliği, denetim açığı | ERP kullanıcıya ağır geliyor |
| Yedek yok / test edilmemiş | Felakette veri kaybı | "Hosting zaten alıyordur" sanısı |
| Açık admin paneli | Site ele geçirme | WordPress/özel panel IP kısıtsız |
| Ajana bağımlı mülkiyet | Domain/site/dosya erişimi kopuk | Sözleşmede varlık sahipliği yazılmamış |
| E-posta spam/phishing | Müşteri güveni ve ödeme riski | SPF/DKIM/DMARC yok |
| ERP–site kopuk | RFQ kaybolması | Entegrasyon projesi hiç yapılmamış |
| Kişisel veri dağınıklığı | KVKK riski | Formlarda fazla alan, süresiz saklama |
| Tek kişi bağımlılığı | Bilgi kaybı | Dokümantasyon yok, "X Bey bilir" |
Denetim raporu bu bulguları kritik / yüksek / orta / düşük diye sıralar ve her biri için sahip, süre ve yaklaşık çaba yazar. Rapor, süslü PDF'ten çok karar listesi olmalıdır.
Güvenlik ve Uyum Kontrol Listesi (Özet)
- SSL aktif, eski TLS kapatılmış
- Yönetim panelleri kısıtlı; 2FA mümkünse zorunlu
- CMS/eklenti/kernel güncel
- SPF, DKIM, DMARC tanımlı
- Yedekler üretim sisteminden ayrı; geri yükleme testi kayıtlı
- Yetki matrisi (kim ne görebilir) yazılı
- KVKK: aydınlatma, saklama süresi, gereksiz alan temizliği
- `.env` ve anahtarlar Git'te değil; erişim loglu
- Üretimde diagnostic/test dosyası yok
- Olay müdahale: kim aranır, ne zaman müşteriye bildirilir?
ERP Olgunluk Ölçütleri
Logo, Netsis, Mikro veya SAP/NetSuite kullanmanız fark etmez; olgunluk aynı sorularla ölçülür:
- Tek kayıt: Aynı cari/stok iki yerde bağımsız büyüyor mu?
- İzlenebilirlik: Sipariş → yük → fatura zinciri tek bakışta görünüyor mu?
- Çok döviz: USD/EUR/RUB/TRY kayıtları ve kur etkisi raporlanıyor mu?
- Belge: Proforma, packing list, menşe, analiz siparişe bağlı mı?
- Yetki: Fiyat değiştirme ve onay adımları denetlenebilir mi?
- Rapor: Yönetim, Excel'e bağımlı olmadan karar alabiliyor mu?
- Entegrasyon: Site/form/banka ERP ile konuşuyor mu?
- İş sürekliliği: ERP sunucusu çökerse RTO nedir?
Ajans ve Tedarikçi Yönetimi
Türkiye'de dijital işler parçalı ajanslara dağılır: biri ADS, biri site, biri sosyal. Denetimde sorgulanacaklar:
- Varlık sahipliği: Domain, hosting, Google Ads hesabı, Analytics, sitenin kod deposu kimde?
- Çıkış klausülü: Sözleşme bitince ne devredilir, ne kadar sürede?
- Performans ölçümü: Ajans raporu "görüntülenme" mi, RFQ/teklif mi?
- Çakışma: İki ajans aynı işi yapıyor mu (çifte fatura)?
- Teknoloji borçlanma: Bakımsız eklenti yığını, dokümante edilmemiş özel kod.
Dünya Savaşı Değil: Öncelik Matrisi
| Etki | Çaba | Örnek | Ne zaman |
|---|---|---|---|
| Yüksek | Düşük | SSL/DMARC/yama, yedek testi | Hemen |
| Yüksek | Orta | ERP–RFQ entegrasyonu, yetki matrisi | 0–90 gün |
| Yüksek | Yüksek | Özel ERP katmanı, çok dilli portal | Yol haritası |
| Düşük | Düşük | Kozmetik site revizyonu | Sıra gelince |
| Düşük | Yüksek | Her şeye AI botu | Genelde ertelenmeli |
Danışmanlık değeri, listeyi kısaltmak ve doğru sırayı kurmaktır.
Sıkça Sorulan Sorular
Denetim ne kadar sürer?
Kapsama göre; orta ölçek bir şirkette envanter + güvenlik + süreç taraması genelde 2–4 hafta bandında raporlanır. Derin sızma testi ayrı iş kalemidir.Raporu kim yazar, kim uygular?
