Çalışan Çıkış Güvenlik Kontrol Listesi

Bir çalışan ayrıldığında kuruluşta en yüksek riskli pencere açılır. Araştırmalar veri ihlallerinin yüzde 20'sinden fazlasında içeriden birinin rolü olduğunu gösteriyor ve bu vakaların önemli bir kısmı, son gününde kapatılması gereken erişimi hâlâ elinde tutan eski çalışanlarla ilgili.

Bu kontrol listesi, insan kaynakları ile BT arasındaki boşluğu kapatmak için hazırlandı. Amaç çalışanı suçlu ilan etmek değil; ayrılık sürecini ölçülebilir, denetlenebilir ve tekrarlanabilir hâle getirmek.

Ayrılık günü neden en riskli an?

Üç neden var. Birincisi, erişim kapatma işlemleri çoğu kuruluşta elle yürütülüyor ve tek bir atlanan hesap aylarca açık kalıyor. İkincisi, ayrılık dönemi duygusal olarak gergin; gönüllü ayrılan da, çıkarılan da veri taşımaya daha yatkın olabiliyor. Üçüncüsü, erişim kapatma genellikle tek bir birimin sorumluluğuna bırakılıyor ve sahiplik belirsiz kalıyor.

Somut örnekler gerçek: yetkisi kaldırılmayan bir BT yöneticisi, ayrılışından üç ay sonra müşteri verilerine erişti. Bir satış temsilcisi istifa etmeden bir gün önce CRM veritabanının tamamını indirdi. SSH anahtarlarını saklayan bir geliştirici, işten çıkarılmasından iki hafta sonra üretim veritabanını sildi.

Bu vakaların hiçbiri sofistike bir dış saldırı gerektirmedi. Hepsi önlenebilir bir erişim kontrolü hatasıydı.

Sıfırıncı gün: bildirim anında yapılacaklar

Bu adımlar, çıkış kararı kesinleştiği anda tamamlanmalı. İstifa durumunda bildirimle eşzamanlı, çıkarılma durumunda ise çalışana haber verilmeden önce.

Kimlik ve erişim

SSO hesabını devre dışı bırakın. Okta, Entra ID, Google Workspace veya JumpCloud üzerindeki hesabı askıya alın. Doğru yapılandırılmış bir SSO ortamında bu tek adım, bağlı uygulamaların çoğuna dakikalar içinde yansır.
Dizin parolasını sıfırlayın ve oturumları sonlandırın. Parola değişikliği tek başına açık oturumları kapatmaz; bulut konsollarında oturum belirteçleri ayrıca iptal edilmelidir.
MFA kayıtlarını kaldırın. TOTP kaydı ve varsa donanım anahtarları (FIDO2, YubiKey) envanterden düşülmeli.
VPN erişimini kesin. Kullanıcı grubundan çıkarın veya sertifikayı iptal edin.

E-posta ve iletişim

Gönderimi kapatın, kutuyu koruyun. Hesabı tamamen silmek yerine gönderim yetkisini kaldırıp kutuyu saklamak, hem iş sürekliliği hem delil açısından doğru sıra.
Yönlendirme kurallarını kontrol edin. Ayrılık öncesi kurulmuş bir otomatik yönlendirme, veri sızdırmanın en sessiz yollarından biri. Yönetim konsolunda gelen kutusu kurallarını tek tek inceleyin.
Takvim ve paylaşılan kutu izinlerini kaldırın. Dağıtım listeleri, paylaşılan posta kutuları ve takvim yetkileri ayrı ayrı düşülmeli.
Otomatik yanıt ayarlayın. Gelen kişileri yerine bakacak kişiye veya ekip kutusuna yönlendirin.

İş birliği araçları

Slack ve Teams hesaplarını devre dışı bırakın. Mesaj geçmişini saklama politikanıza uygun biçimde koruyun.
Doküman platformlarında sahiplik devri yapın. Notion, Confluence ve SharePoint'te kendi adına oluşturduğu sayfaların sahipliğini yöneticisine aktarın.
Proje araçlarında açık işleri yeniden atayın. Jira, Asana veya Monday hesaplarını kapatırken devam eden görevleri devretmek, erişim boşluğuyla birlikte operasyonel boşluk da yaratmamak için gerekli.

