Mali mühür için akıllı kart mı HSM mi seçilmeli?
Eşzamanlı imza, şube erişimi ve teknik sorumluluk ihtiyacınızı karşılaştırın. Akıllı kart veya HSM seçimi için doldurulabilir gereksinim formu.
Kart mı HSM mi: önce darboğazı belirleyin
Mali mühür için akıllı kart veya HSM seçimini yalnız aylık fatura sayısıyla yapmayın. Aynı anda kaç uygulamanın imza istediğini, işlemlerin nerede beklediğini ve sistemi kimin yöneteceğini belirleyin. HSM, donanım güvenlik modülüdür. Merkezi imzalama ihtiyacında değerlendirilebilir; ancak birden fazla şubenizin bulunması tek başına HSM satın alma kararı için yeterli değildir.
Kamu SM’nin SSS sayfası, farklı bilgisayarlardan kullanım ve dağıtık şube yapısını HSM tercih nedenleri arasında sayıyor. Sizin kurumunuzda bu ihtiyacın gerçekten bulunup bulunmadığını ölçmek gerekir. Yavaşlık belge hazırlama, ağ bağlantısı veya uygulama kuyruğundan kaynaklanıyorsa yalnız imzalama donanımını değiştirmek sorunu çözmeyebilir.
Önce işlemde hangi sertifikanın kullanıldığını sorun. Özel entegratörle çalışırken günlük belge onayını kimin yaptığı ile kurumun kendi başvuru işlemlerini ayırın. Başka bir sistemin yaptığı imzalama için kurum içinde gereksiz donanım kapasitesi planlamayın.
Toplam kullanıcıyı eşzamanlı imza isteğiyle karıştırmayın
On kişinin sisteme erişmesi, on kişinin aynı anda mali mühür kullandığı anlamına gelmez. Buna karşılık tek bir zamanlanmış uygulama, yoğun saatlerde çok sayıda imza isteği üretebilir. Kullanıcı, uygulama ve işlem adetlerini ayrı alanlara yazın.
Normal çalışma gününü ve ay sonu gibi yoğun bir dönemi ayrı gözlemleyin. Ölçüm süresini, kullanılan yazılım sürümünü ve hangi adımın izlendiğini kaydedin. Gerçek müşteri belgelerini yetkisiz kişilere açmadan, mümkün olduğunda sağlayıcının test ortamında aynı iş yükünü temsil eden örnekler kullanın.
- Belge hazırlama, imza isteğinin kuyruğa girmesi, imzanın tamamlanması ve gönderim sonucunun alınması zamanlarını ayrı kaydedin.
- En yoğun aralıkta eşzamanlı istek sayısını, bekleyen işlem sayısını ve tamamlanma süresini ölçün; yalnız günlük toplamı yazmayın.
- Başarısız ve yeniden denenen işlemleri ayırın. Aynı belgenin tekrar denenmesini yeni belge üretimiyle karıştırmayın.
- Kurumunuz için kabul edilebilir bekleme süresini ve kesinti halinde işlemi sürdürecek sorumluyu belirleyin. Bunlar satıcının genel hız iddiasından önce netleşsin.
Akıllı kart ve HSM değerlendirmesini iş akışına bağlayın
Aşağıdaki karşılaştırma bir ürün sıralaması değildir. Her satırda kendi iş akışınızın hangi soruya yanıt verdiğini yazın. HSM’yi bilgisayara takılacak ikinci bir okuyucu gibi, akıllı kartı da hiçbir merkezi uygulamayla kullanılamazmış gibi değerlendirmeyin; belirleyici olan desteklenen kurulumdur.
