Uzaktan akreditasyon değerlendirmesinde kanıt nasıl güvenle paylaşılır?

IAF MD 4, bilgi ve iletişim teknolojisinin (ICT) uygunluk değerlendirmesinde kullanımını düzenleyen IAF zorunlu dokümanıdır; yürürlükteki baskısı 30 Ocak 2026'dan beri uygulanan MD 4:2025'tir. Belge belgelendirme, doğrulama ve geçerli kılma faaliyetleri için yazılmıştır, akreditasyon kuruluşlarına da uygulanır ve başka uygunluk değerlendirme standartlarıyla birlikte dikkate alınabileceğini söyler. Kanıt paylaşan laboratuvarı ilgilendiren hükümler şunlardır:

TÜRKAK'ın 8 Mayıs 2020 tarihli Uzaktan Denetim Kılavuzu, Kovid-19 döneminde gözetim ve yenileme denetimlerinin uzaktan yapılabilmesi için yayımlandı. Kılavuzun kuruluşlardan başlıca istekleri şunlardır:

• Uzaktan denetlenecek kuruluş "F705-001 Uzaktan Denetim Bilgi Beyan ve Taahhüt Formu"nu imzalayıp TÜRKAK e-Portal'a yükler; süreç P705 Uzaktan Denetim Prosedürü'ne bağlıdır.
• Kayıtlar elektronik ortamda, paylaşılabilir halde hazır tutulur; denetim ekibinin istediği kayıtlar e-Portal'da denetimin altındaki "Uzaktan Denetim Kayıtları" başlığına yüklenir.
• Laboratuvarlar için verilen kayıt listesinde, kullanılan laboratuvar bilgi yönetim sisteminin standarda ve yasal gerekliliklere uygun yapılandırıldığını ve geçerli kılındığını gösteren kayıtlar ile gizliliğe ilişkin faaliyet kayıtları da yer alır.
• Denetimden en geç bir gün önce dosya sorumlusuyla deneme bağlantısı yapılır; tanıklık canlı yayın, video kaydı, mülakat ya da doküman incelemesiyle yürütülür.
• Denetimi ses ve görüntü olarak kaydetme kararı TÜRKAK'ındır ve kayıtta gizlilik şartlarına uyulur; denetim ekibinin rapora koymak için aldığı ekran görüntüleri süreç tamamlanınca silinir.

Kılavuz 2020 tarihlidir. Değerlendirmenizin yöntemini, kullanılacak aracı ve kanıt paylaşma yolunu değerlendirmeden önce TÜRKAK dosya sorumlunuzla teyit edin.

Paylaşılacak kanıt, akreditasyon kapsamınızdaki maddelere göre seçilir. TÜRKAK kılavuzunun laboratuvarlar için verdiği kayıt listesi ISO/IEC 17025 maddelerine şöyle karşılık gelir:

Değerlendirici rapor örneklerinden birini seçip onu üreten kayıtları geriye doğru izleyebilir; bu yönteme dikey tetkik denir. Rapor örneklerini, ilgili yetkilendirme, kalibrasyon ve kontrol kayıtlarıyla birlikte açılabilir tutun.

En az yetki, değerlendiricinin yalnız değerlendirmenin kapsamındaki kanıtı, yalnız gereken dönem için görmesidir. KVKK m.4 kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister; ISO/IEC 17025 §4.2 de müşteri bilgisini gizli sayar. Pratikte:

• Paylaşılan alana yalnız kapsamdaki maddelerin kanıtını koyun.
• Kayıt aralığını değerlendirmenin dönemine göre belirleyin, örneğin son değerlendirmeden bu yana geçen süre.
• Çok şubeli laboratuvarda yalnız değerlendirilen şubeyi açın.
• Müşteri adını ve dosya indirmeyi ancak değerlendirme gerektiriyorsa açın.
• Değerlendiriciye laboratuvarın ortak hesaplarından biri yerine kişiye özel, süreli bir erişim verin; görüntülemeler ancak böyle kişiye bağlanır.

Bağlantı ile parola ayrı yollardan gidince, erişimin açılması için iki kanalın birden ele geçirilmesi gerekir. Yanlış kişiye iletilen tek bir e-posta böylece erişimin yalnız yarısını taşır.

