İşten Ayrılan Çalışanın Hesabı Açık Kalırsa Ne Olur?

Bir çalışanın işten ayrılması, şirket sistemlerindeki erişimlerinin kendiliğinden sona erdiği anlamına gelmez. Açık kalan e-posta, bulut depolama ve kurumsal uygulama hesapları, yetkisiz erişim riskini sürdürebilir. Bu nedenle işten ayrılış sürecinde insan kaynakları ve bilgi işlem ekiplerinin koordineli çalışması gerekir.

Çalışanın çıkış işlemleri tamamlanmış, bilgisayarı teslim alınmış ve görevleri devredilmiş olabilir. Ancak kurumsal hesaplara erişim devam ediyorsa dijital işten ayrılış süreci henüz tamamlanmamış demektir. Güvenli bir ayrılış için cihaz tesliminin yanında kullanıcı hesapları, erişim yetkileri ve kimlik doğrulama araçları da kontrol edilmelidir.

Açık Kalan Çalışan Hesabı Neden Risk Oluşturur?

Çalışanın görevi sırasında ihtiyaç duyduğu erişimler, iş ilişkisi sona erdiğinde yeniden değerlendirilmelidir. Kullanılmaması gereken bir hesabın aktif kalması, kurum kaynaklarına erişim için gereksiz bir kapı bırakabilir.

Örneğin, eski çalışanın müşteri bilgilerini görebildiği bir uygulamaya erişiminin devam etmesi, görevi sona ermiş bir kişinin şirket verilerine ulaşabilmesi anlamına gelebilir. Bu riskin önlenmesi için işten ayrılan kişilerin hesap ve erişimlerinin devre dışı bırakılması, uluslararası güvenlik rehberlerinde de önerilen kontroller arasındadır.

Buradaki amaç, ayrılan çalışanı şüpheli görmek değil; erişim yetkilerini kişinin güncel göreviyle uyumlu tutmaktır.

Yalnızca E-Posta Hesabını Kapatmak Yeterli mi?

İşten ayrılış kontrolü, çalışanın kullandığı bütün kurumsal kaynakları kapsamalıdır. CISA’nın güvenlik önerileri de yalnızca e-postayı değil, tüm kullanıcı hesaplarını ve kurum kaynaklarına erişimi ele alır.

Şirketin kullandığı sistemlere göre kontrol listesinde şu alanlar bulunabilir:

• Kurumsal e-posta ve takvim

• Şirket ağına uzaktan bağlantı sağlayan VPN

• Dosya paylaşımı ve bulut depolama

• Müşteri ilişkileri ve muhasebe uygulamaları

• İnsan kaynakları ve bordro sistemleri

• Kurumsal mesajlaşma araçları

• Sosyal medya ve reklam hesaplarındaki roller

• Yönetici veya ayrıcalıklı kullanıcı hesapları

Bu liste her şirket için aynı olmayabilir. Kontrolün, çalışanın fiilen kullandığı sistemlere göre hazırlanması gerekir.

Şifre Değiştirmek Yeterli Olur mu?

Şifre değiştirmek, erişim kapatma sürecinin tek adımı olarak görülmemelidir. Kullanılan platforma göre aktif oturumların sonlandırılması, yeni girişlerin engellenmesi ve ilgili erişimlerin kaldırılması da gerekebilir.

Örneğin Microsoft’un işten ayrılan çalışanlara yönelik yönetici dokümanında şifre sıfırlama, oturumlardan çıkış yaptırma ve girişleri engelleme ayrı işlemler olarak ele alınır. İşlemlerin etkili olma süresi de kullanılan hizmete göre değişebilir. Bu nedenle bilgi işlem ekibi, uyguladığı adımların sonucunu doğrulamalıdır.

İnsan Kaynakları ve Bilgi İşlem Nasıl Birlikte Çalışmalı?

İşten ayrılış bilgisinin ilgili ekiplere zamanında ulaşması için sorumlulukları belirlenmiş bir süreç oluşturulmalıdır. Aşağıdaki tablo, şirketlerin kendi yapılarına göre uyarlayabileceği örnek bir görev paylaşımıdır:

Yalnızca “hesabı kapatın” bildirimi göndermek yerine hangi sistemlerde, ne zaman ve kim tarafından işlem yapılacağının belirlenmesi, sürecin takibini kolaylaştırır.

Hesabı Kapatmak ile Verileri Silmek Aynı Şey mi?

Çalışanın erişimini engellemek, kurumsal verileri hemen silmek anlamına gelmez. İşin devamlılığı için gerekli dosyaların ve kayıtların nasıl korunacağı ayrıca planlanmalıdır.

Microsoft’un işten ayrılış rehberi de erişimi engelleme, kurum verilerini güvenceye alma ve gerekli içerikleri yetkili çalışanların kullanımına sunma işlemlerini birlikte ele alır.

Bu nedenle şirketler, erişim kapatma işlemiyle veri devrini ayrı adımlar olarak planlayabilir. Hangi verilerin kim tarafından kullanılacağı ve ne kadar saklanacağı ise kurumun ilgili politikaları ve geçerli yükümlülükleri doğrultusunda değerlendirilmelidir.

İşten Ayrılışta Dijital Kontrol Listesi

Şirketler, aşağıdaki listeyi kendi sistemlerine göre uyarlayabilir:

1. Hesapları belirleyin: Çalışanın kullandığı kurumsal uygulamaları ve erişimleri listeleyin.

2. Zamanlamayı netleştirin: Erişimin sonlandırılacağı zamanı ilgili ekiplerle belirleyin.

3. Erişimleri kaldırın: Hesapları, oturumları ve kimlik doğrulama araçlarını kullanılan sistemlerin gerektirdiği şekilde ele alın.

4. Ekipmanı teslim alın: Bilgisayar, telefon, giriş kartı ve güvenlik anahtarı gibi kurumsal varlıkları kontrol edin.

5. İş devrini tamamlayın: Gerekli dosya ve süreçlerin yetkili kişilere devredildiğinden emin olun.

6. Sonucu doğrulayın: Yapılan işlemleri kayıt altına alın ve erişimlerin gerçekten sonlandığını kontrol edin.

Erişimlerin kapatılması, kimlik doğrulama araçlarının iptali ve güvenlikle ilgili ekipmanın geri alınması, NIST’in personel ayrılışına ilişkin güvenlik kontrolleri arasında da yer alır.

Görev Değişikliğinde de Yetkiler Kontrol Edilmeli mi?

Erişim kontrolü yalnızca işten ayrılan çalışanlar için gerekli değildir. Başka bir departmana veya pozisyona geçen kişinin eski görevinden kalan yetkileri de gözden geçirilmelidir.

NIST, kalıcı görev değişikliklerinde mevcut erişimlerin iş ihtiyacına göre yeniden değerlendirilmesini ve yetkilerin yeni göreve uygun biçimde düzenlenmesini önerir.