İşten ayrılan çalışan ve veri güvenliği: kontrol listesi

Bir satış müdürü istifasını veriyor, iki hafta sonra rakip firmada işe başlıyor. Altı ay sonra eski ekibi, kurumsal VPN hesabının hâlâ açık olduğunu fark ediyor. Başka bir şirkette ayrılan muhasebe çalışanının kullandığı ortak “muhasebe” parolası hiç değiştirilmemiş. Bu senaryoların hiçbiri kötü niyet gerektirmez; yalnızca düzensizlik yeterlidir. Bir çalışanın ayrılışı, BT açısından planlanması gereken bir süreçtir. Bu yazıda bildirimin geldiği andan sonraki 30 güne kadar uygulanabilir bir kontrol listesi veriyor, hukuki hassasiyetlerin nerede başladığını gösteriyoruz. Genel çerçeve için kimlik ve erişim yönetimi sayfamıza bakabilirsiniz.

Risk neden bu dönemde yükselir?

Ayrılık sürecinde üç şey aynı anda olur. Birincisi, çalışanın elindeki erişim hâlâ tamdır; dosya sunucusu, ERP, CRM ve e-posta açıktır. İkincisi, dikkat dağılmıştır; devir teslim, ayrılık işlemleri ve yeni kişinin işe alımı öne geçer. Üçüncüsü, çalışanın geçmişte oluşturduğu erişimler çoğu zaman kayıt altında değildir: kişisel telefonuna kurduğu e-posta hesabı, bir bulut uygulamasında açtığı kullanıcı, tedarikçi portalına kayıtlı e-posta adresi.

Sorun çoğu zaman kasıt değil, alışkanlıktır. “Kendi yaptığım teklifleri örnek olarak alayım” diyen bir çalışan, farkında olmadan müşteri listesini de kopyalayabilir. Bu yüzden kontrol listesi kişiye değil sürece odaklanmalıdır; her ayrılıkta aynı adımlar, aynı sırayla uygulanmalıdır.

Önce hukuki çerçeve

KVKK, veri sorumlusundan kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını ister. Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi, kurumla ilişiği kesilen çalışanların hesaplarının vakit kaybetmeden kapatılmasını önerir. Kurul’un özel nitelikli kişisel veriler için belirlediği yeterli önlemler de görev değişikliği olan ya da işten ayrılan çalışanların yetkilerinin derhal kaldırılmasını sayar. Yani erişimi hızla kapatmak, yükümlülüğün bir parçasıdır.

Öte yandan ayrılan çalışan da bir ilgili kişidir. Kurul’un yayımladığı bir karar özetinde, iş sözleşmesi sona erdikten sonra şirket bilgisayarının formatlanması ve kurumsal e-posta hesabının kapatılması hayatın olağan akışına uygun bulunmuştur. Ancak çalışanın kişisel eşyaları, kişisel belgeleri ve kişisel yazışmaları ayrı bir konudur. E-posta kutusunun incelenmesi, gelen e-postaların başka birine yönlendirilmesi ya da bilgisayardaki kişisel dosyaların ele alınması hukuki değerlendirme gerektirir.

Bu yazı hukuki görüş değildir. Kontrol listesini uygulamaya almadan önce aydınlatma metinlerinizi, iş sözleşmesindeki gizlilik ve iade hükümlerini, e-posta ve cihaz kullanım politikanızı güncel mevzuata göre hukuk danışmanınızla ve insan kaynakları ekibinizle birlikte gözden geçirmenizi öneririz. Kanunun genel çerçevesi için KVKK nedir? yazımıza bakabilirsiniz.

Kontrol listesi

Liste üç zaman dilimine ayrılır: bildirimin geldiği gün, son çalışma günü ve ayrılıştan sonraki ilk ay.

Bildirim geldiğinde

İstifa ya da fesih bildirimi insan kaynaklarına ulaştığı gün BT ekibi de haberdar olmalıdır. Bunun için yazılı bir tetikleyici tanımlayın; “koridorda duyduk” bir süreç değildir.

• İnsan kaynakları, ayrılış tarihini ve son çalışma gününü BT’ye yazılı olarak bildirdi mi?
• Çalışanın erişimlerinin envanteri çıkarıldı mı: Active Directory grupları, VPN, ERP ve CRM rolleri, bulut uygulamaları, paylaşılan klasörler?
• Çalışanın bildiği ortak parolalar listelendi mi: güvenlik duvarı, sunucu, sosyal medya hesapları, tedarikçi portalları?
• Zimmetli cihazlar kayıtla eşleştirildi mi: dizüstü bilgisayar, telefon, harici disk, token?
• Devir teslim edilecek iş dosyalarının yeri ve alıcısı belirlendi mi?
• Riskli bir ayrılık söz konusuysa (rakibe geçiş, anlaşmazlık) erişimlerin son günden önce daraltılması hukuk ve İK ile birlikte değerlendirildi mi?

