Dosya paylaşım yetkilendirme, şirket dosyalarına kimin erişebileceğini ve eriştiği dosyada ne yapabileceğini (okuma, düzenleme, silme, paylaşma) ayrı ayrı belirlemektir. Doğru kurulmuş bir yapıda yetki kişiye tek tek değil role ve departmana bağlanır, riskli işlemler yalnızca ihtiyacı olana açılır ve ayrılan çalışanın erişimi tek işlemle kapanır. "Herkes ortak klasörü görsün" yaklaşımı hem veri sızıntısına hem de kazara silmeye kapı açar.
Ortak klasörde gerçekte ne oluyor?
Çoğu şirketin dosya düzeni tek bir ortak klasörle başlar. Başta beş kişi vardır ve herkes her şeyi görebilir; bu pratiktir. Şirket büyüdükçe aynı klasöre bordro tabloları, müşteri sözleşmeleri, teklif fiyatları, personel özlük belgeleri ve ihale dosyaları eklenir, ama yetki yapısı hiç değişmez. Dosyalar hâlâ ofisteki bir sunucuda duruyorsa, yetki yapısını baştan kurmanın en doğal zamanı dosya sunucusundan buluta geçiş projesidir.
Sonuçta şu tablo ortaya çıkar:
- Herkes her şeyi görüyor. Depo sorumlusu maaş tablosuna, stajyer müşteri sözleşmelerine erişebiliyor.
- Herkes her şeyi silebiliyor. Okuma yetkisi olan kişi aynı zamanda silme ve taşıma yetkisine de sahip.
- Yetki birikiyor. Departman değiştiren çalışan eski departmanının klasörlerine erişmeye devam ediyor.
- Dış paylaşım kontrolsüz. Bir dosyanın bağlantısı müşteriye gönderiliyor ve aylarca geçerli kalıyor.
- Ayrılan çalışan unutuluyor. Kişinin hesabı ya da kendi cihazına eşitlenmiş klasör kopyası aylarca yerinde duruyor.
Bu sorunlar genellikle kötü niyetten değil, "kimse düşünmediği için" oluşur. Ama sonuçları aynıdır: hassas veri gereğinden fazla kişiye açıktır ve bir dosya silindiğinde ya da dışarı sızdığında kimin yaptığını bulmak neredeyse imkânsızdır. Yetki matrisinin oturduğu genel çerçeveyi kurumsal dosya yönetimi nedir rehberimizde anlattık.
Kontrolsüz yetkinin maliyeti
Yetki sorunu, bir olay yaşanana kadar görünmez. Olay yaşandığında ise "bu dosyaya kim erişebiliyordu?" sorusunun cevabı genellikle "herkes"tir.
Microsoft'un 2025 Dijital Savunma Raporu'na göre ekiplerinin incelediği siber olayların %80'inde saldırganlar veri çalmaya çalıştı. (Microsoft Digital Defense Report 2025)
Saldırgan bir çalışanın hesabını ele geçirdiğinde, o hesabın görebildiği her şeyi görür. Sophos'un State of Identity Security 2026 araştırmasında ankete katılan kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadığını söyledi. Yani bir hesabın ele geçirilmesi istisna değil; asıl soru, ele geçen hesabın ne kadar veriye uzandığıdır. En az yetki ilkesi tam da bu hasarı sınırlar.
Dış taraflar da ayrı bir risk alanıdır. Verizon DBIR 2026'ya göre üçüncü taraf dahil ihlaller %60 artarak toplamın %48'ine ulaştı. Müşteriye, tedarikçiye ya da mali müşavire açılan paylaşım bağlantıları, bu üçüncü taraf ilişkisinin dosya tarafındaki karşılığıdır. Müvekkil ya da mükellef dosyasıyla çalışan bürolarda bu risk daha da büyüktür; hukuk bürosu dosya yönetimi ve mali müşavirlik belge yönetimi yazılarımız bu iki sektöre özgü yetki düzenini ele alıyor.
Türkiye açısından bir de KVKK boyutu vardır: Kişisel Verilerin Korunması Kanunu, veri sorumlusundan kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını ister. Bordro ya da özlük dosyasının tüm çalışanlara açık olduğu bir ortak klasör, bu tedbirin alınmadığının en açık örneğidir. Tedbirlerin bütününü KVKK uyum süreci yazısında, aynı ilkenin posta kutularındaki karşılığını e-posta arşivleme ve KVKK yazısında anlattık.
