Yazılım kurulumu tamamlanır. Teknik destek işi kapanır. Ajansla çalışma sona erer.
Fakat hizmeti veren kişinin şirket sistemlerine erişimi devam edebilir.
Eski bir kullanıcı hesabı, açık bırakılmış uzaktan bağlantı yetkisi veya paylaşılan bir yönetici şifresi… İş tamamlandığında unutulan bu erişimler, şirketin kontrol alanında belirsizlik oluşturur.
Bir hizmetin tamamlanması, o hizmet için verilen erişimin de gözden geçirilmesini gerektirir.
Bu konu yalnızca bilgi işlem bölümünün sorumluluğuna bırakılamaz. Hizmeti talep eden, sağlayıcıyla çalışan ve işin tamamlandığını kabul eden yöneticilerin de kapanış sürecinde görevi vardır.
Şirket dışından kimler, hangi sistemlere erişebiliyor?
Muhasebe desteği, bordro hizmeti, ERP kurulumu, web sitesi yönetimi veya cihaz bakımı için dışarıdan erişim verilebilir.
Sorun, bu erişimlerin gerekçesi, kapsamı ve süresi belli olmadığında başlar.
Bir teknik personelin yalnızca belirli bir sorunu çözmesi gerekirken bütün sisteme yönetici olarak girmesi veya birkaç günlük iş için açılan hesabın aylarca kullanılabilir kalması buna örnektir.
Yönetimin şu soruya kayıt üzerinden cevap verebilmesi gerekir:
Bugün şirketimiz dışındaki hangi kişiler, hangi verilere ve işlemlere erişebiliyor?
Cevabı bulmak için telefon görüşmeleri yapmak ve kişilerin hafızasına başvurmak gerekiyorsa erişim envanteri yeterince görünür değildir.
Ortak şifre, sorumluluğun izini zayıflatır
Bir hesabı birden fazla kişi kullanıyorsa sistemdeki hareketi belirli bir kişiye bağlamak güçleşir.
Bu nedenle mümkün olan sistemlerde kişiye özel hesaplar kullanılmalı; yetki, yapılacak işle sınırlı tutulmalıdır. Erişimi onaylayan şirket içi sorumlu ve gözden geçirme tarihi de kayda alınmalıdır.
Acil müdahale için verilen geniş yetkilerin, iş tamamlandığında yeniden değerlendirilmesi özellikle önemlidir.
Kontrolün amacı hizmet sağlayıcının işini zorlaştırmak değildir. Hem şirketin hem de hizmeti doğru biçimde yerine getiren kişinin sorumluluk sınırlarını açık tutmaktır.
Hizmet kapanışına erişim kontrolünü ekleyin
İşin teslim alınması ve faturanın onaylanmasının yanında, dijital erişimler için de bir kapanış adımı bulunmalıdır:
- Hizmet sağlayıcıya açılan hesaplar belirlendi mi?
- Devam etmesi gereken erişimler yeniden onaylandı mı?
- Gereksiz yetkiler kaldırıldı mı?
- Paylaşılan şifreler ve bağlantı anahtarları gözden geçirildi mi?
- Şirkete ait dosyalar, yönetici hesapları ve kurtarma bilgileri teslim alındı mı?
Bir web sitesinin çalışıyor olması, yönetici hesabının şirketin kontrolünde olduğunu tek başına göstermez. Benzer şekilde yazılımın kullanılıyor olması da eski destek hesaplarının kapatıldığını kanıtlamaz.
Önce en kritik üç sistemden başlayın
Bu hafta şirket e-postası, muhasebe veya ERP sistemi ve web sitesi yönetimi gibi üç kritik alanı seçin.
Mevcut dış kullanıcıları listeleyin. Her erişimin karşısına iş gerekçesini, yetki düzeyini, şirket içi sorumlusunu ve son kontrol tarihini yazın.
Gerekçesi kalmayan erişimleri yetkili kişilerle birlikte kapatın. Devam edecek olanlar için sınırları ve bir sonraki kontrol tarihini belirleyin. Yapılan işlemi kayıtla doğrulayın.
Ardından bu incelemeyi hizmet başlangıcı, görev değişikliği ve sözleşme kapanışında tekrarlanan bir uygulamaya dönüştürün.
Şirketinize erişim, gerekçesi güncel ve sorumlusu belli bir yetki olarak yönetilmelidir.
Figen Beyazağaç Gül
Uzman Denetmen | İç Denetim ve Uyum Sistemleri
