Bir çalışan belgesini görmek için açılan ekran ile bir saha fotoğrafını yorumlayan yapay zeka aynı yazılımın içinde bulunabilir. Satın alma görüşmesinde çoğu zaman önce bu ekranlar konuşulur: hangi kayıt açılıyor, rapor nasıl oluşuyor, ekip ne kadar hızlı ilerliyor? Bir sonraki soru, bu bilgilerin hangi koşullarda işlendiği olmalı. ISO 27001 belgeli yapay zeka İSG yazılımı arayan bir kurum için belgeyi anlamanın başlangıç noktası da burasıdır.
ISO/IEC 27001, bilgi güvenliği yönetim sistemi standardıdır. Belgeyi incelerken standardın adını; belge sahibi, faaliyet kapsamı, belgelendirme kuruluşu ve geçerlilik tarihiyle birlikte okumak gerekir. Yazılımın işlevlerini değerlendirmek ile sağlayıcının bilgi güvenliği yönetim sistemini incelemek birbirini tamamlayan iki iştir.
Önce yazılımın hangi bilgiyi işleyeceğini belirleyin
İSG yazılımında tek tür veri bulunmaz. Risk değerlendirmesi, eğitim kaydı, çalışan belgesi, saha fotoğrafı ve kamera görüntüsü farklı amaçlarla kullanılır. Bir ekip için sıradan görünen bilgi, başka bir kayıtla birleştiğinde bir kişiyi veya üretim alanını tanımlayabilir. Bu yüzden görüşmeye yalnızca kullanılacak modüllerin listesini getirmeniz yeterli olmayabilir.
Basit bir örnek düşünün: üretim alanındaki bir fotoğraf üzerinden uygunsuzluk kaydı açılıyor. Fotoğrafta hangi ayrıntılar var? Kimler görecek? Yapay zeka hizmetine hangi içerik gönderilecek? Saklama ve silme kararı nasıl verilecek? Bunlar fotoğrafın doğru sınıflandırılması sorusundan farklıdır ve satın alma kararında birlikte ele alınmalıdır.
İlk değerlendirmede veri türlerini ve bu verilere ihtiyacı olan görevleri yazın. Böylece sağlayıcının açıklamalarını kendi kullanımınızla karşılaştırabilirsiniz. Genel bir güvenlik cümlesi yerine, kurumunuzun gerçekten kullanacağı akışlar üzerinden konuşmuş olursunuz.
Belgenin üzerindeki adı ve kapsamı okuyun
Bir markanın adı, bir şirketin ticari adı ve belgede yazan ad aynı biçimde görünmeyebilir. Bu ilişki açık olmalı. İncelediğiniz yazılımı sunan faaliyet ile belge kapsamının bağlantısını sorun. Belgenin bir başka grup şirketine veya başka bir faaliyete ait olması, sizin kullanacağınız hizmeti kendiliğinden kapsamaz.
Safety Figure’ın ISO 27001:2022 belgesinde “Safety Figure” adı ve “Yazılım programlarının yayımlanması” kapsamı yer alır. Belge numarası 2026/ISMS/002816’dır. Bu bilgileri, kamuya açık taranmış belgeyle yan yana gösteriyoruz. İSG yazılımı ile belge arasındaki ilişkiyi anlatırken kapsamın kelimelerini genişletmemek gerekir.
“ISO 27001 belgeli İSG yazılımı” ifadesiyle karşılaştığınızda, belgelendirilenin hangi yönetim sistemi ve faaliyet olduğunu öğrenin. Bu, ürünün kamera tespit başarısının veya her yapay zeka yanıtının bağımsız olarak onaylandığı anlamına gelmez. Bir sorunun cevabını alırken diğer soruların da cevaplandığını varsaymamak, değerlendirmeyi daha sağlam kılar.
Akreditasyon ile tekil belge teyidini ayırın
Belgelendirme kuruluşunu ve akreditasyon kapsamını resmi kaynağından kontrol edin. Kuruluşun bir kaydı bulunması kadar, ilgili standardın o kapsamda yer alması da önemlidir. Akreditasyon kuruluşunun adı veya bir işaret, tek başına bütün standartlar için aynı ilişkinin bulunduğunu göstermez.
Safety Figure’ın belgesini düzenleyen IQR International Certification Services LLC’nin IAS kuruluş kaydı MSCB-135 numarasıyla yayımlanır. İlgili akreditasyon kapsamı dokümanında ISO/IEC 27001:2022 bulunur. Kuruluş kaydını kontrol etmekle, Safety Figure’ın kendi sertifika numarasını kuruluşla teyit etmek ayrı adımlardır. Belge ayrıntısındaki iletişim yolu bu ikinci incelemeyi mümkün kılar.
