Küçük İşletmelerde Çalışan Hesap Yönetimi

Beş ile yirmi kişi arasında çalışan bir işletmede hesap yönetimi kurumsal BT departmanı gerektirmiyor. Ama "herkes her şeye girsin, kolaylık olsun" yaklaşımı da birikerek sorun çıkarıyor. Kim hangi şifreyi değiştirdi, hangi çalışanın hangi platforma erişimi var, ayrılan biri hangi hesaplara hâlâ girebiliyor - bu soruların cevabı yoksa risk sessizce büyüyor.

Küçük işletmelerde güvenlik açıklarının büyük bölümü kasıtlı saldırıdan değil, unutulan erişimlerden kaynaklanıyor. Eski bir çalışanın hâlâ aktif e-posta hesabı, sosyal medya şifresini bilen ama artık işyerinde olmayan biri ya da herkesin ortak kullandığı bir panel girişi; bunlar görünmez risk kapıları oluşturuyor ve büyük çaplı bir ihlale zemin hazırlıyor.

İşe alımda açılan erişim, ayrılıkta kapanmazsa aylar sonra görünür. Rol listesi, paylaşılan kasa ve üç aylık denetim, BT departmanı olmadan da tutulabilir; unutulan panel girişi tutulamaz.

Her çalışanın erişim alanını baştan sınırlayın

Yeni bir çalışan geldiğinde hızlıca bağlamak istiyorsunuz. "Şimdilik her şeye erişsin, sonra daraltırız" diye başlayan süreç çoğunlukla daralma aşamasına ulaşmıyor. Rol bazlı erişim (role-based access) büyük şirketlerin kurumsal protokolü değil; küçük ekiplerde uygulanması daha kolay çünkü yapı daha net.

Temel ilke basit. Çalışanın işini yapması için neye ihtiyacı var? Muhasebe yazılımına muhasebe ekibi giriyor, sosyal medya yönetim paneline içerik ekibi. Bu ikisinin kesişme noktası yoksa erişim de kesişmemeli. Gereğinden fazla erişim vermek tek başına güvenlik açığı değil ama gereksiz risk; bir hesap ele geçirildiğinde hasar ne kadar geniş alana yayılabilir sorusunun cevabını doğrudan etkiliyor.

Pratik uygulama için işe alım sırasında bir erişim listesi oluşturun. Yalnızca o listede yer alan araç ve platformlara hesap açın. Sonradan ekleme her zaman mümkün; çıkarmayı unutmak ise zamanla bir kural haline geliyor.

Rol bazlı erişimin ikinci faydası hesap verebilirliktir. Birden fazla kişi aynı kimlik bilgileriyle girdiğinde işlem geçmişi kişiye bağlanamıyor. Ayrı hesaplar tutulduğunda kim ne yaptı sorusu yanıtlanabilir hale geliyor; hem içeriden sapma hem de dış saldırı durumunda izleme kolaylaşıyor.

İşe başlama kontrol listesi: hesap açma adımları

Hesap açma sürecini standartlaştırmayan işletmeler zamanla şunu yaşıyor: kimin hangi hesabı olduğu belirsizleşiyor, bazı erişimler kayıt tutulmadan açılmış, bazıları eski çalışanın paylaştığı şifreyle çalışıyor. Bunu önlemenin tek yolu süreci bir kez yazılı hale getirmek ve her yeni çalışan için aynı listeden geçmek.

İşe başlama kontrol listesinde şu sorular yer almalı:

Paylaşılan hesaplar bazı araçlarda kaçınılmaz. Sosyal medya profili, müşteri iletişim kutusu gibi yapılarda tek kullanıcı mantığı çalışmıyor. Bu hesapların kimlik bilgileri bir şifre yöneticisinde tutulmalı; kişisel not defterinde, telefon notlarında veya mesajlaşma geçmişinde değil.

Paylaşılan hesapların güvenli yönetimi

Kaçınılmaz olduğunda paylaşılan hesap üç kuralı gerektiriyor.

Şifreyi e-posta ya da mesajlaşma uygulamasıyla iletmeyin. Bir kez mesajlaşma geçmişine giren şifre, o uygulamaya erişen herkesin görebileceği hale geliyor; siz silseniz bile karşı tarafta kalabiliyor. Şifre yöneticisinin paylaşım özelliği veya tek kullanımlık şifrelenmiş bağlantı daha güvenli bir alternatif. Farklı senaryolar için güvenli şifre paylaşımı yöntemleri pratik seçenekler sunuyor.

