İşten ayrılan çalışanın hesaplarını kapatmak, kişinin kurum adına kullandığı her kimliği (e-posta, dosya deposu, iş yazılımları, yönetici panelleri, sosyal medya, kartlı geçiş) son iş gününde devre dışı bırakmak, içerikleri bir sorumluya devretmek ve bunu kayda geçirmektir. İşin zor tarafı kapatmak değil, hesapların tamamını bilmektir; bu yüzden ayrılış, işe girişte tutulan bir hesap envanteriyle başlar.
Kısaca
- Ayrılış sürecinin temeli, her çalışan için işe girişte tutulan güncel bir hesap ve yetki envanteridir.
- Önce oturum ve erişim kapanır, sonra içerik devredilir, en son hesap silinir ya da arşivlenir; sıra değişirse veri ya da güvenlik kaybedilir.
- Ortak parolalar, kişisel e-postayla açılmış yazılım hesapları ve unutulan geçiş kartları en sık atlanan kalemlerdir.
- KVKK açısından ayrılan çalışanın kişisel verileri, saklama ve imha politikanızdaki sürelere göre ele alınır; hesabı kapatmak tek başına silme anlamına gelmez.
- Tek kimlikle (SSO) çalışan bir platformda erişim tek yerden kapanır; dağınık sistemlerde her biri ayrı ayrı kapatılmalıdır.
Ayrılan çalışanın açık kalan hesapları neden risk?
Açık kalan bir hesap, çoğu zaman kötü niyetten değil unutkanlıktan doğar. Telefonda açık kalan e-posta uygulaması, kişisel adresle açılmış bir kargo paneli, şirketin sosyal medya hesabında yönetici olarak duran eski bir pazarlamacı ya da iade edilmemiş bir geçiş kartı; her biri kapının aralık kalması demektir. Eski çalışan bu erişimi hiç kullanmasa bile, parolası sızdığında hesabı kullanan artık o değil bir saldırgandır.
Rakamlar bu riskin küçük olmadığını gösteriyor. Verizon 2026 Data Breach Investigations Report verilerinde çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem oldu. Kapatılmamış bir hesap, tam da bu kimlik bilgilerinin işe yaradığı yerdir.
Sophos'un 17 ülkede 5.000 BT ve güvenlik yöneticisiyle yaptığı State of Identity Security 2026 araştırmasına göre kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadı; olağan dışı giriş denemelerini sürekli izleyen kurumların oranı ise yalnızca %24'te kaldı. Yani unutulan bir hesaba yapılan giriş, çoğu kurumda kimsenin dikkatini çekmeden gerçekleşir.
Maliyet yalnızca güvenlik tarafında da değildir. Hesapla birlikte giden yazışmalar, müşteri dosyaları ve tedarikçi kayıtları iş sürekliliğini bozar; kişisel veriler içeren bir kutunun kontrolsüz kalması ise KVKK kapsamında çalışan kişisel verileri yükümlülüklerini doğrudan ilgilendirir.
Hangi hesaplar envantere girmeli?
Kapatılacak hesapları ayrılış günü hatırlamaya çalışmak yerine, işe girişte açılan her hesabı bir listeye yazın. Aşağıdaki tablo, çoğu KOBİ'de karşılaşılan hesap türlerini, tipik riskini ve ayrılışta yapılacak işi özetler.
| Hesap türü | Tipik risk | Ayrılışta yapılacak iş | Sorumlu |
|---|---|---|---|
| Kurumsal e-posta ve ortak kutular | Açık mobil oturum, dışarıya yönlendirme kuralı, paylaşılan kutu parolası | Oturumları kapat, kuralları sil, kutuyu devret | BT / yönetici |
| Dosya deposu ve paylaşım bağlantıları | Kişisel buluta kopyalanmış belgeler, herkese açık bağlantılar | Yetkiyi kaldır, dosyaların sahipliğini devret | BT / departman yöneticisi |
| İş yazılımları (muhasebe, CRM, ERP, e-ticaret paneli) | Kişisel e-postayla açılmış hesap, yönetici rolü | Kullanıcıyı pasifleştir, rolünü başkasına ver | Uygulama sahibi |
| Sosyal medya ve reklam hesapları | Tek yöneticinin ayrılan kişi olması | Yöneticiliği devret, kişiyi çıkar | Pazarlama |
| Alan adı, hosting, banka ve resmî portallar | Parola ya da yetki belgesinin kişide kalması | Parolayı değiştir, yetkiyi geri al | Yönetim / muhasebe |
| Kartlı geçiş ve PDKS | İade edilmeyen kart, kapılarda geçerli yetki | Kartı iptal et, kişiyi pasifleştir | İK / idari işler |
| Cihazlar ve ortak parolalar | Dizüstü, telefon, Wi-Fi ve ortak hesap parolaları | Cihazı teslim al, ortak parolaları değiştir | BT |
Envanterdeki en tehlikeli satır çoğu zaman "ortak parola" satırıdır. Bir parolayı beş kişi biliyorsa, biri ayrıldığında beşinin de parolası değişmelidir; bu yüzden kurumsal parola güvenliği rehberinde anlattığımız gibi erişimi parolaya değil kişiye bağlamak gerekir.