Denetimi bağımsız danışman yazar. Uygulama sizin ekibiniz, mevcut ajansınız veya WorldwideTradeX IT olabilir; şeffaflık için uygulayıcıyı rapor öncesi bilmeniz gerekir.Ajansımız kırgın olur mu?
Olabilir; ama birçok ajans net kapsam ve ortak hedeften yarar görür. Amaç suçlamak değil, kayıp ve riski görünür kılmaktır.KVKK cezası riski mi var?
Yükümlülükler ve güncel mevzuat hukuk danışmanınızla takip edilmelidir. Denetim, teknik ve süreçsel hazırlığı ölçer; hukuki görüş yerine geçmez.Bütçe kısıtlıysa nereden başlanır?
Önce yedek + yama + erişim + e-posta kimliği (SPD/DKIM/DMARC) gibi düşük çaba/yüksek etki kalemleri; sonra RFQ kaybını durduran en küçük entegrasyon.Biz zaten "güvenli hosting" alıyoruz.
Hosting paketi tek başına güvenlik programı değildir. Uygulama, yetki, yama, yedek ve süreç ayrı sorumluluklardır.Denetim her yıl tekrarlanmalı mı?
Kritik sistemlerde yıllık gözden geçirme sağlıklıdır; büyük sistem değişimi, birleşme, ciddi siber olay veya yeni pazar açılışında ise beklenmeden tekrarlayın. Hafif "hijyen taraması" çeyreklik de yapılabilir.Raporu yönetim kuruluna nasıl sunarız?
Yönetici özetini (risk haritası + 90 gün planı) tek sayfa tutun; teknik ekleri ayrı verin. Kurulun ihtiyacı "hangi risk, ne kadar para, kim sorumlu" üçlüsüdür.KOBİ'yiz; denetim bize fazla mı?
Tam tersine: kaynak kısıtlıyken yanlış yatırımdan kaçınmak daha değerlidir. Kapsamı daraltıp (site, yedek, ERP, e-posta) 1–2 haftalık teşhisle başlanabilir.Ajansımız zaten güvenlik sunuyor sunuyor?
Sağlayabilir; bağımsız doğrulama yine faydalıdır. "Koruyoruz" iddiasını test eden dış göz, iddia ile uygulama farkını kapatır.Veri ihlali şüphesinde ilk adım?
Erişimleri kısıtlayın, kanıt niteliğinde logları koruyun, iç olay ekibini ve gerekiyorsa hukuk/danışmanı devreye alın, müşteri ve resmî bildirim yükümlülüklerini mevzuata göre değerlendirin. Delil yok etmek en büyük ikinci hatadır.Ne kadar maliyet?
Kapsam (sistem sayısı, derinlik, seyahat/uzak çalışma) belirler. Tek site + ERP odaklı teşhis ile çok şubeli/çok sistemli denetim aynı fiyatlanmaz. Ön görüşme sonrası yazılı teklif verilir.Personel eğitimi dahil mi?
Bilinçlendirme (phishing, şifre, veri) eğitimleri değerli bir eklentidir; teknik denetimden ayrı oturum olarak planlanır.Sonraki Adım
IT harcama listesi (ajans, lisans, hosting, personel), ERP adınız ve en az bir "unutulan" kriz hikâyeniz yeterli. WorldwideTradeX bağımsız teşhis ve önceliklendirme görüşmesi yapar.
İletişim: RFQ veya [email protected] — "IT denetimi" konu satırı ile yazın.
Özet: IT Denetiminde Altın Kurallar
- Envanter olmadan yönetim yok. Hangi sistem, hangi lisans, kim sahibi?
- Yedek iddiasını test ile doğrulayın.
- Erişim listesi güncel olsun. Ayrılan personel, ortak şifre, unutulan VPN hesapları.
- Varlık sahipliğini sözleşmeye yazın (domain, repo, reklam hesabı).
- RFQ → teklif zincirini uçtan uca izleyin. Kayıp talep, en görünmez zarardır.
- Bulgu kartlarında sahip ve süre yazın. Sahipsiz öneri, gerçek olmaz.
- Düşük çaba/yüksek etki kalemlerinden başlayın (SSL, DMARC, yedek testi).
- KVKK ve müşteri sözleşmesi yükümlülüklerini teknik kararlara girdi yapın.
- Ajans performansını RFQ ile ölçün, görüntülenme ile değil.