Şifre değiştiğinde eski kaydı temizleyin. Paylaşılan hesabın şifresini güncellerken erişimi olan herkes haberdar edilmeli; eski şifrenin tarayıcılarda veya cihazlarda hâlâ kayıtlı olup olmadığı kontrol edilmeli. Tarayıcının kayıtlı şifreleri nasıl senkronize ettiğini anlamak için tarayıcı senkronizasyonunda kaydedilen şifreler konusu faydalı bir çerçeve çiziyor.

Giriş geçmişini arada bir inceleyin. Paylaşılan hesapta beklenmedik konumdan veya tanımadığınız bir cihazdan giriş varsa şifre değişikliği ertelenmiyor. Bu kontrol çoğu platformda ayarlar ya da güvenlik bölümünden ulaşılabilen standart bir özellik.

Şifre yöneticisi seçimi ve ekip kurulumu

Ekip için şifre yöneticisi kurulumu ertelenebilecek bir şey gibi görünüyor. Ama kağıda yazılı şifreler, Excel dosyaları, "sırlar" klasörü ya da mesajlaşma grupları zaman içinde yönetilemez hale geliyor. Kim hangi şifresini nerede saklıyor bilmiyorsunuz; biri ayrıldığında neyi götürdüğünü de.

Ekip için şifre yöneticisi seçerken temel ölçütler şunlar: kullanıcı bazlı erişim katmanı sunuyor mu (herkes her şifreyi görmesin), paylaşılan klasör desteği var mı, yönetici hesabına ek olarak yedek yönetici tanımlanabiliyor mu?

Kurulum sırasında şu adımlar atlanmamalı:

Şifre yöneticisi olmadan ekip hesap güvenliğini yönetmek teknik olarak mümkün. Yalnızca çok daha fazla emek istiyor ve çok daha fazla hata payı bırakıyor.

İki aşamalı doğrulamayı küçük ekiplerde uygulamak

İki aşamalı doğrulama (2FA) beş kişilik bir ekip için de geçerli. Şifre tek başına yeterli değil; e-posta hesabı, muhasebe yazılımı, sosyal medya paneli gibi kritik erişimlerde 2FA olmadan şifre sızdığı anda hesap savunmasız kalıyor.

Paylaşılan hesaplarda 2FA pratikte sorun çıkarabiliyor. SMS tabanlı doğrulama bir telefon numarasına bağlıysa, o numaranın sahibi ulaşılamaz durumdayken hesaba girilemiyor. Authenticator uygulaması bu sorunu kısmen çözüyor: birden fazla cihazda aynı hesap için 2FA kurulabiliyor. Ama bu da yönetim gerektiriyor; hangi cihazlarda kurulduğunu takip etmek şart.

Passkey gibi daha yeni kimlik doğrulama yöntemleri bireysel hesaplarda kullanımı kolaylaştırıyor. İki yöntem arasındaki fark ve hangi durumda hangisinin tercih edilmesi gerektiği için passkey ile 2FA arasındaki ilişki ayrıntılı ele alınıyor.

Küçük ekiplerde sık atlanan bir nokta: 2FA kurtarma kodları. Bu kodlar hesabı geri almanın tek yolu olabiliyor; e-postaya veya aynı cihazın notlarına kaydetmek yeterli güvence değil. Kağıda, güvenli bir fiziksel yerde saklamak eski usul ama hâlâ işlevsel.

Çalışan ayrıldığında erişim iptali

Bir çalışan işten ayrıldığında e-posta hesabını kapatmak akla ilk geliyor. Ama listeye girmesi gereken onlarca başka erişim var: bulut depolama, proje yönetim araçları, sosyal medya yönetim paneli, muhasebe yazılımı, CRM platformu, ortak doküman klasörleri, şifre yöneticisi.

Bu geçişin eksiksiz yapılabilmesi işe alımda açılan erişimlerin kayıtlı olmasına bağlı. Kayıt tutulmadan yürütülen süreçlerde ayrılık anında her şeyi hatırlamak mümkün olmuyor; bir şeyin atlandığını aylar sonra fark ediyorsunuz.

Erişim iptali kontrol listesi:

Ayrılık iyi koşullarda geçse bile erişim iptali yapılmalı. Kişisel güvensizlik değil; sistemin temiz kalması için gereken standart bir adım. İyi niyetli bir eski çalışan bile erişimi açık bırakılmış bir hesapla, farkında olmadan güvenlik açığı oluşturabiliyor; hesabı hedef alan bir saldırıda işletme bilgilerine ulaşılabildiğinde kişisel niyetin önemi kalmıyor.

Çalınan ya da kaybolan bir cihazdan hangi kurumsal hesaplara erişilebileceğini düşünmeden erişim iptali eksik kalıyor. Bu konuyu değerlendirmek için çalınan telefonda öncelikli hesap koruması konusu pratik bir bakış açısı sunuyor.

