Acentelerde erişim ihtiyacı her zaman kalıcı çalışanlardan gelmez. Yaz döneminde gelen bir stajyer, yılsonu kapanışında destek veren bir mali müşavir, yazılım geçişinde veri aktarımına yardım eden bir danışman ya da bir sorunu incelemek için sisteme bakması gereken yazılım destek ekibi... Bu kişilerin her biri sınırlı bir süre ve sınırlı bir amaç için erişime ihtiyaç duyar. Sorun, bu erişimlerin çoğu zaman kalıcı kullanıcılar gibi açılması ve iş bittiğinde kapatılmamasıdır. Bu yazıda, geçici erişim ihtiyaçlarını süreli ve amaçla sınırlı yetkilerle nasıl yönetebileceğinizi ele alıyoruz.
Geçici erişim neden ayrı bir başlıktır?
Kalıcı çalışanlar için kullanıcı açma ve kapatma süreçleri çoğu acentede bir şekilde işler: İşe giriş ve çıkış, insan kaynakları sürecinin doğal tetikleyicileridir. Geçici erişimlerde ise böyle bir tetikleyici bulunmaz. Stajın bittiği gün kimse yazılım hesabını hatırlamaz; danışmanın işi tamamlandığında hesabın kapatılması kimsenin görev listesinde değildir. Sonuç olarak aylar sonra hâlâ aktif olan, kimin kullandığı belirsiz hesaplar ortaya çıkar.
KVKK'nın veri güvenliği yükümlülüğü açısından bu tür hesaplar, yetkisiz erişim riskinin en sık kaynaklarından biridir. Kişisel Verileri Koruma Kurulu'nun yayımladığı veri güvenliği rehberinde de yetki matrislerinin oluşturulması ve görev değişikliklerinde yetkilerin güncellenmesi gibi önlemler öne çıkar.
Geçici erişim profilleri
Stajyer ve deneme dönemindeki çalışan
Stajyerler genellikle işi öğrenmek için sisteme erişir. Bu profil için okuma yetkisi ağırlıklı, sınırlı ekranlara açık ve kişisel veri görünürlüğü azaltılmış bir rol uygundur. Teklif sürecini öğrenen bir stajyer, gerçek müşteri kayıtları yerine eğitim amaçlı örnek kayıtlarla çalışabilirse bu daha da iyidir.
Mali müşavir ve muhasebe desteği
Muhasebe desteği veren kişiler tahsilat ve komisyon kayıtlarına ihtiyaç duyar; teklif ekranlarına, müşteri iletişim geçmişine veya sağlık branşı kayıtlarına ihtiyaçları yoktur. Bu profil için yetki, ilgili modüllerle ve mümkünse raporlama ekranlarıyla sınırlandırılmalıdır.
Proje danışmanı
Yazılım geçişi, süreç iyileştirme veya veri temizliği gibi projelerde dış danışmanlar daha geniş bir erişime ihtiyaç duyabilir. Bu durumda erişimin projenin süresine bağlanması, danışmanla gizlilik taahhüdü imzalanması ve yapılan işlemlerin kayıt altına alınması özellikle önemlidir.
Yazılım destek ekibi
Bir sorunun incelenmesi için yazılım sağlayıcısının destek ekibinin acente hesabına erişmesi gerekebilir. Bu erişimin acentenin bilgisi ve onayıyla, sınırlı süreyle ve kayıt altında gerçekleşmesi gerekir. Destek erişiminin kalıcı bir arka kapı gibi çalışmaması, hem acentenin hem de sağlayıcının yararınadır.
Süreli yetkinin dört unsuru
Geçici bir erişim tanımlanırken şu dört unsurun yazılı olarak belirlenmesi önerilir:
- Amaç: Erişimin hangi iş için verildiği. "Yılsonu tahsilat mutabakatı" gibi somut bir tanım.
- Kapsam: Hangi modüllere, hangi şubeye, hangi kayıt türlerine erişileceği.
- Süre: Erişimin başlangıç ve bitiş tarihi.
- Sorumlu: Erişimi talep eden ve sonlandırılmasını takip edecek acente çalışanı.
