Görsel: Gezdiren için özgün editoryal çalışma.
Bir çalışan yeni bir ekibe geçtiğinde duyuruyu herkes görür. Eski ortak klasörler, müşteri ekranları, onay yetkileri ve dağıtım listeleri ise çoğu zaman görünmeyen bir iş listesine dönüşür. Yeni yönetici ilk hedefleri anlatır; eski görevden kalan erişimlerin kimin tarafından, ne zaman gözden geçirileceği belirsiz kalır.
Bu boşluk, güvenlik ekibinin tek başına kapatamayacağı bir süreç sorunudur. Görev değişikliği bir insan kaynakları kaydı, bir yönetici kararı ve sistemlerdeki yetki değişiminin aynı olayda buluştuğu andır. Bu üçü ayrı günlerde çalışırsa çalışan yeni rolünde ihtiyaç duyduğu araca geç ulaşabilir; eski rolünde ihtiyacı kalmayan veriye de gereğinden uzun süre erişebilir.
Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ilke kararında kurumsal iletişim kanallarından elde edilen verilere erişimin görev ve yetki verilmiş sınırlı personelle tutulması, yetkilerin görev tanımlarına göre belirlenmesi ve erişim işlemlerinin kayda alınması gerektiğini söylüyor. Karar, yöneticinin teknik olarak ulaşabildiği her alan için serbest inceleme yetkisi vermiyor. Görev değişikliğinde sınır daha açık görünür: Eski görevin bilgisine erişim, yeni görevin otomatik parçası sayılmaz.
Bu kaynak işyerlerinin bütün iç süreçlerini tek başına düzenlemez. Ancak kurumun sorusunu netleştirir: Çalışanın unvanı değiştiğinde, hangi veriye hangi iş için erişeceğine kim karar veriyor?
Eski yetkiyi kaldırırken yeni işin aracını açmak
Görev değişikliği konuşulunca iki pratik kaygı belirir. Eski erişimleri hemen kaldırmak iş devrini zorlaştırabilir. Yeni erişimlerin gecikmesi de çalışanın hedeflerini baştan riske atar. Kurum, bu nedenle her geçiş için ayrı bir süre ve yetki planı kurmalıdır.
NIST'in hesap yönetimi kontrolü, hesap değişikliklerinin personelin görevi bırakması veya başka göreve geçmesiyle uyumlu yürütülmesini; transfer halinde hesap yöneticilerinin belirlenmiş süre içinde haberdar edilmesini öngörür. CISA da rol değiştiren kişilerin yıllar içinde gereksiz ayrıcalık biriktirebildiğine dikkat çeker. Bu teknik belgeler, işin insan tarafını da açık eder: Sistem, görev değişikliğini tanımıyorsa çalışan hangi dosyayı devredeceğini, hangi onayı artık vermeyeceğini ve hangi bilgiye yeni rolü için ihtiyaç duyduğunu tek başına çözmeye çalışır.
Yönetici, erişim talep listesini çalışanın tek başına tamamlamasını beklememelidir. Yeni rolün ilk 30 günü için gerekli uygulamalar, veri kümeleri, onay sınırları ve iş devri süresi yazılı olarak belirlenmelidir. Eski rolden kalacak geçici erişim varsa bunun gerekçesi, sahibi ve bitiş tarihi aynı kayıtta bulunmalıdır. Bu düzen, geçici yetkilerin kalıcılaşmasını önler ve yeni iş için gereken aracın kişisel ilişkilere bağlı kalmasını engeller.
Tek kayıt, üç ayrı karar sahibini bağlar
İyi bir görev değişikliği kaydı en az üç kişiye iş verir: İnsan kaynakları görevin ve başlangıç tarihinin doğruluğunu taşır; eski ve yeni yönetici iş devrini ve öncelikleri kararlaştırır; bilgi teknolojileri ya da veri sorumlusu sistem yetkisini uygular. Kayıt bu kişilerin birbirine e-posta göndermesinden ibaret kaldığında, hangi kararın verildiği sonra anlaşılmaz.
Bu nedenle kayıtta şu soruların doğrudan cevabı bulunmalı:
- Yeni rolün başlangıç tarihi ve deneme ya da geçiş süresi nedir?
- Çalışan hangi uygulama, klasör ve onay yetkisine bu rol için ihtiyaç duyacaktır?
- Eski rolden hangi erişim hangi tarihte kaldırılacaktır?
- İş devri için geçici erişim gerekliyse buna kim onay vermiş, süreyi kim izleyecektir?
- Yeni rolde beklenen ilk sonuçları ve öncelik sırasını hangi yönetici açıklayacaktır?
- Çalışan erişim hatası veya gereksiz yetki gördüğünde kime, hangi süre içinde bildirim yapabilecektir?
Liste, sürekli çalışan denetimi için kurulmaz. Karar sahiplerinin atladığı adımları ve bekleyen işleri kayda geçirir. Erişim yetkisinin sınırlı tutulması ile çalışanın işini yapabilmesi aynı süreçte korunabilir.
Sorun ortaya çıktığında çalışandan hafıza beklemeyin
Bir dosyaya erişemeyen çalışan çoğu zaman önce eski ekipte tanıdığı birine yazar. Eski bir müşterinin verisini hâlâ görebilen çalışan ise bunu bildirmeyi gereksiz ya da riskli bulabilir. Kurum bu iki durumu bireysel inisiyatifle çözmeye alıştığında, kaçırılan yetki değişikliklerinin örüntüsü kayıt dışı kalır.
Yönetici, çalışanın kaç kez yardım istediğini saymakla yetinmemelidir. Hangi görev değişikliğinde gerekli erişimin geciktiği, hangi eski yetkinin süre sonunda açık kaldığı ve bu gecikmenin hangi iş akışından doğduğu incelenmelidir. Aynı hata belli bir uygulamada ya da ekip geçişinde tekrarlanıyorsa, kurum geçiş tasarımındaki eksik adımı düzeltmelidir.
Görev değişikliğinin sonunda yapılacak kısa bir doğrulama bu nedenle değerlidir. Çalışan yeni rolündeki temel işi yapabiliyor mu? Eski rolün geçici erişimleri kapanmış mı? Hâlâ açık olan istisnaların sahibini ve bitiş tarihini herkes görebiliyor mu? Bu cevaplar, açık kalan eski yetkiyi ve yeni işin geciken aracını ilgili yöneticiye bildirir.
Kaynaklar
- Kişisel Verileri Koruma Kurumu, İşverenlerin kurumsal iletişim kanallarını denetlemesine ilişkin 2026/2035 sayılı ilke kararı, 16 Eylül 2026.
- NIST, Special Publication 800-53 Rev. 5, Account Management, erişim: 21 Ekim 2026.
- CISA, Identity and Access Management: Recommended Best Practices for Administrators, 2023.
Bu yazı genel insan kaynakları, süreç ve veri güvenliği bilgisi sunar; somut olaylarda yürürlükteki mevzuat, kurum politikası ve uzman görüşü birlikte değerlendirilmelidir.