İşten ayrılan çalışanın hesapları hangi sırayla kapatılmalı?
Sıra önemlidir: içerik devredilmeden hesap silinirse yazışmalar kaybolur, erişim kapatılmadan devir beklenirse hesap günlerce açık kalır. Aşağıdaki adımlar, ayrılış haberinden son iş gününden sonraki haftaya kadar uygulanabilir bir akış sunar.
- Ayrılış haberini BT'ye aynı gün iletin. İK ile BT arasında yazılı bir bildirim adımı yoksa süreç ayrılış gününe sıkışır.
- Hesap envanterini çıkarın. Kişinin tüm hesaplarını, ortak kutularını, yönetici olduğu panelleri ve elindeki kartları listeleyin.
- Devir sorumlusunu belirleyin. Kutuyu, dosyaları ve açık işleri kimin devralacağı son günden önce yazılı olmalı.
- Son iş gününün bitiminde erişimi kapatın. Parolayı değiştirmek yetmez; açık oturumları da sonlandırın, iki adımlı doğrulama (MFA) cihazlarını hesaptan çıkarın. Telefon teslim edilmediyse kayıp telefondaki açık oturumlar yazısındaki adımları uygulayın.
- Yönlendirme kurallarını ve paylaşım bağlantılarını temizleyin. Kurum dışına yönlendirme ve herkese açık bağlantılar, hesap kapandıktan sonra da veri sızdırabilir.
- Ortak parolaları ve kartları güncelleyin. Kişinin bildiği ortak parolaları değiştirin, geçiş kartını iptal edin.
- İçeriği devredin, sonra hesabı arşivleyin. Yazışma ve dosyaları devralan kişiye aktarın; hesabı saklama politikanıza göre arşivleyin ya da silin.
- Kayda geçirin ve bir hafta sonra kontrol edin. Kimin neyi, ne zaman kapattığını yazın; bir hafta sonra giriş kayıtlarına bakarak açık kalan hesap olup olmadığını doğrulayın.
E-posta tarafının ayrıntıları için işten ayrılan çalışanın e-posta erişimi rehberine, belgelerin kimde kalacağı sorusu için çalışan ayrılınca şirket dosyaları yazısına bakın.
Ayrılışta KVKK ve saklama yükümlülükleri nasıl ele alınır?
Hesabı kapatmak, içindeki verileri silmek anlamına gelmez; tersine, bazı kayıtları saklamak zorundasınız. Türk Ticaret Kanunu'nun 82. maddesi ticari yazışmaların on yıl saklanmasını öngörür; ayrıntılı tablo şirket belgeleri saklama süreleri yazısında.
Öte yandan ayrılan çalışanın kişisel verileri, işleme amacı sona erdiğinde kişisel verileri saklama ve imha politikası uyarınca silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. KVKK açısından ayrılış, iki yükümlülüğü dengeleme işidir: ticari kayıtları koru, gereği kalmayan kişisel veriyi imha et. Emin olmadığınız saklama süreleri için hukuk danışmanınıza başvurun.
Dağınık sistemlerde ayrılış neden aksar?
Kurumların çoğunda e-posta, dosya deposu, geçiş sistemi ve iş yazılımları ayrı sağlayıcılardan gelir; her birinin ayrı kullanıcı listesi ve ayrı parolası vardır. Ayrılan kişi yedi sistemde tanımlıysa, yedi ayrı ekranda yedi ayrı işlem gerekir ve birinin unutulma olasılığı yüksektir.
Çözümün özü tek oturum açma (SSO) ve merkezi kimlik yönetimidir: kişi bir kez tanımlanır, tüm uygulamalara aynı kimlikle girer ve bu kimlik kapandığında erişim her yerde kapanır. Bu yaklaşım sıfır güven ilkesinin de günlük karşılığıdır: erişim kalıcı değildir, her zaman doğrulanır.
