İK yazılımında güvenlik: çalışan verisine kim, neyi, ne zaman erişir?

İK verisine erişim nasıl tasarlanır?

Erişim tasarımı en az yetki ilkesiyle başlar: her kullanıcı yalnız işini yapmak için gereken kayda ulaşır. Roller önce görev tanımlarından çıkarılır, sonra kişilere atanır; tek bir kişiye istisna tanınmaz, ihtiyaç kalıcıysa yeni bir rol tanımlanır.

1. Veriyi sınıflandırın. Genel çalışan bilgisi, ücret ve bordro, özel nitelikli belgeler, aday ve performans kayıtları ayrı erişim gruplarıdır.
2. Rol tablosunu çıkarın. Çalışan, ekip yöneticisi, İK, sistem yöneticisi ve firma sahibi için hangi veriyi okuyup hangisini değiştireceğini yazın.
3. Kapsamı belirleyin. Aynı yetki tüm firmaya, yalnız kendi ekibine ya da yalnız kişinin kendi kaydına uygulanabilir.
4. Teknik yönetimi veriden ayırın. Kullanıcı hesabı açan kişinin maaş görmesi gerekmez; görevler ayrılığı burada başlar.
5. Kimlik doğrulamayı güçlendirin. Hassas veriye erişen herkes için iki adımlı doğrulamayı zorunlu tutun.
6. İzleyin ve temizleyin. Denetim kaydını düzenli inceleyin; kullanılmayan rol ve hesapları kapatın.

İK yazılımı seçerken BT hangi güvenlik sorularını sormalı?

Aşağıdaki on soru satıcıdan bağımsızdır ve her İK yazılımı için sorulabilir. Son sütunda Sora İK'nın yanıtı yer alır; yanıtlar yalnız sora-ik.com güvenlik sayfasında yayımlanan bilgilere dayanır ve orada henüz yayımlanmamış konular açıkça belirtilir.

KVKK İK verisinin güvenliği için ne istiyor?

6698 sayılı Kanun'un 12. maddesi veri sorumlusundan, hukuka aykırı işlemeyi ve erişimi önlemek ve veriyi muhafaza etmek için uygun güvenlik düzeyinde teknik ve idari tedbir almasını ister. Kurum tek bir model öngörmez; tedbir verinin niteliğine ve şirketin riskine göre seçilir.

Aynı madde, veri başkası tarafından işlendiğinde veri sorumlusunu o kişiyle müştereken sorumlu tutar; İK yazılımı sağlayıcısının tedbirleri bu yüzden işverenin de meselesidir. Veri hukuka aykırı yollarla elde edilirse veri sorumlusu durumu en kısa sürede ilgilisine ve Kurul'a bildirir.

Tedbir seçiminde Kurum'un Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) başvuru noktasıdır. Kanun metni Mevzuat Bilgi Sistemi'nde, maddenin Kurum özeti veri güvenliğine ilişkin yükümlülükler sayfasındadır.

Excel ve paylaşılan klasörle İK verisi nerede açık verir?

Tablo ve klasör erişimi dosya düzeyinde verir: dosyayı açan her şeyi görür. Kimin neyi açtığı kaydedilmez, ayrılan çalışanın erişimi unutulur ve parola paylaşımı sıradanlaşır. Açıkların çoğu saldırıdan değil, bu gündelik alışkanlıklardan doğar.

• Bordro tablosu tek dosyadır; satır ya da sütun düzeyinde yetki verilemez.
• Dosya e-postayla iletilince kopya sayısı ve alıcı listesi kontrolden çıkar.
• Ortak klasörün parolası ekipte paylaşılır; biri ayrıldığında değişmez.
• Değişiklik geçmişi yoktur; bir ücret satırını kimin değiştirdiği bulunamaz.
• Dosyanın indirildiği dizüstü bilgisayar kaybolunca verinin kimde olduğu bilinmez.

Sora İK'da rol, yetki ve güvenlik nasıl işler?

Sora İK'da erişimi rol belirler: çalışan, ekip yöneticisi, İK, sistem yöneticisi ve firma sahibi hazır rollerdir, gerekirse firmaya özel rol eklenir. İki adımlı doğrulama firma genelinde zorunlu kılınabilir; hassas görüntülemeler ve değişiklikler denetim kaydına yazılır.

• Görev ayrımı: sistem yöneticisi kullanıcıları ve rolleri yönetir, ama varsayılan olarak ücret, bordro, özel nitelikli belge, performans ve aday kayıtlarını görmez.
• Özel roller: mali müşavir ya da bordro uzmanı gibi kullanıcılar için yetki listesinden rol kurulur; bir firmada en çok 50 özel rol olur.
• Yetki yükseltmeye karşı: firma sahibi dışında kimse elinde olmayan yetkiyi dağıtamaz ve kendine rol atayamaz.
• Veri kapsamı: tüm firma, kendi ekibi ya da yalnız kendi kaydı.
• Denetim kaydı: arayüzden düzeltilemez ve silinemez, CSV olarak indirilir; başarılı ve başarısız girişler ayrıca tutulur.

