Çalışanın Bilgisayarında Yönetici Yetkisi Olmalı mı? Yetkiyi Kaldırma Planı

Bir şirketin bilgisayarlarına ilk baktığımızda, 20 kişilik ofislerde bile çoğu zaman herkesin kendi makinesinde yerel yönetici olduğunu görüyoruz. Kimse bunu bilerek seçmemiş. Kurulumu yapan kişi işi hızlandırmak için kullanıcıyı Administrators grubuna eklemiş, sonra da unutulmuş.

Bu küçük kolaylığın bedeli, bir çalışan yanlış eki açtığında ortaya çıkıyor. Zararlı yazılım, açan kullanıcının yetkisiyle çalışır. Kullanıcı yöneticiyse yazılım güvenlik ayarlarını kapatabilir, servis kurabilir, yedekleme gölge kopyalarını silebilir. Standart kullanıcıysa bunların çoğunda duvara çarpar.

Yönetici yetkisi neden bu kadar önemli?

BeyondTrust’ın her yıl yayımladığı Microsoft Açıkları Raporu’nun 2025 sürümü, yerel yönetici haklarını kaldırmanın ve uygulama çalıştırmayı denetlemenin geçmiş yıllarda kritik Microsoft açıklarının yaklaşık %75’ini etkisiz bıraktığını belirtiyor. Rakam yıldan yıla oynuyor (2020 verisinde %56 idi) ve yön hep aynı: yetki az ise açık da az işe yarıyor.

Pratikte şunlar değişir:

• Fidye yazılımı yedekleme ve güvenlik ajanlarını durduramaz ya da zorlaşır.
• Kullanıcı kendi başına bilinmeyen bir sürücü veya “ücretsiz PDF aracı” kuramaz.
• Çalınan bir kullanıcı hesabı, ağdaki diğer makinelere yatay hareket için hazır bir anahtar olmaz.
• Bilgisayar zamanla “kişiselleşip” yavaşlamaz; envanterde ne varsa o kalır.

Herkesin yetkisini bir günde almak neden yanlış?

Bunu bir hafta sonu yapıp pazartesi sabahı telefonların çalmasını bekleyen firmalar gördük. Muhasebe programının güncellemesi çalışmaz, plotter sürücüsü kurulmaz, bir iki eski eklenti açılmaz. Çalışanın gözünde güvenlik “işimi engelleyen şey” olur ve ilk fırsatta geri alınır.

Doğru sıra şöyle:

1. Envanter çıkar. Hangi makinede kim yerel yönetici, kaç kişi gerçekten bu yetkiyi kullanıyor?
2. İstisna listesini yaz. Hangi uygulama yönetici olarak çalışmak zorunda? Çoğu zaman liste 3-5 kalemi geçmez.
3. Pilot grupla başla. Önce BT ve 4-5 gönüllü, 1-2 hafta.
4. Sonra gruplar halinde ilerle. Muhasebe gibi eski masaüstü yazılımı kullanan ekipleri sona bırak.
5. Destek hattını hazır tut. İlk iki hafta “yetki isteği” çağrıları gelecek, bunlara aynı gün dönmek şart.

Toplamda 20-50 kişilik bir şirkette bu iş genelde 4-6 haftada biter.

İstisnalar nasıl yönetilir?

Yetkiyi kaldırınca yazıcı sürücüsü, eski bir ERP istemcisi ya da bir geliştirici aracı gerçekten sorun çıkarabilir. Seçenekler:

Durum	Yaklaşım
Tek seferlik kurulum	BT uzaktan kurar, kullanıcıya yetki vermez
Belirli bir uygulama yönetici ister	Yetki yükseltme aracıyla yalnızca o uygulamaya izin ver
Yazılım geliştiren çalışan	Ayrı, yalnızca o iş için bir yönetici hesabı; günlük hesapla karıştırma
Yıllarca değişmemiş eski yazılım	Güncelle ya da değiştir, geçici çözümü kalıcı yapma

Bir kural daha. BT’nin kullandığı yönetici hesabı her makinede aynı parolayla durmasın. Windows LAPS bunu çözer. Nisan 2023 güncellemesinden itibaren Windows 11, Windows 10 ve Windows Server 2019/2022’de yerleşik geliyor, indirmeniz gereken ayrı bir paket yok. Her bilgisayarın yerel yönetici parolası ayrı üretilir, belirli sürede değişir ve Active Directory ya da Entra ID’de saklanır. Bir makinenin parolası ele geçerse yalnızca o makine kaybedilir.

Çalışanlar itiraz ederse ne söylenir?

İtiraz neredeyse kesin gelir. “Kendi bilgisayarımda yetkim olmasın mı?” sorusuna cevabım hep aynı. Burada güven konusu yok, çünkü çalışanın yetkisini düşürmek aslında saldırganın yetkisini düşürmek demek. Yönetici olan bir çalışanın hesabı ele geçirilirse makinedeki her şey gider, kendi dosyaları da dahil.

Küçük bir ipucu olarak yeni cihaz teslimini yetki değişikliğiyle birlikte yapın. Yeni laptopu standart kullanıcıyla veren şirkette tepki neredeyse hiç olmuyor, çünkü kullanıcı eskisini hatırlamıyor.

Sık sorulan sorular

Standart kullanıcı yazılım güncelleyebilir mi? Tarayıcı, Teams, Office gibi kullanıcı profiline kurulan uygulamalar çoğunlukla sorunsuz güncellenir. Makine geneline kurulanlar için BT’nin merkezi güncelleme dağıtması gerekir.

Yetkiyi kaldırmak antivirüs ya da EDR yerine geçer mi? Hayır. Yetki kısıtlaması zararlı yazılımın verebileceği hasarı küçültür. Tespit ve müdahale ayrı bir katmandır. İkisi birlikte çalışır.

Evden çalışan, VPN’e bağlanmayan makinelerde ne olur? Politikalar bulut tabanlı cihaz yönetimiyle dağıtılırsa makine şirket ağında olmasa da güncel kalır. Yerel alan adı politikalarına bağlı kalmak bu noktada eksik bırakır.

Yönetici hesaplarımın listesini nasıl alırım? Her makinede Administrators grubunun üyelerini PowerShell ile Get-LocalGroupMember -Group "Administrators" komutuyla görebilirsiniz. Merkezi bir yönetim aracınız varsa envanteri tek seferde çeker.

Hesap yetkilerinizin dökümünü çıkarmak ve geçişi sizin için planlamak isterseniz bize yazabilirsiniz.