# SOC 2 ve veritabanı erişim denetimi > QueryProxy'nin hangi SOC 2 mantıksal erişim ve izleme kriterleri için kanıt üretmeye yardım ettiği ve kuruluşunuza kalan işler. - Kaynak: https://queryproxy.com/tr/soc-2-veritabani-erisim-denetimi/ - Dil: tr-TR - Yazar: Muhammet Şafak --- SOC 2 raporu, seçtiğiniz kriterlere karşı kontrollerinizin yeterli olup olmadığına dair bir denetçi görüşüdür. Bu görüşü hiçbir araç üretmez. Araç *kanıt* üretebilir: bir kontrolün politikanızın söylediği şeyi yaptığını gösteren kayıtlar. QueryProxy, tek bir dar alan için kanıt üretmeye yardım eder: üretim veritabanlarınıza kimin eriştiği ve orada ne yaptığı. Bu sayfa hukuki ya da denetim tavsiyesi değildir. Hangi kriterlerin sizin için geçerli olduğuna ve neyin yeterli sayılacağına denetçiniz karar verir. ## Veritabanı erişimi hangi SOC 2 kriterlerine dokunur? SOC 2 raporları AICPA Trust Services Criteria'yı kullanır. 2017 sürümü ve 2022'de yayımlanan gözden geçirilmiş odak noktaları, yayımlanmış güncel sürümdür (2026-10-13 tarihinde kontrol edildi). Security, her raporda yer alan ortak (common) kategoridir ve mantıksal erişim kriterleri CC6 olarak numaralanır. Burada ilgili olanlar: - **CC6.1** mantıksal erişim güvenliğini kapsar: sistemlere ve bilgiye erişimin kısıtlanması. - **CC6.2** kullanıcıların kaydedilmesini ve yetkilendirilmesini, yetkisi kalmadığında erişimin kaldırılmasını kapsar. - **CC6.3** rollere dayalı erişimi, en az ayrıcalığı ve görevler ayrılığını kapsar. - **CC7.2** sistem bileşenlerinin anormallikler ve güvenlik olayları açısından izlenmesini kapsar. Burada yetkili olan kriter metnidir, bu özet değil. Metni AICPA'nın [Trust Services Criteria](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022) yayınında okuyun (indirmek için ücretsiz bir hesap gerekir) ve denetçinize hangi odak noktalarını test ettiğini sorun. ## QueryProxy hangi kanıtı üretebilir? QueryProxy bu kontroller için kanıt üretmeye yardım eder. Tek başına hiçbir kriteri karşılamaz. | Kontrol alanı | QueryProxy'nin ürettiği | Kapsamadığı | | :-- | :-- | :-- | | Veritabanlarına erişimin kısıtlanması (CC6.1) | Geliştiriciler üretim kimlik bilgisini hiç tutmaz; bilgi QueryProxy'de AES-256 ile şifreli durur ([onay akışı referansı](/tr/docs/onay-akisi/)). Geliştirici yalnızca bir DBA'nın yetkilendirdiği bağlantılara ulaşır. Yöneticiler, DBA'ler ya da tüm kullanıcılar için TOTP ile iki aşamalı doğrulama zorunlu tutulabilir ([yapılandırma](/tr/docs/yapilandirma/)). | Ağ denetimleri, veritabanı tarafındaki yetkiler ve QueryProxy'yi çalıştıran sunucunun güvenliği. | | Erişimin verilmesi ve kaldırılması (CC6.2) | Yetkilendirmeler ve girişler denetim kaydına yazılır. | Kullanıcı ekleme ve çıkarma, kimlik teyidi ve düzenli erişim gözden geçirmeleri. QueryProxy bunları yürütmez. | | Roller ve görevler ayrılığı (CC6.3) | Dört rol (Admin, DBA, Developer, Auditor). Bir DBA kendi talebini onaylayamaz. Yöneticinin bu kuralı aşması denetim kaydında işaretlenir. Denetçi rolü, sonuç satırlarını görmeden izi okur. | Hangi kişinin hangi rolü taşıyacağına karar vermek ve atamaların hâlâ doğru olduğunu kontrol etmek. | | Etkinliğin izlenmesi (CC7.2) | Her adım bir denetim girdisi yazar: gönderim, kanalıyla birlikte karar, süre ve etkilenen satırlarla yürütmenin başlaması ve bitmesi, sonuç indirmeleri, girişler, yetkilendirmeler ve yapılandırma değişiklikleri. Denetim kaydı CSV olarak dışa aktarılabilir. | Alarm, anormallik tespiti ve olay müdahalesi. Denetim kaydı bir kayıttır, izleyici değildir. | Onay adımı, birçok denetçinin istediği çıktıyı üretir: bir talep, onun tam SQL'i, talep sahibi olmayan adı belli bir onaylayan ve sonuç. [Onay akışı](/tr/sql-sorgu-onay-akisi/) sayfası bir talebin nasıl ilerlediğini anlatır; [akış referansı](/tr/docs/onay-akisi/) rolleri ve denetim girdilerini listeler. Saklanan sonuçların maskelenmesi [maskeleme referansında](/tr/docs/veri-maskeleme/) anlatılır. Bir kaydın neyi tutması gerektiği için [denetim kaydı yazısına](/tr/blog/uretim-sorgu-denetim-kaydi/); sohbette alınan kararlar için [Slack ve Teams üzerinden SQL onayı](/tr/blog/slack-teams-uzerinden-sql-onayi/) yazısına