Çalışan ayrıldığında şirket dosyaları şirkette kalmalı, ama ayrılan kişinin bunlara erişimi son iş gününde kapanmalıdır. Bunun için dosyaların kişisel klasörde değil departman alanında durması, erişimin kişiye değil role bağlanması, açık paylaşım bağlantılarının iptal edilmesi ve devrin yazılı bir kontrol listesiyle yapılması gerekir.
Kısaca
- Şirket adına üretilen dosyalar şirkete aittir; ayrılan çalışanın kişisel hesabında, telefonunda ya da USB belleğinde kalmamalıdır.
- Erişimi kapatmak yetmez: kurum dışına açılmış paylaşım bağlantıları, senkronize cihazlar ve e-posta ekleri de kontrol edilmelidir.
- Dosyalar departman alanında ve rol bazlı yetkiyle tutulursa, ayrılış günü iş "dosyaları bulmak" değil "hesabı kapatmak" olur.
- Saklama yükümlülüğü olan belgeler (ticari belgeler, özlük dosyaları) silinmez; kişisel veriler ise KVKK'ya uygun sürelerle saklanır.
- Son 30 günün indirme ve paylaşım hareketlerini incelemek, olası bir sızıntıyı erken fark etmenin en pratik yoludur.
İşten ayrılan çalışanın e-posta kutusu çoğu şirkette bir şekilde düşünülür; dosyalar ise genellikle akla gelmez. Oysa teklifler, müşteri listeleri, sözleşmeler ve teknik çizimler çoğu zaman e-postadan çok dosya klasörlerinde ve kişisel bulut hesaplarında durur. Bu rehber, ayrılış sürecinde dosyaların kaybolmaması ve kontrolsüz biçimde dışarı çıkmaması için atılması gereken adımları sırasıyla anlatır.
Çalışan ayrıldığında şirket dosyaları neden risk altına girer?
Riskin kaynağı çoğunlukla kötü niyet değil, dağınıklıktır. Dosyalar kişinin masaüstünde, kişisel bulut hesabında, ortak sürücüde kendi adıyla açtığı klasörde ve e-posta eklerinde parça parça durur. Kimin hangi klasöre eriştiği tek bir yerden görülemediği için ayrılış günü "neyi kapatmamız gerekiyor?" sorusunun net bir cevabı olmaz.
İkinci risk, kapatılmayan hesaplardır. Aktif kalan bir hesap, ayrılan kişi kullanmasa bile parola saldırıları için hazır bir kapıdır. Verizon 2026 Data Breach Investigations Report verilerine göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem olarak yerini korudu.
Kimlik tarafındaki tablo da iç açıcı değil. Sophos'un 17 ülkede 5.000 BT ve güvenlik yöneticisiyle yaptığı The State of Identity Security 2026 araştırmasına göre ankete katılan kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadı. Türkiye'de ise KVKK 2025 Yılı Faaliyet Raporu verilerine göre Kurum'a 2025'te 328 veri ihlali bildirimi yapıldı; kişisel veri içeren bir klasörün yetkisiz kişide kalması bu tür bir bildirime dönüşebilir.
Üçüncü maliyet sessizdir: kaybolan bilgi. Ayrılan kişinin son sürümü kendi bilgisayarında tuttuğu bir teklif, yarım kalan bir sözleşme ya da yalnızca onun bildiği bir klasör yapısı, haftalarca süren arama ve yeniden yapılan işe dönüşür. Dosyaların neden tek merkezde tutulması gerektiğini kurumsal dosya yönetimi nedir yazısında ayrıntılı anlattık.
Ayrılan çalışanın dosyaları kime aittir, neler saklanmalıdır?
Çalışanın iş kapsamında ürettiği teklif, rapor, çizim ve yazışmalar kural olarak şirketin iş varlığıdır ve şirkette kalmalıdır. Bu ilkenin iş sözleşmesinde, gizlilik taahhüdünde ya da bilgi güvenliği politikasında yazılı olması, ayrılış sırasında tartışma çıkmasını önler. Çalışanın kişisel dosyaları (özel fotoğraflar, kişisel belgeler) ise kendisine teslim edilip şirket sistemlerinden ayrılmalıdır.
Saklama tarafında iki ayrı mantık vardır. Türk Ticaret Kanunu'nun 82. maddesi ticari defterleri ve gönderilen ya da alınan ticari belgeleri on yıl saklama yükümlülüğü getirir; bu nedenle ayrılan kişinin klasöründeki fatura, sözleşme ve yazışmalar "temizlik" adı altında silinmemelidir. Kişisel veriler ise Kişisel Verilerin Korunması Kanunu'na (KVKK) göre işlendikleri amaç için gerekli süre kadar tutulur; hangi belgenin ne kadar saklanacağını saklama ve imha politikası yazısındaki gibi önceden belirlemek gerekir.
