Çalışanlar İşten Çıkarıldığında veya İzne Çıkarıldığında Veri Güvenliğinin Korunması

Zor zamanlarda işverenler, genellikle personelin kesilmesini gerektiren kemerlerini süresiz olarak veya belirsiz bir süre için sıkmak zorundadır. Her iki durumda da, ayrılma süreci bunu yapmadan önce dikkatlice gözden geçirilmelidir.

İK'nın, ayrılışlarını koordine etmek ve değerli şirket verilerini riske atmadıklarından emin olmak için BT departmanıyla yakın işbirliği içerisinde çalışması gerekecektir.

Çalışanın şirkette ne kadar süredir çalıştığına bağlı olarak bu kolay bir iş olmayabilir. Çalışan birçok farklı kaynağa erişebilecek ve kişisel verileri birden fazla platforma ve veri merkezine yayılabilecek.

BT departmanının, İK'nın takip edebileceği kapsamlı bir kontrol listesi oluşturmak için yeterli miktarda zaman harcaması gerekecektir. Aşağıda, işten ayrılma kontrol listesi geliştirilirken dikkate alınması gereken bazı önemli alanlar yer almaktadır.

Yetkili Hesapları Silme ve Devre Dışı Bırakma

Şirketler çoğu zaman aktif olmayan kullanıcı hesaplarını düzgün bir şekilde yönetemiyor; bu da eski çalışanların, ayrıldıktan sonra da şirket verilerine erişebilecekleri anlamına geliyor. Çalışan kötü şartlarda ayrılırsa, kötü niyetli nedenlerle (belki de finansal kazanç için verileri çalmak amacıyla) hesabına tekrar giriş yapmayı seçebilir.

Çalışan kötü şartlarda ayrılmamış olsa bile meraktan, can sıkıntısından veya belki de şaka yapmak için hesabına erişmeye çalışabilir. Örneğin, şirketin Twitter hesabına giriş yapıp "komik" bir tweet atmaya karar verebilirler. Güvenlik ayarlarına müdahale etmeye karar verebilirler, böylece bilgisayar korsanlarının sisteme sızması kolaylaşır.

Alternatif olarak eski çalışanın cihazı kaybolabilir, çalınabilir veya hasar görebilir ve bir tamirhaneye götürülebilir. Her iki durumda da, eğer bir şirket etkin olmayan kullanıcı hesaplarını derhal yönetmeyi başaramazsa, birisinin şirket verilerine yetkisiz erişim elde etme ihtimali vardır.

İdeal bir dünyada her çalışanın, tüm sistemlere ve verilere erişmek için kullanacakları tek bir kimlik bilgisi seti olması gerekir. Ancak birçok şirket yeni sistemlerinin yanı sıra hâlâ güncelliğini kaybetmiş eski sistemleri de kullanıyor olabilir.

Bu durumda İK'nın, çalışanın hangi sistemlere erişim sağladığını tam olarak bilmesi gerekecektir; bu, ilgili tüm departmanlarla (en önemlisi BT olmak üzere) iletişim kurmayı gerektirecektir. Çalışanla ilişkili tüm e-posta ve sosyal medya hesaplarını kaldırmaları gerekecek. Ancak, çalışana otomatik yanıtlayıcılar kurma ve bunu yapmadan önce yarım kalmış işleri halletme fırsatı verin.

Elbette, etkin olmayan kullanıcı hesaplarını yönetmek manuel olarak yapılabilir, ancak etkin olmayan kullanıcı hesabını otomatik olarak algılayabilen ve yönetebilen çok sayıda özel gerçek zamanlı denetim çözümünün mevcut olduğu unutulmamalıdır.

Doğal olarak, kendinizi personelden çıkarmanız gereken bir konumda bulursanız, işten çıkarma sürecini veya bu konuyla ilgili herhangi bir süreci otomatikleştirebilecek herhangi bir çözüm düşünülmelidir.

Kişisel Verilerin Kaldırılması

İşten çıkarılan çalışanın işten çıkarılmasına ilişkin artık ihtiyaç duyulmayan her türlü bilginin sistemden dikkatlice kaldırılması gerekmektedir. Bunu yapmadan önce yasal sorumluluklarınızı anladığınızdan emin olun. Örneğin şirketlerin vergi nedeniyle çalışana ilişkin belirli bilgileri saklaması gerekebilir.

Kuruluşunuz için hangi veri gizliliği yasalarının geçerli olduğunu, hangi verilerin saklanabileceğini belirleyen kuralları ve bunların kaldırılmasına yönelik önerilen protokolleri anladığınızdan emin olun.

Paylaşılan Şifreleri Değiştirme

Tavsiye edilmese de kullanıcıların aynı kimlik bilgilerini paylaşması alışılmadık bir durum değildir. Yukarıda belirtildiği gibi, bazen kullanıcılar LinkedIn veya Twitter gibi sosyal medya hesaplarına ortak erişime sahiptir. Ayrıca, belki de müşteri şikayetleri ve sorularıyla ilgilenmek için ayrıcalıklı e-posta hesaplarına erişimi de paylaşabilirler.

