// REHBER · KVKK

KVKK açısından ayrılan çalışanın açık kalan hesapları

İşten ayrılan bir çalışanın CRM, e-posta veya muhasebe programındaki hesabı açık kaldığında, o hesabın erişebildiği müşteri ve çalışan verileri yetkisiz erişime açık kalır. Bu rehber, konunun KVKK'daki yerini ve alınabilecek teknik tedbirleri özetler.

Veri güvenliği yükümlülüğü

6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kişisel Verileri Koruma Kurumu'nun yayımladığı kişisel veri güvenliği rehberinde de yetki matrisi, erişim yetkilerinin düzenli kontrolü ve görev değişikliğinde veya işten ayrılışta yetkilerin kaldırılması tedbirler arasında sayılır.

Hangi tedbirin yeterli olduğu her kuruluşun durumuna göre değerlendirilir; bu sayfa hukuki görüş değildir.

Açık kalan hesap neden risk?

• Yetkisiz erişim: eski çalışan, şifresi değişmeyen bir SaaS hesabından müşteri listesine erişebilir.
• Fark edilmeyen erişim: bulut uygulamalarında açık oturumlar ve uygulama şifreleri, hesap "kapatılmış" sanılsa bile çalışmaya devam edebilir.
• Kanıtlanamayan tedbir: bir ihlal incelemesinde erişimin ne zaman kaldırıldığını gösteremeyen kuruluş, tedbir aldığını da gösteremez.

Uygulamada alınabilecek tedbirler

1. Uygulama envanteri: çalışanların hesabı olan her sistemin listesi ve her birinin sorumlusu.
2. Ayrılışta tek liste: ayrılan kişinin tüm açık hesapları, hiçbiri hafızaya bırakılmadan.
3. Zamanında kapatma: ayrılış günü ile kapatma arasındaki süre için bir hedef ve bu hedefe uyumun ölçümü.
4. Oturumların sonlandırılması: Microsoft 365 ve Google Workspace'te hesabı devre dışı bırakmak kadar açık oturumları sonlandırmak da önemlidir.
5. Düzenli kontrol: sistemlerdeki hesapların çalışan listesiyle karşılaştırılması ve periyodik gözden geçirme.
6. Değiştirilemeyen kayıt: kimin, neyi, ne zaman yaptığının sonradan değiştirilemeyen kaydı.

Asgari veri ilkesi

Erişim yönetimi için çalışan hakkında çok az bilgi gerekir. ersaccounts yalnızca ad, soyad, iş e-postası, departman, pozisyon, yönetici, başlangıç ve ayrılış tarihini tutar; TC kimlik no, doğum tarihi, adres, telefon veya sağlık verisi tutmaz. Müşteri, çalışan verileri için veri sorumlusudur; ersaccounts veri işleyendir.

ersaccounts ile

• Ayrılış olayı tüm açık hesaplar için kapatma işi veya görevi üretir; bağlı sistemlerde hesap kapatılır, oturumlar sonlandırılır ve kapatma dış sistemde doğrulanır.
• Her sabah bağlı sistemler envanterle karşılaştırılır; ayrılanın açık kalmış hesabı size bildirilir.
• Ayrılış kapanış belgesi, her hesabın nasıl ve ne zaman kapatıldığını çalışan başına tek sayfada gösterir.
• Denetim paketindeki BENIOKU, dosyaları KVKK md. 12 ile eşler.