Müşteri Mülkiyeti Olarak Mühendislik Verisi: CAD ve Çizim Koruması

Otomotiv tedarikçisinde “müşteri mülkiyeti” deyince akla önce müşteriye ait kalıplar, fikstürler ve ambalajlar gelir. Oysa müşterinin gönderdiği 3D CAD modelleri, teknik çizimler, spesifikasyonlar ve yazılımlar da aynı kavramın parçasıdır. Üstelik kalıptan farkı var: bir STEP dosyası saniyeler içinde kopyalanır, e-postayla gider ve bir daha bulunmaz. Aşağıda mühendislik verisinin alınmasından imhasına kadar adımları, alt tedarikçiye iletim kurallarını ve kimin neden sorumlu olduğunu gösteren tabloyu bulacaksınız.

Müşteri mülkiyeti kapsamında fikri mülkiyet

IATF 16949 ISO 9001’in yapısını temel aldığı için müşteri mülkiyeti gerekliliği ISO 9001:2015’in 8.5.3 (Müşterilere veya dış tedarikçilere ait mülkiyet) maddesinden gelir. Madde, kuruluşun kontrolü altındaki veya kullandığı müşteri mülkiyetine özen göstermesini; bu mülkiyeti tanımlamasını, doğrulamasını, korumasını ve muhafaza etmesini ister. Mülkiyet kaybolur, hasar görür veya kullanıma uygun olmadığı anlaşılırsa kuruluş bunu müşteriye bildirir ve olanları dokümante bilgi olarak saklar. Maddenin notu, müşteri mülkiyetinin fikri mülkiyeti ve kişisel verileri de kapsayabileceğini açıkça belirtir.

IATF 16949’un 7.5.3.2.2 (Mühendislik spesifikasyonları) maddesi ise müşteri mühendislik standartlarının, spesifikasyonlarının ve revizyonlarının müşteri takvimine göre gözden geçirilmesini, dağıtılmasını ve uygulanmasını ister; gözden geçirme bildirimin alınmasından itibaren 10 iş gününü aşmamalıdır. İki madde IATF 16949 BT gereklilikleri açısından birlikte okunduğunda tablo netleşir: müşteri verisi hem korunacak bir varlık hem de güncel tutulacak kontrollü bir dokümandır. İkisi aynı anda.

Pratikte kapsamdaki veri türleri:

• 3D modeller (yerel CAD formatları, STEP, JT) ve 2D çizimler
• Müşteri mühendislik standartları, malzeme ve test spesifikasyonları
• Prototip ve ön seri verileri, tasarım değişiklik bildirimleri
• Müşteriye ait yazılımlar, kalibrasyon veri setleri, test programları
• Müşteri portallarından indirilen tedarikçi kılavuzları ve gizli dokümanlar

Mühendislik verisinin yaşam döngüsü

Kontrol tek tek araçlarla değil, yaşam döngüsünün her aşamasında tanımlı bir adım ve kayıtla sağlanır:

1. Alma: Veri yalnız tanımlı kanallardan kabul edilir: müşteri portalı, OFTP2 gibi kurumsal dosya aktarım protokolleri veya müşterinin onayladığı güvenli paylaşım alanı. Kişisel e-posta veya taşınabilir bellekle gelen veri kayda alınmadan kullanılmaz.
2. Kayıt: Her veri paketi bir kayıt numarası alır. Kayıtta müşteri, proje, parça numarası, revizyon, gizlilik sınıfı, sözleşme veya gizlilik anlaşması referansı ve saklama yeri bulunur.
3. Sınıflandırma: Müşterinin verdiği gizlilik seviyesi (ör. prototip verisi, gizli, kısıtlı) kurumun kendi sınıflandırma şemasına eşlenir. TISAX kapsamındaki kuruluşlarda bu eşleme etiket seçimiyle tutarlı olmalıdır.
4. Saklama: Veri PDM/PLM sisteminde veya erişim listesi proje bazında yönetilen bir depoda tutulur. Yerel diskler ve kişisel bulut klasörleri saklama yeri sayılmaz.
5. Kullanım ve dağıtım: Veriye yalnız projede görevli kişiler erişir; üretime veya kaliteye çıkan çizimler kontrollü kopya olarak dağıtılır.
6. Revizyon: Yeni revizyon geldiğinde eski revizyonun kullanımdan kaldırıldığı ve üretim noktalarındaki kopyaların değiştirildiği kayda alınır.
7. Proje sonu: Sözleşmeye göre iade, imha veya kontrollü arşiv; her biri kayıtla kapatılır.

