Yeni personel işe başladığında hesabının saatler içinde doğru yetkilerle açılması, ayrılan personelin hesabının aynı gün kapanması; ERP güvenliğinin en az teknik altyapı kadar önemli parçasıdır. Yetki modelinin kavramsal tasarımını kullanıcı yetki yönetimi yazımızda anlatmıştık; bu rehber ise günlük operasyonu ele alır: hesap açma, şifre sıfırlama ve hesap kapatma adımları.
Başlamadan: Lisans ve Rol Envanteri
Yeni kullanıcı açmadan önce iki şeyi kontrol edin:
- Lisans kapasitesi: Kullanıcı lisans modeliniz (eşzamanlı veya adlı) yeni hesabı kaldırıyor mu? Sınırdaysanız seçenekler için kullanıcı sayısı belirleme yazısına bakın
- Rol şablonları: “Muhasebe personeli”, “depo görevlisi”, “satış temsilcisi” gibi hazır yetki şablonlarınız var mı? Her kullanıcıya sıfırdan yetki işaretlemek hem yavaştır hem hata üretir; şablon üzerinden kopyalayıp daraltmak standart yöntem olmalıdır
Adım Adım: Yeni Kullanıcı Açma
- Kullanıcı yönetimi ekranını yönetici yetkili hesapla açın (ekran adı ve konumu sürüme göre değişebilir)
- Kullanıcı kodunu kurumsal bir standarda göre verin (örneğin ad.soyad); ortak hesap açmayın, her kişiye ayrı hesap ilkesinden taviz vermeyin
- Kişinin görevine uyan rol şablonunu atayın; şablon dışı ek yetki gerekiyorsa yazılı onayla ekleyin
- Kullanıcının erişeceği şirket ve dönemleri belirleyin; birden fazla şirkette çalışılan kurulumlarda en sık atlanan adım budur
- Geçici bir ilk şifre belirleyin ve kullanıcıdan ilk girişte kendisinin değiştirmesini isteyin
- Kullanıcıyla birlikte kısa bir doğrulama yapın: giriş, yetkili olduğu bir ekranı açma, yetkisiz bir ekranın gerçekten kapalı olduğunu görme
Son madde çoğu kurulumda atlanır; oysa eksik yetki de fazla yetki de en kolay bu beş dakikalık testte yakalanır.
Adım Adım: Şifre Sıfırlama
Şifre sıfırlama talebi geldiğinde izlenecek güvenli süreç:
- Talebi doğrulayın: Telefonla gelen “şifremi sıfırlar mısın” talebinde kişinin kimliğinden emin olun; sosyal mühendislik saldırılarının en klasik giriş kapısı şifre sıfırlama talebidir
- Yönetici hesabıyla kullanıcı yönetiminden ilgili hesaba geçici şifre tanımlayın
- Geçici şifreyi güvenli bir kanaldan iletin ve ilk girişte değiştirtin
- Sıfırlamayı kim istedi, kim yaptı, ne zaman — basit bir kayıt tutun
Kullanıcı şifresini kendisi değiştirmeye çalışırken hata alıyorsa sorun süreç değil teknik olabilir; şifre değiştirilemiyor yazısındaki kontrolleri uygulayın.
Adım Adım: Görev Değişikliğinde Yetki Güncelleme
Hesap yaşam döngüsünün en çok ihmal edilen aşaması görev değişikliğidir. Depodan muhasebeye geçen personel yeni yetkilerini alır, ancak eski yetkileri kimse kaldırmaz; yıllar içinde bu birikim, “her şeye erişebilen” kullanıcılar üretir (yetki birikmesi). Doğru akış:
- Yeni görevin rol şablonunu atayın ve eski rolü kaldırın; yetkiler eklenerek değil, değiştirilerek güncellenmelidir
- Eski göreve bağlı onay akışları ve özel tanımlar varsa devrini yapın
- Hesap açılışındaki doğrulama testini tekrarlayın: yeni ekranlar açılıyor, eski göreve özel ekranlar artık kapalı
Görev değişikliklerinin İK’dan bilgi teknolojilerine otomatik bildirilmesini süreç haline getirin; yetki güncellemesi kişinin kendi talebine kalmamalıdır.