| Değerlendirme | Akıllı kart için soru | HSM için soru |
|---|---|---|
| Kullanım noktası | Kartın bağlı olduğu çalışma ortamı ve erişim düzeni yeterli mi? | Merkezi imzalama hizmetine hangi uygulamalar, hangi bağlantıyla erişecek? |
| Eşzamanlılık | Desteklenen kurulumda istek kuyruğu kabul edilen sürede tamamlanıyor mu? | Seçilen model ve yazılım, ölçülen paralel iş yükünü karşılıyor mu? |
| Uyumluluk | Kart, okuyucu, sürücü ve uygulama birlikte sınandı mı? | Model, firmware, istemci bileşeni ve uygulama sürümü birlikte teyit edildi mi? |
| İşletim | Kartın muhafazası, yetkili kullanımı ve işlem bilgisayarı kimde? | Ağ erişimi, yönetici rolleri, güncelleme ve teknik destek kimde? |
| Kesinti | Bilgisayar veya okuyucu arızasında denenmiş alternatif nedir? | Cihaz veya ağ kesintisinde uygulanacak, desteklenen devam yolu nedir? |
Mevzuattaki seçenek ile cihaz uyumunu ayrı doğrulayın
509 Sıra No.lu VUK Genel Tebliği’nin V.9 bölümü, sertifikaların HSM aracılığıyla kullanılabileceğini düzenler. Yükleme işleminin Kamu SM veya yetkilendirdiği kişi ya da kurumlar üzerinden yapılmasını, seçilen modellerin Kamu SM’nin belirlediği nitelikleri taşımasını ister. Bu hükümden tek başına “çok fatura kesen her kurum HSM almak zorundadır” sonucu çıkmaz.
Aynı bölüm, mali mührün bildirilen yetkili veya yetkililerin kontrolünde kullanılmasını öngörür. Cihaz değişimi bu sorumluluğu kaldırmaz. Hangi çalışanın belge hazırlayabildiği, hangisinin imzalama isteği gönderebildiği ve kimin cihaz yönetebildiği kurumun erişim planında ayrı gösterilmelidir.
Model ve uygulama için yazılı uyumluluk teyidi alın
16 Ekim 2026’da incelenen Kamu SM Uyumlu Donanımlar sayfasında marka/model listesi yerine teknik koşullar bulunuyor: FIPS 140-2 Level 3 veya Level 4 ya da CC EAL4+ güvenlik sertifikası; RSA 2048–4096 bit ile SHA-256 ve SHA-512 desteği. Bunları satın alma görüşmesinde kontrol başlığı olarak kullanın. Sayfada belirli bir modelin adı geçiyormuş gibi onay beyan etmeyin.
Donanımın sertifikasyon kapsamını cihazın tam modeli ve firmware sürümüyle eşleştirmesini tedarikçiden isteyin. Kamu SM’den sertifika yükleme koşullarını, uygulama üreticisinden ise sizin yazılım sürümünüzle desteklenen bağlantı ve imzalama yöntemini teyit edin. Tek başına “HSM destekler” cevabı yeterli bir kabul kaydı değildir.
Bulut üzerinden sunulan bir HSM hizmetini düşünüyorsanız sertifika yükleme sürecini, erişim yetkilerini, hizmetten çıkış ve kesinti durumunu ayrıca sorun. “Bulut HSM” adı bütün e-belge uygulamalarıyla uyumluluğu kanıtlamaz. Mevcut karttaki özel anahtarın yeni cihaza kopyalanabileceğini de varsaymayın; izlenecek sertifika üretim ve geçiş yöntemini Kamu SM ile netleştirin.
Kopyalayıp doldurabileceğiniz ihtiyaç formu
Bu form tek kurumun teknik seçimi içindir; resmî başvuru yerine geçmez. Boşlukları kendi verinizle doldurup muhasebe, bilgi işlem ve uygulama sağlayıcısıyla birlikte değerlendirin. VKN, belge içeriği, PIN, parola veya özel anahtar gibi bilgileri herkese açık bir destek talebine eklemeyin.
