Bir çalışan işten ayrıldığında genellikle bilgisayarı teslim alınır, e-posta hesabı kapatılır ve konu orada biter. Birkaç ay sonra ise eski çalışanın hâlâ muhasebe programına girebildiği, sosyal medya hesabının parolasını bildiği ya da kişisel e-postasıyla bağlanmış bir bulut klasörünün şirket tekliflerini eşitlemeye devam ettiği ortaya çıkar. Çoğu zaman ortada kötü niyet yoktur; ama açık kalan her erişim, kötüye kullanılmayı ya da ele geçirilmeyi bekleyen bir kapıdır.
Sorunun kökü teknik değil, düzen eksikliğidir. Hesaplar yıllar içinde, farklı kişiler tarafından, farklı ihtiyaçlarla açılır ve kimin neye erişebildiğini gösteren tek bir liste olmaz. Bu yazıda erişim ve yetki yönetimini, bir çalışanın şirkete girişinden ayrılışına kadar uçtan uca ele alıyor ve ayrılış gününde uygulanabilecek somut bir kontrol listesi sunuyoruz.
Erişimler neden açık kalır?
Bir çalışanın kullandığı sistemleri düşündüğünüzde liste beklenenden uzundur. Şirket e-postası ve ortak klasör kolayca akla gelir; ama banka internet şubesi, e-fatura portalı, kargo firmasının paneli, pazaryeri satıcı hesabı, web sitesinin yönetim paneli, alan adı sağlayıcısı, sosyal medya hesapları ve tedarikçi portalları çoğu zaman unutulur. Üstelik bu hesapların bir kısmı şirket adına değil, çalışanın kendi e-posta adresiyle açılmıştır.
Bir de görünmeyen erişimler vardır: telefona kurulmuş ve oturumu açık kalan uygulamalar, tarayıcıda kayıtlı parolalar, bir zamanlar paylaşılmış ve hiç geri alınmamış dosya bağlantıları. Hesabı kapatmak bu oturumların hepsini her sistemde otomatik olarak sonlandırmayabilir. Ayrılış sürecinin bu ayrıntıları da kapsaması gerekir.
İlk adım: Kim neye erişiyor?
Erişimi yönetebilmek için önce görmek gerekir. Bir hesap envanteri, her sistem için şu bilgileri tek bir yerde toplar:
- Sistemin adı ve ne işe yaradığı
- Hesabın şirket adına mı, kişi adına mı açıldığı
- Kimlerin hangi yetkiyle eriştiği
- Yönetici yetkisinin kimde olduğu
- İki adımlı doğrulamanın açık olup olmadığı
- Kurtarma e-postasının ve telefonunun kime ait olduğu
Son madde sıkça atlanır ama çok önemlidir. Kurtarma bilgisi ayrılan çalışanın kişisel telefonuysa, hesabın parolasını değiştirseniz bile hesabın gerçek kontrolü sizde değildir. Envanter bir kez çıkarılıp bırakılmamalı; yeni bir sistem kullanılmaya başlandığında ya da biri işe girip çıktığında güncellenmelidir.
Yetkiyi kişiye değil role verin
Küçük işletmelerde yetki genellikle kişiye göre verilir: “Ayşe Hanım muhasebeye de baksın, ona da yetki açalım.” Zamanla her çalışanın yetkisi, üstlendiği işlerin birikimi hâline gelir ve kimse neye neden eriştiğini hatırlamaz. Görev değiştiren bir çalışan eski yetkilerini de yanında taşır.
Rol bazlı yaklaşımda önce roller tanımlanır: satış, muhasebe, depo, yönetim gibi. Her rolün hangi sisteme hangi düzeyde erişeceği bir kez yazılır. Çalışan bir role atanır ve yetkilerini rolünden alır; görev değiştiğinde eski rolden çıkarılıp yenisine eklenir. Böylece hem yeni bir çalışanın hazırlığı hızlanır hem de “bu kişi neden buna erişiyor?” sorusunun cevabı her zaman bellidir. Temel ilke aynı kalır: Herkes yalnız işini yapmak için gerekene erişir, fazlasına değil.
