# İşten Ayrılan Çalışanın Hesapları Nasıl Kapatılır? E-posta, Dosya, Uygulama ve Kart İçin Tek Liste

> İşten ayrılan çalışanın e-posta, dosya, yazılım, sosyal medya ve kartlı geçiş hesaplarını eksiksiz kapatmak için envanter, sıralama ve KVKK kontrol listesi.

Kaynak: https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-tum-hesaplar.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-23 · Güncelleme: 2026-10-23

İşten ayrılan çalışanın hesaplarını kapatmak, kişinin kurum adına kullandığı her kimliği (e-posta, dosya deposu, iş yazılımları, yönetici panelleri, sosyal medya, kartlı geçiş) son iş gününde devre dışı bırakmak, içerikleri bir sorumluya devretmek ve bunu kayda geçirmektir. İşin zor tarafı kapatmak değil, hesapların tamamını bilmektir; bu yüzden ayrılış, işe girişte tutulan bir hesap envanteriyle başlar.

## Kısaca

- Ayrılış sürecinin temeli, her çalışan için işe girişte tutulan güncel bir hesap ve yetki envanteridir.
- Önce oturum ve erişim kapanır, sonra içerik devredilir, en son hesap silinir ya da arşivlenir; sıra değişirse veri ya da güvenlik kaybedilir.
- Ortak parolalar, kişisel e-postayla açılmış yazılım hesapları ve unutulan geçiş kartları en sık atlanan kalemlerdir.
- KVKK açısından ayrılan çalışanın kişisel verileri, saklama ve imha politikanızdaki sürelere göre ele alınır; hesabı kapatmak tek başına silme anlamına gelmez.
- Tek kimlikle (SSO) çalışan bir platformda erişim tek yerden kapanır; dağınık sistemlerde her biri ayrı ayrı kapatılmalıdır.

## Ayrılan çalışanın açık kalan hesapları neden risk?

Açık kalan bir hesap, çoğu zaman kötü niyetten değil unutkanlıktan doğar. Telefonda açık kalan e-posta uygulaması, kişisel adresle açılmış bir kargo paneli, şirketin sosyal medya hesabında yönetici olarak duran eski bir pazarlamacı ya da iade edilmemiş bir geçiş kartı; her biri kapının aralık kalması demektir. Eski çalışan bu erişimi hiç kullanmasa bile, parolası sızdığında hesabı kullanan artık o değil bir saldırgandır.

Rakamlar bu riskin küçük olmadığını gösteriyor. [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verilerinde çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem oldu. Kapatılmamış bir hesap, tam da bu kimlik bilgilerinin işe yaradığı yerdir.

[Sophos'un 17 ülkede 5.000 BT ve güvenlik yöneticisiyle yaptığı State of Identity Security 2026 araştırmasına](https://www.sophos.com/en-us/press/press-releases/2026/05/71-percent-organizations-suffered-identity-breach-state-of-identity-security-2026) göre kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadı; olağan dışı giriş denemelerini sürekli izleyen kurumların oranı ise yalnızca %24'te kaldı. Yani unutulan bir hesaba yapılan giriş, çoğu kurumda kimsenin dikkatini çekmeden gerçekleşir.

Maliyet yalnızca güvenlik tarafında da değildir. Hesapla birlikte giden yazışmalar, müşteri dosyaları ve tedarikçi kayıtları iş sürekliliğini bozar; kişisel veriler içeren bir kutunun kontrolsüz kalması ise [KVKK kapsamında çalışan kişisel verileri](https://digitalbridge.com.tr/blog/kvkk-calisan-kisisel-verileri.html) yükümlülüklerini doğrudan ilgilendirir.

## Hangi hesaplar envantere girmeli?

Kapatılacak hesapları ayrılış günü hatırlamaya çalışmak yerine, işe girişte açılan her hesabı bir listeye yazın. Aşağıdaki tablo, çoğu KOBİ'de karşılaşılan hesap türlerini, tipik riskini ve ayrılışta yapılacak işi özetler.

