@mean · 1 gün önce
Çocuklara yönelik eğitim uygulaması geliştirenler: öğrenci verisini nerede ve nasıl tutuyorsunuz?
Son birkaç ayda üç farklı eğitim girişiminin uygulamasına güvenlik açısından baktım. Hepsi iyi niyetli ekiplerdi, hepsinin ürünü öğretmenlerin ve velilerin hoşuna gidiyordu. Ama üçünde de öğrenci verisinin nereye gittiği sorusuna ekipte kimse net cevap veremedi. Bu yüzden konuyu burada açmak istedim.
İlk sorun gereğinden fazla veri toplamak. Bir kelime ezber uygulamasının çocuğun doğum tarihine, okul numarasına, velinin telefonuna ve konumuna ihtiyacı yok. Ama kayıt formu bir kez yapılınca kimse geri dönüp hangi alanın gerçekten kullanıldığına bakmıyor. Toplamadığınız veri sızmaz. Her alan için 'bu olmasa ürün çalışmaz mı' diye sorun.
İkinci sorun üçüncü taraf kütüphaneler. Analitik, hata raporlama, reklam ve pazarlama araçları uygulamaya çoğu zaman varsayılan ayarlarla ekleniyor ve cihaz bilgisi, kullanım davranışı gibi verileri kendi sunucularına gönderiyor. Çocuk kullanıcılı bir uygulamada reklam kütüphanesi bulunması bence başlı başına kırmızı bayrak. Uygulama mağazalarının çocuklara yönelik uygulamalar için ayrı kuralları da var, bunlara uymayan uygulamanın yayından kaldırılma riski ciddi.
Üçüncüsü erişim. Öğretmen paneline giren herkes bütün öğrencileri görebiliyor mu? Destek ekibi veritabanına doğrudan bağlanabiliyor mu? Kim neye ne zaman baktı, kaydı tutuluyor mu? Küçük ekipte herkes her şeye erişir, ekip büyüyünce bu alışkanlık en büyük açık haline geliyor.
Hukuki tarafta 6698 sayılı Kişisel Verilerin Korunması Kanunu var ve küçükler söz konusu olduğunda aydınlatma, açık rıza ve veli onayı gibi konular daha da hassaslaşıyor. Ben hukukçu değilim, burada genel konuşuyorum; ürününüzü okullara satmadan önce bu alanda uzman bir avukatla çalışmanızı öneririm. Okulların bilgi işlem sorumluları da artık bu soruları soruyor, cevabınız hazır olsun.
Teknik tarafta minimum beklentim şu: aktarım ve depolamada şifreleme, yedeklerin de şifreli olması, silme talebinde verinin gerçekten silinmesi ve yedeklerden ne zaman düşeceğinin belli olması, hesaplar için düzgün parola kuralları. Bunların hiçbiri pahalı değil, sadece baştan düşünülmesi gerekiyor.
Eğitim uygulaması geliştiren arkadaşlara sorum şu: veri saklama ve silme politikanızı yazılı hale getirdiniz mi, yoksa hâlâ ileride bakarız aşamasında mı?
İlk sorun gereğinden fazla veri toplamak. Bir kelime ezber uygulamasının çocuğun doğum tarihine, okul numarasına, velinin telefonuna ve konumuna ihtiyacı yok. Ama kayıt formu bir kez yapılınca kimse geri dönüp hangi alanın gerçekten kullanıldığına bakmıyor. Toplamadığınız veri sızmaz. Her alan için 'bu olmasa ürün çalışmaz mı' diye sorun.
İkinci sorun üçüncü taraf kütüphaneler. Analitik, hata raporlama, reklam ve pazarlama araçları uygulamaya çoğu zaman varsayılan ayarlarla ekleniyor ve cihaz bilgisi, kullanım davranışı gibi verileri kendi sunucularına gönderiyor. Çocuk kullanıcılı bir uygulamada reklam kütüphanesi bulunması bence başlı başına kırmızı bayrak. Uygulama mağazalarının çocuklara yönelik uygulamalar için ayrı kuralları da var, bunlara uymayan uygulamanın yayından kaldırılma riski ciddi.
Üçüncüsü erişim. Öğretmen paneline giren herkes bütün öğrencileri görebiliyor mu? Destek ekibi veritabanına doğrudan bağlanabiliyor mu? Kim neye ne zaman baktı, kaydı tutuluyor mu? Küçük ekipte herkes her şeye erişir, ekip büyüyünce bu alışkanlık en büyük açık haline geliyor.
Hukuki tarafta 6698 sayılı Kişisel Verilerin Korunması Kanunu var ve küçükler söz konusu olduğunda aydınlatma, açık rıza ve veli onayı gibi konular daha da hassaslaşıyor. Ben hukukçu değilim, burada genel konuşuyorum; ürününüzü okullara satmadan önce bu alanda uzman bir avukatla çalışmanızı öneririm. Okulların bilgi işlem sorumluları da artık bu soruları soruyor, cevabınız hazır olsun.
Teknik tarafta minimum beklentim şu: aktarım ve depolamada şifreleme, yedeklerin de şifreli olması, silme talebinde verinin gerçekten silinmesi ve yedeklerden ne zaman düşeceğinin belli olması, hesaplar için düzgün parola kuralları. Bunların hiçbiri pahalı değil, sadece baştan düşünülmesi gerekiyor.
Eğitim uygulaması geliştiren arkadaşlara sorum şu: veri saklama ve silme politikanızı yazılı hale getirdiniz mi, yoksa hâlâ ileride bakarız aşamasında mı?
6 3 yorum
