İşten Ayrılan Çalışanın Hesapları ve Erişimleri Nasıl Kapatılır?

Çalışanın son iş günü akşamı İK evrakı tamamlanır, kimlik kartı teslim alınır, vedalaşılır. Ama kullanıcının e-postası, VPN hesabı ve bulut panelindeki yetkisi çoğu yerde ertesi hafta, bazen ertesi ay hâlâ açık durur. Sahada gördüğümüz en sık güvenlik açığı bu, çünkü kimsenin sorumluluğunda değil.

Kötü niyet şart değil. Ayrılan kişinin telefonunda hâlâ kurulu bir Outlook oturumu varsa, rakip firmaya geçtiği gün bile şirket yazışmaları cebinde senkronize olmaya devam eder.

Önce sıra: neyi ilk kapatırsınız?

Hesabı silmek ilk adım olmamalı. Sildiğiniz anda e-posta ve dosyalar devredilmeden gidebilir. Doğru sıra şöyle:

1. Oturum açmayı engelleyin ve açık oturumları sonlandırın.
2. Veriyi devredin (e-posta, OneDrive, ortak klasörler).
3. Cihazı ve ek erişimleri (VPN, uygulama, ortak parola) kapatın.
4. Lisansı kaldırın, hesabı en son silin.

Microsoft 365 kullanıyorsanız ilk adımda iki işlem gerekir. Entra yönetim merkezinde hesabı engellemek yetmez, “oturumları iptal et” de yapılmalı. Parola sıfırlamak tek başına açık oturumları düşürmez. Yenileme belirteçleri iptal edilse bile erişim belirteci yaklaşık bir saat daha geçerli kalabildiği için, ayrılışı hassas bir durumsa (husumetli çıkış, rakibe geçiş) işlemi mesai bitiminden sonra değil, görüşmenin başladığı dakikada yapın.

Veriyi kaybetmeden devretmek

Hesabı silmeden önce şu üçüne bakın:

• Posta kutusu: Paylaşılan posta kutusuna çevirirseniz lisans gerekmeden 50 GB’a kadar saklanır ve yöneticiniz ya da yerine gelen kişi erişebilir. Dönüştürmeden önce kutu lisanslı olmalı, lisansı dönüştürmeden sonra kaldırırsınız. Kutu 50 GB’ı aşıyorsa lisans gerekir, önce büyük ekleri temizlemek gerekebilir.
• OneDrive: Hesap silindiğinde dosyalar varsayılan olarak 30 gün tutuluyor (bu süre 30 ile 3650 gün arasında ayarlanabilir) ve varsayılan olarak yöneticiye erişim açılıyor. Süreyi başlatan şey hesabın silinmesi; yalnızca engellemek ya da lisansı almak sayacı başlatmaz. 30 gün dolunca işe yarar bir dosya bulduğunuzda geri dönüş zorlaşır.
• Otomatik yönlendirme: Müşterilerden gelen postaların boşa düşmemesi için geçici yönlendirme ya da otomatik yanıt koyun. Ama dışarıya yönlendirme kuralı bırakılmasın; eski hesapta kalan kural, ayrılan kişi tarafından kendi adresine yönlendirilmiş olabilir. Ayrılış günü bu kuralları da listeleyin.

Unutulan erişimler

Hesap listesi kısa görünür, gerçek liste uzun. Aşağıdaki tablo, çıkış kontrollerinde en sık atladığımız yerleri gösteriyor:

Alan	Neden unutulur	Ne yapılmalı
Telefon ve tablet	Kişisel cihazda şirket e-postası kurulu	Yönetim aracından yalnızca şirket verisini silin (Intune gibi); yoksa e-posta hesabını uygulamalardan kaldırtın
VPN ve uzaktan masaüstü	Güvenlik duvarında ayrı kullanıcı	Güvenlik duvarındaki yerel kullanıcıları ve sertifikaları kontrol edin
Ortak parolalar	Kasada tek paylaşılan hesap	O hesabın parolasını değiştirin, şifre yöneticisinde erişimi kapatın
Bulut yönetim panelleri	Alan adı, hosting, e-fatura, muhasebe yazılımı	Her birinde kullanıcı listesine bakın
Üçüncü taraf uygulama izinleri	Kullanıcı “Microsoft ile oturum aç” demiş	Uygulama izinlerini ve kişisel erişim anahtarlarını iptal edin
Wi-Fi anahtarı	Herkes aynı parolayı kullanıyor	Ayrılan çok bilgiye sahipse parolayı değiştirin

Küçük bir ofiste alan adı yönetim hesabı genellikle ayrılan kişinin kişisel e-postasına bağlıdır. Bu hesabı kaybetmek, e-postanın durması demek. Ayrılmadan önce yöneticiyi ortak bir adrese devrettirin.

Her ayrılışta tekrar eden kısa kontrol listesi

• Hesap engellendi, oturumlar iptal edildi
• Çok faktörlü doğrulama yöntemleri kaldırıldı (kişisel telefon kayıtlı kalmasın)
• Posta kutusu devredildi, yönlendirme kuralları incelendi
• OneDrive içeriği devralan kişiye teslim edildi
• Laptop teslim alındı, disk sıfırlanmadan önce gerekli veri alındı
• VPN, güvenlik duvarı ve uzak erişim hesapları kapatıldı
• Ortak hesapların parolaları değişti
• Lisans kaldırıldı, hesap silme tarihi takvime yazıldı

Bunu her seferinde yazılı bir forma bağlamak gerekiyor. İK ile BT arasındaki en büyük sorun, ayrılış bilgisinin BT’ye ulaşmaması. 20-30 kişilik bir şirkette bile “İK çıkış formuna BT maddesi eklensin” demek çoğu zaman sorunu çözüyor.

Sık sorulan sorular

Ayrılan çalışanın e-postası ne kadar süre saklanmalı? Yasal bir tek süre yok; ticari yazışmalar için genel saklama yükümlülükleriniz (ticari defter ve belge süreleri) belirleyici. Kişisel veri içeren yazışmalarda ise saklama ve imha politikanıza uymanız gerekir. Pratikte posta kutusunu paylaşılan kutuya çevirip 6-12 ay erişime açık tutmak çoğu firmaya yetiyor.

Hesabı hemen silsek olmaz mı? Olur ama geri dönüş zor. Önce engelleyin, 30 gün içinde ihtiyaç doğmazsa silin.

Çıkış kontrolünü kim yapmalı? BT yapar, İK tetikler. İç BT ekibiniz yoksa yönetilen BT sağlayıcınızın standart çıkış talebi olmalı. Bunu sözleşmede sorun; “çıkış talebi” ayrı ücretli bir iş olabiliyor.

Çıkış sürecini yazılı hâle getirmek ya da mevcut hesaplarınızın bir dökümünü çıkarmak için bizimle iletişime geçebilirsiniz.