İşe giriş ve çıkıştaki küçük BT adımları, hesap karmaşasını ve veri riskini azaltır. Bu yazı, yöneticiler ve BT sorumluları için uygulanabilir bir kontrol çerçevesi sunar.
Yeni bir çalışan başladığında ihtiyaç duyduğu araçlara hızla ulaşmalı; ayrıldığında ise kurumsal veriler ve hesaplar düzenli biçimde güvenceye alınmalıdır. Bu iki süreç çoğu zaman insan kaynakları, yönetici ve BT ekibi arasında bölünür. Sorumluluk net değilse geç açılan, unutulan veya gereğinden geniş kalan erişimler ortaya çıkar. Basit bir kontrol listesi hem çalışanın deneyimini hem de işletmenin güvenliğini iyileştirir.
Süreci sahiplenin ve tetikleyicileri belirleyin
İşe giriş ve çıkışı “BT’ye haber verildi” adımına indirgemeyin. İnsan kaynakları, doğrudan yönetici ve BT sorumlusunun hangi bilgiyi ne zaman paylaşacağını belirleyin. Başlangıç tarihi, görev, ekip, çalışma yeri, cihaz ihtiyacı, onaylayan yönetici ve gerekli uygulamalar standart bir talep formunda toplanabilir. E-posta zincirleri yerine takip edilebilir bir talep kaydı kullanmak, onayların ve tamamlanan adımların kaybolma riskini azaltır.
Ayrılışta da son çalışma günü, erişimin kapanacağı saat, cihaz teslimi, e-posta ve dosya devri önceden bildirilmelidir. Ani ayrılıklarda kimin yetkisiyle, ne kadar hızlı işlem yapılacağı da yazılı olsun. Böylece süreç kişilerin hafızasına bağlı kalmaz.
İşe girişte yapılacaklar
Rol temelli erişim verin
“Önce herkesin eriştiği klasörleri açalım” yaklaşımı yerine, yeni çalışanın görevi için gereken uygulama ve dosyaları tanımlayın. Rol temelli erişimde yetkiler kişiye göre değil, üstlenilen göreve göre belirlenir. Bu yöntem kurulumu hızlandırır ve gereksiz erişimi azaltır.
Yönetici, kullanıcının hangi müşteri, proje veya finansal bilgilerle çalışacağını onaylamalı; BT ekibi de talebin mevcut rollerle uyumunu kontrol etmelidir. Geçici ihtiyaçlar için bitiş tarihi koyun.
Hesap ve kimlik doğrulama düzenini kurun
Her çalışana kişisel hesap açın; ortak hesap kullanımını sınırlayın. İlk parolanın güvenli biçimde iletilmesi, ilk girişte değiştirilmesi ve çok faktörlü doğrulamanın kurulması planın parçası olmalıdır. Kimlik doğrulama cihazı kaybolduğunda veya çalışan telefonunu değiştirdiğinde izlenecek destek sürecini de anlatın.
Yönetici yetkisi gereken kişilere, günlük kullanım hesabından ayrı bir yönetici hesabı açın. Bu ayrım, e-posta okuma veya internette gezinme gibi sıradan işlerin yüksek yetkili bir oturumla yapılmasından doğan riski azaltır.
Cihazı hazırlayın
Bilgisayar, telefon veya tablet teslim edilmeden önce güncellemeleri, ekran kilidini, disk şifrelemeyi, güvenlik yazılımını, yedeklemeyi ve gerekiyorsa uzaktan silme özelliğini kontrol edin. Cihazın seri numarasını, teslim tarihini ve aksesuarlarını kayıt altına alın. Çalışana bir sorunu nereye bildireceğini, güncelleme uyarılarında ne yapacağını ve şüpheli e-postaları nasıl ileteceğini açıkça anlatın.
Yeni çalışanın işi için gerekmeyen uygulamaları baştan kurmak yerine, ihtiyaç doğduğunda onaylı bir kurulum süreci kullanın. Bu yaklaşım hem lisans hem güvenlik yönetimini kolaylaştırır.
Kısa bir güvenlik tanıtımı yapın
İlk gün çok fazla bilgi vermek yerine kritik konuları kısa ve sade biçimde aktarın: parola ve çok faktörlü doğrulama, e-posta güvenliği, dosya paylaşımı, uzaktan çalışma kuralları ve cihaz kaybında ne yapılacağı. Hangi verilerin hassas sayıldığını ve bunların kişisel e-posta veya kişisel depolama hesaplarına aktarılmaması gerektiğini belirtin. Çalışanın soru sorabileceği destek kanalını paylaşın; ayrıntılı eğitim ve role özel araçlar için sonraki günlere bir takip adımı ekleyin.
