En az yetki ilkesi nedir? Kurumlarda e-posta ve dosya erişimine uygulanması
En az yetki ilkesi, her kişiye ve her sisteme işini yapabilmesi için gereken en dar erişimin verilmesi, fazlasının verilmemesidir. Bir hesap ele geçirildiğinde ya da bir hata yapıldığında zarar o hesabın erişebildiği alanla sınırlı kalır. İlke, yetkinin işe, role ve departmana göre verilip düzenli olarak gözden geçirilmesiyle uygulanır.
En az yetki ilkesi neden önemlidir?
Kurumlarda erişim genellikle zamanla genişler. Yeni başlayan çalışana "şimdilik her şeye erişsin" diye geniş yetki verilir, departman değiştiren kişinin eski erişimleri kaldırılmaz, bir projeye geçici olarak eklenen kişi proje bittiğinde çıkarılmaz. Birkaç yıl içinde herkesin neredeyse her şeye eriştiği bir düzen oluşur.
Bu düzenin maliyeti bir olay anında ortaya çıkar. Parolası çalınan tek bir hesap, saldırgana yalnız o kişinin işini değil, kurumun bütün belgelerini açar. Yanlışlıkla silinen bir klasör, o klasörü hiç kullanmayan birinin elinden gider. En az yetki ilkesi, bu tür olayların etkisini baştan sınırlar.
En az yetki ilkesi hangi alanlarda uygulanır?
- E-posta: Ortak kutulara yalnız ilgili ekip erişir; okuma, yanıtlama ve silme ayrı yetkilerdir.
- Dosyalar: Departman ve proje alanları ayrıdır; okuyabilen, yükleyebilen ve silebilen kişiler ayrı belirlenir.
- Yönetim yetkileri: Kullanıcı ekleme, paket değiştirme ya da ödeme gibi yönetim işlemleri yalnız sorumlu kişilerde bulunur.
- Yapay zekâ ve otomasyon: Yapay zekâ yardımcıları ve otomatik işler de kullanıcının yetkisi içinde çalışır; kişinin göremediği içeriği okumaz.
En az yetki ilkesi adım adım nasıl uygulanır?
- Rolleri tanımlayın. Kurumdaki işleri roller hâlinde yazın: satış uzmanı, muhasebe sorumlusu, proje yöneticisi, stajyer.
- Her rolün ihtiyacını belirleyin. Hangi kutuya, hangi dosya alanına, hangi işlemle erişmesi gerektiğini yazın. "Olsa iyi olur" erişimlerini listeye almayın.
- Yetkiyi departmana bağlayın. Kişiye tek tek yetki vermek yerine departmana yetki verin; kişi departmana girdiğinde ya da çıktığında erişimi de değişsin.
- Varsayılanı kapalı tutun. Yeni bir alan ya da kutu açıldığında erişim herkese açık başlamasın; ihtiyaç duyanlara verilsin.
- Geçici erişimi geçici tutun. Proje ya da izin dönemi için verilen erişimlerin bitiş tarihini not edin ve süre bitince kaldırın.
- Düzenli gözden geçirin. Üç ya da altı ayda bir, her alanın ve kutunun erişim listesini sorumlusuyla birlikte kontrol edin.
Yetki çok daraltılırsa iş yavaşlamaz mı?
İlke yanlış uygulanırsa yavaşlar. Her erişim talebi uzun bir onay zincirinden geçiyorsa, çalışanlar ya ortak parolalara ya da kişisel araçlara yönelir; bu da ilkenin amacına ters düşer. Doğru uygulamada yetki, rol ve departman üzerinden kendiliğinden gelir; yalnız istisnalar talep gerektirir.
Burada ölçüt basittir: bir çalışan günlük işini yapmak için yetki talep etmek zorunda kalmıyorsa ve işi dışındaki alanları da görmüyorsa, ilke doğru uygulanıyor demektir.
Rol bazlı ve departman bazlı yetki arasındaki fark nedir?
Rol bazlı yetkide erişim kişinin yaptığı işe göre verilir; departman bazlı yetkide ise kişinin bağlı olduğu birime göre. Küçük ve orta ölçekli kurumlarda bu ikisi çoğu zaman örtüşür: muhasebe departmanındaki herkes muhasebe alanına erişir. Farklı roller aynı departmandaysa, departman temel erişimi verir, rol farkı ise ek ya da daha dar yetkilerle karşılanır.
Örneğin satış departmanındaki herkes satış alanını okuyabilir; ancak fiyat listesini düzenleme ve eski teklifleri silme yetkisi yalnız satış yöneticisinde bulunur. Böylece departman temeli basit kalır, hassas işlemler ise az sayıda kişide toplanır ve kolayca izlenir.
En sık yapılan hatalar nelerdir?
- Yeni çalışana "şimdilik" geniş yetki verip sonra daraltmayı unutmak.
- Departman değişikliğinde eski erişimleri bırakmak.
- Herkesi yönetici yapmak; yönetim yetkisini gerçekten ihtiyaç duyanlarla sınırlamamak.
- Silme yetkisini okuma yetkisiyle birlikte otomatik vermek.
- Erişim listelerini hiç gözden geçirmemek.
Erişim gözden geçirmesi nasıl yapılır?
- Her dosya alanı ve ortak kutu için bir sorumlu belirleyin; genellikle ilgili departmanın yöneticisidir.
- Sorumluya alanın ya da kutunun güncel erişim listesini gönderin.
- Sorumlu her kişi için "bu erişim hâlâ gerekli mi, bu düzeyde mi?" sorusunu yanıtlasın.
- Gereksiz bulunan erişimleri aynı hafta içinde kaldırın ve değişiklikleri kayda geçirin.
Gözden geçirme bir denetim değil, bir temizliktir. Kısa ve düzenli yapıldığında birkaç saatten fazla sürmez; ihmal edildiğinde ise birikmiş erişimleri çözmek haftalar alır.
Yeni çalışan için yetki nasıl verilir?
Yeni çalışanın ilk günü, en az yetki ilkesinin en kolay uygulandığı andır. Kişi doğru departmana eklendiğinde, o departmanın e-posta ve dosya erişimleri kendiliğinden gelir; ek bir yetki yalnızca rolün gerçekten gerektirdiği durumlarda verilir.
Deneme süresindeki çalışanlar ve stajyerler için silme ve yönetim yetkilerini başlangıçta vermemek, olası bir hatanın etkisini sınırlar. Kişi işe alıştıkça ve sorumluluğu arttıkça yetkisi de genişletilir.
SmartFiles ve SmartMail yetkiyi nasıl daraltır?
- Departman merkezden: Departmanlar Smart360 kurum panelinde bir kez tanımlanır ve ürünlerde yetkiye dönüşür.
- SmartFiles'ta sekiz yetki: Her depo alanı için kişi ya da departman bazında okuma, yazma, düzenleme, silme, klasör oluşturma, yapay zekâ, geçmiş ve not yetkileri ayrı verilir. Kişi departman değiştirdiğinde yetkisi de değişir; verilen ya da kaldırılan yetki açık ekranlara anında yansır.
- SmartMail'de dokuz izin: Her ortak kutu için görüntülemeden silmeye, karantinadan yapay zekâ sohbetine kadar dokuz ayrı izin kişi bazında verilir; departmandan çıkan kişinin kutu erişimi kendiliğinden geri alınır.
- Yapay zekâ yetki içinde: Her iki üründe yapay zekâ ayrı bir yetkidir ve yalnız kişinin erişebildiği içeriği okur.