| Alan | Doldurulacak bilgi | Teyit veya sorumlu |
|---|---|---|
| Kullanıcı ve şube | Toplam kullanıcı: ____; işlem yapan şube: ____ | İş akışını doğrulayan birim: ____ |
| Uygulamalar | Uygulama/ERP: ____; sürüm: ____; imza gerektiren işlem: ____ | Uygulama sağlayıcısı ve tarih: ____ |
| Gerçek imzalayan | Kurum sertifikası / entegratör sertifikası / teyit bekliyor: ____ | İşlem bazında yazılı yanıt: ____ |
| Eşzamanlı talep | Aynı anda istek yapan kullanıcı: ____; uygulama: ____ | Ölçülen zaman aralığı: ____ |
| İş yükü ve kuyruk | Normal/yoğun dönem belge sayısı: ____; bekleyen istek: ____ | İmza adımının ölçüm kaydı: ____ |
| Kabul ölçütü | Tamamlanma süresi hedefi: ____; hata ve yeniden deneme ölçütü: ____ | Onaylayan iş birimi: ____ |
| Mevcut altyapı | Kart/okuyucu veya HSM modeli: ____; işletim sistemi: ____ | Teknik envanter sorumlusu: ____ |
| Aday donanım | Model/firmware: ____; sertifikasyon ve algoritma desteği: ____ | Tedarikçinin belge ve sürüm teyidi: ____ |
| Yükleme ve uyum | Kamu SM yükleme yanıtı: ____; uygulama uyum yanıtı: ____ | Teyit tarihleri ve referansları: ____ |
| Erişim kontrolü | İstek gönderen roller: ____; cihaz yöneticisi: ____; işlem kaydı: ____ | Yetki açma/kapatma sorumlusu: ____ |
| Teknik işletim | Kurulum: ____; güncelleme: ____; destek: ____; kesinti planı: ____ | Asıl ve yedek sorumlu: ____ |
| Pilot ve karar | Deneme sonucu: ____; açık eksik: ____; seçilen yöntem: ____ | Karar tarihi ve onaylayan: ____ |
Pilot sonuç olmadan kapasite kararı vermeyin
Örnek senaryo: Üç şubeli bir işletmede her şube faturayı hazırlıyor, ancak onay işlemi merkezde sırayla tamamlanıyor. Önce beklemenin çalışan onayında mı, uygulama kuyruğunda mı, imzalama sırasında mı oluştuğu ölçülür. Bu bilgiler olmadan yalnız üç şube bulunduğu için HSM seçmek gerekçeli bir karar olmaz. Bu senaryo temsili olup cihaz performansı ölçümü değildir.
Kurumun kabul ölçütleriyle bir pilot yapın: aynı uygulama sürümü, aynı işlem türü ve planlanan eşzamanlı talepler kullanılmalı. İmzanın oluşmasının yanında uygulamanın sonucu kabul ettiğini, yetkisiz rolün işlem başlatamadığını ve kesintiden sonra bekleyen işlerin durumunun anlaşılabildiğini kontrol edin. Yeni donanımda tekrar denemelerin mükerrer belge üretimine dönüşmediğini uygulama sağlayıcısıyla sınayın.
Kamu SM sayfalarındaki genel hız örneklerini bütün cihazlar için garanti veya zorunlu geçiş eşiği olarak almayın. Teklifte model, algoritma, anahtar uzunluğu, yazılım ve test koşulları belirtilmiyorsa sayı sizin iş yükünüzle karşılaştırılamaz. Ölçüm hedefi karşılanmıyorsa kapasite, yazılım veya süreç tarafında hangi eksikliğin kaldığını yazın.
Seçimden sonra yükleme ve işletim işlerini planlayın
Kamu SM süreç sayfasına göre HSM cihazını kurum önceden temin edip hazırlamalıdır; cihaz Kamu SM tarafından tedarik edilmez. Sertifika işlemleri için HSM başvurusu, cihazın bulunduğu yer ve teknik irtibat bilgileri, ön hazırlık ve randevu aşamaları açıklanır. Uygulanacak yöntemi Kamu SM ile teyit ederek cihaz hazırlığını ve yükleme zamanını birlikte planlayın.
Formdaki açık alanlar kapanmadan “geçiş tamamlandı” demeyin. Sertifika yüklenmesi, uygulama kabul testi ve sorumluların teslim alması ayrı adımlardır. Eski işleyişten yeni düzene hangi tarihte geçileceğini ve sorun halinde izlenecek destek yolunu kaydedin.
Doldurduğunuz gereksinim formuyla mali mühür tedarik seçeneklerini e-imza.plus’a danışabilirsiniz. HSM model uyumu ve sertifika yükleme koşullarının Kamu SM ve uygulama sağlayıcısı tarafından teyit edilmesi ayrı olarak tamamlanmalıdır.
Kaynaklar ve inceleme
İçerik inceleme tarihi: . Kaynakların kontrol tarihleri aşağıda yer alır.
Kaynaklar 16 Ekim 2026’da yeniden incelendi. Kamu SM sayfalarındaki model ve test ortamı belirtilmeyen hız örnekleri kapasite garantisi olarak kullanılmadı. Aşağıdaki ihtiyaç formu ve pilot kabul ölçütleri kurum içi değerlendirme önerisidir; resmî başvuru formu veya cihaz onayı değildir.