Yeni işe başlayan bir çalışana hangi sistemlerin erişiminin açılacağı, kişinin unvanından önce yapacağı işten çıkarılır: hangi veriye dokunacak, hangi hesaptan işlem yapacak. Bu sıra netleşmeden açılan erişimler hem eksik kalır hem de gereğinden geniş olur.
Erişim listesi unvana göre değil göreve göre çıkarılır
Pek çok kurumda yeni personele "önceki kişininkiyle aynı erişimler açılsın" denir. Bu kısa yoldan gidilen bir yöntemdir ama önceki kişinin zaman içinde biriktirdiği, artık gerekmeyen erişimleri de yeni kişiye taşır; bir süre sonra kimin neden o erişime sahip olduğu kimse tarafından hatırlanmaz. Doğru yöntem, görev tanımındaki üç ya da dört temel işlemi tek tek yazmak ve her biri için hangi sistemin gerçekten gerektiğini ayrı ayrı belirlemektir. Örneğin sipariş girişi yapacak bir kişi için gerekli olan yalnızca sipariş yönetim ekranıdır; muhasebe kaydı, kurumsal e-posta yönetim paneli ya da web sitesi içerik yönetimi bu işin bir parçası değilse erişim listesine hiç girmemelidir. Liste kısa tutulduğunda hem yeni kişinin öğrenmesi kolaylaşır hem de bir aksilik olduğunda sorumlu daire hızlı belirlenir.
Hangi erişim hangi sırayla açılır
Erişimlerin tamamı ilk gün aynı anda açılmak zorunda değildir; kişinin ilk gün ihtiyaç duyacağı ile birkaç hafta sonra ihtiyaç duyacağı ayrı ayrı planlanabilir. Aşağıdaki sıralama küçük ve orta ölçekli bir ekip için başlangıç noktası olarak kullanılabilir.
| Erişim | Ne zaman açılır | Kim onaylar |
|---|---|---|
| Kurumsal e-posta hesabı | İşe başlamadan bir gün önce | Yönetici |
| Kendi biriminin dosya paylaşım alanı | İlk gün | Yönetici |
| Müşteri veya sipariş ekranı | İlk gün, kısa eğitim sonrası | Birim sorumlusu |
| Web sitesi ya da panel yönetimi | Görev gerektiriyorsa, ayrı onayla | Sistem sahibi |
| Muhasebe ve finans ekranları | Yalnızca görev tanımı gerektiriyorsa | Finans yöneticisi |
Bu sıralamanın amacı, kişiye önce dar bir alanda çalışma imkânı verip erişimi görev genişledikçe büyütmektir; tersi yönde, geniş erişimle başlayıp sonradan daraltmak hem unutulur hem de riskli bir zaman aralığı yaratır.
Yüklenici, stajyer ve geçici personel farklı değerlendirilir
Dışarıdan hizmet alınan kişiler — muhasebeci, ajans, geçici destek personeli, stajyer — için erişim süresi baştan sınırlanmalıdır.
- Erişim açılırken bir bitiş tarihi not edilir; süresiz erişim verilmez.
- Stajyer ve geçici personele üretim verisine doğrudan yazma yetkisi yerine, mümkünse salt okunur ya da test ortamı erişimi tanımlanır.
- Dışarıdan erişen kişiler için ayrı bir kullanıcı adı açılır; kurum içi bir çalışanın hesabı ödünç verilmez.
- Sözleşme ya da staj süresi bitiminde erişimin kapatıldığı, kapatma işlemini yapan kişi tarafından yazılı olarak teyit edilir.
Ortak hesap kullanımı neden risk taşır
"Herkes aynı e-posta ve şifreyle girsin, daha pratik" yaklaşımı özellikle küçük ekiplerde sık görülür. Ancak ortak hesapta kimin hangi işlemi yaptığı ayırt edilemez; bir hata, yanlış silme ya da müşteriye yanlış bilgi gönderme durumunda kaynağı bulmak mümkün olmaz. Kişi ekipten ayrıldığında da tek şifreyi değiştirmek yetmez, çünkü o hesabı kaç kişinin daha bildiği, hangi cihazlarda kayıtlı kaldığı bilinmez. Her kullanıcıya kendi adına açılmış, kendi şifresiyle giriş yaptığı bir hesap vermek; paylaşılan tek bir hesaptan daha fazla ilk kurulum emeği gerektirir ama ileride "kim ne yaptı" sorusuna her zaman net bir cevap sağlar. Bu fark özellikle müşteri verisine dokunan sistemlerde önemlidir.
Erişim kapsamı zamanla nasıl kontrol edilir
Erişim açmak tek seferlik bir işlem değildir; zamanla biriken ve unutulan erişimlerin düzenli olarak gözden geçirilmesi gerekir.
- Erişim açılırken kişi, sistem ve açılış tarihini içeren bir liste tutulur.
- Görev değişikliğinde yeni erişim eklenirken, artık gerekmeyen eski erişimin kapatılıp kapatılmadığı kontrol edilir.
- Belirli aralıklarla, örneğin yılda bir kez, kimin hangi sisteme erişimi olduğu listesi yeniden gözden geçirilir ve gereksiz kalanlar kapatılır.
- Dışarıdan hizmet alınan kişilere açılan erişimler de aynı listeye dahil edilir ve iş ilişkisi bitince kapatılır.
Erişim açma ve kapatma talebi nasıl kayıt altına alınır
Erişim açma isteği sözlü bir rica olarak kalırsa, kimin ne zaman onay verdiği birkaç ay sonra hatırlanamaz. Talebin yazılı bırakılması — bir e-posta, bir form ya da basit bir tablo satırı olması önemli değildir — şu üç sorunun her zaman cevaplanabilmesini sağlar: erişim kim için istendi, hangi görev gerekçesiyle istendi, kim onayladı. Aynı kayıt kapatma talepleri için de tutulmalıdır; bir kişinin görevi değiştiğinde ya da ekipten ayrıldığında erişimin kapatıldığı, yalnızca "kapattım" demekle değil, hangi sistemde hangi tarihte kapatıldığı yazılarak teyit edilmelidir. Bu kayıt düzeni, bir denetim ya da müşteri sorgusu geldiğinde "bu bilgiye kimin erişimi vardı" sorusuna dakikalar içinde cevap vermeyi mümkün kılar.
Sık yapılan hatalar
- Erişimi açan kişinin, açılan erişimin ne işe yaradığını bilmeden sadece "istenen her şeyi aç" yaklaşımıyla hareket etmesi.
- Geçici olarak açılan bir erişimin, iş bittikten sonra kapatmayı hatırlatacak bir not bırakılmadan unutulması.
- Birden fazla kişinin aynı yönetici hesabını paylaşması, "zaten güvenilir bir ekip" gerekçesiyle ayrı hesap açmanın atlanması.
- Erişim listesinin yalnızca bir kişinin bilgisayarında, yedeği olmayan bir dosyada tutulması.
Özet
Yeni bir çalışana erişim açarken izlenecek kısa yol, önceki kişinin erişimlerini kopyalamak değil, görev tanımından başlamaktır: hangi işlemi yapacak, bu işlem için hangi sistem gerekli, kim onaylıyor ve erişim ne zaman kapatılacak. Ortak hesap yerine kişiye özel hesap kullanmak ve erişim listesini düzenli olarak gözden geçirmek, hem günlük işleyişi hem de bir gün o kişi ayrıldığında erişimlerin eksiksiz kapatılmasını kolaylaştırır.