| Hesap türü | Tipik risk | Ayrılışta yapılacak iş | Sorumlu |
|---|---|---|---|
| Kurumsal e-posta ve ortak kutular | Açık mobil oturum, dışarıya yönlendirme kuralı, paylaşılan kutu parolası | Oturumları kapat, kuralları sil, kutuyu devret | BT / yönetici |
| Dosya deposu ve paylaşım bağlantıları | Kişisel buluta kopyalanmış belgeler, herkese açık bağlantılar | Yetkiyi kaldır, dosyaların sahipliğini devret | BT / departman yöneticisi |
| İş yazılımları (muhasebe, CRM, ERP, e-ticaret paneli) | Kişisel e-postayla açılmış hesap, yönetici rolü | Kullanıcıyı pasifleştir, rolünü başkasına ver | Uygulama sahibi |
| Sosyal medya ve reklam hesapları | Tek yöneticinin ayrılan kişi olması | Yöneticiliği devret, kişiyi çıkar | Pazarlama |
| Alan adı, hosting, banka ve resmî portallar | Parola ya da yetki belgesinin kişide kalması | Parolayı değiştir, yetkiyi geri al | Yönetim / muhasebe |
| Kartlı geçiş ve PDKS | İade edilmeyen kart, kapılarda geçerli yetki | Kartı iptal et, kişiyi pasifleştir | İK / idari işler |
| Cihazlar ve ortak parolalar | Dizüstü, telefon, Wi-Fi ve ortak hesap parolaları | Cihazı teslim al, ortak parolaları değiştir | BT |

Envanterdeki en tehlikeli satır çoğu zaman "ortak parola" satırıdır. Bir parolayı beş kişi biliyorsa, biri ayrıldığında beşinin de parolası değişmelidir; bu yüzden [kurumsal parola güvenliği](https://digitalbridge.com.tr/blog/kurumsal-parola-guvenligi.html) rehberinde anlattığımız gibi erişimi parolaya değil kişiye bağlamak gerekir.

## İşten ayrılan çalışanın hesapları hangi sırayla kapatılmalı?

Sıra önemlidir: içerik devredilmeden hesap silinirse yazışmalar kaybolur, erişim kapatılmadan devir beklenirse hesap günlerce açık kalır. Aşağıdaki adımlar, ayrılış haberinden son iş gününden sonraki haftaya kadar uygulanabilir bir akış sunar.

1. **Ayrılış haberini BT'ye aynı gün iletin.** İK ile BT arasında yazılı bir bildirim adımı yoksa süreç ayrılış gününe sıkışır.
2. **Hesap envanterini çıkarın.** Kişinin tüm hesaplarını, ortak kutularını, yönetici olduğu panelleri ve elindeki kartları listeleyin.
3. **Devir sorumlusunu belirleyin.** Kutuyu, dosyaları ve açık işleri kimin devralacağı son günden önce yazılı olmalı.
4. **Son iş gününün bitiminde erişimi kapatın.** Parolayı değiştirmek yetmez; açık oturumları da sonlandırın, [iki adımlı doğrulama (MFA)](https://digitalbridge.com.tr/blog/iki-adimli-dogrulama-mfa.html) cihazlarını hesaptan çıkarın. Telefon teslim edilmediyse [kayıp telefondaki açık oturumlar](https://digitalbridge.com.tr/blog/calinan-telefonda-acik-oturumlar.html) yazısındaki adımları uygulayın.
5. **Yönlendirme kurallarını ve paylaşım bağlantılarını temizleyin.** Kurum dışına yönlendirme ve herkese açık bağlantılar, hesap kapandıktan sonra da veri sızdırabilir.
6. **Ortak parolaları ve kartları güncelleyin.** Kişinin bildiği ortak parolaları değiştirin, geçiş kartını iptal edin.
7. **İçeriği devredin, sonra hesabı arşivleyin.** Yazışma ve dosyaları devralan kişiye aktarın; hesabı saklama politikanıza göre arşivleyin ya da silin.
8. **Kayda geçirin ve bir hafta sonra kontrol edin.** Kimin neyi, ne zaman kapattığını yazın; bir hafta sonra giriş kayıtlarına bakarak açık kalan hesap olup olmadığını doğrulayın.

E-posta tarafının ayrıntıları için [işten ayrılan çalışanın e-posta erişimi](https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-e-posta-erisimi.html) rehberine, belgelerin kimde kalacağı sorusu için [çalışan ayrılınca şirket dosyaları](https://digitalbridge.com.tr/blog/calisan-ayrilinca-sirket-dosyalari.html) yazısına bakın.

## Ayrılışta KVKK ve saklama yükümlülükleri nasıl ele alınır?

Hesabı kapatmak, içindeki verileri silmek anlamına gelmez; tersine, bazı kayıtları saklamak zorundasınız. Türk Ticaret Kanunu'nun 82. maddesi ticari yazışmaların on yıl saklanmasını öngörür; ayrıntılı tablo [şirket belgeleri saklama süreleri](https://digitalbridge.com.tr/blog/sirket-belgeleri-saklama-sureleri.html) yazısında.