Doğal olarak ücretsiz izine çıkarılan veya işten çıkarılan bir çalışanın, ayrıldıktan sonra bu hesaplara erişiminin engellenmesi gerekiyor. Ancak paylaşılan hesaplarla ilgili bariz sorun, hesap şifresini değiştirmeden tek bir kullanıcının hesaba erişiminin engellenmesinin imkansız olmasıdır. Bu durumda, ilgili tüm çalışanları şifre değişikliği konusunda bilgilendirdiğinizden ve onlara değişikliğin gerçekleşeceği belirli bir tarih ve saati verdiğinizden emin olmalısınız.

Doğal olarak, yeni şifreye erişememesini sağlamak için, işten çıkarılan çalışanla ilişkili diğer tüm kullanıcı hesaplarının öncelikle sonlandırıldığından emin olmanız gerekecektir. Paylaşılan tüm şifrelerin bir son kullanma tarihine sahip olduğundan emin olmak iyi bir fikir olabilir.

Yöneticilere paylaşılan hesap parolasını sıfırlamalarını hatırlatma sürecini otomatikleştirebilecek çözümler mevcuttur.

Şirket Cihazlarını Kurtarma

Şirketler genellikle çalışanlarına mobil cihazlar ve dizüstü bilgisayarlar verir. Ve bu cihazların (varsayalım) şirketin güvenlik gereksinimlerini karşıladıklarından emin olmak için BT departmanı tarafından kontrol edileceğini düşünüyoruz. Bir çalışan şirketten ayrıldığında, yalnızca bu cihazları kurtardığınızdan emin olmanız gerekmeyecek, aynı zamanda ek güvenlik kontrolleri de yapmanız gerekecektir.

Bu, kötü amaçlı yazılımlara, savunmasız uygulamalara veya cihazın bir şekilde tehlikeye girdiğini gösterebilecek başka herhangi bir şeye karşı taramayı içerebilir. Bu cihazların çoğu, cihazın sahibi olan kişinin herhangi bir kimlik bilgilerine erişimi olmasa bile şirketin uygulamalarına ve sunucularına erişime sahip olacak.

Cihazı kurtarmadan önce, çalışana, cihazdaki kendisine ait tüm verilerin yedeklenmesi ve kaldırılması da dahil olmak üzere, kendi temizliğini yapma fırsatı verin. Alternatif olarak, verilerini cihazdan çıkarıp onlara e-postayla göndererek veya taşınabilir bir sürücüye kaydederek onlara yardım etmeyi teklif edin.

Tüm Şirket Verilerinin Kişisel Cihazlardan Silinmesi

Bugünlerde giderek daha fazla şirket, kısaltmadan da anlaşılabileceği gibi, çalışanların işyerinde kendi cihazlarını kullanmalarına olanak tanıyan Kendi Cihazınızı Getirin (BYOD) politikasını uygulamaya koyuyor. Ancak BYOD'nin getirdiği önemli güvenlik riskleri göz önüne alındığında, birçok şirket bu cihazların şirket ağına erişim için kullanılmadan önce güvenlik kontrollerini gerçekleştiriyor.

Bu harika, peki bir çalışan kuruluşunuzdan ayrıldığında ne olur? İdeal olarak, yakında eski çalışanınız olacak kişi, tüm şirket verilerinin ve şirket verilerine erişimi olan uygulamaların güvenli bir şekilde kaldırıldığından emin olmak için cihazında başka bir güvenlik kontrolü yapmanıza izin verecektir.

Elbette, işten çıkarılan ya da ücretsiz izne çıkarılan çalışan, özellikle de işten çıkarılma koşulları konusunda hoşnutsuz hissediyorsa, işbirliği yapmaya istekli olmayabilir. Bu durumda, cihazlarını şirket verilerine erişmek için kullanmalarına izin verilmeden önce onlardan bir tür yasal sözleşme imzalamalarını istemeniz gerekebilir.

Etkili iletişim

İşletmeler, verilerinin güvende olmasını sağlamak ile çalışanların endişelerine karşı nazik ve duyarlı olmak arasında bir denge kurmalıdır. Günün sonunda onların işbirliğine ihtiyacınız var. Yanlış bir şey yapmadıkları halde onlara suçlularmış gibi davranmak potansiyel olarak geri tepebilir. Çalışanlarla mümkün olduğunca iletişim kurun.

Onlarla veri güvenliğinin önemi hakkında konuşun ve onlardan uymalarını istediğiniz görünüşte acımasız protokollerin kişisel değil gerekli olduğu konusunda onlara güvence verin.

Lepide'ın izinli çalışanlarla çalışırken veri güvenliğini korumanıza nasıl yardımcı olabileceğini görmek istiyorsanız bugün Lepide Veri Güvenliği Platformunun bir demosunu planlayın.