- 90 günde ilerlemeyi ölçün. Denetim, rapor PDF'i ile değil kapanan risklerle değer kazanır.
Kısa Terminoloji
| Terim | Anlam |
|---|---|
| Denetim (audit) | Sistemli gözden geçirme ve bulgu raporu |
| Bulgu kartı | Risk–etki–öneri–sahip–süre formatı |
| Gölge IT | Resmî olmayan Excel/WhatsApp sistemleri |
| IAM / yetki matrisi | Kim hangi veri ve işleme erişir |
| Patching | Güvenlik ve hata yamalarının uygulanması |
| DR testi | Felaket kurtarma tatbikatı |
| TCO | Toplam sahip olma maliyeti |
| Vendor lock-in | Tedarikçiye aşırı bağımlılık |
| Second opinion | Bağımsız ikinci teknik görüş |
| Kick-off | Denetimin resmî başlangıç toplantısı |
Bu sözlük, yönetim–IT–ajans üçgeninde ortak dil kurar ve raporun uygulanabilirliğini artırır.
IT denetimi, panik değil öncelik üretir. Doğru yapıldığında yönetim nereye para harcayacağını, operasyon hangi riski önce kapatacağını ve ajansın neyden sorumlu olduğunu bilir. WorldwideTradeX bağımsız teşhis ve yol haritası için hazırdır; uygulamayı kim yaparsa yapsın, ölçülebilir kapanma listesi işin asıl çıktısıdır.
Denetim Metodolojisi (Adım Adım)
1. Kick-off ve kapsam. Hangi birimler, hangi sistemler, hangi dönem? Çıktı: denetim planı ve belge talep listesi.
2. Belge toplama. Sözleşmeler, lisanslar, ağ diyagramı (varsa), yedek politikası, politika/prosedürler, önceki olay kayıtları.
3. Görüşme. Yönetim (hedef ve risk iştahı), operasyon (gerçek süreç), IT/ajans (teknik durum). Kâğıt ile saha farkı burada çıkar.
4. Teknik tarama. Dışa açık yüzey (SSL, açık port, başlıklar), CMS sürümü, DNS/SPF/DKIM/DMARC, yedek dosya izleri, uygulama loglarına ilk bakış. Kapsam derin sızma testi değilse bu "sağlık taraması" düzeyindedir.
5. Süreç ve yetki analizi. RFQ'dan sevkiyata örnek bir iş kuru ile uçtan uca izleme; kopma noktaları.
6. Rapor ve öncelik. Yönetici özeti (1–2 sayfa), bulgu kartları (risk, etki, öneri, sahip), 30/90/180 gün yol haritası.
7. Takip. 30 günde ilk düzeltmeler; 90 günde entegrasyon/altyapı; 180 günde stratejik yatırımlar.
Örnek Bulgu Kartı (Format)
| Alan | İçerik |
|---|---|
| Bulgu | Üretim sunucusunda günlük yedek var ancak 9 aydır geri yükleme testi yok |
| Risk | Felaket anında yedek bozuksa tam veri kaybı |
| Etki | Yüksek (ERP cari + sevkiyat kayıtları) |
| Çaba | Orta (yarım gün test + dokümantasyon) |
| Öneri | Bu hafta test geri yükleme; çeyreklik tatbikat takvimi |
| Sahip | IT / hosting tedarikçisi |
| Süre | 7 gün |
Bu format, yönetim kurulu sunumunda da satış ekibi brifinginde de aynı netlikte okunur.
Sektöre Özel Notlar
Mermer/doğal taş ihracatı. Büyük görsel arşivleri ve blok–plaka takibi depolama/backup yükünü artırır; galeri ve teknik PDF'ler CDN'de durmalı, sunucu diski tıkanmamalıdır.
Agro ve gıda. GACC/Halal/fitosaniter belge setleri ve lot izlenebilirliği ERP kalitesine bağlıdır; denetim "belge nerede?" sorusunu sipariş bazında test eder.
MEP ve proje tedariki. Şartname revizyonları ve şantiye teslim tutanakları dosya yönetimine biner; dağınık WhatsApp/Drive zinciri risktir.
IT hizmeti satan birimler. Kendi danışmanlık satan şirketlerde denetim, "kendi köpeğini tımar edememe" riskini kırar; bağımsız göz şarttır.
Tedarikçi ve Sözleşme Kontrol Soruları
- Domain ve DNS hesabı hangi e-posta/şirket adında?