Erişim listesini periyodik olarak gözden geçirin

İşe alım ve ayrılık dışında da erişim yönetimi gerektiren durumlar oluyor. Rol değişikliği, proje sona erme, kullanılmayan abonelik ya da yalnızca zaman içinde birikmiş gereksiz erişimler. Üç ayda bir yapılan kısa bir denetim bu birikimi önlüyor.

Yeterli. Bu denetim yarım saati geçmek zorunda değil. Temel soru şu: hangi araçlarda kimlerin hesabı var ve bu hâlâ gerekli mi? Soruyu sormak çoğunlukla yeterli; cevap nettir.

Denetim sırasında kontrol edilebilecekler:

Üçüncü taraf uygulama izinleri özellikle göz ardı ediliyor. Bir servis denenip kullanılmaz hale geldiğinde o servisin hesaba erişim izni iptal edilmiyor. Zamanla bunlar birikerek saldırı yüzeyini genişletiyor. Hesap güvenliği için aylık kontrol listesi bu denetimi daha yapısal bir alışkanlığa dönüştürmek isteyenler için kapsamlı bir çerçeve sunuyor.

Ekip büyüdükçe erişim sayısı da büyüyor. On kişilik bir ekipte on beş farklı araç kullanılıyorsa yüz elli erişim kaydı yönetiyorsunuz demek. Bu ölçekte kayıt tutmadan yürütmek mümkün değil; denetim sıklığını artırmak da sorunu çözmüyor. Yapıyı baştan düzgün kurmak çok daha az efor istiyor.

Uzak erişim ve kişisel cihazlardan giriş

Küçük işletmelerde çalışanlar çoğunlukla kendi cihazlarından kurumsal hesaplara giriyor. Bu tamamen kontrol altına alınamıyor, ama birkaç temel kural riski önemli ölçüde düşürüyor.

Kişisel cihazdan kurumsal hesaba girerken tarayıcının şifreyi kaydetmemesi tercih edilmeli; bunun yerine şifre yöneticisi kullanılmalı. Tarayıcı kayıtlı şifreleri cihazlar arasında senkronize ederken beklenmedik güvenlik açıkları oluşabiliyor. Tarayıcı uzantılarının bu şifrelere ne kadar erişebildiği de ayrı bir dikkat noktası; tarayıcı uzantılarının şifre erişimi hakkındaki bilgiler bu riski somutlaştırıyor.

Uzak bağlantı VPN üzerinden yapılıyorsa bu VPN çözümünün kim tarafından yönetildiği önemli. Üçüncü taraf bir VPN servisi kullanılıyorsa trafiğin nereye aktığı sorusu yanıtsız kalmamalı. Uzak erişimde hesap güvenliği ayrıca ele alınması gereken bir konu; özellikle kullanılan VPN servisinin güvenilirliği doğrudan erişim güvenliğini etkiliyor.

Eski bir cihaz yenilendiğinde ya da satışa çıkarıldığında kurumsal hesaplardan çıkış yapılması ve tarayıcı verilerinin silinmesi şart. Bu adım atlanırsa o cihaza sonradan erişen biri aktif oturumlardan veya kayıtlı şifrelerden yararlanabiliyor. Cihaz devirlerinde hesap güvenliğini korumak için eski cihazı devretmeden önce hesaplardan çıkış adımları kritik öneme sahip.

Küçük ekiplerde kişisel ve kurumsal kullanım iç içe geçiyor. Bunu tamamen ayırmak mümkün olmasa da minimum standart belirlenebilir: kurumsal şifreler yalnızca şifre yöneticisinde, kurtarma bilgileri güncel, 2FA aktif. Bu üç kuralı ekibin tamamı karşılıyorsa büyük bölümü çözülmüş demek.

Hesap yönetiminin karmaşıklaştığı nokta kural koyulması değil; o kuralların günlük iş akışına nasıl entegre edileceğidir. Yarım saatlik bir toplantıyla işe alım ve ayrılık listelerini yazılı hale getirmek, şifre yöneticisi seçip ekibi onboarding etmek ve üç ayda bir kısa bir denetim yapmak, beş kişilik bir ekibin kurumsal BT departmanı olmadan uygulayabileceği yeterli bir yapıyı oluşturuyor.

Güvenlik altyapısı olmayan bir işletme saldırıya uğradığında hasar bazen geri dönüşsüz oluyor; yalnızca veri kaybı değil, müşteri güveni de. Bugünkü erişim listesi, yarın kurulacak kasa ve üç ay sonraki kısa denetim aynı işi görür. Mükemmel bir kurulum beklerken açık kalan eski hesap, listedeki boş satırdan daha pahalıya mal olur.