Bir sigorta acentesinin bilgisayarlarında binlerce müşterinin TC kimlik numarası, telefonu, adresi, plakası ve poliçe bilgileri bulunur. Bu verileri dışarıdan gelen saldırılara karşı korumak kadar, içeride kimin neyi görebildiğini ve değiştirebildiğini düzenlemek de önemlidir. Bu yazıda kullanıcı yetkilerini nasıl kurabileceğinizi ve işlem kayıtlarını nasıl kullanabileceğinizi anlatıyoruz.
Neden yetki ve kayıt?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesine göre veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almak zorundadır. Acenteniz, müşterilerinin verileri bakımından veri sorumlusudur.
Kişisel Verileri Koruma Kurumu’nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), teknik tedbirler arasında yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi, log kayıtları ve veri maskelemeyi sayar. Rehber ayrıca çalışanlara yalnız işlerinin gerektirdiği ölçüde erişim yetkisi verilmesini ve işten ayrılan çalışanların hesaplarının zaman kaybetmeden kapatılmasını önerir.
Pratikte bu, iki sorunun cevabını her an verebilmek demektir: Kim neye erişebiliyor? ve Kim, ne zaman, ne yaptı?
Her çalışana kendi kullanıcısı
Yetki ve kayıt düzeninin temeli, herkesin kendi kullanıcı adıyla çalışmasıdır. Ortak bir kullanıcıyla çalışılan bir acentede işlem kayıtları “kim yaptı” sorusuna cevap veremez; yetkiler de kişiye göre ayarlanamaz.
- Her çalışana kendi kullanıcı adını ve şifresini verin; şifreleri paylaşmayın, ekrana yapıştırılmış kâğıtlarda saklamayın.
- Kolay tahmin edilen şifreler yerine büyük harf, küçük harf, rakam ve sembol içeren şifreler kullanın.
- Masaüstü programda SUPERVISOR kullanıcısı her zaman bütün yetkilere sahiptir. Bu kullanıcıyı yalnız yetki tanımlama gibi yönetim işleri için kullanın; günlük işler kişisel kullanıcılarla yapılsın.
- İşten ayrılan personelin kullanıcısını aynı gün kapatın; portal hesabı varsa onu da unutmayın.
Önce kâğıt üzerinde bir yetki tablosu
Programa girmeden önce kimin hangi işi yaptığını bir tabloya dökün. Rehberin “yetki matrisi” dediği şey, en basit hâliyle budur. Örneğin:
- Ön büro: poliçe ve zeyl girişi, müşteri kartı, tecdit listesi; kasa ve banka ekranları kapalı.
- Muhasebe: cari hareketler, kasa, banka, çek / senet; poliçe silme kapalı.
- Şube / Prodüktör: yalnız kendi poliçeleri, müşterileri ve cari hesabı.
- Yönetici: raporlar, kullanıcı tanımları, işlem kayıtları.
Silme, toplu işlem, Excel’e aktarma ve rapor alma gibi yetkileri ayrıca düşünün: Bir listeyi Excel’e aktarabilen kişi, o listedeki bütün kişisel verileri bilgisayardan dışarı taşıyabilir.
Masaüstü programda yetki vermek
PSPforSQL Acente programında yetkiler Servis / Kullanıcı Tanım ve Yetkileri ekranından verilir. Her kullanıcı için ekran ekran kayıt girişi, inceleme, değiştirme, yazdırma gibi yetkileri işaretlersiniz. Yetkisi olmayan kullanıcı o ekranı açamaz ya da yalnız inceleyebilir. Yetki listesi uzun olduğu için ekrandaki arama kutusuyla aradığınız bölümü hızla bulabilirsiniz.
Raporlardaki telefon numaraları ile TC kimlik / vergi kimlik numaralarını göstermek de ayrı bir yetkidir. Bu yetki işaretli olmayan kullanıcı, raporlarda bu alanları maskeli (*** *** ** **) görür. Müşteriyi aramak gerekmeyen kullanıcılarda bu yetkiyi kapalı tutmak iyi bir alışkanlıktır.
Web Portal’da yetkiler
Web Portal’da da yetkiler kullanıcı bazında verilir. Servis menüsündeki Kullanıcı Tanım ve Yetkileri ekranından hesapları yönetirsiniz; Kullanıcı Yetki Grupları ile aynı görevdeki kişiler için tek bir yetki grubu kurup hesaplara atayabilirsiniz. Böylece yeni gelen bir personele tek tek işaret koymak yerine uygun grubu seçmeniz yeterli olur.
Portalda şube / prodüktör kullanıcıları yalnız kendi poliçelerini, müşterilerini ve cari hesaplarını görür; TC kimlik, vergi no ve plaka gibi bilgiler yetkiye göre maskeli gösterilir. Hesap menüsündeki İki Adımlı Doğrulama ile şifreye ek olarak telefondaki doğrulama uygulamasının kodu da istenir. Ayrıntılar için Portalda Güvenli Çalışma yazısına bakabilirsiniz.
İşlem kayıtları: kim, ne zaman, ne yaptı?
Program ve portal; poliçe, cari ve diğer kayıtlarda yapılan ekleme, değiştirme ve silme işlemlerini, toplu işlemler dahil, İşlem Kayıtları’na yazar. Hangi kullanıcının, ne zaman, hangi kayıtta ne yaptığı görünür. Portalda ana acente ve yetkili personel, Servis menüsündeki İşlem Kayıtları ekranından kendi acentesinin hesaplarına ait kayıtları izleyebilir; Kullanıcı Oturumları ekranında hangi hesapların açık oturumu olduğunu görüp gerektiğinde bir hesabı sistemden çıkarabilir.
İşlem kayıtları ancak bakıldığında işe yarar. Şu alışkanlıklar yardımcı olur:
- Haftada bir, silinen poliçe ve tahsilat kayıtlarına göz atın.
- Mesai dışı saatlerde ya da izindeki bir kullanıcının adıyla yapılmış işlemleri sorgulayın.
- Bir müşteri “bilgilerim değişmiş” dediğinde önce işlem kayıtlarına bakın.
- Bir şüphe olduğunda kayıtları silmeyin, değiştirmeyin; Rehber de güvenlik olaylarında delillerin toplanıp güvenli saklanmasını önerir.
İdari tarafı unutmayın
Teknik ayarlar tek başına yetmez. Rehberin idari tedbirler listesinde çalışanların eğitimi, gizlilik taahhütnameleri, erişim politikaları ve kurum içi denetimler de yer alır. Yetki tablonuzu yazılı hâle getirin, yılda en az bir kez gözden geçirin ve çalışanlarınıza neden bu kurallara uyduğunuzu anlatın. KVKK yükümlülüklerinin genel çerçevesi için Acenteler İçin KVKK yazısını okuyabilirsiniz.
Özetle
- Herkes kendi kullanıcısıyla çalışsın; ortak kullanıcı ve paylaşılan şifre olmasın.
- Görev bazlı bir yetki tablosu hazırlayın ve programa aynen uygulayın.
- Maskeleme ve Excel’e aktarma yetkilerini yalnız gerekenlere verin.
- Portalda iki adımlı doğrulamayı açın.
- İşten ayrılanın kullanıcısını aynı gün kapatın.
- İşlem kayıtlarına düzenli bakın, yetkileri yılda bir gözden geçirin.