// REHBER · İŞE GİRİŞ

İşe giriş BT kontrol listesi: yeni çalışan ilk gün hazır olsun

Yeni çalışanın ilk sabahı hesap beklemekle geçerse hem gün boşa gider hem de aceleyle, "benzerinin aynısı" diye fazla yetkiyle açılan hesaplar ortaya çıkar. Bu rehber, başlangıçtan önce ve ilk gün yapılacakları, sık yapılan hataları ve denetim için saklanması gereken kayıtları özetler.

Başlangıçtan önce

1. Bilgiyi netleştirin: başlangıç tarihi, departman, pozisyon ve yönetici. Hangi hesapların açılacağı bu dört bilgiden çıkar; biri eksikse liste tahmine döner.
2. Hesap listesini rolden çıkarın: herkese açılanlar (e-posta, takvim, mesajlaşma), departmana özgü olanlar (ör. satışta CRM) ve pozisyona özgü olanlar (ör. yöneticide onay yetkisi). Listeyi her seferinde baştan yazmak yerine departman ve pozisyon başına bir paket tutun.
3. Hazırlık isteyenleri erken başlatın: lisans satın alınması, bir tedarikçinin kullanıcı açması veya banka portalı yetkisi gibi günler sürebilen işler başlangıçtan önce talep edilmeli.
4. Cihazı hazırlayın: dizüstü bilgisayar, telefon, kart veya anahtar; kimin hazırlayıp kimin teslim edeceği belli olsun.

İlk gün

• Kimlik: kurumsal e-posta ve varsa tek oturum açma (SSO) hesabı ilk iş açılır; diğer hesaplar çoğu zaman buna bağlıdır.
• Güvenli şifre iletimi: geçici şifre e-postayla veya sohbet uygulamasıyla gönderilmez; yüz yüze ya da ayrı bir kanaldan iletilir ve ilk girişte değiştirilir.
• İki adımlı doğrulama: ilk girişte kurdurulur; sonraya bırakılan kurulum çoğu zaman hiç yapılmaz.
• Rol uygulamaları: paketteki uygulamalar açılır; listede olmayan bir erişim gerekiyorsa talep ve onayla eklenir, "şimdilik aç, sonra bakarız" ile değil.
• Teslim: cihaz ve donanım teslim edilir, teslim kaydı tutulur.

Örnek kontrol listesi

Sık yapılan hatalar

• Yetki kopyalamak: "Ahmet'in yetkilerinin aynısını ver" demek, Ahmet'in yıllar içinde biriktirdiği ve yeni kişinin hiç ihtiyaç duymayacağı erişimleri de taşır.
• Herkese her şey: bütün uygulamaları herkese açmak kurulumu kolaylaştırır, ama ayrılışta kapatılacak hesap sayısını ve denetimde açıklanacak erişimi artırır.
• Kayıt tutmamak: hesabın kim tarafından, ne zaman ve hangi talep üzerine açıldığı yazılmazsa ISO 27001 A.5.18'in istediği "erişim hakkının verilmesi" kanıtlanamaz.
• Ayrılışı unutmak: açılan her hesap bir gün kapatılacak; açılışta envantere girmeyen hesap ayrılışta da unutulur.

ersaccounts ile

• Tek olay: başlangıç tarihi, departman ve pozisyonla işe giriş girilir; departman ve pozisyon paketleri hangi hesapların açılacağını belirler. Kaydetmeden önce önizlemede listeyi görür, istemediğinizi çıkarırsınız.
• Zamanında: hazırlık süresi tanımlanan uygulamalarda görev başlangıçtan önce gider; bağlı sistemlerdeki (Microsoft 365, Google Workspace, Active Directory, GitHub, GitLab, SCIM destekleyen uygulamalar) hesaplar başlangıç gününde kendiliğinden açılır.
• Şifre ortada kalmaz: otomatik açılan hesabın geçici şifresi hiçbir yere yazılmaz; sorumluya şifreyi iletme görevi düşer.
• Bağlantısız uygulamalar: sorumlusuna tek kullanımlık bağlantılı görev gider; geciken görev yedek sorumluya, sonra şirket yöneticilerine yükselir. Cihaz teslimi gibi işler kontrol listesi maddesi olur.
• Ölçüm ve kanıt: "ilk gün hazır oranı" her ay hesaplanır; her hesabın kim tarafından ne zaman açıldığı yalnızca eklenen denetim kaydında durur.