Adım Adım: İşten Ayrılan Personelin Hesabı
Ayrılık gününde uygulanacak kontrol listesi:
- Netsis hesabını pasifleştirin; hesabı silmek yerine pasifleştirmek, geçmiş kayıtlardaki kullanıcı izinin korunmasını sağlar
- Aynı kişinin VPN, uzak masaüstü ve e-posta erişimlerini de aynı gün kapatın; ERP hesabı kapalıyken açık kalan VPN erişimi risk zincirini tamamlar
- Kişiye tanımlı özel yetkiler ve onay akışları varsa devrini yapın; onay bekleyen işlemler sahipsiz kalmasın
- Ortak bilinen bir şifre kullanıldıysa (olmaması gerekir ama sahada karşılaşıyoruz) ilgili tüm şifreleri değiştirin
Hesap İşlemlerini Belgeleyin
Açma, yetki değişikliği ve kapatma işlemlerinin tamamı için basit bir kayıt tutun: talep eden, onaylayan, uygulayan, tarih ve atanan rol. Bir e-tablo bile yeterlidir; önemli olan sürekliliktir. Bu kayıt üç yerde karşınıza çıkar: dönemsel denetimde başlangıç listesi olur, KVKK kapsamındaki “kim hangi veriye erişebiliyor” sorusuna hızlı yanıt verir ve bir güvenlik olayında geriye dönük inceleme süresini saatlerden dakikalara indirir.
Dönemsel Yetki Denetimi
Hesap yaşam döngüsü açma-kapamayla bitmez. Yılda en az iki kez şu üç soruyla denetim yapın: aktif kullanıcı listesinde çalışmayan kişi var mı, kimlerin yetkisi görev değişikliğine rağmen eski görevinden kalma, yönetici yetkisine gerçekten kaç kişinin ihtiyacı var? Bu denetimin çıktısını yazılı saklayın; hem güvenlik hem KVKK uyumu açısından elinizi güçlendirir. Genel çerçeve için güvenlik iyi uygulamaları yazısına bakabilirsiniz.
Sıkça Sorulan Sorular
Ayrılan personelin hesabını silmek yerine neden pasifleştirmeliyim?
Geçmiş fiş ve belgelerde işlemi yapan kullanıcının izi kalmalıdır. Silme, denetim izini zayıflatır; pasifleştirme hem erişimi keser hem tarihçeyi korur.
Ortak kullanıcı hesabı neden sakıncalı?
Kim ne yaptı sorusunun yanıtını imkânsız hale getirir, şifre disiplinini bozar ve ayrılan her personelde şifre değiştirme zorunluluğu doğurur. Lisans tasarrufu için ortak hesap kullanmak, yanlış yerden tasarruftur.
Şifre politikası ne olmalı?
Kolay tahmin edilemeyen, kişiye özel ve düzenli aralıklarla değişen şifreler temel çizgidir. Sürümünüzün şifre kuralı (uzunluk, karmaşıklık, geçerlilik süresi) ayarlarını bayinizle birlikte gözden geçirin.
Yönetici (admin) hesabını günlük işte kullanmak sorun mu?
Evet. Yönetici hesabı yalnızca tanım ve yetki işlerinde kullanılmalı, günlük kayıt işlemleri kişisel hesaplarla yapılmalıdır. Yanlışlıkla yapılan toplu bir işlemin etkisi, yönetici hesabında çok daha büyüktür.
Hesap açma ve kapatma işlemlerini kim yapmalı?
Tek bir sorumlu ve bir vekil belirleyin; işlemler yazılı talep üzerine yapılsın. Herkesin yönetici hesabına erişebildiği kurulumlarda hem hata hem kötüye kullanım izlenemez hale gelir. Sorumlu kişinin yaptığı işlemlerin kaydı da dönemsel denetimin girdisidir.
Kullanıcı ve yetki yapınızı baştan kurgulamak veya ekibinize doğru kullanım alışkanlıkları kazandırmak için Netsis eğitimi sayfamızı inceleyin; sorularınız için iletişim sayfamızdan ulaşın.