En az yetki ilkesi, her çalışana, hesaba ve uygulamaya yalnızca işini yapmaya yetecek kadar erişim verilmesi kuralıdır. Muhasebe stajyeri faturayı yükleyebilir ama silemez; satış ekibi İK özlük dosyalarını hiç görmez. Böylece çalınan bir parola, yanlış bir tık ya da ayrılan bir çalışan şirketin tüm verisine değil, yalnızca küçük bir bölümüne dokunabilir.
Kısaca
- En az yetki ilkesi, erişimi "herkes her şeyi görsün" yerine "kim neye neden ihtiyaç duyuyor" sorusuyla tasarlamaktır.
- Verizon DBIR 2026'ya göre ihlallerin %62'sinde insan faktörü, %36'sında çalıntı kimlik bilgisi kullanımı var; dar yetki, bu olayların etki alanını küçültür.
- Uygulama sırası: yetki envanteri, rol ve departman matrisi, okuma–yazma–silme ayrımı, ayrılan ve görev değiştiren çalışan süreci, düzenli gözden geçirme.
- KVKK'nın 12. maddesi, kişisel verilere hukuka aykırı erişimi önlemek için teknik ve idari tedbir almayı veri sorumlusuna yükler.
- Yetkiyi kişiye değil departmana bağlamak, ilkeyi yönetilebilir kılar; SmartFiles bu modeli sekiz ayrı yetkiyle uygular.
En az yetki ilkesi tam olarak ne anlama gelir?
İlke yeni değildir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), en az yetki (least privilege) kavramını her kullanıcıya ve sürece yalnızca görevini yerine getirmek için gereken asgari kaynak ve yetkinin verilmesi olarak tanımlar. Bu tanım insanlar kadar servis hesaplarını, entegrasyonları ve yapay zeka asistanlarını da kapsar.
Pratikte ilke üç soruya indirgenir: Bu kişi hangi veriyi görmeli? Gördüğü veride ne yapabilmeli (okuma, yükleme, değiştirme, silme)? Bu yetki ne zamana kadar geçerli olmalı? Üçüncü soru çoğu şirkette atlanır; proje biter, kişi departman değiştirir ama erişim yıllarca açık kalır.
En az yetki, sıfır güven (zero trust) yaklaşımının da temel taşıdır. Ağın içinde olmak kimseye otomatik güven sağlamaz; her erişim kimlik ve yetkiyle sınanır. Bu bağlamı zero trust nedir yazımızda ayrıntılı ele aldık.
Geniş yetkiler şirkete neye mal oluyor?
Çoğu KOBİ'de ortak sürücü "ya hep ya hiç" çalışır. Bir klasörü görebilen kişi, genellikle oradaki dosyaları değiştirebilir ve silebilir de. Sorun gündelik işte görünmez; bir hesap ele geçirildiğinde, fidye yazılımı bir bilgisayara bulaştığında ya da kızgın bir çalışan ayrılmadan önce dosyaları sildiğinde ortaya çıkar.
Verizon 2026 Data Breach Investigations Report verilerine göre veri ihlallerinin %62'sinde insan faktörü rol oynadı ve çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem oldu.
Çalınan parolanın ne kadar zarar vereceğini o hesabın yetkisi belirler. Microsoft Digital Defense Report 2025 özetine göre Microsoft ekiplerinin incelediği siber olayların %80'inde saldırganlar veri çalmaya çalıştı. Herkesin her klasöre eriştiği bir yapıda tek bir hesap, bütün arşive açılan kapı olur.
Hukuki boyut da vardır. 6698 sayılı KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilere hukuka aykırı erişimi önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri alma yükümlülüğü getirir. Yetkisiz erişim bir ihlale dönüşürse bildirim süreci başlar; adımları KVKK veri ihlali ve 72 saat rehberinde anlattık.
En az yetki ilkesi şirkette nasıl uygulanır?
İlke tek seferlik bir ayar değil, bir yönetim döngüsüdür. Aşağıdaki yedi adım, dosya sunucusu, bulut depolama ya da e-posta fark etmeksizin işe yarar:
- Yetki envanteri çıkarın. Hangi klasöre, ortak kutuya ve uygulamaya kimin eriştiğini listeleyin. "Herkes" ya da "Tüm kullanıcılar" grubuna açık alanları işaretleyin.