Yetkileri parçalayın: "erişim" tek bir yetki değildir
En sık yapılan hata, yetkiyi "erişebilir / erişemez" diye iki seçeneğe indirgemektir. Oysa bir dosya üzerinde yapılabilecek işlemler birbirinden çok farklı risk taşır:
| Yetki | Ne sağlar? | Risk düzeyi |
|---|---|---|
| Okuma | Dosyayı açma, indirme | Veri sızıntısı |
| Yazma | Yeni dosya yükleme | Düşük–orta |
| Düzenleme | Mevcut dosyayı değiştirme | İçerik bozulması |
| Silme | Dosyayı kaldırma | Veri kaybı |
| Klasör oluşturma | Yapıyı değiştirme | Düzen bozulması |
| Geçmiş | Eski sürümleri görme | Eski fiyat, taslak gibi hassas bilgi |
Bu ayrım yapıldığında "muhasebe klasörünü okuyabilir ama silemez" ya da "teklifleri düzenleyebilir ama eski fiyatları göremez" gibi gerçek iş ihtiyacına uygun kurallar yazılabilir. Mantık fiziksel erişimdekiyle aynıdır: herkes fabrikanın her bölümüne giremediği gibi her klasöre de girmemelidir; bu benzetmeyi fabrikada bölge bazlı yetkilendirme yazısında görebilirsiniz.
Dosya paylaşım yetkilendirme: yetki matrisini kurmanın 6 adımı
- Dosyaları hassasiyete göre sınıflandırın. Genel (prosedürler, şablonlar), departman içi (teklifler, satın alma), gizli (bordro, özlük, sözleşmeler). Sınıf, yetkinin başlangıç noktasıdır.
- Klasör yapısını departman ve projeye göre kurun. Yetki klasöre verilir; klasör yapısı organizasyonu yansıtmazsa yetki de yansıtamaz.
- Yetkiyi kişiye değil departmana bağlayın. Yeni gelen çalışan departmanına eklendiğinde doğru yetkiyi otomatik almalı; departman değiştirdiğinde eski erişimi otomatik kalkmalı.
- En az yetkiyle başlayın. Yeni atamada okuma açık, silme ve geçmiş kapalı gelsin. Ek yetki gerekçesiyle istensin ve klasör sorumlusu onaylasın.
- Dış paylaşımı süreye bağlayın. Müşteriye ya da tedarikçiye gönderilen indirme bağlantısı kalıcı olmamalı; mümkünse dakikalar ya da saatler içinde geçersizleşmeli.
- Üç ayda bir gözden geçirin. Klasör sorumlusu "bu listedeki herkesin hâlâ bu erişime ihtiyacı var mı?" sorusunu sorsun; ayrılanlar ve departman değiştirenler listeden çıksın.
Örnek: 40 kişilik bir üretim firmasında matris
| Klasör | Yönetim | Muhasebe | Satış | Üretim | Stajyer |
|---|---|---|---|---|---|
| Prosedürler ve şablonlar | Okuma, düzenleme | Okuma | Okuma | Okuma | Okuma |
| Teklifler | Okuma, geçmiş | Okuma | Okuma, yazma, düzenleme | — | Okuma |
| Faturalar | Okuma | Tam yetki | Okuma | — | — |
| Bordro ve özlük | Okuma | Okuma, yazma | — | — | — |
| Teknik çizimler | Okuma | — | Okuma | Okuma, yazma, düzenleme, geçmiş | — |
Bu tablo bir örnektir; kendi yapınıza göre uyarlayın. Önemli olan, silme yetkisinin ancak gerektiğinde ve az kişide olmasıdır. İhale dönemlerinde teklif klasörünün kime, hangi yetkiyle açılacağını ihale teklif e-posta güvenliği yazısında ayrıca ele aldık.
Gözden kaçan paylaşım kanalı: e-posta eki
Klasör yetkilerini ne kadar iyi kurarsanız kurun, dosya bir kez mail ekiyle gönderildiğinde yetki yapısının dışına çıkar. Bordro tablosu muhasebe klasöründe iyi korunuyor olabilir; ama aynı tablo "kontrol eder misin?" notuyla üç kişiye ek olarak gittiğinde artık üç ayrı posta kutusunda, yetkisiz ve sürümsüz kopyalar halinde yaşar. Bu yüzden yetkilendirme politikasına bir kural daha eklenmelidir: iç paylaşım ek göndererek değil, dosyanın bulunduğu yere yönlendirerek yapılır. Dışarıdan gelen ekler de işlenmeden önce ilgili klasöre kaydedilir; böylece dosya klasörün yetki kurallarına tabi hâle gelir ve kimin eriştiği görünür kalır. E-posta hizmetinizin ek yerine yetkili bağlantıyla çalışmayı destekleyip desteklemediği, kurumsal e-posta seçerken bakılacak kriterlerden biridir.
Bir belgeyi yine de ek olarak göndermek zorundaysanız hangi şifreleme katmanının yeterli olduğunu e-posta şifreleme rehberinde karşılaştırdık.