İlk üç gün: donanım ve fiziksel erişim

Dizüstü ve masaüstü. Cihazı son günden önce veya son gün teslim alın. Teslim gecikirse MDM üzerinden uzaktan kilitleme komutu gönderin.
Mobil cihazlar. Kuruma aitse teslim alınmalı. Kişisel cihaz (BYOD) MDM'e kayıtlıysa yalnızca kurumsal veriyi silen seçmeli temizleme uygulayın; kişisel içerik korunur.
Donanım anahtarları ve çevre birimleri. FIDO2 anahtarları, harici diskler, test cihazları ve role özel dongle'lar envanterle karşılaştırılarak toplanmalı.
Bina kartı. Kart seri numarası bina geçiş sisteminden silinmeli; kapı kartı iade edilse bile kayıt kaldırılmadan erişim kapanmaz.
Paylaşılan kodlar. Sunucu odası PIN'i veya alarm kodu gibi bilgileri biliyorduysa, kötü niyet şüphesi olmasa da bu kodlar döndürülmeli.
Anahtarlar. Fiziksel anahtar iade edilmiyorsa kilit değişimi planlanmalı.

Gölge BT denetimi: en çok atlanan adım

Kuruluşların çoğunun takıldığı yer burası. SSO'ya bağlı olmayan, dolayısıyla sıfırıncı gün adımlarından etkilenmeyen araçlarda eski çalışanın erişimi aylarca açık kalabiliyor.

Geliştirici ve teknik erişim

Kod depoları. GitHub, GitLab veya Bitbucket organizasyonundan çıkarın; kişisel erişim belirteçlerini (PAT) iptal edin ve oluşturduğu servis hesabı kimlik bilgilerini döndürün.
Bulut IAM. AWS, Azure ve GCP'de IAM kullanıcısını silin, erişim anahtarlarını devre dışı bırakın ve oluşturduğu servis rollerini gözden geçirin.
SSH anahtarları. Sunucularda yetkili anahtar dosyasından açık anahtarını kaldırın; sistem yöneticisi ve DevOps çıkışlarında bu adım kritik.
CI/CD platformları. Jenkins, CircleCI veya GitHub Actions üzerindeki kullanıcı erişimini kaldırın; görünürlüğü olan sırları ve API anahtarlarını döndürün.
Veritabanı erişimi. Yalnızca uygulama katmanını değil, doğrudan veritabanı kimlik bilgilerini de iptal edin.
DNS ve alan adı yönetimi. Kayıt şirketi ve DNS panelindeki kullanıcı erişimini kaldırın.

Paylaşılan hesaplar

Kurumsal sosyal medya. Yayın yetkisi olan tüm platformlarda parola döndürülmeli ve iki faktörlü doğrulama yeniden kurulmalı.
Paylaşılan kutular. Destek, satış ve bilgi adreslerinin parolaları değiştirilmeli; erişimin yalnızca mevcut çalışanlarda olduğu doğrulanmalı.
Parola kasaları. 1Password, Bitwarden veya LastPass ekip kasalarından çıkarılmalı ve paylaşılan kayıtlar gözden geçirilmeli.

Üçüncü taraf SaaS

Bağımsız hesaplar. Çalışanın kurumsal e-postasıyla ama SSO dışında açtığı araçlar (tasarım, ekran kaydı, otomasyon) tek tek listelenmeli.
Veri sahipliği. Drive, OneDrive veya Box'taki dosyalar silmeden önce yöneticiye aktarılmalı; hesabı önce silmek içeriği kalıcı olarak kaybettirebilir.
CRM erişimi. Salesforce veya HubSpot yetkisini kaldırın ve denetim kayıtlarında son dönemde yapılan toplu veri dışa aktarımlarını inceleyin.

Hukuki ve uyum adımları

Çıkış görüşmesi kaydı. İnsan kaynakları, gizlilik ve fikri mülkiyet yükümlülüklerinin hatırlatıldığını yazılı olarak belgelemeli.
Veri iade beyanı. Çalışandan kişisel cihaz ve bulut hesaplarındaki kurumsal veriyi sildiğine veya iade ettiğine dair imzalı beyan alın. Bu beyan teknik bir kontrol değil, sonraki uyuşmazlıklarda hukuki dayanak.
Delil koruma. Veri hırsızlığı şüphesi varsa cihaz silinmeden önce adli imaj alınmalı; aksi hâlde sonraki hukuki süreçte dayanak kalmaz.
Kayıt saklama. Hesap silinmeden önce en az 90 günlük erişim kaydı dışa aktarılmalı. KVKK ve GDPR kapsamındaki yükümlülükler, erişim kayıtlarının ne kadar süre tutulacağını da belirliyor.

30 günlük izleme dönemi

Erişimin kapatılması sürecin sonu değil, izleme döneminin başlangıcı.

Kimlik tabanlı alarm. SIEM'de eski çalışanın kullanıcı adı, e-postası veya SSO kimliğiyle yapılan her kimlik doğrulama denemesi alarm üretmeli.
Paylaşılan kimlik bilgisi kullanımı. Döndürülmemiş paylaşılan parolalar varsa beklenmeyen IP veya alışılmadık saatlerdeki erişimler izlenmeli.
Veri çıkışı kuralları. Sızdırma şüphesi varsa DLP kuralları eski çalışanın adı, birimi veya proje adları üzerinden dışa giden veriyi işaretlemeli.
Tedarikçi bildirimi. Çalışan bir tedarikçinin ana iletişim kişisiydiyse, ilgili tedarikçiden de kimlik bilgilerini iptal etmesi istenmeli.
Liste güncellemesi. Nöbet listesi, acil durum iletişim listesi ve tedarikçi destek portallarındaki kayıtlar temizlenmeli.