Tarihler arasında aceleyle sonuç çıkarmayın
Bir sertifikada ilk belgelendirme tarihi, düzenleme tarihi, geçerlilik tarihi ve belgelendirme periyodu bulunabilir. Bunlar aynı bilgi değildir. Örneğin belgede üç yıllık periyot yazması, yanında açıkça gösterilen geçerlilik tarihini üç yıl ileriye taşımaz. Kurum içi dosyanızda hangi tarihin neyi ifade ettiğini ayrı tutun.
Safety Figure’ın ISO 27001 ve ISO 10002 belgelerinin ilk belgelendirme tarihi 2 Kasım 2026; gösterilen geçerlilik tarihi 1 Kasım 2027’dir. Üç yıllık belgelendirme periyodu ayrıca belirtilmiştir. Duyurunun yayımlandığı gün de belgelendirme günüyle karıştırılmamalıdır. Yeni bir incelemede belge ve kuruluş kaydı güncel haliyle tekrar karşılaştırılabilir.
Belgeden sonra günlük kullanım sorularına dönün
Satın alma incelemesinin verimli bölümü, belgeyi kurumunuzun işleyişiyle buluşturduğunuz yer olabilir. Kim hangi şirket ve işyeri kayıtlarını görecek? Görevi değişen kişinin erişimi nasıl ele alınacak? İndirilen dosyanın kurum içindeki paylaşımı kim tarafından yönetilecek? Yapay zeka akışlarında hangi hizmetler kullanılacak? Seçilecek kurulumun veri bölgesi ve saklama koşulları nasıl belirlenecek?
Bu soruların hepsini tek bir genel vaatle karşılamak zordur. Kullanacağınız modülleri ve veri türlerini belirtip açıklamaları o kapsamda isteyin. Safety Figure’ın Güvenlik sayfası, erişim kontrolleri, işlem kayıtları, yapay zeka içeriği ve kamera kurulumundaki kararları bu bakışla açıklar. Kuruma özgü konular ise hizmet ve kurulum görüşmesinde netleştirilir.
Örneğin eğitim kayıtlarını takip eden bir ekip üyesiyle sağlık kayıtlarına erişen yetkili kişinin ihtiyaçları aynı değildir. Değerlendirme sırasında yalnızca “roller var mı?” diye sormak yerine, kullanmayı düşündüğünüz iki farklı görevi seçebilirsiniz. Hangi kişinin hangi bilgiye ulaşması gerektiğini ve görevi sona erdiğinde ne olacağını bu örnekler üzerinden konuşun. Bu bir ürünün sahip olduğu belgeye yeni kapsam eklemek için değil, kurumunuzun ihtiyacını anlaşılır hale getirmek için yapılır. Satın alma görüşmesinde yazılan kısa bir örnek, kurulum aşamasında uzun bir genel açıklamadan daha kolay kontrol edilebilir.
Bir güvenlik belgesinin varlığı, kurumun kendi hesap, cihaz ve paylaşım sorumluluklarını ortadan kaldırmaz. Bu sınırı baştan konuşmak, kullanım başladıktan sonra ortaya çıkacak belirsizlikleri azaltmaya yardımcı olur. “Bu kararı kim verecek?” sorusu çoğu zaman teknik bir özelliğin adından daha kullanışlıdır.
ISO 10002’yi kendi sorusuyla değerlendirin
Yazılımı seçtikten sonra ekip bir sorunla karşılaşabilir, beklentisini değiştirebilir veya bir işlemden memnun kalmayabilir. ISO 10002 bu müşteri geri bildirim ve şikayetlerinin ele alınmasına yönelik bir standarttır. ISO 27001 ile birlikte duyurulması, ikisinin aynı konuyu belgelendirdiği anlamına gelmez.
Safety Figure’ın ISO 10002:2018 belgesi ISO-002895 numarasını taşır ve aynı yazılım yayımlama kapsamını belirtir. Belgede IAS veya IAF işareti bulunmaz. Bu belgeye bakarken geri bildirimin nereye iletileceğini ve ilgili hizmet kapsamında nasıl ele alınacağını sorun. Bir memnuniyet oranını ya da her talep için sabit bir çözüm süresini belgeden çıkarmayın.
İnceleme dosyanızda ne bulunsun?
Belgenin okunabilir kopyasını, kapsamını, numarasını ve tarihlerini bir arada tutun. Belgelendirme kuruluşunun resmi kaydını ve varsa ilgili kapsam bağlantısını ekleyin. Ardından kullanacağınız veri türlerini, erişim sorumlularını ve açıklığa kavuşturulacak hizmet kararlarını kaydedin. Böyle bir dosya, farklı ekiplerin aynı soruları yeniden sormasını azaltabilir.
Güven Merkezi’mizde belgeleri ve doğrulama bilgilerini; Platform sayfamızda işlerin birlikte nasıl ilerlediğini inceleyebilirsiniz. İlk baştaki saha fotoğrafına döndüğümüzde değerlendirme daha somut hale gelir: yalnızca fotoğraftan ne anlaşıldığını değil, o fotoğrafın kimlerin elinden hangi koşullarda geçtiğini de konuşabiliriz.