Bir çalışan şirketten ayrıldığında, geride bıraktığı en büyük risk aslında masasındaki eşyalar değil, hâlâ aktif duran kurumsal hesaplarıdır. Kurumsal e-posta, bulut klasörleri, CRM sistemleri ve iç yazışma platformları, erişim yetkisi zamanında kapatılmadığında ciddi bir güvenlik açığına dönüşebilir. Müşteri bilgilerinin dışarıya sızması, finansal verilere yetkisiz erişim ve hukuki yaptırımlar bu açığın görünen yüzüdür. Bu yazıda, ayrılan çalışanın hesabı açık kalırsa hangi riskler ortaya çıkar, kim sorumlu tutulur ve bu süreç nasıl yönetilmelidir sorularına yanıt aranmaktadır.
Hesaplara Erişim Açık Kalırsa Ne Olur?
Ayrılan çalışanın hesapları kapatılmadığında, şirket verilerine yetkisiz erişim ve gizlilik ihlali riski ayrılıştan sonraki ilk saatlerden itibaren devam etmektedir. Kurumsal e-posta kutusundaki eski yazışmalar, müşteri listeleri ve sözleşme ekleri başkaları tarafından görüntülenebilir. Bulut depolama alanındaki dosyalar silinebilir, kopyalanabilir ya da üçüncü kişilere aktarılabilir. CRM ve muhasebe yazılımlarına giriş yapıldığında ise finansal kayıtların değiştirilmesi ya da müşteri iletişim bilgilerinin dışarıya taşınması söz konusu olabilmektedir. Bunun yanı sıra, ayrılan çalışanın adına şirket dışına gönderilen bir e-posta, kurumun itibarını doğrudan etkileyen bir sorun hâline gelebilir. Erişimin kapatılmaması, aynı zamanda KVKK kapsamında veri sorumlusunun yükümlülüklerini yerine getirmediği anlamına gelebilmektedir.
Ayrılan Çalışanın Hesaplarına Kim Erişebilir?
Hesap açık kalırsa, erişim yalnızca ayrılan çalışanla sınırlı kalmaz; parolası başkalarıyla paylaşılmışsa ya da ortak cihazlarda kayıtlıysa geniş bir çevreye açılabilir. İş ilişkisi sona eren çalışanın kendisi, yeni işvereninde eski şirket verilerini kullanmak amacıyla hesaba yeniden girebilir.
Diğer önemli erişim kaynakları şunlardır:
- Parolayı daha önce öğrenmiş eski ekip arkadaşları veya yöneticiler.
- Ortak kullanılan bilgisayarlarda tarayıcıya kaydedilmiş oturum bilgileriyle erişim sağlayan kişiler.
- Çalışanın kişisel cihazlarında (telefon, tablet) açık kalan uygulamalar üzerinden bağlanan üçüncü kişiler.
- Hesabın zayıf parolasını tahmin eden ya da sızdırılmış veri tabanlarından yararlanan kötü niyetli aktörler.
- Çok faktörlü doğrulama devre dışı bırakılmışsa, oltalama saldırısıyla kimlik bilgilerini ele geçiren saldırganlar.
Bu nedenle erişim yetkisinin kapatılması tek başına yeterli değildir; parolanın değiştirilmesi, oturumların sonlandırılması ve bağlı cihazların listeden çıkarılması aynı anda yürütülmesi gereken adımlardır.
Hesap Güvenliği Neden Çok Önemlidir?
Hesap güvenliği, iş ilişkisi sona erse de şirketin veri sorumlusu sıfatının devam etmesi nedeniyle kritik bir konudur. KVKK kapsamında, kişisel verilerin yetkisiz erişime karşı korunmaması, veri sorumlusunun idari para cezasıyla karşılaşmasına yol açabilmektedir. Bir müşteri listesinin sızdırılması, hem ticari sır niteliğindeki bilginin kaybı hem de ilgili kişilerin haklarının ihlali anlamına gelmektedir. Ayrıca açık kalan bir hesabın kötüye kullanılması durumunda, soruşturma sürecinde kime ait işlemin kim tarafından yapıldığı ayırt edilemez hâle gelebilmektedir. Bu belirsizlik, hem iç denetim süreçlerini hem de olası bir yargılamada delil değerlendirmesini zorlaştırmaktadır. Hesap güvenliği, aynı zamanda iş sürekliliğinin de bir parçasıdır; kritik yazışmalara ya da dosyalara zamanında ulaşılamaması, operasyonel kayıplara neden olabilmektedir.
Ayrılmadan Önce Alınabilecek Önlemler Nelerdir?
İşten ayrılma sürecinin, çalışan son gününü doldurmadan önce planlı bir biçimde yürütülmesi, hem şirketi hem de çalışanı koruyan bir yaklaşımdır. Aşağıdaki adımlar süreci güvenli hâle getirmektedir.
- Erişim envanteri çıkarılması: Çalışanın hangi sistemlere, uygulamalara ve ortak klasörlere erişimi olduğu listelenmeli, tüm yetkiler tek bir kayıt üzerinden takip edilmelidir.
