Neden bu kadar önemli?
İTS'ye gönderilen her bildirim firmanız adına yapılır. İTS kullanıcı adınızın ilk 13 hanesi firmanızın GLN'sidir; kullanıcı adı ile şifre birlikte, firmanızın İTS'deki kimliği demektir. Bu bilgilere sahip olan biri firmanız adına satış, iade ya da deaktivasyon bildirimi gönderebilir.
Bazı bildirimler kişisel veri de içerir. Radyofarmasötik sarfında hastanın T.C. kimlik numarası istenir. Eczane satışlarında da bazı durumlarda hasta kimlik numarası gerekir. Stok ve satış hareketleriniz ise ticari açıdan değerli bilgilerdir. Bu yüzden bir İTS programı seçerken özelliklere bakmak kadar, verilerin ve erişim yetkilerinin nasıl yönetildiğini sormak da önemlidir.
İTS kullanıcı bilgileri ve token
İTS'nin web servisleri her istekte kullanıcı adı ve şifre istemez. Program önce kullanıcı adı ve şifreyle token servisine başvurur ve bir access token alır. Access token 1 saat, refresh token 24 saat geçerlidir. Token'ı elinde bulunduran, süresi boyunca firmanız adına bildirim gönderebilir.
Genel iyi uygulamalar şunlardır:
- İTS kullanıcı adı ve şifresini e-posta, mesajlaşma uygulaması ya da ortak klasörlerde açık metin olarak tutmayın.
- Destek alırken şifrenin ya da token'ın göründüğü ekranların görüntüsünü paylaşmayın.
- Test ortamının (itstest2.saglik.gov.tr) ve canlı sistemin bilgilerini birbirinden ayrı tutun.
- Bu bilgilere erişimi olan biri ayrıldığında şifreyi değiştirin ve programınızdaki bilgileri güncelleyin.
- Portal kullanıcılarını kişiye özel tutun; ortak kullanıcı, hatalı bir işlemin kim tarafından yapıldığını bulmayı zorlaştırır.
Eczaneler için bir koruma katmanı daha vardır: 01.02.2025'ten beri İTS'ye yalnızca tanımlı sabit IP adresinden erişilebiliyor. TİTCK duyurularındaki gerekçe kişisel verilerin korunmasıdır.
Üç ISO sertifikası pratikte ne anlama gelir?
DataStil ISO/IEC 27001, ISO/IEC 27701 ve ISO/IEC 20000-1 sertifikalıdır. Bu standartlar belirli bir teknolojiyi değil, bağımsız denetimlerle doğrulanan yönetim sistemlerini tanımlar.
ISO/IEC 27001: Bilgi güvenliği
27001, bilgi güvenliği risklerinin sistematik olarak belirlenmesini, bu risklere karşı kontroller seçilmesini ve sistemin düzenli olarak gözden geçirilmesini ister. Erişim yetkileri, olay yönetimi, tedarikçi ilişkileri ve iş sürekliliği gibi konuların tanımlı kurallara bağlanması bu yaklaşımın parçasıdır.
ISO/IEC 27701: Kişisel veri yönetimi
27701, 27001'i kişisel verilerin korunması yönünden genişletir. Kişisel verilerin hangi amaçla işlendiği, kimlerin erişebildiği, ne kadar saklandığı ve ilgili kişilerin taleplerinin nasıl karşılandığı gibi konuları kapsar.
ISO/IEC 20000-1: BT hizmet yönetimi
20000-1, bir BT hizmetinin planlı ve ölçülebilir biçimde sunulmasıyla ilgilidir. Destek taleplerinin kayda alınıp çözülmesi, değişikliklerin kontrollü yapılması ve hizmet seviyelerinin izlenmesi bu standardın temel başlıklarıdır.
Sertifikaların kapsamı ve geçerlilik tarihleri talep edildiğinde paylaşılır.
KVKK'ya yaklaşımımız
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin hukuka uygun, belirli amaçlarla sınırlı ve ölçülü işlenmesini öngörür. Yaklaşımımız, yalnızca gerekli veriyi istemek ve onu belirtilen amaçla kullanmaktır.
Bulut hizmetlerinde genellikle hizmeti alan firma, işlediği hasta ve çalışan verileri bakımından veri sorumlusu; hizmet sağlayıcı ise veri işleyen konumundadır. İTS bildirimlerindeki hasta kimlik bilgisi, ilaç bilgisiyle birlikte sağlık verisi niteliği taşıyabilir. Bu verilere kimlerin erişebildiğini dikkatle planlamanızı ve rollerin sözleşmede nasıl tanımlandığını satın alma sürecinde sormanızı öneririz.
Web sitemizdeki formlar
Demo talep formunda yalnızca talebinizi değerlendirmek ve sizinle iletişim kurmak için gereken bilgileri isteriz: ad soyad, firma, telefon, e-posta, sektör ve isteğe bağlı olarak tahmini bildirim hacmi. Formla birlikte, talebin hangi sayfadan ve hangi kampanya bağlantısı üzerinden geldiğine dair temel teknik bilgiler de kaydedilebilir. Formu göndermeden önce KVKK Aydınlatma Metni'ni okuduğunuzu onaylarsınız.
Ticari elektronik ileti izni ayrı ve isteğe bağlıdır. Formda İTS kullanıcı adı, şifre, token ya da hasta verisi istemeyiz; bu tür bilgileri e-postayla da paylaşmayın.
Rol ve yetki planlaması
Güvenli kullanımın temeli, her çalışana yalnızca işinin gerektirdiği yetkiyi vermektir. Satış iptali ve deaktivasyon gibi geri dönüşü zor adımları sınırlı bir ekibe bırakmak riski azaltır. Ayrılan bir çalışanın erişimini aynı gün kapatmak da ayrı bir alışkanlık olmalıdır. Tracey'deki kullanıcı yapısını demoda kendi örneğiniz üzerinden sorabilirsiniz.
Satın almadan önce sorabileceğiniz sorular
Barındırma yeri, şifreleme yöntemleri, yedekleme sıklığı, erişilebilirlik hedefleri ya da güvenlik testleri gibi teknik ayrıntıları bu sayfada genel ifadelerle vermek yerine talep edildiğinde paylaşıyoruz. Hangi programı değerlendiriyor olursanız olun, görüşmeye şu sorularla gidebilirsiniz:
- Sertifikaların kapsamı nedir, geçerlilik tarihleri ne zamana kadar?
- Verilerim nerede barındırılıyor ve hangi yöntemlerle korunuyor?
- Yedekler ne sıklıkla alınıyor, geri yükleme nasıl yapılıyor?
- İTS kullanıcı bilgilerim ve token'ım nasıl saklanıyor, kimler erişebiliyor?
- Bildirimler İTS'ye hangi IP adresinden gidiyor? Eczanemin sabit IP tanımı nasıl yapılacak?
- Hangi işlemin hangi kullanıcı tarafından yapıldığını izleyebilir miyim?
- Bir güvenlik olayı yaşanırsa nasıl bilgilendirilirim?
- Sözleşme sona erdiğinde verilerim nasıl teslim ediliyor ya da siliniyor?
Bu soruları iletişim sayfamızdan iletebilir ya da demo talebinizle görüşmeye taşıyabilirsiniz.