Kayıt numarası, verinin envanterde tek bir satıra karşılık gelmesini sağlar. Bu envanter ayrı bir sistem olmak zorunda değil; kurumun bilgi varlığı envanterinin bir alt kümesi olabilir. Alanların nasıl tasarlanacağı bilgi varlığı envanteri hazırlama rehberinde ayrıntılı anlatılıyor. Sahada en sık gördüğümüz açık ise ilk adımda: veri satış ekibinin posta kutusuna gelir, oradan proje klasörüne kopyalanır ve hiçbir kayıt numarası almaz.

Erişim ve dağıtım kuralları

Mühendislik verisine erişim çoğu kuruluşta tasarım, proses mühendisliği, kalite, kalıphane ve satın alma ekiplerine yayılır. Kontrol kaybı genellikle üç noktada yaşanır: proje bittikten sonra açık kalan erişimler, sahaya basılı veya PDF olarak çıkıp geri toplanmayan çizimler ve dış paydaşlarla e-posta üzerinden yapılan paylaşımlar. Üçü de denetimde kolay bulunur.

Uygulanabilir kurallar:

• Proje bazlı yetki grupları: Erişim kişiye değil projeye bağlı bir gruba verilir; proje kapanınca grup kapatılır. Erişim gözden geçirmesi proje kilometre taşlarına bağlanır.
• Kontrollü kopya: Sahaya giden çizim revizyonu ve “kontrollü kopya” ibaresini taşır; yeni revizyonda eski kopyanın toplandığı kaydedilir. Ekranda görüntüleme yapılan istasyonlarda yalnız güncel revizyon açılabilmelidir.
• Türev veri: Kalıp tasarımı, CNC programı veya fikstür modeli gibi müşteri verisinden türetilen dosyalar da müşteri verisini içerir ve aynı sınıflandırmayı devralır.
• Dışa aktarım kaydı: Veri kurum dışına her çıktığında (alt tedarikçi, test laboratuvarı, danışman) kim, kime, neyi, hangi kanalla gönderdi bilgisi kaydedilir.

Erişim grubunu kontrol etmenin pratik yolu basit: proje kapanış tarihi geçmiş grupları dizin servisinden listeleyin ve üye sayısına bakın. Boş olmayan her kapanmış proje grubu bir bulgudur.

Alt tedarikçiye veri iletimi

Kalıp, ısıl işlem, kaplama veya fikstür üretimi için müşteri verisini bir alt tedarikçiye göndermek sık rastlanan bir ihtiyaçtır ve süreçteki en riskli adımdır. Birçok OEM sözleşmesi, verinin üçüncü taraflarla paylaşılmasını önceden onaya veya en azından eşdeğer gizlilik yükümlülüğüne bağlar. İletimden önce şu sorular cevaplanmalı:

• Sözleşme bu paylaşıma izin veriyor mu, müşteri onayı gerekiyor mu?
• Alt tedarikçiyle, müşteriyle yapılan anlaşmadan daha zayıf olmayan bir gizlilik anlaşması var mı?
• Gönderilen veri işi yapmak için gereken asgari veri mi? Tüm montaj modeli yerine yalnız ilgili parça, tam model yerine sadeleştirilmiş geometri veya yalnız 2D çizim yeterli olabilir.
• İletim kanalı güvenli ve kayıt üreten bir kanal mı?
• Proje sonunda alt tedarikçiden iade veya imha teyidi nasıl alınacak?

Alt tedarikçinin bilgi güvenliği seviyesini değerlendirme yöntemi tedarikçi bilgi güvenliği risk değerlendirmesi rehberinde anlatılıyor. Prototip verisi söz konusuysa müşteri, alt tedarikçinin de TISAX etiketine sahip olmasını isteyebilir; hangi etiketin hangi veriye karşılık geldiği TISAX etiketleri seçimi yazısında açıklanıyor.

Proje sonunda iade ve imha

Proje kapanışı en çok ihmal edilen aşamadır. Seri üretim sürdükçe verinin bir kısmı kullanımda kalır; ama teklif aşamasında alınıp iş gelmeyen projeler, iptal edilen varyantlar ve tamamlanan prototip çalışmaları için veri sözleşmeye göre iade veya imha edilir. Teklif verisi en çok unutulan veridir. Burada iki teknik zorluk var.

Kopyaların bulunması: Veri yalnız PDM’de durmaz; mühendis bilgisayarlarında, e-posta eklerinde, CAM ve simülasyon klasörlerinde, paylaşım alanlarında da bulunur. Kayıt numarası ve dışa aktarım kaydı kopyaların izini sürmeyi mümkün kılar; dosya sunucularında parça numarasıyla arama yapmak tamamlayıcı kontroldür.