Ayrılan çalışanın kendi özlük dosyası da ayrı bir konudur. İş sözleşmesi, bordro ve eğitim kayıtları gibi belgeler yasal süreler boyunca saklanır, ama erişimi yalnızca insan kaynakları ve yetkili yöneticilerle sınırlı tutulmalıdır. Ayrıntılar için KVKK ve çalışan kişisel verileri rehberine bakabilirsiniz.
Çalışan ayrılırken dosyalar adım adım nasıl devredilir?
Ayrılış süreci, istifa ya da fesih bilgisinin BT ve departman yöneticisine ulaştığı gün başlamalıdır. Aşağıdaki sıra, hem dosyaların kaybolmamasını hem de erişimin zamanında kapanmasını sağlar.
- Envanter çıkarın: Kişinin eriştiği klasörleri, ortak sürücüleri, bulut hesaplarını, dış paylaşım bağlantılarını ve şirkete ait cihazları listeleyin.
- Devralacak kişiyi belirleyin: Her iş akışı (müşteri dosyaları, teklifler, projeler) için bir sorumlu atayın ve devri yöneticiyle birlikte yazılı hale getirin.
- Kişisel alanlardaki dosyaları taşıyın: Masaüstü, kişisel klasör ve kişisel bulut hesabındaki iş dosyalarını ilgili departman klasörüne aktarın; son sürümün hangisi olduğunu kişiyle birlikte netleştirin.
- Son hareketleri inceleyin: Son 30 günün toplu indirme, dış paylaşım ve silme kayıtlarına bakın; olağandışı bir hareket varsa hukuk ve yönetimle paylaşın.
- Erişimi son iş gününde kapatın: Dosya sistemi, e-posta, VPN ve bulut hesaplarındaki erişimi aynı gün kaldırın; ortak parolaları değiştirin.
- Paylaşım bağlantılarını iptal edin: Kişinin kurum dışına açtığı bağlantıları kapatın ya da yeni sorumluya devredin.
- Cihazları teslim alın: Dizüstü bilgisayar, telefon ve harici diskleri teslim tutanağıyla alın; şirket verisini sildirin ya da cihazı yeniden kurun.
- Silmeyi erteleyin: Hesap kapansa bile dosyaları hemen silmeyin; saklama süresi ve olası uyuşmazlıklar netleşene kadar arşivde tutun.
E-posta tarafındaki adımlar (kutu devri, yönlendirme, otomatik yanıt) için işten ayrılan çalışanın e-posta erişimi rehberini bu listeyle birlikte kullanın. Yanlışlıkla silinen bir dosya için ise silinen dosya nasıl geri getirilir yazısındaki yolları izleyebilirsiniz.
Dosya erişimi hangi kanallarda kapatılmalıdır?
Erişim tek bir yerden kapanmaz; dosyalar birden çok kanalda yaşar. Aşağıdaki tablo, ayrılış günü gözden kaçan kanalları ve her biri için yapılacak işi özetler.
| Kanal | Tipik risk | Ayrılış günü yapılacak iş |
|---|---|---|
| Ortak sürücü / dosya sunucusu | Kişiye tek tek verilmiş klasör izinleri unutulur | Kişisel izinleri kaldırın, rol bazlı yetkiye geçin |
| Kişisel bulut hesabı | İş dosyaları şirketin göremediği bir hesapta kalır | Dosyaları kurumsal alana taşıyın, kişisel hesap kullanımını yasaklayın |
| Dış paylaşım bağlantıları | Müşteri ya da tedarikçiye açılan bağlantı aylarca açık kalır | Bağlantıları iptal edin ya da yeni sorumluya devredin |
| E-posta ekleri | Sözleşme ve teklifler yalnızca kutuda durur | Önemli ekleri belge deposuna kaydedin |
| Senkronize cihazlar | Dizüstü ve telefonda yerel kopyalar kalır | Cihazı teslim alın, kurumsal veriyi silin |
| Ortak parolalar | Herkesin bildiği hesaplar açık kalır | Parolaları değiştirin, kişisel hesaplara geçin |
Tablodaki ilk iki satır, sorunların çoğunun kaynağıdır. Klasör izinlerini kişi yerine role bağlamanın yolunu dosya paylaşım yetkilendirme yazısında, kişisel bulut hesaplarıyla kurumsal dosya yönetiminin farkını Google Drive mı kurumsal dosya yönetimi mi karşılaştırmasında ele aldık.
Ayrılan çalışanın dosya kopyalaması nasıl fark edilir ve önlenir?