Sorumlu kişi unsuru çoğu zaman atlanır, ancak en kritik olanıdır. Her geçici erişimin acente içinde bir "sahibi" olmalıdır.
Bitiş tarihini kaçırmamak
Süreli yetkinin en zayıf noktası, bitiş tarihinin insan hafızasına bırakılmasıdır. Bunu önlemenin yolları şunlardır:
- Yazılım destekliyorsa kullanıcı hesabına son geçerlilik tarihi tanımlamak.
- Desteklemiyorsa bitiş tarihini sorumlu kişinin görev listesine hatırlatma olarak eklemek.
- Ayda bir, aktif kullanıcı listesini gözden geçirip geçici hesapları kontrol etmek.
- Geçici hesapları adlandırırken kolayca ayırt edilebilir bir kural kullanmak.
Ortak hesap tuzağı
Geçici erişim ihtiyacında en sık başvurulan kestirme, mevcut bir çalışanın kullanıcı bilgilerinin paylaşılmasıdır: "Benim hesabımla gir, işin bitince söylersin." Bu yaklaşım, işlem kayıtlarını anlamsız hale getirir; bir işlemin kim tarafından yapıldığı artık bilinemez. Ayrıca paylaşılan şifrenin sonradan değiştirilmesi çoğu zaman unutulur. Geçici bir ihtiyaç ne kadar kısa olursa olsun, ayrı bir kullanıcı açmak her zaman daha güvenli bir seçenektir.
Destek erişiminde iyi uygulamalar
Yazılım destek ekibinin erişimi, geçici erişimin özel bir türüdür. Bu erişimin şu çerçevede yürütülmesi önerilir:
- Destek talebi acente tarafından açılır ve sorunun kapsamı tanımlanır.
- Erişim gerekiyorsa acente bunu açıkça onaylar.
- Erişim mümkün olduğunca sorunlu ekran veya kayıtla sınırlı tutulur.
- Destek ekibinin yaptığı işlemler kayıt altına alınır.
- Sorun çözüldüğünde erişim sona erer ve acenteye bilgi verilir.
Pek çok sorun, destek ekibinin gerçek müşteri verisini görmesine gerek kalmadan, ekran görüntüsünde kişisel bilgilerin maskelenmesi veya örnek bir kaydın oluşturulmasıyla da incelenebilir.
Şubeli yapılarda geçici erişim
Şubeli acentelerde bir çalışanın kısa süreliğine başka bir şubeye destek vermesi de geçici erişimin bir türüdür. Bu durumda çalışanın kalıcı rolünü genişletmek yerine, diğer şubeye ait kayıtlara süreli erişim tanımlamak daha doğru bir yaklaşımdır. Aksi halde destek dönemi biter ama genişletilmiş yetki kalır. Şube bazlı yetki ayarları sunan bir sigorta acentesi yazılımı bu tür geçişleri yönetmeyi kolaylaştırır.
Mobil erişimi unutmayın
Geçici kullanıcıların web paneline ek olarak mobil uygulamaya da giriş yapıp yapamayacağı ayrıca değerlendirilmelidir. Çoğu geçici profil için mobil erişim gerekmez; gerekiyorsa da erişim sona erdiğinde mobil oturumların da kapatıldığından emin olunmalıdır.
Bu gözden geçirmede geçici hesapların yanında, rolü değişmiş kalıcı çalışanların eski yetkilerini koruyup korumadığına da bakmak, aynı emekle ikinci bir riski azaltır.
Sonuç
Geçici erişim ihtiyaçları kaçınılmazdır; sorun, bu ihtiyaçların kalıcı çözümlerle karşılanmasıdır. Amaç, kapsam, süre ve sorumlu kişi unsurlarıyla tanımlanan süreli yetkiler, ortak hesap kullanımından kaçınma ve düzenli kullanıcı gözden geçirmesi, geçici erişimleri güvenli biçimde yönetmenin temelidir. Yetki yapınızı birlikte değerlendirmek isterseniz demo talebi oluşturabilirsiniz.