İşten ayrılan bir çalışanın kurumsal hesabı açık kaldığında şirket verilerine yetkisiz erişim, gizlilik ihlali ve KVKK yükümlülüklerinin ihlali riski doğuyor. Kurumsal e-posta, CRM, muhasebe yazılımı veya bulut depolama alanı kapatılmadığında eski çalışan geçmiş yazışmalara ulaşabiliyor, müşteri bilgilerini dışarı taşıyabiliyor veya finansal kayıtları değiştirebiliyor. KVKK İlke Kararı, posta kutusunun süresiz açık tutulmasını istisnai bir durum olarak kabul ediyor ve hesabın kapatılmasını asıl yaklaşım olarak tanımlıyor. Doğru offboarding süreci, hem şirket güvenliğini hem de mevzuata uyumu koruyan temel bir adım olarak öne çıkıyor.
Ayrılık Sonrası Hesapların Yönetimi Nasıl Yapılır?
Ayrılık sonrası hesapların yönetimi, çalışanın son çalışma gününden itibaren 24 saat içinde tüm erişimlerin devre dışı bırakılmasıyla başlıyor. Sürecin tanımlı adımlarla ilerlemesi, hem veri güvenliğini hem de iş sürekliliğini koruyor.
- Envanterin çıkarılması: Çalışanın kullandığı tüm hesaplar (e-posta, CRM, muhasebe yazılımı, bulut depolama, VPN, intranet) tek bir listede toplanıyor. Eksik kalan erişimler sonraki adımlarda güvenlik açığına dönüşebiliyor.
- Erişimlerin devre dışı bırakılması: Hesaplar silinmek yerine ilk aşamada askıya alınıyor. Bu yöntem, veri kaybı olmadan erişimin anında kesilmesini sağlıyor.
- İçeriğin devredilmesi: Kritik dosyalar ve müşteri yazışmaları yetkili bir çalışma arkadaşına aktarılıyor. Devir, belgeyle kayıt altına alınıyor.
- Otomatik yanıt ve yönlendirme: Yeni gelen e-postalar için sınırlı süreli yönlendirme tanımlanıyor ve gönderene iletişim bilgisi değişikliği bildiriliyor.
- Arşivleme ve imha: Yasal saklama süresi sonunda hesap verileri KVKK çerçevesinde imha ediliyor.
Açık Hesaplar Şirketlere Nasıl Zarar Verebilir?
Açık kalan hesaplar, şirketlere hem operasyonel hem de hukuki açıdan ciddi zarar verebiliyor. Risk ve kazanım dengesi, sürecin doğru yönetilip yönetilmediğine göre belirleniyor.
Avantajları (Artıları)
- İş sürekliliği: Hesap kısa süreli açık tutulduğunda yeni iletiler takip edilebiliyor ve müşteri iletişimi kesintisiz devam ediyor.
- Bilgi devri kolaylığı: Devredilmesi gereken projeler ve yazışmalar hesap üzerinden kolayca aktarılabiliyor.
- Müşteri memnuniyeti: Otomatik yanıt sayesinde gönderen taraf doğru kişiye yönlendiriliyor.
Dezavantajları (Eksileri)
- Yetkisiz erişim riski: Eski çalışan hesabına giriş yaparak müşteri listeleri, sözleşme ekleri veya finansal kayıtlara ulaşabiliyor.
- KVKK ihlali: Hesabın süresiz açık tutulması, İlke Kararı kapsamında idari yaptırımla sonuçlanabiliyor.
- İçerik manipülasyonu: CRM ve muhasebe sistemlerinde kayıtlar değiştirilebiliyor, müşteri iletişim bilgileri dışarıya taşınabiliyor.
Eski Çalışanın E-posta Hesabı Ne Yapılmalı?
Eski çalışanın kurumsal e-posta hesabı, ayrılış tarihinden hemen sonra kapatılması gereken ilk kalemler arasında yer alıyor. KVKK İlke Kararı çerçevesinde posta kutusunun süresiz açık tutulması istisnai bir uygulama olarak değerlendiriliyor ve meşru bir amaca dayanması gerekiyor. Pratikte uygulanan yöntem, hesabı kapatmadan önce sınırlı süreli otomatik yanıt tanımlamak ve yeni gelen iletileri belirlenen bir yöneticiye yönlendirmektir. Bu yönlendirme süresinin sonunda hesap devre dışı bırakılıyor, arşivlenmiş yazışmalar ise yasal saklama süresi boyunca güvenli bir ortamda tutuluyor. Geçmiş yazışmalara gereksiz erişim verilmesi, hem çalışanın özel iletişimine ilişkin gizlilik ihlali yaratıyor hem de şirketin veri sorumlusu olarak yükümlülüklerini ihlal etmesine neden olabiliyor.