Yedeklerdeki veri: Yedeklerden tekil dosya silmek genellikle mümkün değildir. Doğru yaklaşım, imha tutanağında yedeklerin kendi saklama süresi dolunca otomatik silineceğini, bu süre içinde geri yükleme yapılırsa verinin yeniden imha edileceğini yazmak ve bunu müşteriyle mutabık kılmaktır. Kullanım dışı kalan disk ve cihazlarda medya temizleme için NIST SP 800-88 yöntemleri yaygın referanstır.

İmha veya iade kaydı şunları içerir: kayıt numarası, imha edilen veri ve konumlar, yöntem, tarih, yapan ve onaylayan, alt tedarikçilerden alınan teyitler ve müşteriye gönderilen bildirim.

Sorumluluk tablosu ve kayıtlar

Adım	Sorumlu	Destek	Kayıt
Alma ve kayıt	Proje mühendisi	Doküman kontrol	Veri kayıt satırı
Sınıflandırma	Proje yöneticisi	Bilgi güvenliği	Sınıf ve gerekçe
Depo ve yetki	BT	Proje yöneticisi	Yetki grubu listesi
Revizyon uygulama	Doküman kontrol	Kalite	Gözden geçirme tarihi
Alt tedarikçiye iletim	Satın alma	Proje, bilgi güvenliği	Onay ve iletim kaydı
Kayıp/sızıntı bildirimi	Bilgi güvenliği	Satış, kalite	Olay ve müşteri bildirimi
İade ve imha	Proje yöneticisi	BT	İmha tutanağı

Kayıp veya yetkisiz erişimde 8.5.3’ün müşteriye bildirme şartı doğrudan uygulanır. Bildirimi kimin, hangi kanaldan ve hangi sürede yapacağı bilgi güvenliği olay prosedüründe tanımlı olmalı; müşteri sözleşmesi bir bildirim süresi tanımlıyorsa o süre esas alınır.

Denetçi bu süreci genellikle bir örnek üzerinden izler: bir parça numarası seçer, verinin nasıl geldiğini, kimin erişebildiğini, sahadaki çizimin güncel revizyon olup olmadığını ve varsa alt tedarikçiye gönderimin kaydını sorar. Bu izi baştan sona gösterebiliyorsanız süreç çalışıyordur. Gösteremiyorsanız çalışmıyordur. Fiziksel prototiplerin korunması bu yazının kapsamı dışında; TISAX prototip koruma gereklilikleri rehberinde ele alınıyor. CAD iş istasyonları ve ağ tarafındaki teknik kontroller için prototip verisi için teknik kontroller yazısına bakabilirsiniz.

OEM denetimlerinde ve müşteri anketlerinde bu süreci kanıtlamanız gerekiyorsa, otomotiv tedarikçi bilgi güvenliği çalışması kapsamında süreç ve kayıt yapısını birlikte kuruyoruz. ISO 9001 metninin resmi kaynağı ISO 9001:2015 sayfasıdır.

Sık sorulan sorular

Müşteri CAD verisi gerçekten “müşteri mülkiyeti” sayılır mı?

Evet. ISO 9001:2015 madde 8.5.3’ün notu, müşteri mülkiyetinin fikri mülkiyeti ve kişisel verileri de kapsayabileceğini belirtir. Müşterinin sağladığı CAD modelleri, çizimler, spesifikasyonlar ve yazılımlar bu kapsama girer; tanımlanmaları, korunmaları ve kayıp halinde müşteriye bildirilmeleri gerekir.

Müşteri verisini alt tedarikçiye göndermek için onay şart mı?

Bu, standarttan çok sözleşmeye bağlıdır. Birçok OEM sözleşmesi veya gizlilik anlaşması üçüncü taraflarla paylaşımı önceden onaya ya da eşdeğer gizlilik yükümlülüğüne bağlar. Sözleşme açıkça izin vermiyorsa onay alın, paylaşılan veriyi asgaride tutun ve iletimi kaydedin.

Yedeklerdeki müşteri verisini imha etmek zorunda mıyız?

Yedeklerden tekil dosya silmek çoğu zaman teknik olarak mümkün değildir. Savunulabilir yaklaşım şudur: yedeklerin kendi saklama süresi dolunca silineceğini imha tutanağına yazmak, bu süre içinde geri yükleme olursa verinin yeniden imha edileceğini taahhüt etmek ve bu yaklaşımı müşteriyle mutabık kılmak.

Müşteri spesifikasyon revizyonunu ne kadar sürede gözden geçirmeliyiz?

IATF 16949 madde 7.5.3.2.2, müşteri mühendislik standartları ve spesifikasyonlarındaki değişikliklerin bildirim alındıktan sonra 10 iş gününü aşmayacak şekilde gözden geçirilmesini ister. Gözden geçirme tarihi ve sonucu kayda alınır; uygulama müşterinin takvimine göre planlanır.