Ortak hesaplar ve paylaşılan parolalar
Birçok işletmede birkaç kişinin aynı kullanıcı adı ve parolayla girdiği hesaplar vardır: sosyal medya, kargo paneli, bir tedarikçinin sipariş sistemi. Paylaşılan parola, ayrılış anında en büyük boşluğu yaratır; çünkü ayrılan kişinin bildiği parolayı değiştirmek, hesabı kullanan herkesi etkiler ve bu yüzden çoğu zaman ertelenir.
Mümkün olan her sistemde kişiye özel hesap açmak en temiz çözümdür; kimin ne yaptığı da böylece kayıtlarda görünür. Kişiye özel hesabın olmadığı durumlarda paylaşılan parolalar bir parola yöneticisinin ortak kasasında tutulmalı, çalışanlar parolayı ezberlemek ya da bir dosyaya yazmak yerine oradan kullanmalıdır. Ayrılış anında kişinin kasaya erişimi kapatılır ve bildiği parolalar listeden görülerek değiştirilir.
Girişten ayrılışa erişimin yaşam döngüsü
Erişim yönetimi yalnız ayrılış gününe sıkışmamalıdır. Bir çalışanın şirketteki yolculuğunun her durağında yapılacak iş bellidir:
| An | Yapılacak iş |
|---|---|
| İşe giriş | Role göre hesap açılır, envantere yazılır |
| Görev değişikliği | Eski rolün yetkileri kaldırılır |
| Uzun izin | Gereksiz erişimler askıya alınır |
| Ayrılış | Tüm erişimler kapatılır, veri devredilir |
| Düzenli kontrol | Liste gerçek durumla karşılaştırılır |
En çok ihmal edilen satır görev değişikliğidir. Yeni yetkiler hemen açılır, çünkü çalışan işini yapmak ister; eskileri ise kimse kaldırmayı talep etmez. Görev değişikliği formuna “kaldırılacak yetkiler” alanı eklemek bu boşluğu kapatır.
Ayrılış günü kontrol listesi
Ayrılış sürecinin kişiye ve hafızaya bağlı kalmaması için yazılı bir liste kullanın ve her ayrılışta işaretleyin:
- Şirket e-postası ve tek oturum açma hesabı kapatılır, açık oturumlar sonlandırılır.
- Hesap envanterindeki her sistemde kişinin hesabı kapatılır ya da devredilir.
- Kişinin bildiği paylaşılan parolalar değiştirilir.
- Kurtarma e-postası ve telefonu kişiye ait olan hesaplar şirket bilgilerine taşınır.
- Kişinin sahibi olduğu dosyalar, klasörler ve yazışmalar sorumlusuna devredilir.
- Şirket cihazları teslim alınır; kişisel cihazlardaki şirket uygulamalarından çıkış yapılır.
- Uzaktan erişim, VPN ve kapı kartı gibi fiziksel erişimler kapatılır.
- Liste tamamlanınca tarih ve sorumluyla birlikte kayda geçirilir.
Bu adımların zamanlaması da önemlidir. Ayrılış dostane olsa bile erişimlerin son çalışma gününün sonunda kapanacağını önceden planlayın; ayrılışın gergin olduğu durumlarda ise kapatma, kişiye bilgi verilmesiyle aynı anda yapılmalıdır.
Tedarikçiler, eski firmalar ve unutulan hesaplar
Erişim yalnız çalışanlara verilmez. Web sitenizi yapan firma, bir dönem destek aldığınız bilişim tedarikçisi, muhasebe bürosu ya da reklam hesaplarınızı yöneten bir danışman da sistemlerinize erişebilir. İş ilişkisi bittiğinde bu erişimler çalışan ayrılışından bile daha sık unutulur.