KVKK yükümlülüğü kapsamında hesap imhası nasıl yapılır?
KVKK kapsamında hesap imhası, çalışanın ayrılış tarihinden sonra belirlenen saklama süresi dolduğunda yazılı bir politika çerçevesinde gerçekleştiriliyor. Süreç, denetlenebilir kayıtlarla yürütülüyor.
- Saklama süresinin belirlenmesi: Hesap verisi, ticari ve hukuki yükümlülüklerin gerektirdiği minimum süre boyunca tutuluyor. Süre, saklama ve imha politikasında açıkça tanımlanıyor.
- Verinin sınıflandırılması: Kişisel veri içeren yazışmalar, ticari kayıtlar ve sözleşmeler ayrı kategorilerde değerlendiriliyor.
- İmha yönteminin seçilmesi: Silme, yok etme veya anonim hale getirme yöntemlerinden biri verinin niteliğine göre belirleniyor.
- İmha işleminin kayıt altına alınması: Hangi verinin, hangi tarihte ve hangi yöntemle imha edildiği tutanakla belgeleniyor.
- İç denetim: İmha işleminin politikaya uygunluğu düzenli aralıklarla kontrol ediliyor ve bulgular raporlanıyor.
CRM ve diğer yazılım erişimlerinin kapatılması neden kritik?
CRM ve muhasebe yazılımlarına eski çalışan erişiminin açık kalması, şirketin en hassas ticari verilerini doğrudan risk altına sokuyor. Müşteri iletişim bilgileri, satış geçmişi, fiyat teklifleri ve finansal kayıtlar bu sistemlerde tutulduğundan yetkisiz erişim hem rekabet avantajını hem de müşteri güvenini zedeleyebiliyor. Erişim kapatılmadığında eski çalışan müşteri listesini dışarıya aktarabiliyor, finansal kayıtları değiştirebiliyor veya rakip bir yapıya veri taşıyabiliyor. Bulut depolama alanındaki dosyalar silinebiliyor, kopyalanabiliyor ya da üçüncü kişilere iletilebiliyor. Bu nedenle yazılım erişimlerinin kapatılması, offboarding sürecinin ilk 24 saatinde tamamlanması gereken öncelikli adımlar arasında yer alıyor.
Şifre Değiştirmenin Önemi ve İlk Adımlar
Şifre değiştirme, ayrılan çalışanın bildiği ortak hesaplar için en hızlı güvenlik önlemi olarak öne çıkıyor. Ekip hesapları, sosyal medya yönetim panelleri, ortak bulut depolama alanları ve paylaşımlı yazılım lisansları gibi birden fazla kişinin kullandığı sistemlerde şifrelerin ayrılış anında yenilenmesi gerekiyor. Tek faktörlü girişler iki faktörlü doğrulamayla güçlendiriliyor, yeni şifreler yalnızca yetkili çalışanlarla paylaşılıyor. Kurumsal e-posta ve kişisel hesaplara bağlı tüm oturumlar uzaktan sonlandırılıyor, aktif cihaz listesi gözden geçirilerek bilinmeyen oturumlar kapatılıyor. Bu adımlar, erişim yönetiminin görünmeyen açıklarını kapatıyor ve sonraki ihlal risklerini azaltıyor.
Hangi adımlarla kullanıcı hesapları güvenle kapatılır?
Kullanıcı hesapları, ayrılış tarihinden itibaren 24 saat içinde tanımlı bir prosedürle kapatılıyor. İlk adımda İK ve BT ekipleri arasında bir çıkış bildirimi iletiliyor ve çalışanın erişim envanteri doğrulanıyor. Ardından hesaplar silinmek yerine önce askıya alınıyor; bu yöntem olası veri kayıplarını önlüyor ve devir süreci tamamlanana kadar içeriği koruyor. Devredilmesi gereken yazışmalar ve dosyalar yetkili bir çalışana aktarılıyor, kritik içeriklerin tutanakla teslimi sağlanıyor. Yasal saklama süresi dolduğunda hesap verileri KVKK uyumlu bir imha politikasıyla kalıcı olarak kaldırılıyor. Her adım, denetlenebilir kayıtlarla belgeleniyor ve offboarding sürecinin standartlaşmasına katkı sağlıyor.
Yasal Uyarı: Bu içerikte yer alan bilgiler genel bilgilendirme amaçlıdır ve hukuki ya da mali danışmanlık niteliği taşımaz. Mevzuat zaman zaman değişebildiğinden, kendi durumuna özel bir karar almadan önce güncel mevzuatın ve bir uzman görüşünün dikkate alınması faydalı olacaktır.