Veri sızıntısı önleme (DLP) aracı kullanan kurumlarda bu dönem, olağan dışı dosya hareketlerinin ayrıca izlendiği dönemdir. Toplu kopyalama, kişisel bulut hesabına yükleme ya da USB’ye aktarım gibi hareketler öne çıkar. Yaklaşımın ayrıntıları DLP nedir yazımızda.

Son gün

• Active Directory hesabı devre dışı bırakıldı ve tüm oturumlar sonlandırıldı mı?
• Microsoft 365 ya da kurumsal e-posta oturumları, mobil cihazlardaki eşitlemeler kapatıldı mı?
• VPN, uzak masaüstü ve bulut uygulaması hesapları kapatıldı mı?
• Çalışanın bildiği ortak ve yönetici parolaları değiştirildi mi?
• Kartlı geçiş, alarm kodu ve fiziksel anahtarlar teslim alındı mı?
• Zimmetli cihazlar teslim alındı, teslim tutanağı imzalandı mı?
• E-posta kutusunun akıbeti (otomatik yanıt, saklama, erişim yetkisi) hukuk danışmanının onayladığı politikaya göre uygulandı mı?

Hesabı hemen silmek yerine önce devre dışı bırakmak çoğu zaman daha doğrudur; sahiplik aktarımı ve kayıt bütünlüğü için zaman kazandırır. Silme ya da saklama süresi ise kurumunuzun saklama ve imha politikasına göre belirlenmelidir.

Sonraki 30 gün

• Teslim alınan bilgisayar, iş dosyaları yedeklendikten sonra yeniden kullanıma hazırlandı mı? Bir soruşturma ihtimali varsa cihaz formatlanmadan saklandı mı?
• Kapatılan hesapla oturum açma denemesi olup olmadığı kayıtlardan kontrol edildi mi?
• Kişinin sahibi olduğu paylaşılan klasörler, takvimler ve bulut dosyaları yeni sorumluya devredildi mi?
• Tedarikçi portallarında, alan adı ve sertifika kayıtlarında çalışanın e-posta adresi başka bir adresle değiştirildi mi?
• Periyodik erişim gözden geçirmesinde ayrılan kişinin kalan bir yetkisi var mı?

Bir şeyler ters giderse

Ayrılan bir çalışanın veri götürdüğünden şüpheleniyorsanız ilk refleks cihazı temizlemek olmamalıdır. Cihazı ve ilgili kayıtları olduğu gibi koruyun, erişimleri kapatın ve hukuk danışmanınızla birlikte hareket edin. Olayın kişisel veri ihlali olup olmadığı ve bildirim gerekip gerekmediği ayrı bir değerlendirmedir; ilk adımları veri ihlali: ilk 72 saat yazımızda anlattık. Bu noktada kayıtların varlığı belirleyicidir: e-posta arşivi, oturum kayıtları ve DLP raporları olmadan ne olduğunu göstermek zordur.

Süreci araçlarla güçlendirmek

Kontrol listesi elle de uygulanabilir; ama çalışan sayısı arttıkça adımlar atlanır. Şu araçlar süreci tekrarlanabilir kılar:

• ADManager Plus ile Active Directory ve Microsoft 365 hesaplarının kapatılması şablona bağlanır; grup üyelikleri, e-posta kutusu ve Microsoft 365 erişimi tek bir iş akışında ele alınır.
• Password Manager Pro ortak parolaları kasada tutar; parola çalışanın hafızasında değil kasada olduğunda ayrılıktan sonra otomatik olarak değiştirilebilir.
• Safetica DLP ayrılık dönemindeki olağan dışı veri hareketlerini görünür kılar.
• MailStore e-posta arşivi, kutu kapatıldıktan sonra da geçmişe dönük bir kayıt sunar.

Birikmiş eski hesapları temizlemek için Active Directory temizliği yazımıza da bakabilirsiniz.

Unna ile güvenli işten ayrılış

Önce bugünkü işe giriş ve çıkış sürecinizi, kimin neyi kapattığını ve nerede boşluk kaldığını dinleriz. İnsan kaynakları, BT ve hukuk ekibinizle birlikte kuruma özel bir kontrol listesi çıkarır, hesap kapatma adımlarını otomasyona bağlarız. Ortak parolaları kasaya alır, ayrılık dönemindeki veri hareketini görünür kılacak izlemeyi hukuki çerçeve netleştikten sonra devreye alırız. Sonrasında erişim raporlarını düzenli olarak sizinle gözden geçirir, ayrılan çalışanların erişimlerinin gerçekten kapandığını doğrularız. ISO 27001 ve KVKK çalışmalarınızla birlikte ele almak için bize yazın; önce dinleriz.