- Veriyi hassasiyetine göre gruplayın. İK özlük dosyaları, maaş tabloları, sözleşmeler ve müşteri kişisel verileri en dar erişimi gerektirir.
- Yetkiyi kişiye değil role ve departmana bağlayın. Kişiye tek tek verilen izinler zamanla izlenemez hâle gelir; departmana verilen izin, kişi departmandan çıkınca kendiliğinden düşer.
- Okuma, yazma, düzenleme ve silmeyi ayırın. "Görebilir" ile "silebilir" aynı yetki olmamalı. Silme ve dışarıya paylaşma en az kişide kalmalı.
- Yönetici hesaplarını ayırın. Yönetici yetkisini günlük kullanılan hesaptan ayırın ve sayısını sınırlayın; parolanın yanında çok faktörlü kimlik doğrulama (MFA) kullanın.
- Giriş, görev değişikliği ve ayrılış süreçlerini yazın. Her değişiklikte hangi erişimin açılıp kapanacağı önceden belli olsun.
- Üç ya da altı ayda bir gözden geçirin. Departman yöneticisi kendi alanının erişim listesini onaylasın; kullanılmayan yetkileri kaldırın.
Paylaşım izinlerinin klasör düzeyinde nasıl kurulacağını dosya paylaşım yetkilendirme yazımızda, ortak e-posta kutularında aynı mantığı posta kutusu yetkilendirme rehberinde örnekledik.
Örnek yetki matrisi nasıl kurulur?
Yetki matrisi, satırlarda departman ya da rolleri, sütunlarda veri alanlarını ve izin türünü gösteren basit bir tablodur. Aşağıdaki örnek tipik bir üretim ya da ticaret şirketi içindir:
| Veri alanı | Finans | İK | Satın alma | Satış | Stajyer |
|---|---|---|---|---|---|
| Faturalar ve ödeme belgeleri | Okuma, yazma, düzenleme | Yok | Okuma | Yok | Yazma (silme yok) |
| İK özlük dosyaları | Yok | Okuma, yazma, düzenleme | Yok | Yok | Yok |
| Tedarikçi sözleşmeleri | Okuma | Yok | Okuma, yazma, düzenleme | Yok | Yok |
| Teklifler ve müşteri dosyaları | Okuma | Yok | Yok | Okuma, yazma, düzenleme | Yok |
| Kurum geneli duyurular | Okuma | Okuma | Okuma | Okuma | Okuma |
Tabloda "silme" ve "dışarıya paylaşma" ayrı sütun olarak eklenmelidir; bu iki yetki çoğu kurumda yalnızca alan sorumlusunda kalır. Matrisi kâğıtta değil, kullandığınız sistemde uygulanabilir biçimde kurmak önemlidir.
Ayrılan ve görev değiştiren çalışanlarda neye dikkat edilmeli?
En az yetki ilkesinin en sık bozulduğu an, kişinin rolünün değiştiği andır. Satıştan satın almaya geçen çalışan eski müşteri klasörlerini görmeye devam ediyorsa, yetki birikimi başlamış demektir. Bu nedenle görev değişikliği, yeni erişimin açılması kadar eskisinin kapanmasını da içermelidir.
Ayrılışta ise tek bir hesabı kapatmak yetmez; e-posta, dosya, paylaşım bağlantıları ve mobil oturumlar birlikte ele alınmalıdır. Kontrol listesi için işten ayrılan çalışanın tüm hesapları ve çalışan ayrılınca şirket dosyaları yazılarına bakın. Tek kimlikle çalışan sistemlerde bu adım belirgin biçimde kısalır; mantığını tek oturum açma (SSO) yazısında anlattık.
Yapay zeka asistanları en az yetki ilkesine nasıl uymalı?
Belgelerle sohbet eden yapay zeka araçları yeni bir risk alanı açar. Asistan, kullanıcının göremeyeceği bir sözleşmeden alıntı yaparsa, yetki matrisi fiilen delinmiş olur. Doğru tasarımda yapay zeka, soruyu soran kişinin erişebildiği dosyalardan başkasını okumaz ve kendisi ayrı bir yetki olarak verilir. Bu ilkeyi yetki bazlı yapay zeka yazımızda ayrıntılandırdık.