• Bağlantıyı e-postayla, parolayı telefonla ya da yüz yüze iletin.
• Parolayı e-posta zincirinin dışında tutun; iletilen bir e-posta zinciri içindeki her şeyi taşır.
• Mümkünse üçüncü bir adım ekleyin: değerlendiricinin e-postasına giden tek kullanımlık kod, erişimi o kişinin posta kutusuna bağlar.
• Parolayı ve bağlantıyı yalnız oluşturulduğu anda görüntülenebilen bir yoldan alın; sonradan yeniden gösterilebilen bir parola, laboratuvarın içinde de bir kopya demektir.

Erişim değerlendirmenin günlerini kapsar ve değerlendirme bitince kapanır. Süreyi baştan koymak, kapatmayı birinin hatırlamasına bırakmamak demektir.

• Başlangıcı ve bitişi belli bir erişim verin; süresiz paylaşılan bir klasör değerlendirmeden sonra da açık kalır.
• Oturuma da süre koyun: işlem yapılmayan oturumun kendiliğinden kapanması, açık bırakılan bir bilgisayardaki erişimi sınırlar.
• Değerlendirme uzarsa erişimi uzatın; bitince sonlandırın ve bunu kayda geçirin.
• Kapanıştan sonra ek kanıt istenirse dar kapsamlı yeni bir erişim açın.

Görüntüleme kaydı, laboratuvarın hangi bilgiyi kime, ne zaman açtığını gösterebilmesini sağlar. KVKK m.12 veri sorumlusundan kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını ister; ISO/IEC 17025 §7.11.3 de laboratuvar bilgi yönetim sisteminin yetkisiz erişime, kurcalanmaya ve kayba karşı korunmasını ister.

Değerlendiricinin açtığı her kayıt, indirdiği her dosya ve reddedilen her giriş denemesi tarihli bir kayıtta durursa, değerlendirmeden sonra "hangi personelin dosyası açıldı" ya da "bu müşterinin numunesi kimlere gösterildi" sorularının cevabı hazırdır. Kaydı değerlendirme dosyasıyla birlikte saklayın.

Laboratuvar, değerlendirme için personelinin kişisel verilerini akreditasyon kuruluşuyla paylaşan veri sorumlusudur. Paylaşılan veriler çoğunlukla personelin adı, unvanı, yetkilendirmeleri, eğitimleri ve yetkinlik izleme kayıtlarıdır; numune kayıtlarında işi yapan, onaylayan ve imzalayan kişilerin adları da görünür.

• Sağlık verileri özel nitelikli kişisel veridir (KVKK m.6). Personel dosyasındaki sağlık raporlarını paylaşılan alanın dışında tutun.
• Paylaşımı amaçla sınırlayın (m.4): yalnız gereken alanlar, şubeler ve kayıt aralığı.
• Aydınlatma yükümlülüğünü (m.10) gözden geçirin: personele verdiğiniz aydınlatma metni, akreditasyon değerlendirmesi için yapılan paylaşımı kapsıyor mu?
• Müşteri bilgisini de koruyun (§4.2): numune ve şikayet kayıtlarında müşteri adı ancak gerekiyorsa görünsün.
• Değerlendirme bitince erişimi sonlandırın.

Sözleşme ve aydınlatma metinlerinin içeriği laboratuvarındır; bu metinleri hukuk danışmanınızla hazırlayın.

Hazırlık, kanıtın seçilmesiyle başlar ve erişimin sonlandırılmasıyla biter. Örnek bir sıra:

PureField LIMS'te laboratuvar müdürü ya da kalite yöneticisi Kalite → Akreditasyon → Değerlendirici erişimi ekranında Yeni erişim ile değerlendiriciye seçtiği kanıtları salt okunur ve süreli açar. Yukarıdaki kurallar ekranın alanlarına şöyle karşılık gelir:

Değerlendirici her sayfanın üstünde kendi adını, görüntülemenin salt okunur olduğunu ve oturumun ve erişimin ne zaman biteceğini görür. Genel bakış alanı laboratuvarı, şubeleri, akreditasyon kapsam satırlarını, madde kanıt notlarını ve kapsamdaki maddeler için 17025 uyum haritasını gösterir. Harita yazılımın her maddeyi hangi ekranla desteklediğini gösterir; uygunluk kararını değerlendirici verir.