Çalışan Dijital Kimliği ve Kullanıcı Hesapları Nasıl Yönetilir?

Çalışan dijital kimliği; personelin kurumsal e-posta, bilgisayar, mobil cihaz, insan kaynakları sistemi, muhasebe veya ERP yazılımı, ortak klasör, bulut hizmeti, VPN, üretim sistemi ve diğer dijital kaynaklardaki kullanıcı hesaplarının bütünüdür. Bu kimlik işe girişte oluşturulur, görev değişikliğinde güncellenir, izin ve askı dönemlerinde yeniden değerlendirilir ve iş ilişkisinin sona ermesiyle kapatılır.

Hesapların geç açılması yeni çalışanın ilk günlerinde verimsizlik yaratırken, gereğinden fazla veya süresiz erişim verilmesi bilgi güvenliği ve kişisel veri riski oluşturur. Bu nedenle insan kaynakları, bilgi işlem, bölüm yöneticisi ve bilgi güvenliği birimleri ortak bir “kullanıcı hesabı yaşam döngüsü” süreci yürütmelidir.

1. Dijital kimlik kapsamını belirleyin

Şirkette kullanılan tüm sistemler ve erişim türleri envantere alınmalıdır. Yalnızca e-posta ve bilgisayar değil, paylaşımlı klasörler, yazıcı, kartlı geçiş, kamera izleme yetkisi, üretim terminalleri, uzaktan bağlantı, üçüncü taraf platformlar ve mobil uygulamalar da kapsama dahil edilmelidir.

2. Rol bazlı erişim matrisi hazırlayın

Her pozisyon için standart erişim paketi tanımlanmalıdır. Böylece her yeni çalışan için sıfırdan karar verilmez ve benzer görevlerde tutarlı yetkilendirme yapılır. Matris sistem, rol, okuma/yazma/silme yetkisi, veri kapsamı, onay makamı ve gözden geçirme sıklığını içermelidir.

3. En düşük yetki ilkesini uygulayın

Çalışana görevini yerine getirmesi için gerekli olan en düşük yetki verilmelidir. “İleride lazım olabilir” düşüncesiyle geniş erişim tanımlanmamalıdır. Yönetici olmak her sisteme sınırsız erişim hakkı anlamına gelmez; erişim ihtiyacı görev ve veri sorumluluğuyla ilişkilendirilmelidir.

4. İşe giriş talebini zamanında başlatın

İnsan kaynakları, işe başlama tarihi kesinleştiğinde bilgi işlem ve ilgili sistem sahiplerine standart form üzerinden bildirim yapmalıdır. Talepte ad-soyad, sicil, unvan, bölüm, yönetici, lokasyon, başlangıç tarihi, çalışma modeli, cihaz ihtiyacı ve erişim paketi yer almalıdır.

5. Standart kullanıcı adı ve e-posta kuralı kullanın

Kullanıcı adları şirket genelinde aynı formata göre oluşturulmalıdır. Türkçe karakter, benzer isim, isim değişikliği ve yeniden işe giriş gibi durumlar için kural bulunmalıdır. Eski çalışan hesabı yeni çalışana devredilmemeli; gerektiğinde posta kutusu arşivlenerek yeni ve benzersiz kimlik oluşturulmalıdır.

6. Kimlik doğrulama ve ilk şifre güvenliğini sağlayın

Geçici şifre açık e-posta veya toplu mesajla gönderilmemeli, güvenli kanaldan iletilmeli ve ilk girişte değiştirilmesi zorunlu tutulmalıdır. Mümkün olan sistemlerde çok faktörlü kimlik doğrulama kullanılmalı; kurtarma telefon ve e-posta bilgileri kurumsal politika doğrultusunda yönetilmelidir.

7. Ayrıcalıklı hesapları sınırlandırın

Yönetici, sistem yöneticisi, veri tabanı veya finans onay hesabı gibi yüksek yetkili hesaplar standart kullanıcı hesabından ayrı olmalıdır. Bu hesapların kullanımı kaydedilmeli, düzenli gözden geçirilmeli ve ortak şifre kullanımına izin verilmemelidir.

8. Ortak hesap kullanımını azaltın

Birden fazla kişinin kullandığı ortak hesaplar, işlemi kimin yaptığının izlenmesini zorlaştırır. Teknik zorunluluk varsa hesap sahibi, kullanım amacı, erişen kişiler, şifre değiştirme sıklığı ve kayıt yöntemi açıkça tanımlanmalıdır.