Öte yandan ayrılan çalışanın kişisel verileri, işleme amacı sona erdiğinde [kişisel verileri saklama ve imha politikası](https://digitalbridge.com.tr/blog/saklama-imha-politikasi.html) uyarınca silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. [KVKK](https://digitalbridge.com.tr/sozluk.html#kvkk) açısından ayrılış, iki yükümlülüğü dengeleme işidir: ticari kayıtları koru, gereği kalmayan kişisel veriyi imha et. Emin olmadığınız saklama süreleri için hukuk danışmanınıza başvurun.

## Dağınık sistemlerde ayrılış neden aksar?

Kurumların çoğunda e-posta, dosya deposu, geçiş sistemi ve iş yazılımları ayrı sağlayıcılardan gelir; her birinin ayrı kullanıcı listesi ve ayrı parolası vardır. Ayrılan kişi yedi sistemde tanımlıysa, yedi ayrı ekranda yedi ayrı işlem gerekir ve birinin unutulma olasılığı yüksektir.

Çözümün özü [tek oturum açma (SSO)](https://digitalbridge.com.tr/blog/tek-oturum-sso-nedir.html) ve merkezi kimlik yönetimidir: kişi bir kez tanımlanır, tüm uygulamalara aynı kimlikle girer ve bu kimlik kapandığında erişim her yerde kapanır. Bu yaklaşım [sıfır güven](https://digitalbridge.com.tr/sozluk.html#zero-trust) ilkesinin de günlük karşılığıdır: erişim kalıcı değildir, her zaman doğrulanır.

## Smart360 ile bu iş nasıl kolaylaşır?

Smart360, SmartMail, SmartFiles, SmartOperator ve SmartPass'i tek panelden yönetilen tek bir ekosistemde birleştiren kurumsal uygulama ailesidir. Çalışanlar tüm ürünlere tek kimlikle (SmartID) girer; kurumdan ayrılan kişinin erişimini yönetici, kaç ürün kullandığından bağımsız olarak tek yerden kapatır.

Somut bir senaryo düşünelim: bir lojistik firmasında muhasebe çalışanı ayrılıyor. Kişi `muhasebe@` ortak kutusunu SmartMail'de, tedarikçi sözleşmelerini SmartFiles'ta kullanıyor, ofis kapısından SmartPass kartıyla geçiyor. Yönetici [Smart360 kurum panelinde](https://digitalbridge.com.tr/smart360.html) kişinin erişimini kapattığında şunlar olur:

- **Departman erişimi kendiliğinden düşer.** Departmandan çıkan kişinin o departman üzerinden aldığı erişim tüm ürünlerde kalkar; açık ekranlarından ilgili kutu ve alanlar anında çekilir.
- **Oturumlar uzaktan kapanır.** Açık oturumlar cihaz bilgisiyle listelenir; tek bir cihazdaki ya da diğer tüm cihazlardaki oturumlar uzaktan kapatılır, parola değiştiğinde tüm cihazlardaki oturumlar kapanır.
- **Ortak kutu parolası değişmez.** Posta kutusu parolalarını sistem üretir ve çalışanlara dağıtmaz; erişim bir parola değil izindir. Kalan ekibin hiçbir şeyi yeniden öğrenmesi gerekmez.
- **Zamanlanmış mailler kurum adına çıkmaz.** SmartMail'de zamanlanmış mail gönderim anında yeniden denetlenir; ayrılanın kurduğu mailler gitmez.
- **Kart kapılarda geçmez.** SmartPass'te kişi pasifleştirilir ya da kart iptal edilir; değişiklik sunucuda anında geçerli olur, kapılardaki yetki listesi birkaç saniye içinde güncellenir.
- **Dosyalar kurumda kalır.** SmartFiles'ta dosyalar departman depo alanlarında durur, üzerine yazma yoktur ve sürüm geçmişi korunur; belgeler kişinin bilgisayarına bağlı değildir.

KVKK tarafında da kurum panelinde "bir çalışanın kişisel verilerini silmek" adımı belgelenmiştir; Smart360'ta silinen kişinin SmartPass'teki adı ve kişisel bilgileri silinir, kartı iptal edilir, sayısal raporlar korunur. Ürün ailesinin tamamını [Smart360 sayfasında](https://digitalbridge.com.tr/smart360.html) inceleyebilirsiniz.

## Digital Bridge nasıl yardımcı olur?

Ayrılış sürecini güvenli kılmak yalnızca yazılım işi değildir; envanter, sorumlu atama ve kayıt düzeni gerekir. Digital Bridge, [siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında mevcut hesaplarınızı çıkarır, ortak parolaları ve açık yetkileri tespit eder, işe giriş ve ayrılış akışını yazılı hâle getirir.