Tamamen önlemek mümkün olmasa da riski belirgin biçimde azaltmak mümkündür. En etkili önlem, kişinin işi için gerekenden fazla dosyaya hiç erişmemesidir; bu "en az yetki" ilkesi ayrılış öncesindeki toplu indirmelerin etkisini baştan sınırlar. İkinci önlem, kimin neyi ne zaman indirdiğini gösteren bir etkinlik kaydıdır.
Kısa sürede yüzlerce dosyanın indirilmesi ya da mesai dışında kurum dışına bağlantı açılması gibi hareketler, ayrılık dönemlerinde dikkat edilmesi gereken işaretlerdir. Daha kapsamlı teknik önlemler için veri sızıntısı önleme yaklaşımını DLP rehberimizde anlattık. Bu kayıtlar, olası bir uyuşmazlıkta şirketin elindeki en somut kanıt da olur.
SmartFiles ile bu iş nasıl kolaylaşır?
Digital Bridge'in Smart360 ailesindeki SmartFiles, kurum dosyalarını kişisel klasörlerde değil departman bazlı depo alanlarında toplar. Yetki kişiye ya da departmana verilir; departmana verilen yetkiyi o departmana geçen herkes alır ve kurumdan çıkarılan kişinin yetkileri otomatik olarak temizlenir. Kullanıcılar ve departmanlar Smart360 panelinde bir kez tanımlandığı için ayrılış günü ayrı ayrı klasör izni aramak gerekmez.
Somut bir senaryo düşünelim: Satın alma uzmanı Elif iki hafta sonra ayrılıyor. Yönetici, Satın Alma alanının etkinlik geçmişini CSV olarak indirip son haftaların indirme ve paylaşım hareketlerine bakıyor; SmartFiles zaten 10 dakikada 100'den fazla indirme ya da 22:00–06:00 arasında açılan dış paylaşım bağlantısı gibi olağandışı hareketlerde uyarı veriyor. Elif'in dosyaları departman alanında olduğu için devralan kişi hiçbir şeyi taşımadan aynı klasörlerde çalışmaya devam ediyor; Elif Smart360'tan çıkarıldığı anda erişimi kapanıyor ve onun kurum dışına açtığı paylaşım bağlantıları da çalışmaz hale geliyor.
Saklama tarafında da güvenlik ağı vardır. SmartFiles her dosyanın sürüm geçmişini tutar, silinen dosyalar kurumun belirlediği süre (varsayılan 30 gün) çöp kutusunda bekler ve klasörlere 1–30 yıl arası saklama süresi atanabilir; süresi dolan belgeler kendiliğinden silinmez, sorumluya listelenir. Uyuşmazlık ihtimali olan belgelere kurum yöneticisi yasal saklama kilidi koyabilir; kilitli belge silinemez ve taşınamaz.
SmartMail kullanan kurumlarda, yalnızca kutuda duran sözleşme ve teklif ekleri "SmartFiles'a kaydet" ile departman alanına alınabilir; böylece önemli belgeler ayrılan kişinin kutusuna bağlı kalmaz. Özelliklerin tamamı ve sürüm, yetki ve paylaşım ayrıntıları için SmartFiles ürün sayfasını inceleyebilirsiniz.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, ayrılış sürecini yalnızca bir yazılım kurulumu olarak değil, bir iş süreci olarak ele alır. Mevcut ortak sürücü ve bulut klasörlerinizi inceleyip departman alanlarını ve rol bazlı yetki matrisini birlikte tasarlarız; SmartFiles'a dosya taşımayı ve ilk yapılandırmayı planlarız. Ürün ailesinin tamamı için Smart360 sayfasına bakabilirsiniz.
Saklama süreleri, özlük dosyalarına erişim ve ayrılan çalışanın kişisel verileri gibi konularda KVKK uyum danışmanlığı ekibimiz saklama ve imha politikanızı, ayrılış kontrol listenizi ve erişim kayıtlarınızı birlikte gözden geçirir. Böylece teknik ayarlar ile şirket politikası aynı dili konuşur.
Sonraki adım: ayrılış sürecinizi bugün test edin
En son ayrılan çalışanı düşünün ve şu soruyu sorun: Onun dosyalarının nerede olduğunu, kime devredildiğini ve erişiminin hangi gün kapandığını beş dakikada gösterebilir misiniz? Cevap "hayır" ise ilk iş, bu yazıdaki sekiz adımı kendi şirketinize uyarlamaktır. Dosya ve e-posta güvenliğiyle ilgili diğer rehberler Kurumsal E-posta ve Belge başlığı altında.
Dosyalarınızı departman alanlarında toplamak ve ayrılan kişinin erişimini tek işlemle kapatmak için SmartFiles ürün sayfasını inceleyin. SmartFiles'ı satın almak için Smart360 satın alma sayfasını kullanabilir, taşıma ve kurulum için iletişim sayfamızdan bize ulaşabilirsiniz.