9. Görev değişikliğinde eski yetkileri kaldırın

Terfi, bölüm değişikliği veya geçici görevlendirmede yalnızca yeni erişimler eklenmemeli; eski görevden kalan erişimler de incelenmelidir. “Yetki birikmesi” zaman içinde çalışanların gereğinden fazla veriye erişmesine neden olur.

10. Uzun izin ve askı durumlarını yönetin

Ücretsiz izin, askerlik, doğum izni, uzun sağlık raporu veya geçici uzaklaştırma gibi durumlarda hesabın tamamen kapatılması veya belirli erişimlerin askıya alınması politika ile belirlenmelidir. E-posta yönlendirme ve otomatik yanıt uygulamaları kişisel veri ve gizlilik açısından kontrollü kullanılmalıdır.

11. İşten çıkışta eş zamanlı kapatma yapın

İşten çıkış tarihi ve saati insan kaynakları tarafından bilgi işleme zamanında iletilmelidir. Riskli veya ani ayrılıklarda erişim, görüşme başlamadan önce ya da yetkili yönetimin belirlediği anda kesilebilir. Normal ayrılıklarda son çalışma saati esas alınır.

• E-posta ve dizin hesabı kapatıldı mı?
• VPN ve uzaktan erişim iptal edildi mi?
• ERP, CRM ve özel yazılım hesapları kapatıldı mı?
• Bulut paylaşım ve ortak klasör erişimi kaldırıldı mı?
• Kartlı geçiş ve fiziksel erişim iptal edildi mi?
• Mobil cihaz, bilgisayar ve güvenlik anahtarı teslim alındı mı?
• Aktif oturum ve uygulama belirteçleri sonlandırıldı mı?
• Şirket verilerinin kişisel cihazlarda kalma riski değerlendirildi mi?

12. Veri devir ve saklama sürecini planlayın

Ayrılan çalışanın iş dosyaları bölüm yöneticisine veya belirlenen görevliye devredilmelidir. E-posta kutusunun saklama, arşivleme, yönlendirme veya silme süresi hukuki yükümlülükler ve şirket politikası doğrultusunda belirlenmelidir. Eski çalışanın hesabı açık tutularak kullanılmamalıdır.

13. Aktif hesap denetimi yapın

İnsan kaynakları aktif çalışan listesi ile bilgi işlemdeki açık hesaplar aylık veya üç aylık karşılaştırılmalıdır. Ayrılmış çalışan hesabı, kullanılmayan lisans, mükerrer hesap, uzun süredir giriş yapılmayan hesap ve sahibi belirsiz ortak hesaplar raporlanmalıdır.

14. Erişim gözden geçirme kampanyaları düzenleyin

Sistem sahipleri ve yöneticiler belirli aralıklarla çalışanlarının erişimlerini onaylamalı veya kaldırmalıdır. Kritik sistemlerde bu kontrol daha sık yapılabilir. Onay vermeyen yöneticilerin erişimleri otomatik olarak devam ettirmesi yerine kontrollü eskalasyon uygulanmalıdır.

15. Olay kayıtlarını ve delil bütünlüğünü koruyun

Hesap açma, yetki verme, şifre sıfırlama, giriş, veri indirme, silme ve hesap kapatma gibi kritik işlemler kayıt altına alınmalıdır. Loglara erişim sınırlanmalı ve saklama süreleri şirketin güvenlik, denetim ve hukuki gerekliliklerine göre belirlenmelidir.

16. Kişisel verilerin korunması ve çalışan bilgilendirmesi

Çalışanlara hangi sistemlerin kullanıldığı, erişim ve log kayıtlarının hangi amaçlarla tutulduğu, cihaz ve iletişim araçlarına ilişkin şirket kuralları açıkça bildirilmelidir. İzleme uygulamaları ölçülü, amaçla sınırlı ve hukuki değerlendirmeye dayalı olmalıdır.

Örnek süreç sorumlulukları

Profesyonel işe alım desteği

İşletmeniz için doğru personeli bulma, aday ön eleme ve işe başlatma süreçlerinde SEA Academy İK ile iletişime geçebilirsiniz.