İşe giriş ve çıkışta IT süreci

Neden bu kadar önemli?

İşten ayrılan personelin erişimlerinin açık kalması, bir işletmenin karşılaşabileceği en sessiz risklerden biri. Kötü niyet gerekmez bile; unutulmuş bir hesap, ele geçirildiğinde saldırgana hazır bir kapı sunar.

KVKK açısından da bu bir sorun: kişisel veriye erişim yetkisinin işi gereği olmayan kişilerde bulunmaması gerekir. Denetimde ilk bakılan yerlerden biridir.

Pratik tarafı da var: ayrılan kişinin e-postasına gelen müşteri talepleri kimseye ulaşmıyorsa, iş kaybediyorsunuz demektir.

İşe giriş kontrol listesi

Yeni personel ilk gün oturup çalışmaya başlayabilmeli. Bunun için hazırlanması gerekenler:

• Kullanıcı hesabı ve alan adı girişi
• Kurumsal e-posta hesabı ve imza şablonu
• Departmanına uygun klasör yetkileri (fazlası değil)
• Bilgisayar kurulumu, lisanslı yazılımlar, yazıcı tanımı
• ERP, muhasebe ya da kullandığı uygulamaların kullanıcı tanımı
• VPN gerekiyorsa erişim ve çok adımlı doğrulama
• Kart geçiş ve PDKS tanımı
• Kısa bir bilgi güvenliği bilgilendirmesi

İşten çıkış kontrol listesi

Ayrılış gününde, tercihen görüşmeyle eş zamanlı yapılması gerekenler:

• Kullanıcı hesabının devre dışı bırakılması (hemen silmeyin, arşiv için bekletin)
• E-posta hesabının yönlendirilmesi ve otomatik yanıt tanımlanması
• VPN ve uzaktan erişim yetkilerinin kapatılması
• ERP, muhasebe ve bulut uygulamalarındaki kullanıcılarının kapatılması
• Ortak klasör ve paylaşım yetkilerinin kaldırılması
• Cihazların teslim alınması ve verinin yedeklenmesi
• Kart geçiş, kamera ve PDKS erişiminin kapatılması
• Yönetici parolalarının değiştirilmesi (o kişi biliyorduysa)

Son madde özellikle önemli. Ayrılan kişi sunucu ya da güvenlik duvarı parolasını biliyorsa, hesabını kapatmak yetmez; parolanın kendisi değişmeli.

Hesabı hemen silmeyin

Yaygın bir hata, ayrılan personelin hesabını aynı gün tamamen silmek. Bu durumda o kişinin e-postaları, dosyaları ve uygulama kayıtları da gidebiliyor.

Doğru yöntem: hesabı devre dışı bırakmak, e-postayı yöneticisine yönlendirmek, verileri arşivlemek ve belirlenen bir süre sonra (genelde 6–12 ay) saklama politikasına göre silmek.

Bunu kim takip edecek?

Bu listeler ancak bir sahibi varsa işler. Uygulamada en sağlıklısı, insan kaynaklarının işe giriş ve çıkış bildirimini standart bir formla BT tarafına iletmesi.

Bilgi işlem desteği verdiğimiz işletmelerde bu akışı kuruyoruz: İK bize bildirir, biz listeyi uygular ve yapılan işlemi yazılı olarak geri bildiririz. Böylece hem unutulmaz hem de kayıt altında kalır.

Sık sorulan sorular