SmartFiles ile en az yetki ilkesi nasıl kolaylaşır?
Ortak sürücüde "yüklesin ama silmesin" ihtiyacı genellikle klasörü çoğaltarak çözülür ve aynı belgenin birden çok kopyası oluşur. SmartFiles kurumsal dosya yönetimi bu sorunu yetkiyi parçalara ayırarak çözer. Her depo alanında sekiz bağımsız yetki vardır: okuma, yazma, düzenleme, silme, klasör oluşturma, yapay zeka, geçmiş ve not. Her biri ayrı açılıp kapanır, biri diğerini gerektirmez.
Somut bir senaryo düşünelim: Bir dağıtım firmasının Finans alanında muhasebe stajyerine yalnızca okuma ve yazma verilir; faturaları yükler ama silemez, yeniden adlandıramaz. İK alanı okuma yetkisi olmayanların kenar çubuğunda hiç görünmez. Satın alma ekibi Finans'taki ödeme klasörünü görür ama değiştiremez. Hepsi tek ekrandaki yetki matrisinden, kişiye ya da departmana verilerek yönetilir.
SmartFiles'ta departmana verilen yetkiyi o departmana katılan herkes alır; departman değiştiren kişinin erişimi kendiliğinden değişir, kurumdan çıkarılan kişinin yetkileri otomatik temizlenir. Hassas bir klasör ayrıca kısıtlanabilir; listede olmayanlar için o klasör aramada, görevlerde ve etkinlik geçmişinde bile görünmez; kurum yöneticileri ise her zaman görür. Görev atama, notlar ya da yapay zeka sohbeti kimseye yeni erişim açmaz; yapay zeka yalnızca kişinin görme yetkisi olan dosyalardan yanıt üretir.
Denetim tarafında, Geçmiş yetkisi olan kişi etkinlik geçmişini tarih, kişi, işlem, hedef ve IP adresiyle CSV olarak indirir. Olağandışı etkinlik uyarıları, örneğin 10 dakikada 100'den fazla indirme ya da 50'den fazla silme olduğunda haber verir. Kurum dışına paylaşım varsayılan olarak kapalıdır; yönetici açtığında bağlantılar 1–30 gün geçerlidir.
Aile düzeyinde Smart360, kişileri ve departmanları bir kez tanımlar; ayrılan çalışanın erişimini yönetici, kaç ürün kullandığından bağımsız olarak tek yerden kapatır. Açık oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir. Ayrıntılar için SmartFiles yetkilendirme özelliklerini inceleyebilirsiniz.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, en az yetki projelerinde önce mevcut erişim yapınızı çıkarır: hangi klasör herkese açık, hangi ortak kutuya parola paylaşılarak giriliyor, ayrılan hangi hesaplar hâlâ etkin. Ardından departman ve rol bazlı bir yetki matrisi önerir ve geçişi planlar.
- Değerlendirme: Dosya, e-posta ve uygulama erişimlerinin envanteri; bu çalışma siber güvenlik danışmanlığımızın parçası olarak yürütülür.
- Kurulum ve taşıma: SmartFiles depo alanlarının, yetki matrisinin ve dosya taşımanın yapılandırılması.
- Süreç: İşe giriş, görev değişikliği, ayrılış ve dönemsel gözden geçirme adımlarının yazılı hâle getirilmesi; kişisel veri boyutunda KVKK uyum danışmanlığı ile birlikte.
En az yetki ilkesinde sonraki adım nedir?
İlk iş, en hassas üç veri alanınızı seçip kimlerin eriştiğini listelemektir; "herkes" yazan her satır önceliğinizdir. Genel önlemler için KOBİ siber güvenlik kontrol listesine bakın; tüm güvenlik yazıları Siber Güvenlik ve KVKK rehberimizde bir arada.
Yetki matrisinizi doğrudan uygulamaya geçirmek isterseniz SmartFiles'ı Smart360 satın alma sayfasından edinebilir, birden çok Smart ürününü birlikte edinmek için Smart360 ailesi satın alma sayfasını kullanabilirsiniz. Kurulum öncesi mevcut yapınızın değerlendirilmesi için iletişim sayfamızdan bize ulaşın.