Geçiş yetki seviyeleri ipuçları ve püf noktaları
Geçiş Yetki Seviyeleri İpuçları ve Püf Noktaları
Geçiş kontrol sistemini ilk kez kurduğumda, yetki seviyeleri konusunda pek çok hata yaptığımı itiraf etmeliyim. Herkesin aynı seviyede erişim hakkı vermek, sonradan başımı belaya soktunuz. Ardından öğrendim ki, doğru şekilde yapılandırılmış yetki seviyeleri sadece güvenliği değil, operasyonel verimliliği de arttırıyor. Bugün bana göre en etkili uygulamaları sizinle paylaşmak istiyorum.
1. Adım: Rollerinizi Tanımlayın
İlk ve en önemli adım, kurumunuzda kaç farklı rol olduğunu belirlemektir. Ben bunu görmezden gelip "çalışan", "yönetici" diye basit bir ayrım yaptığımda, sonradan ek roller ihtiyacı ortaya çıktı. Şimdi size önerdiğim yaklaşım şu:
- Temel çalışan: Sadece çalışma saatleri içinde genel alanlara erişim
- Departman sorumlusu: Kendi departmanındaki tüm alanlara, sınırlı yönetim yetkisi
- Güvenlik personeli: Tüm alanlara 24/7 erişim, sistem izleme yetkisi
- Sistem yöneticisi: Tüm sistem ayarlarına, kullanıcı yönetimine erişim
- Misafir/Ziyaretçi: Belirli alanlara, sınırlı sürelerle erişim
Her rolü tanımlarken kendi ortamınızı düşünün. Hastane ile üretim tesisi aynı değildir. Ben de bir ofis ortamında başladığım için, acil durumlar sırasında ne tür erişime ihtiyaç duyabileceğimi hesaplayamadım. Siz bunu planlamada benden daha akılı olun.
2. Adım: Alan Tabanlı Erişim Yapısı Kurun
Yetki seviyeleri sadece kişi değil, mekansal alanlara göre de ayarlanmalıdır. Yapı içindeki her kapıyı bölgelere gruplandırın:
- Giriş lobisi (herkes)
- Genel ofis alanları (çalışanlar)
- Muhasebe ve İK (yalnızca ilgili bölüm)
- Sunucu odası (sadece BT personeli)
- İcra kurulu odası (üst yönetim)
- Depo ve malzeme saklama (lojistik)
Bu yapıyı kurarken "ya da" mantığında düşünmeyin. Örneğin, muhasebe müdürü hem muhasebe hem de genel ofis alanlarına erişebilmelidir, ancak sunucu odasına erişimi olmasa da olur. Çok sık yaptığım hata, her yüksek seviyeli yetkililiye her yere erişim vermekti. Sonra denetim ve güvenlik sorularında başım dertte kalıyordu.
3. Adım: Zaman Tabanlı Kısıtlamaları Belirleyin
Erişim yetkileri statik olmamalıdır. Benim öğrendiğim en değerli bilgilerden biri bu oldu. Geçiş kontrol yazılımında zaman profili özelliğini kullanın:
- Hafta içi 07:00-18:00 (normal çalışanlar)
- Hafta sonu 09:00-14:00 (hafta sonu vardiyası)
- Gece vardiyası 22:00-06:00 (belirli personel)
- 7/24 erişim (güvenlik, acil durum ekibi)
Misafirler ve ziyaretçiler için geçici erişim süresi belirleyin. Ben birini bir gün misafir olarak ekleyip, aylar sonra unuttuğumu fark ettim. Sistem yöneticisinin periyodik olarak geçici erişimleri gözden geçirmesi sağlayın.
4. Adım: Eskalasyon Mekanizmasını Tasarlayın
Normal koşullarda çalışan bir sistem, acil durumlarda çökmemelidir. Yapılandırırken şunu düşündüm: Ödeme yapamaması gereken birine, yangın çıksa kapı açılsın mı? Elbette açılacak.
Acil durumlarda (yangın alarmı, güvenlik tehdidi) yetki seviyeleri otomatik olarak yükselmeli veya tamamen bypass edilmelidir. Bu tür senaryoları önceden yazılımda tanımlayın. Ayrıca, sistem arızasında manuel override mekanizmasını fiziksel güvenlikle birleştirin.
5. Adım: Denetim İzleri Tutun
Yetki seviyeleri kurup sonra kontrol etmemek, paramızı çöpe atılmışa benzer. Her kapıdan kim, ne zaman geçti, bunları loglamak zorundasınız. Kendi sistemimde ilk aylar çok detaylı loglar tutmadığım için, bir ürün kaybolduğunda ne yaptığını bulamamıştım.
Şu veriler mutlaka kaydedilsin:
- Kişi adı, kimliği
- Kapı/alan bilgisi
- Tarih ve saat
- Başarılı/başarısız giriş denemesi
- Yetki seviyesi değişiklikleri
Sık Yapılan Hatalar
Aşırı açık yetkilendirme: Her yeni çalışana maksimum yetkiler veren şirketleri gördüm. İşe başlama hızlı olur ama güvenlik çok zaafa uğrar. Her rol için minimum gerekli yetkiyi verin.
Eski kullanıcıları silmemek: Benim başıma geldi. Aylar önce ayrılan birinin kartı hâlâ sistem içinde aktif durumda idi. İşten ayrılan veya rol değiştiren kişilerin yetkileri mutlaka güncellenmeli.
Zaman profillerini yönetmemek: Geçiş kontrol yazılımında zaman profili özelliği vardır ancak çoğu kişi bunu kullanmaz. Sonuç: gece yarısında normal çalışanın ofis alanlarına erişim denemesi gibi anormal davranışlar fark edilmez.
Yedek yöneticiyi düşünmemek: Sistem yöneticisine bir şey olursa ne olacak? Başka bir kişiye de aynı yetkiler verin veya acil durumlarda erişim şifresi saklayın.
Özet
Geçiş yetki seviyeleri kurulurken işletmenizin yapısını, risklerini ve acil durum senaryolarını göz önüne alın. Rolleri net tanımlayıp, alanlara göre gruplandırın. Zaman kısıtlamaları belirleyin ve logları tutun. En önemlisi, sistemi kurbanız ve sonra unumazsınız. Periyodik olarak kontrol edin, güncelleme yapın. Yetki seviyeleri ne kadar iyi yapılandırılırsa, geçiş kontrol sisteminiz o kadar güvenli ve etkili çalışacaktır.