// REHBER · DEĞİŞİKLİK

Departman değişikliğinde yetki birikmesi nasıl önlenir?

Ayrılış süreci oturmuş şirketlerde bile departman veya pozisyon değişikliği çoğu zaman yalnızca "yeni erişimleri aç" diye yürür. Eskiler kapanmaz; birkaç değişiklikten sonra bir çalışan, hiçbir rolün tek başına gerektirmediği bir erişim toplamına sahip olur. Buna yetki birikmesi denir.

Neden riskli?

• Görevler ayrılığı bozulur: satıştan finansa geçen biri hem CRM'de indirim tanımlayabilir hem de faturayı onaylayabilir hale gelirse tek kişi bir işlemi baştan sona yapabilir. ISO 27001 A.5.3 bu çakışmaların önlenmesini ister.
• Etki alanı büyür: hesabı ele geçirilen kişinin erişebildiği her şey risk altındadır; biriken erişim bu alanı gereksiz yere genişletir.
• Denetimde açıklanamaz: ISO 27001 A.5.18, erişim haklarının rol değiştiğinde de gözden geçirilip düzeltilmesini ister. "Önceki görevinden kalmış" bir açıklama değil, bulgudur.

Değişiklikte ne yapılmalı?

1. Değişikliği kayda alın: eski ve yeni departman, pozisyon ve geçerlilik tarihi. E-postayla bildirilen değişiklik çoğu zaman BT'ye hiç ulaşmaz.
2. Farkı çıkarın: eski rolün ve yeni rolün erişimlerini karşılaştırın. Her iki rolde de olan uygulamalara dokunulmaz; yalnızca farklar işlenir.
3. Yeni rolün erişimlerini açın: yeni role özgü uygulamalar normal işe giriş gibi açılır.
4. Eski role özgü olanları kapatın: geçerlilik tarihinde. Devir teslim için eski erişim bir süre gerekiyorsa açık bırakmak yerine bitiş tarihiyle (süreli) tutun.
5. Sonucu kaydedin: neyin açıldığı, neyin kapatıldığı ve neyin neden süreli tutulduğu.

Sık yapılan hatalar

• Yalnızca eklemek: yeni yöneticinin istediği erişimler açılır, eski yöneticiden kimse "bunlar kapansın" demez.
• Süresiz geçiş: "devir bitene kadar kalsın" denen erişimin bitiş tarihi yoksa geçiş hiç bitmez.
• Onay yetkilerini unutmak: uygulama hesabı kapansa da iş akışlarındaki onaylayıcı, paylaşılan klasör ve dağıtım listesi üyelikleri kalabilir; bunlar da kontrol listesine yazılmalı.
• Gözden geçirmeye bırakmak: yılda bir yapılan erişim gözden geçirmesi birikmeyi yakalar ama aylarca geç; düzeltme değişiklik anında yapılmalı.

ersaccounts ile

• Değişiklik bir olaydır: yeni departman, pozisyon ve geçerlilik tarihiyle girilir; kaydetmeden önce önizlemede açılacak ve kapatılacak hesapları görür, istemediğinizi çıkarırsınız.
• Yalnızca farklar: yeni departmana ve pozisyon paketine özgü uygulamalar açılır, eskisine özgü olanlar geçerlilik tarihinde kapatma işine dönüşür; ortak uygulamalara dokunulmaz.
• Süreli erişim: devir teslim için tutulan hesaba bitiş tarihi konur; tarihi gelince kapatma kendiliğinden başlar. Yeni rolün de gerektirdiği bir uygulamadaki süreli hesap kalıcı olur, kapanmakta olan hesabın kapatması iptal edilir.
• Bağlantısız uygulamalar ve kalemler: sorumlusuna görev olarak gider; paylaşılan klasör gibi işler kontrol listesi maddesi olur.
• Sonradan da yakalanır: periyodik erişim gözden geçirmesi kalan erişimleri uygulama sorumlusuna sorar; her adım yalnızca eklenen denetim kaydına yazılır.