Saklama ve imha süreleri, çalışan verileri ve aydınlatma yükümlülükleri için [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) sunuyoruz. Smart360 kurulumunda kullanıcıların, departmanların, ortak kutuların ve depo alanlarının ilk yapılandırması Smart360 ekibinin rehberliğinde yapılır; mevcut dosyalar klasör yapısı korunarak aktarılır. Genel bir başlangıç için [KOBİ siber güvenlik kontrol listesi](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) de iyi bir çerçeve sunar.

## Sonraki adım ne olmalı?

Bu haftanın işi, son bir yılda ayrılan çalışanların listesini alıp yukarıdaki tabloyla karşılaştırmaktır; açık kalan her hesap, önceliğinizi gösterir. Ardından işe giriş formunuza hesap envanteri satırını ekleyin.

Erişimi tek yerden açıp kapatmak istiyorsanız [Smart360 ürün ailesini satın alma sayfasından](https://smart360.com.tr/satin-al) paket seçip hemen başlayabilir, ürünleri önce [Smart360 sayfasında](https://digitalbridge.com.tr/smart360.html) karşılaştırabilirsiniz. Kendi ortamınızı birlikte değerlendirmek için [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; konuyla ilgili tüm yazılar [Siber Güvenlik ve KVKK](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) başlığında bir arada.

## Sık Sorulan Sorular

### İşten ayrılan çalışanın hesabı ne zaman kapatılmalı?

En güvenli an, son iş gününün mesai bitimidir. Daha erken kapatmak devri zorlaştırır, daha geç kapatmak hesabı sahipsiz bırakır. Ani ayrılışlarda, örneğin fesih bildirimiyle birlikte, erişim bildirim anında kapatılmalıdır. Devralacak kişi ve içerik aktarımı mümkünse son günden önce planlanmalı, kapatma işlemi de tarih ve saatiyle kayda geçirilmelidir.

### Ayrılan çalışanın e-posta hesabı hemen silinmeli mi?

Hayır. Önce erişim kapatılır, ardından yazışmalar devralan kişiye ya da arşive aktarılır. Ticari yazışmalar için yasal saklama süreleri bulunduğundan kutuyu hemen silmek veri kaybına ve uyum sorununa yol açabilir. Gelen mailler için otomatik yanıt ya da devralan kişiye yönlendirme belirli bir süre açık tutulabilir; süre sonunda hesap politikaya göre arşivlenir.

### Ortak parolalar ayrılışta değiştirilmeli mi?

Evet. Ayrılan kişinin bildiği her ortak parola, Wi-Fi, ortak kutu, sosyal medya ya da banka kanalı olsun, değiştirilmelidir. Bu iş her ayrılışta tekrarlandığı için kalıcı çözüm, erişimi kişiye özel hesaplara ve izinlere bağlamaktır. Böylece bir kişinin ayrılması kalan ekibin parolalarını değiştirmesini gerektirmez.

### KVKK'ya göre ayrılan çalışanın verileri ne kadar saklanır?

Tek bir süre yoktur; her veri türü için ilgili kanundaki süre ve işleme amacı belirleyicidir. Bordro, SGK ve ticari kayıtlar gibi belgeler kendi mevzuatındaki süre boyunca saklanır, amacı sona eren kişisel veriler ise saklama ve imha politikanıza göre silinir, yok edilir ya da anonimleştirilir. Süreleri yazılı politikaya bağlamak ve gerektiğinde hukuki görüş almak gerekir.

### Smart360'ta ayrılan çalışanın erişimi nasıl kapatılır?

Yönetici, kurum panelinde kişinin erişimini tek yerden kapatır; bu işlem kişinin kaç Smart360 ürünü kullandığından bağımsızdır. Departman üzerinden verilen erişimler tüm ürünlerde kendiliğinden kalkar, açık oturumlar uzaktan sonlandırılabilir. Posta kutusu parolaları çalışanlara hiç dağıtılmadığı için ortak kutular için ekibin parolasını değiştirmesi gerekmez.

### Kartlı geçiş kartı iade edilmezse ne yapılmalı?

Kart fiziksel olarak geri alınamasa bile geçiş sisteminde iptal edilmeli ya da kişi pasifleştirilmelidir. Sistem kart numarasını tanımaya devam ettiği sürece kapılar açılabilir. Bulut tabanlı sistemlerde iptal sunucuda anında geçerli olur ve kapılara kısa sürede yansır. İptal işlemi, tarih ve saatiyle birlikte ayrılış kaydına eklenmelidir.