Sunucularda kalmış eski kullanıcılar, kimsenin hatırlamadığı test hesapları ve bir zamanlar kurulmuş uzaktan bağlantı araçları da aynı kategoriye girer. Tedarikçilere mümkünse yalnız işin süresi boyunca ve yalnız ilgili sisteme erişim verin; iş bittiğinde erişimin kapatılmasını sözleşmenin ve kapanış sürecinin parçası yapın.
Kritik varlıklar: Alan adı, yönetici hesabı, banka
Bazı hesapların kaybı diğerlerinden çok daha pahalıdır. Alan adı sağlayıcısındaki hesap kaybedilirse web siteniz ve e-postanız birlikte gider. Bulut ofis uygulamasının ana yönetici hesabı ele geçirilirse tüm çalışanların verisi risk altına girer. Bu hesaplar için ayrıca şu sorulara cevap verin: Hesap şirket adına mı kayıtlı, birden fazla güvenilir yönetici var mı, iki adımlı doğrulama açık mı, kurtarma bilgileri güncel mi? Tek bir kişiye bağlı kritik hesap, o kişi ayrıldığında ya da ulaşılamadığında işi durdurabilir.
Bu hesapların acil durumda nasıl açılacağı da yazılı olmalıdır. Yönetici parolaları ve kurtarma kodları, yalnız yetkili kişilerin ulaşabildiği güvenli bir kasada tutulmalı; kasaya erişimin kendisi de birden fazla kişiye bağlanmalıdır. Böylece hem tek kişiye bağımlılık ortadan kalkar hem de kimin hangi anahtarı kullandığı izlenebilir. Ayrılan kişi bu hesaplardan birinde yöneticiyse, yetkinin devri ayrılış listesinin ilk maddeleri arasında yer almalıdır.
Düzenli gözden geçirme ve kayıtlar
En iyi düzen bile zamanla bozulur. Bu yüzden belirli aralıklarla hesap envanterini gerçek durumla karşılaştırın: Her sistemdeki kullanıcı listesini çekin, tanımadığınız ya da artık şirkette olmayan kişileri işaretleyin, yetkisi rolünü aşan hesapları düzeltin. Sistemlerin tuttuğu giriş kayıtları da değerlidir; ayrılmış bir çalışanın hesabıyla yapılan bir giriş denemesi, sorunu büyümeden gösterir.
Kişisel veri işleyen işletmeler için erişim kontrolü, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında alınması beklenen teknik ve idari tedbirlerin de bir parçasıdır. Hangi tedbirlerin sizden beklendiğini Kişisel Verileri Koruma Kurumu’nun güncel rehberlerinden ve hukuk danışmanınızdan doğrulayın.
Bunny Soft erişim yönetimini nasıl yürütüyor?
Önce hangi site, sunucu, uygulama ve verinin korunması gerektiğini sizinle birlikte listeliyoruz. Ardından kimin neye erişebildiğini düzenleyen yetki ve parola politikalarını hazır bir kalıp olarak değil, işinize özel kuruyoruz. Ayrılan çalışanlardan, eski tedarikçilerden ve kullanılmayan hesaplardan kalan erişimleri bulup temizliyoruz; sonuçta kimin neye eriştiği belli olur, eski ve gereksiz hesaplar sistemde kalmaz.
Sistemlerinizi inceleyip açıkları ve yanlış yapılandırmaları önem sırasıyla, teknik olmayan yöneticinin de anlayabileceği bir raporla sunuyor, bulunan sorunları öncelik sırasına göre kapatıyor ve her düzeltmenin gerçekten işe yaradığını yeniden kontrol ediyoruz. Yazılımlar ve ekipler değiştikçe kontrolleri sizinle planladığımız aralıklarla tekrarlıyoruz. Geliştirdiğimiz yazılımlarda da yetkilendirme ve oturum yönetimi baştan bu gözle tasarlanır.
Hesaplarınızı ve yetkilerinizi kontrol altına almak için siber güvenlik sayfamızda kapsamı ve süreci bulabilirsiniz.