bakın. ## Kuruluşunuza ne kalır? QueryProxy politikalarınızı yazmaz, kontrollerinizi yürütmez. Şunlar hâlâ sizin: - Erişim denetimi politikası ve kimin DBA ya da Denetçi olacağı kararı. - Kullanıcı kaydı ve kaldırılması. İşten ayrılanı hem QueryProxy'den hem kimlik sağlayıcınızdan çıkarın; denetim kaydı onun ne yaptığını gösterir, onu zamanında çıkardığınızı göstermez. - Düzenli erişim gözden geçirmeleri ve bunların kayıtlarının tutulması. - Denetim kaydının ve sonuç dosyalarının saklanması. Dokümantasyon denetim kaydı için bir saklama süresi belirtmez; sonuç dosyaları ayarladığınız süreyi izler. Denetiminizin gerektirdiği süreleri seçin. - Sunucunun, ters vekil sunucunun ve uygulamanın kendi veritabanının korunması. Ters vekil arkasında çalışıyorsa vekili `TRUSTED_PROXIES` içinde belirtin, yoksa denetim kaydına kullanıcının değil vekilin adresi yazılır. - Veritabanı erişimi dışındaki her şey: değişiklik yönetimi, tedarikçi yönetimi, erişilebilirlik ve diğer trust service kategorileri. ## Sınırlar neler? - Denetim kaydı QueryProxy üzerinden yapılan talepleri kapsar. Veritabanına başka bir yoldan erişen kişi bu kayda girdi bırakmaz. - "Düzenlenemez" ifadesi uygulama için geçerlidir. Kaydı tutan veritabanına doğrudan erişimi olan birine karşı bir güvence değildir. - Maskeleme kural tabanlıdır ve sonuçlar yazılırken uygulanır. Saklananı azaltır ve yalnızca kurallarınızın eşleştiği değerleri maskeler. Bkz. [dinamik veri maskeleme](/tr/dinamik-veri-maskeleme/). - SOC 2 raporu, kuruluşunuzun kontrollerini belirli bir dönem için kapsar. QueryProxy kullanmak size rapor kazandırmaz. ## Ne zaman ihtiyacınız yok? Müşteri verisi tutan bir üretim veritabanınız yoksa ya da tek operatör tek kişiyse, bu alanda onaylayacak kimse ve denetçinin örnekleyeceği bir şey yoktur. Denetçiniz bu kontroller için bir bastion host'tan ya da veritabanının kendi denetim eklentisinden gelen kanıtı zaten kabul ediyorsa QueryProxy'nin katacağı az olabilir. [Bastion host ile karşılaştırma](/tr/compare/bastion-host/) nelerin değiştiğini gösterir. QueryProxy'nin yanıtladığı soru daha dardır: her üretim ifadesi için kimin istediğini, kimin onayladığını ve neyin çalıştığını gösterebiliyor musunuz? Daha geniş resim için [veritabanı erişim denetimi nedir](/tr/veritabani-erisim-denetimi-nedir/) yazısını okuyun. Kart verisi işleyen ekipler [PCI DSS sayfasını](/tr/pci-dss-veritabani-erisim-denetimi/) okuyabilir; [ISO 27001 sayfası](/tr/iso-27001-veritabani-erisim-denetimi/) aynı kanıtı Annex A'ya eşler. ## Sık sorulanlar ### QueryProxy veritabanı erişimi açısından bizi SOC 2'ye hazır hale getirir mi? Hiçbir araç bunu yapmaz. Denetim, kontrollerinizi belirli bir dönem boyunca inceler ve neyin yeterli olduğuna denetçi karar verir. QueryProxy, veritabanı erişimi için onaylar ve yalnızca eklemeye açık bir denetim izi gibi, denetçinize gösterebileceğiniz kanıtlar üretmeye yardım eder. ### QueryProxy hangi SOC 2 kriterlerine dokunur? Ağırlıklı olarak CC6.1, CC6.2 ve CC6.3 mantıksal erişim kriterlerine ve CC7.2 kapsamındaki sistem etkinliği izlemeye. Yetkilendirmeleri ve onayları kaydeder, üretim kimlik bilgilerini geliştiricilerden uzak tutar. Kullanıcıların kaydı ve kaldırılması ile erişimin gözden geçirilmesi sizin sürecinize kalır. ### Bir denetçi QueryProxy'de neyi görür? Denetçi rolü denetim kaydına, CSV dışa aktarımına ve her talebin SQL'ine, durumuna, talep sahibine, gözden geçireni ve onay izine salt okunur erişir. Sonuç satırlarını göremez ya da indiremez; bağlantıları, onayları ve maskeleme ayarlarını da göremez. ### Denetim kaydı düzenlenebilir ya da silinebilir mi? Uygulama üzerinden hayır. Denetim satırları model katmanında değiştirilemez; güncelleme ve silme reddedilir. Altta yatan veritabanına doğrudan erişimi olan biri bu güvencenin dışındadır; o erişimi de koruyun. ### Denetim kaydı ne kadar süre saklanır? Dokümantasyon denetim kaydı için bir saklama süresi belirtmez, bu sayfa da belirtmez. Sonuç dosyaları ayarlanan saklama süresinin sonunda temizlenir. Denetiminizin gerektirdiği saklama süresini belirleyin ve kurulumunuzun nasıl davrandığını doğrulayın.