- Hosting/VPS sözleşmesinde SLA ve destek saatleri yazılı mı?
- Ajansın kod deposu kime ait; son teslim (repository) devri hangi formatta?
- Yedek saklama süresi ve yükümlülüğü kimde?
- KVKK kapsamında veri işleyen tedarikçi (processor) sözleşmesi var mı?
- Fesih sonrası veri silme ve devir prosedörü nedir?
- Fiyat artışı klausülü ve bağımlılık (vendor lock-in) düzeyi?
Danışmanlık Sonrası Uygulama: Yetki Sınırları
Bağımsız denetim raporu yazan taraf ile uygulayan taraf aynı ise çıkar çatışması algısı olabilir. WorldwideTradeX'te şeffaflık şöyledir:
- Rapor bulguları sizindir; dilediğiniz ekip/ajans uygulayabilir.
- Uygulamayı biz yapacaksak, ek teklif ve kapsam ayrıca yazılıdır.
- Denetim ücreti, "bize iş çıksın" varsayımına bağlı değildir; bu madde sözleşmede yer alır.
- İkinci görüş (second opinion) almanız profesyonel bir haktır; kolaylaştırırız.
Ölçüm: Denetim İşe Yaradı mı?
90 gün sonra şu sorulara "evet" diyebiliyor musunuz?
- Kritik bulguların yüzdesi kapandı
- Yedek geri yükleme testi kayıtlı
- RFQ'ların yüzdesi sisteme giriyor
- Ayrılan personelin erişimi 24 saat içinde kapanıyor
- IT harcama kalemleri yönetimde görünür
- Olay müdahale sahibi ve iletişim zinciri yazılı
Sıkça Sorulan Sorular
IT denetimi, panik değil öncelik üretir. Doğru yapıldığında yönetim nereye para harcayacağını bilir. WorldwideTradeX bağımsız teşhis ve yol haritası için hazırdır; uygulamayı kim yaparsa yapsın, ölçülebilir kapanma listesi işin asıl çıktısıdır.
Kapsam görüşmesinde sistem listesi, ajans sözleşmeleri ve en az bir kriz öyküsü paylaşmanız teşhisi hızlandırır. Sonraki adım için RFQ formunu doldurun veya doğrudan yazın.
WorldwideTradeX IT denetimi ve teknoloji danışmanlığı hizmeti hakkında sorularınız için [email protected] adresine yazabilir, RFQ formunu doldurabilirsiniz. Yönetim, operasyon ve ajans ekipleri için ortak bir risk ve öncelik listesi çıkaralım; ilk doksan günde kapanan maddelerle ilerlemeyi birlikte ölçelim.
Ayrıca güvenlik hijyeni, yedek testi ve ERP olgunluk kontrol listelerimizi görüşme öncesi hazırlık dokümanı olarak isteyebilirsiniz.
Daha derinlemesine düşünürsek, dijital dönüşümün asıl faydası paradan tasarruf etmek değil, karar kalitesini artırmaktır. Elle tutulan veriler her zaman eksik veya gecikik olur; bir siparişin nereye gittiğini, bir tedarikçinin ne zaman teslim yapacağını veya bir pazarın fiyatlara nasıl tepki vereceğini sistemden çıkarmak mümkün değildir. WorldwideTradeX'in modelinde bu bilgiler tek bir kaynakta toplanır ve herkes aynı tabloyu görür. Bu da kararları hızlandırır, tahminleri doğrulaştırır ve en önemlisi, internettekim kaynaklanan kayıpları azaltır. Türkiye'den yapılan ihracatta bu fark, sadece bir software house ile bir tedarikçi arasındaki fark değil, aynı zamanda rekabet eden iki tedarikçi arasındaki fark olur. İlkini seçmek, sadece79.000 TL'lik bir fark değil, gelecek yılki pazar payı farkıdır. Bu yüzden bu adımlar, "yapabilir miyiz?" sorusuyla değil, "ne zaman yapmamız gerekiyor?" sorusuyla ele alınmalıdır. WorldwideTradeX olarak, sizinle birlikte bu yol haritasını çiziyoruz ve ilk adımı atmanıza yardımcı oluyoruz.
→ Dijital Altyapı — Bulut, Barındırma ve Sistem Entegrasyonu · Yapay Zeka Çözümleri Danışmanlığı · Özel Yazılım Geliştirme ve ERP — Türkiye Pazarı