Bu izleme, tehdit avcılığı disiplininin bir parçası. Tehdit avcılığı rehberi ve TTP kavramı yazılarımız, hangi sinyallerin gerçekten anlamlı olduğunu ayırmak için iyi bir çerçeve sunuyor.

Yanlış yapmanın maliyeti

Yetkisi kaldırılmayan bir geliştirici üretim veritabanını sildi; kesinti ve adli kurtarma maliyeti 400 bin doları aştı.
Ayrılmadan önce CRM veritabanını indiren bir satış temsilcisi müşteri listesini doğrudan rakibe taşıdı; yıllar süren ticari sır davası açıldı.
Ayrılışından altı ay sonra yönetici kimlik bilgileriyle ağa erişen bir BT yöneticisi vakası, GDPR kapsamında bildirime tabi ihlal ve 180 bin avro ceza ile sonuçlandı.

Üç vakada da dışarıdan sofistike bir saldırı yok. Hepsi tek bir eksik kontrolün sonucu.

Otomasyon: manuel liste ne zaman yetersiz kalır

50'den fazla çalışanı olan ve sık personel değişimi yaşayan kuruluşlarda elle yürütülen kontrol listeleri hata yapmaya açık. Üç yapı çözüm sağlıyor:

Kimlik yönetişimi platformları. SailPoint, Saviynt veya Microsoft Identity Governance, İK sistemindeki durum değişikliğiyle tetiklenen otomatik erişim kaldırma akışları kurar.
İK sistemi entegrasyonu. Workday veya BambooHR gibi sistemlerdeki çıkış olayı, doğrudan IAM devre dışı bırakma iş akışını başlatmalı.
Üç aylık erişim gözden geçirmesi. Çıkış süreçlerinden bağımsız olarak tüm ayrıcalıklı hesaplar ve üçüncü taraf erişimleri periyodik olarak gözden geçirilmeli; böylece geçmişte yarım kalmış çıkışların bıraktığı hesaplar yakalanır.

Erişim envanterinizi çıkarmak veya otomatik bir çıkış akışı kurmak istiyorsanız Cyberlord ile iletişime geçin. Kullanıcı erişim gözden geçirmesi çalışmalarımız, atıl ve sahipsiz hesapları iç tehdit vektörüne dönüşmeden önce tespit etmeyi amaçlıyor.

Sonuç

Çıkış süreci bir İK işlemi gibi görünse de aslında bir erişim kontrolü testi. Sıfırıncı gün kapatılan hesaplar, üçüncü gün toplanan donanım, gölge BT denetimi ve 30 günlük izleme; dördü birlikte çalıştığında risk büyük ölçüde düşüyor.

En sık atlanan iki adımı unutmayın: SSO dışında kalan hesaplar ve ayrılık öncesi kurulmuş e-posta yönlendirme kuralları. Kurumsal hafızada en çok zarar veren vakalar, sofistike saldırılardan değil bu iki maddenin atlanmasından doğdu. Çıkış bilgisinin sosyal mühendislikle birleşmesi ise ikinci bir saldırının başlangıcı olabiliyor; bu bağlantıyı sosyal mühendislik saldırıları yazımızda ele aldık.

Sık sorulan sorular

Ayrılan çalışandan sonra en sık görülen iç tehdit nedir? Adli inceleme verilerine göre ilk sırada SSO kapsamı dışında kalan bulut ve SaaS kimlik bilgilerinin kullanımı var. İkinci sırada ayrılık öncesi kişisel e-posta veya bulut depolamaya yapılan veri aktarımı, üçüncü sırada döndürülmemiş paylaşılan parolalar geliyor.

Erişim denemeleri ne kadar süre izlenmeli? En az 90 gün. Yüksek riskli çıkışlarda (istihdam sonlandırması, geniş veri erişimi olan çalışanlar, doğrudan rakip firmaya geçiş) 6-12 aylık izleme daha uygun.

Eski çalışanın hâlâ erişimi olduğunu fark edersem ne yapmalıyım? Erişimi hemen kapatın, yetkisiz erişim dönemine ait kayıtları koruyun, veri erişilip erişilmediğini değerlendirin ve eski çalışanla iletişime geçmeden önce hukuk birimine danışın. Yetkisiz erişim tespit edilirse bu, KVKK veya GDPR kapsamında bildirime tabi bir ihlal olabilir.

Çalışan çıkış güvenlik kontrol listesi: 2026 rehberi