Açık oturumları listeleyip kapatma, bir çalışanın ücretini kimlerin görebildiğini gösteren erişim raporu, departman ya da lokasyon kapsamı, alan bazında yetki ve hesabın çıkış günü kendiliğinden kapanması yol haritasındadır. Sora İK hub sayfası ürünün genel özetini verir; ayrıntılar: Rol, Yetki ve Güvenlik modülünün tüm özellikleri.

BT ekibi İK yazılımında güvenliği nasıl sürdürmeli?

Güvenlik, satın alma anındaki kontrol listesiyle bitmez; yetkiler zamanla genişler ve kimse onları daraltmaz. Hesap yaşam döngüsünü İK süreçlerine bağlamak, hassas erişimleri düzenli izlemek ve dış kullanıcıları ayrı rollerde tutmak kalıcı güvenliğin üç ayağıdır.

• İşe giriş ve çıkış listesine hesap açma ve kapatma adımını ekleyin; hesap kapanmadan çıkış süreci kapanmasın.
• Mali müşavir gibi dış kullanıcılara yalnız bordro gören ayrı bir rol verin; iş ilişkisi bitince hesabı kapatın.
• Denetim kaydını CSV olarak alıp merkezi log sisteminizde saklamayı değerlendirin.
• Kurtarma kodlarının nerede durduğunu ve iki adımlı doğrulamayı kimin sıfırlayabildiğini yazılı hâle getirin.
• Ekip kapsamı yönetici bağından çıkar; organizasyon şeması yanlışsa yetki de yanlış olur.

Kimlik doğrulama ve koşullu erişim tarafını Microsoft 365 güvenlik ayarları kontrol listesinde, KVKK'nın teknik tedbirlerini KVKK teknik tedbirler kontrol listesinde, en az yetki ilkesinin ağ tarafını sıfır güven erişimi (ZTNA) yazısında anlattık. Hukuki çerçeve için insan kaynaklarında KVKK rehberine bakın.

Rol ve yetkiyle birlikte çalışan modüller

Yetki kuralları korudukları veriyle birlikte anlam kazanır. Aşağıdaki rehberler KVKK, özlük, bordro ve onay akışı tarafında aynı ilkelerin nasıl uygulandığını anlatır.

• İnsan kaynaklarında KVKK rehberi: Çalışan ve aday verisinde aydınlatma, hukuki sebep, saklama-imha ve erişim adımlarıyla KVKK uyumu.
• Dijital özlük dosyası rehberi: Belge grupları, kâğıttan dijitale geçiş adımları ve erişim kurallarıyla özlük dosyası yönetimi.
• Bordro hazırlama rehberi: Puantajdan ücret pusulasına dört adımda bordro süreci ve ay sonu kontrol listesi.
• İK onay süreci rehberi: Adım, rol, koşul ve vekâlet kurallarıyla izin ve belge onay akışı tasarımı.

Sık sorulan sorular

Rol bazlı yetkilendirme nedir?

Rol bazlı yetkilendirme (RBAC), yetkilerin tek tek kişilere değil görevlere, yani rollere verildiği erişim modelidir. Kullanıcı bir role atanır ve o rolün izinlerini alır; görev değişince yalnız rol değişir. İK'da bu model, ücret ve sağlık gibi hassas verinin yalnız işi gereği görmesi gerekenlere açılmasını yönetilebilir kılar.

İki adımlı doğrulama zorunlu kılınabilir mi?

Kurumsal yazılımların çoğunda yönetici bu ayarı açabilir; seçerken zorunluluğun rol bazında mı firma genelinde mi uygulandığını sorun. Sora İK'da firma sahibi iki adımlı doğrulamayı firmadaki herkes için zorunlu kılabilir; kullanıcılar doğrulama uygulamasının ürettiği tek kullanımlık kodu girer ve yedek olarak kurtarma kodları alır.

Denetim kaydında neler tutulur?

İyi bir denetim kaydı işlemi yapanı, işlem türünü, etkilenen kaydı ve zamanı tutar; yalnız değişikliği değil hassas verinin görüntülenmesini de yazar. Sora İK'da kritik işlemler bu bilgilerle kaydedilir; ücret, bordro, aday ve performans görüntülemeleri, kimlik numarası gösterimi ve belge indirme de kayda girer. Değişen alanın önceki ve sonraki değeri yol haritasındadır.

Bordro verisini İK dışında kim görmeli?

İlke olarak yalnız bordroyu hazırlayan, onaylayan ve ödemeyi yapan kişiler. Sistem yöneticisi ya da bölüm müdürü teknik veya idari açıdan yetkili olsa bile ücret ayrıntısını görmek zorunda değildir. Dış mali müşavir için yalnız bordro okuma yetkisi olan ayrı bir rol açın ve iş ilişkisi bittiğinde hesabı kapatın.

Bulut tabanlı İK yazılımı güvenli mi?

Güvenlik, verinin nerede durduğundan çok nasıl korunduğuna bağlıdır: şifreli bağlantı, güçlü parola saklama, iki adımlı doğrulama, rol bazlı yetki ve denetim kaydı. Sağlayıcının bunları yazılı olarak yayımlayıp yayımlamadığına, alt işleyenleri ve barındırma bilgisini açıklayıp açıklamadığına bakın. Şirket içindeki korumasız bir tablo da aynı ölçütlerle değerlendirilmelidir.