Proje bazlı çalışan ofislerde yetki matrisi disiplinlere göre de ayrılır: statik ekibi mimari paftaları okur ama değiştiremez. Bu yapının uygulamalı örneğini mimarlık ofisi dosya yönetimi rehberinde bulabilirsiniz.
Digital Bridge'de bu işi nasıl yapıyoruz?
Yetkilendirme bir teknik ayar gibi görünse de aslında organizasyon kararıdır. Kurumlara şu sırayla eşlik ediyoruz:
- Mevcut durum taraması: Ortak klasörlerdeki erişim listelerini, ayrılan çalışan hesaplarını ve dışarıya açık paylaşım bağlantılarını çıkarıyor, riskleri önceliklendiriyoruz. Erişim açıklarını siber güvenlik danışmanlığı kapsamında raporluyoruz.
- Matris tasarımı: Departman yöneticileriyle birlikte yukarıdaki gibi bir yetki matrisi hazırlıyoruz. Kişisel veri içeren klasörler için erişim kurallarını KVKK uyum danışmanlığı ekibimizle değerlendiriyoruz.
- Uygulama: Matrisi kendi ürünümüz Smart360 üzerinde ya da mevcut altyapınızda hayata geçiriyoruz. Yetkilerin İK sistemindeki departman bilgisinden beslenmesi gerekiyorsa sistem entegrasyonları tarafını da planlıyoruz.
- Yazılı teklif: Kapsam, aşamalar ve bedel yazılı olarak netleşir; hazır paket dayatmayız.
SmartFiles ve Smart360 ile yetkilendirme nasıl işler?
Smart360, kurumsal dosya yönetimi ürünü SmartFiles, kurumsal e-posta ürünü SmartMail, web sitesi için yapay zeka müşteri temsilcisi SmartOperator ve geçiş kontrolü ürünü SmartPass'i tek panel ve tek kimlikle (SmartID) birleştiren kendi ürün ailemizdir. Yukarıdaki ilkelerin karşılığı şöyledir:
- Sekiz bağımsız yetki, tek matris. SmartFiles'ta okuma, yazma, düzenleme, silme, klasör oluşturma, yapay zeka, geçmiş ve not yetkileri birbirinden bağımsızdır; kişiye ya da departmana tek bir matris üzerinden verilir.
- Departman değişince erişim değişir. Smart360'ta bir çalışanın departmanı değiştiğinde erişimi tüm ürünlerde değişir; ayrılan çalışanın tüm erişimi tek işlemle kapanır. Bunu sağlayan tek kimlik yapısını tek oturum açma (SSO) yazımızda ele alıyoruz.
- Kısa ömürlü bağlantılar. SmartFiles indirme ve önizleme bağlantıları dakikalar içinde geçersizleşir; bir bağlantı ele geçse bile uzun süre işe yaramaz.
- Oturum kontrolü. Oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılır; parola değişince tüm oturumlar kapanır.
- Kurumlar arası ayrım. Birden çok şirketi tek hesaptan yönetseniz de her kurumun verisi ayrı veritabanında durur ve hiçbiri diğerinin verisini görmez.
- Yapay zeka da yetkiye tabi. Yapay zeka ayrı bir yetkidir; yönetici bu özelliği tamamen kapatabilir. Belgeye soru sorulduğunda yapay zeka yalnızca kullanıcının görme yetkisi olan dosyalardan yanıt üretir; böylece yetki matrisi yapay zekayla delinmez.
Somut bir senaryo: Satış uzmanı muhasebe departmanına geçiyor. Yönetici Smart360 panelinde kişinin departmanını değiştiriyor; kişi aynı anda SmartFiles'taki "Teklifler" klasörüne erişimini ve SmartMail'deki satis@ ortak kutusunu kaybediyor, muhasebe klasörlerine ve muhasebe@ kutusuna erişim kazanıyor. Kimse tek tek klasör listesi dolaşmıyor, eski erişim unutulmuyor.
Sonraki adım
Bu hafta en hassas klasörünüzü seçin (genellikle bordro ya da sözleşmeler) ve erişim listesini çıkarın. Listede beklemediğiniz bir isim varsa yetki matrisinin zamanı gelmiştir. Eski sürümleri kimin görebileceği için dosya sürüm kontrolü yazımıza, ayrılan çalışanlar için işten ayrılan çalışanın e-posta erişimi yazımıza bakabilirsiniz. Konunun diğer yazıları Kurumsal E-posta ve Belge rehberimizde bir arada. Erişim taramasından matris tasarımına kadar birlikte çalışmak isterseniz iletişim sayfamızdan bize ulaşın.