Smart360 ile bu iş nasıl kolaylaşır?
Smart360, SmartMail, SmartFiles, SmartOperator ve SmartPass'i tek panelden yönetilen tek bir ekosistemde birleştiren kurumsal uygulama ailesidir. Çalışanlar tüm ürünlere tek kimlikle (SmartID) girer; kurumdan ayrılan kişinin erişimini yönetici, kaç ürün kullandığından bağımsız olarak tek yerden kapatır.
Somut bir senaryo düşünelim: bir lojistik firmasında muhasebe çalışanı ayrılıyor. Kişi muhasebe@ ortak kutusunu SmartMail'de, tedarikçi sözleşmelerini SmartFiles'ta kullanıyor, ofis kapısından SmartPass kartıyla geçiyor. Yönetici Smart360 kurum panelinde kişinin erişimini kapattığında şunlar olur:
- Departman erişimi kendiliğinden düşer. Departmandan çıkan kişinin o departman üzerinden aldığı erişim tüm ürünlerde kalkar; açık ekranlarından ilgili kutu ve alanlar anında çekilir.
- Oturumlar uzaktan kapanır. Açık oturumlar cihaz bilgisiyle listelenir; tek bir cihazdaki ya da diğer tüm cihazlardaki oturumlar uzaktan kapatılır, parola değiştiğinde tüm cihazlardaki oturumlar kapanır.
- Ortak kutu parolası değişmez. Posta kutusu parolalarını sistem üretir ve çalışanlara dağıtmaz; erişim bir parola değil izindir. Kalan ekibin hiçbir şeyi yeniden öğrenmesi gerekmez.
- Zamanlanmış mailler kurum adına çıkmaz. SmartMail'de zamanlanmış mail gönderim anında yeniden denetlenir; ayrılanın kurduğu mailler gitmez.
- Kart kapılarda geçmez. SmartPass'te kişi pasifleştirilir ya da kart iptal edilir; değişiklik sunucuda anında geçerli olur, kapılardaki yetki listesi birkaç saniye içinde güncellenir.
- Dosyalar kurumda kalır. SmartFiles'ta dosyalar departman depo alanlarında durur, üzerine yazma yoktur ve sürüm geçmişi korunur; belgeler kişinin bilgisayarına bağlı değildir.
KVKK tarafında da kurum panelinde "bir çalışanın kişisel verilerini silmek" adımı belgelenmiştir; Smart360'ta silinen kişinin SmartPass'teki adı ve kişisel bilgileri silinir, kartı iptal edilir, sayısal raporlar korunur. Ürün ailesinin tamamını Smart360 sayfasında inceleyebilirsiniz.
Digital Bridge nasıl yardımcı olur?
Ayrılış sürecini güvenli kılmak yalnızca yazılım işi değildir; envanter, sorumlu atama ve kayıt düzeni gerekir. Digital Bridge, siber güvenlik danışmanlığı kapsamında mevcut hesaplarınızı çıkarır, ortak parolaları ve açık yetkileri tespit eder, işe giriş ve ayrılış akışını yazılı hâle getirir.
Saklama ve imha süreleri, çalışan verileri ve aydınlatma yükümlülükleri için KVKK uyum danışmanlığı sunuyoruz. Smart360 kurulumunda kullanıcıların, departmanların, ortak kutuların ve depo alanlarının ilk yapılandırması Smart360 ekibinin rehberliğinde yapılır; mevcut dosyalar klasör yapısı korunarak aktarılır. Genel bir başlangıç için KOBİ siber güvenlik kontrol listesi de iyi bir çerçeve sunar.
Sonraki adım ne olmalı?
Bu haftanın işi, son bir yılda ayrılan çalışanların listesini alıp yukarıdaki tabloyla karşılaştırmaktır; açık kalan her hesap, önceliğinizi gösterir. Ardından işe giriş formunuza hesap envanteri satırını ekleyin.
Erişimi tek yerden açıp kapatmak istiyorsanız Smart360 ürün ailesini satın alma sayfasından paket seçip hemen başlayabilir, ürünleri önce Smart360 sayfasında karşılaştırabilirsiniz. Kendi ortamınızı birlikte değerlendirmek için iletişim sayfamızdan bize ulaşın; konuyla ilgili tüm yazılar Siber Güvenlik ve KVKK başlığında bir arada.