// REHBER · LİSANS VE ERİŞİM

Kullanılmayan hesaplar ve boşa ödenen SaaS lisansları nasıl bulunur?

Ayrılan çalışanların unutulan hesapları kadar, hâlâ şirkette olan ama aylardır girmeyen kişilerin hesapları da sorundur: her biri için lisans ödenir ve izlenmeyen bir hesap ele geçirilirse kimse fark etmez. Bu rehber atıl hesapları bulmanın ve ayıklamanın pratik bir yolunu anlatır.

Neden önemli?

• Maliyet: SaaS lisansları çoğunlukla kullanıcı başına ödenir; kullanılmayan her hesap her ay faturadadır.
• Güvenlik: sahibinin girmediği hesapta şüpheli bir giriş, sahibinin "bu ben değilim" demesiyle fark edilmez.
• Denetim: ISO 27001 A.5.18 erişim haklarının düzenli gözden geçirilmesini ve artık gerekmeyenlerin kaldırılmasını ister; kullanılmayan hesap bunun en kolay görülen örneğidir.

Atıl hesap nasıl tanımlanır?

Pratik tanım: son girişi belirli bir süreden eski olan hesap. Çoğu şirket için 90 gün iyi bir başlangıçtır; yeni açılmış hesaplar (henüz giriş yapılmamış olabilir) bu sürenin sonuna kadar sayılmaz.

İstisnalar baştan belirlenmeli:

• Servis ve ortak hesaplar: entegrasyonların kullandığı ya da bir ekibin ortak kullandığı hesaplar kişiye bağlı değildir; sorumlusu ve amacıyla ayrıca kaydedilmelidir.
• Dönemsel kullanım: yıl sonu kapanışında kullanılan bir muhasebe modülü ya da yalnızca denetim döneminde açılan bir rapor aracı.
• Acil durum hesapları: yalnızca bir şey bozulduğunda kullanılan yönetici hesapları; kullanılmaması beklenir.

Son giriş verisi nereden gelir?

• Microsoft 365 / Entra ID: kullanıcıların oturum açma etkinliği (signInActivity). Bu bilgiyi okumak için kiracıda Entra ID P1 veya üstü lisans gerekir.
• Google Workspace: Yönetici konsolunda ve Directory API'de kullanıcının son girişi.
• Active Directory: lastLogonTimestamp. Bu değer etki alanı denetleyicileri arasında gecikmeli eşitlenir (varsayılan olarak 9–14 gün); birkaç günlük farklar için değil, aylık eşikler için uygundur.
• Diğer uygulamalar: yönetim panelindeki "son etkinlik" sütunu; yoksa uygulama sorumlusuna sorulur.

Adım adım

1. Envanter: uygulama başına hesap listesi, hesabın sahibi olan çalışanla eşleştirilmiş.
2. Eşik: şirket genelinde bir süre (ör. 90 gün) ve yukarıdaki istisnalar.
3. Liste: eşikten eski son girişi olan, ayrılmamış çalışanlara ait hesaplar.
4. Karar: uygulama sorumlusu veya çalışanın yöneticisi her hesap için "kapat" ya da gerekçeli "kalsın" der.
5. Uygulama: kapatılan hesabın lisansı da geri alınır; bazı uygulamalarda devre dışı bırakılan kullanıcı lisansı tutmaya devam eder.
6. Tekrar: tek seferlik temizlik birkaç ay içinde eski haline döner; kontrol sürekli veya en az çeyrekte bir yapılmalı.

Sık yapılan hatalar

• Hesabı kapatıp lisansı unutmak: tasarruf ancak lisans boşa çıkarıldığında gerçekleşir.
• Servis hesabını kapatmak: kişiye ait görünmeyen hesabı sormadan kapatmak bir entegrasyonu durdurabilir; servis hesapları önce kayda alınmalı.
• Gerekçesiz "kalsın": tutulan hesabın neden tutulduğu yazılmazsa bir sonraki kontrolde aynı tartışma yeniden yapılır ve denetçiye açıklanamaz.

ersaccounts ile

• Son giriş kendiliğinden okunur: Microsoft 365, Google Workspace, GitLab ve Active Directory bağlantılarından günlük kontrolde; envanterde her hesabın son girişi görünür.
• Bulgu: son girişi şirketin eşiğinden (varsayılan 90 gün) eski olan ve ayrılmamış çalışana ait hesap "Uzun süredir kullanılmıyor" bulgusu olur.
• Tek tıkla karar: "Kapat" hesabı normal kapatma akışına sokar; gerekçeli "Kalsın" bulguyu eşik süresi boyunca susturur. Seçilen hesaplar tek gerekçeyle toplu kapatılabilir.
• Servis hesapları ayrı: sorumlusu ve amacıyla kaydedilen servis hesabı sahipsiz sayılmaz; sorumlusu ayrılınca ayrıca bulgu olur.
• Kanıt: kararlar ve gerekçeler denetim kaydında; periyodik erişim gözden geçirmesinde de her hesabın son girişi gösterilir.