Çalışma süresince gözden geçirme
Görev, ekip veya sorumluluk değiştiğinde erişimler de değişmelidir. Eski rolün yetkilerini açık bırakmak yerine, yeni role göre ekleme ve kaldırma yapın. Belirli aralıklarla yöneticilerden ekip üyelerinin uygulama ve klasör erişimlerini doğrulamalarını isteyin.
Hizmet sağlayıcılar, stajyerler ve geçici çalışanlar da bu sürece dahildir. Hesaplarına sözleşme veya görev bitiş tarihini tanımlamak unutulan erişimleri azaltır; yine de tarih geldiğinde hesabın gerçekten kapandığını ayrıca doğrulayın. Paylaşımlı posta kutusu veya ortak dosya alanlarının sorumluluğunu da kişiye değil, role bağlayın.
İşten ayrılışta kontrollü kapanış
Ayrılan çalışanın erişimlerini son çalışma saatiyle uyumlu biçimde kapatın veya askıya alın. E-posta, bulut depolama, uzaktan erişim, kurumsal uygulamalar, yönetici hesapları ve çok faktörlü doğrulama yöntemleri tek tek gözden geçirilmelidir; bilgisayarı geri almak tek başına yeterli değildir. Hesabı devre dışı bırakmak bazı sistemlerde açık oturumları hemen sonlandırmayabilir, bu nedenle etkin oturumları ve uygulamalara verilmiş erişim izinlerini de iptal edin. Çalışanın bildiği ortak parolalar varsa bunları değiştirin.
İş devrinde işletme sürekliliği ile gizlilik arasındaki dengeyi koruyun. Yöneticinin ihtiyaç duyduğu iş dosyaları ve müşteri yazışmaları tanımlı bir devir yöntemiyle devralınmalı, ancak çalışanın hesabına sınırsız veya süresiz erişim bırakılmamalıdır. Otomatik e-posta yönlendirmesi veya hesabın paylaşımlı kullanımı gibi çözümler dikkatle ele alınmalı; hangi veriye, hangi onayla ve ne kadar süre erişileceği şirket politikasına ve ilgili mevzuata göre belirlenmelidir.
Cihaz tesliminde bilgisayar ve telefon gibi ekipmanın yanında anahtarlar, giriş kartları ve kurumsal hesap oturumları da kontrol edilir. Çalışanın kişisel cihazında kurumsal uygulama veya veri varsa bunların kaldırılması da plana eklenmelidir. Ayrılıştan sonra bir süre ilgili hesap hareketlerini izlemek, olağandışı bir durumu fark etmenize yardımcı olur.
Süreçleri ölçülü biçimde iyileştirin
Her işe giriş ve çıkıştan sonra uzun rapor yazmak gerekmez. Geç açılan araçları, eksik onayları veya unutulan hesapları kısa notlarla toplayın. Tekrarlayan bir sorun, formu veya sorumluluk dağılımını iyileştirmek için bir fırsattır.
Süreci dönemsel olarak örnek bir kayıt üzerinden de sınayın: Bir çalışanın erişimleri ve cihaz kaydı birkaç dakika içinde anlaşılabiliyor mu? Ayrılan bir kullanıcının açık hesabı kaldı mı? Erişim envanteri, cihaz listesi ve kontrol listesi güncel kaldığında kişiler değişse bile süreç devam eder; bir denetim veya güvenlik olayında hangi erişimin neden verildiğini açıklamak da kolaylaşır.
Kontrol listesi
- Başlangıç ve ayrılış bilgileri BT’ye zamanında ve standart bir formla ulaşıyor mu?
- Erişimler rol, yönetici onayı ve gerektiğinde bitiş tarihiyle veriliyor mu?
- Her kullanıcı için kişisel hesap ve çok faktörlü doğrulama kuruluyor mu?
- Cihaz tesliminde güvenlik ayarları ve envanter kaydı tamamlanıyor mu?
- Yeni çalışana veri, e-posta ve destek kuralları anlatılıyor mu?
- Görev değişiminde eski erişimler kaldırılıp yenileri gözden geçiriliyor mu?
- Ayrılışta tüm uygulama, bulut, e-posta ve uzaktan erişim hesapları kapatılıyor, açık oturumlar sonlandırılıyor mu?
- Cihaz, kart ve diğer kurumsal varlıkların teslimi kayıt altına alınıyor mu?