- Ayrılış tarihinin önceden paylaşılması: BT ve İK departmanlarına ayrılış tarihinin önceden bildirilmesi, erişim kapatma işlemlerinin son gün bitiminde eş zamanlı yapılmasını kolaylaştırmaktadır.
- Veri teslim protokolünün uygulanması: Çalışanın sorumluluğundaki dosyalar, raporlar ve müşteri iletişim geçmişi, yetkili bir yöneticiye teslim edilmelidir.
- E-posta yönlendirme kurallarının ayarlanması: Ayrılıştan sonra gelen e-postaların, önceden belirlenen bir yöneticiye otomatik yönlendirilmesi iş sürekliliği açısından faydalı olmaktadır.
- Çıkış görüşmesinde gizlilik yükümlülüğünün hatırlatılması: Çalışana, iş sözleşmesinden doğan gizlilik yükümlülüğünün ayrılıştan sonra da devam ettiği açıkça iletilmelidir.
Hangi Platformlardaki Hesaplar Daha Kritik?
En kritik hesaplar, müşteri verisi, finansal bilgi ve iç yazışma barındıran kurumsal e-posta ve bulut uygulamalarıdır. Gmail tabanlı kurumsal paketlerde ya da benzeri kurumsal e-posta sistemlerinde, yöneticilerin çalışan ayrıldığında hesabı arşivleme veya askıya alma seçenekleri bulunmaktadır; yönetilen bir kurumsal hesapla doğrudan oturum açmak mümkün olmadığından, arşivleme veri bütünlüğünü korumaktadır. CRM, ERP ve muhasebe yazılımları da en az e-posta kadar önem taşımaktadır; müşteri geçmişi, teklif dosyaları ve fatura kayıtları burada yer almaktadır. Bunlara ek olarak iç iletişim platformları, proje yönetim araçları, kod depoları ve VPN erişimleri de hızla kapatılması gereken alanlardır. Sosyal medya hesaplarının yönetim panelleri, banka portalları ve tedarikçi sistemlerindeki tanımlı kullanıcı kayıtları da bu listeye eklenmelidir.
Şifre Değiştirme ve Hesap Kapatma Protokolleri
Ayrılış gününde uygulanması gereken teknik adımlar, net bir protokol çerçevesinde yürütülmelidir. İlk olarak çalışanın tüm aktif oturumları merkezi yönetim panelinden sonlandırılmalı ve parolası sıfırlanmalıdır. Ardından hesap askıya alınmalı, kısa süre içinde silinmek yerine arşivlenerek veri bütünlüğü korunmalıdır. Çok faktörlü doğrulamada tanımlı cihazlar listeden çıkarılmalı, uygulama bazlı erişim tokenleri iptal edilmelidir. Paylaşımlı klasörlerdeki yetkiler gözden geçirilmeli, ayrılan çalışanın sahibi olduğu dosyalar yeni bir sahibe devredilmelidir. Son adım olarak tüm bu işlemler zaman damgasıyla kayıt altına alınmalı, olası bir denetim sürecinde ibraz edilebilecek şekilde saklanmalıdır.
Hesap Güvenliğinde Hukuki Sorumluluklar Nelerdir?
Hesap güvenliğinde hukuki sorumluluk, veri sorumlusu sıfatıyla işverene aittir; ancak gizlilik yükümlülüğü çalışan için de iş sözleşmesi sona erdikten sonra devam etmektedir. Bu dengeyi doğru kurmak, hem riskleri hem de kazanımları birlikte değerlendirmeyi gerektirmektedir.
Avantajları (Artıları)
- Erişim kayıtlarının düzenli tutulması, olası bir uyuşmazlıkta güçlü bir delil zinciri sağlamaktadır.
- Kapatma protokollerinin yazılı hâle getirilmesi, KVKK kapsamında alınan teknik ve idari tedbirlerin ispatını kolaylaştırmaktadır.
- Net bir ayrılış süreci, çalışan ile işveren arasındaki güveni korumakta ve referans ilişkisinin sağlıklı sürmesine katkı sunmaktadır.
Dezavantajları (Eksileri)
- Hesabın geç kapatılması, veri ihlali bildirim yükümlülüğünü doğurabilmekte ve idari para cezası riskini artırmaktadır.
- Gizlilik taahhüdüne aykırı davranışlar, hem tazminat hem de cezai sorumluluk gündeme getirebilmektedir.
- Erişim kapatma işleminin veri silmeyle karıştırılması, iş sürekliliği açısından önemli kayıtların yok olmasına yol açabilmektedir.
İşin Olsun'un çalışanlar ve işverenler için hazırladığı rehber içeriklerde de vurgulandığı gibi, bu sürecin yazılı bir politikaya bağlanması uzun vadede hem kurumu hem bireyi korumaktadır.
Yasal Uyarı: Bu yazıdaki bilgiler genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. KVKK, iş hukuku ve ilgili mevzuat zaman zaman değişebildiğinden, kendi durumuna özel bir karar almadan önce güncel mevzuatın ve bir uzman görüşünün dikkate alınması faydalı olacaktır.
