Tek yönetici hesabı riskini azaltmak: KOBİ için 30 günlük erişim planı

Gerçek: platformlar paylaşılan ve sürekli açık tam yetkiyi önermiyor

Google Workspace'in 6 Ekim 2026 tarihinde güncellenen yönetici hesabı güvenlik rehberi, her yöneticinin ayrı ve tanımlanabilir bir hesabı olmasını öneriyor. Birden fazla kişinin admin@ benzeri ortak bir hesapla oturum açması, denetim kaydında hangi işlemi kimin yaptığını ayırmayı zorlaştırıyor. Rehber ayrıca kuruluşta ayrı kişilerce yönetilen birden fazla süper yönetici hesabı bulunmasını, süper yönetici hesabının günlük faaliyetlerde kullanılmamasını ve rutin görevlerin sınırlı yetkili hesaplara devredilmesini tavsiye ediyor.

Google'ın küçük işletmeler için kontrol listesi de yönetici ve kritik kullanıcılar için iki adımlı doğrulamanın zorunlu tutulmasını, kurtarma bilgilerinin hazırlanmasını, yedek kodların güvenli yerde saklanmasını ve ek bir süper yönetici hesabı oluşturulmasını istiyor. Microsoft'un 1 Haziran 2026 tarihli Entra rol rehberi aynı ilkeyi 'en az ayrıcalık' olarak tanımlıyor: yöneticiye yalnız görev için gereken izin, kapsam ve süre verilmesi gerekiyor. Bunlar platform yapılandırma önerileridir; her şirketin kullandığı lisans ve özellikler farklı olabilir.

Çıkarım: erişim güvenliği aynı zamanda iş sürekliliğidir

KOBİ'de dijital erişim çoğu zaman e-posta hesabından daha geniş bir iş akışını kontrol eder. Alan adı, bulut dosyaları, reklam hesabı, e-ticaret mağazası, ödeme paneli, muhasebe entegrasyonu ve müşteri kayıtları aynı yönetici kimliğine bağlanabilir. Bu hesabın ele geçirilmesi yetkisiz işlem riski doğurur; telefonun kaybolması, çalışanın ayrılması veya doğrulama yönteminin çalışmaması ise kötü niyet olmasa bile işletmeyi kilitleyebilir. Dolayısıyla konu yalnız siber saldırı değil, siparişin, tahsilatın ve müşteri iletişiminin devam edebilmesidir.

Paylaşılan parola kısa vadede pratik görünebilir, fakat yetki sahibini belirsizleştirir ve çalışan ayrıldığında tüm ekip için parola değiştirme zorunluluğu yaratır. Herkese tam yetki vermek de yedekleme değildir; aynı hatanın veya oltalama girişiminin etki alanını genişletir. Temkinli çıkarım şudur: dayanıklı yapı, çok sayıda tam yetkili hesaptan değil, isimli hesaplar, görev bazlı izinler ve normal akıştan bağımsız bir kurtarma yolundan oluşur.

Öneri: günlük erişim ile acil erişimi ayırın

İlk katman günlük kullanımdır. Her çalışan kendi hesabını kullanmalı; satış, finans, reklam ve destek görevleri için mümkün olan en dar rol atanmalıdır. En yüksek yetkili hesap e-posta okuma, dosya indirme veya gündelik yönetim için açık bırakılmamalıdır. İkinci katman güçlü doğrulamadır. Kritik hesaplarda iki adımlı ya da çok faktörlü doğrulama etkinleştirilmeli; yönetici hesaplarında oltalamaya dayanıklı güvenlik anahtarı veya platformun desteklediği güçlü yöntemler değerlendirilmelidir. Kurtarma telefonu, e-posta ve yedek kodlar tek çalışanın kişisel cihazına bağımlı olmamalıdır.

Üçüncü katman acil erişimdir. Microsoft'un 5 Haziran 2026 tarihinde güncellenen Entra rehberi iki veya daha fazla acil erişim hesabı, normal yöneticilerden farklı ve oltalamaya dayanıklı doğrulama yöntemi, güvenli saklama, her kullanım için izleme ve en az 90 günde bir doğrulama öneriyor. Küçük işletme farklı bir platform kullansa bile temel mantığı uyarlayabilir: normal yönetici erişimi çalışmadığında kullanılacak hesap ve işlem adımları önceden tanımlanır; kullanım yalnız yetkili kişilerce yapılır ve sonrasında kayıtlar incelenir.

Dördüncü katman çıkış sürecidir. Çalışanın rolü değiştiğinde ya da iş ilişkisi bittiğinde hesabı kapatma, oturumları sonlandırma, cihaz erişimini kaldırma ve devredilecek dosyaları belirleme adımları aynı kontrol listesinde olmalıdır. Yetki envanteri çalışan listesinden ayrı tutulursa eski ajans, danışman veya tedarikçi erişimleri unutulabilir. Bu nedenle kişi kadar hizmet hesabı, API anahtarı, reklam ortağı ve dış kullanıcı da gözden geçirilmelidir.

30 günlük uygulanabilir kontrol listesi

İlk hafta bütün kritik sistemleri ve hesap sahiplerini envantere alın. İkinci hafta paylaşılan hesapları isimli hesaplara ayırın ve günlük görevleri sınırlı rollere taşıyın. Üçüncü hafta güçlü doğrulama ile kurtarma yöntemlerini test edin. Dördüncü hafta acil erişim tatbikatı yapıp oluşan kayıtları ve eksikleri gözden geçirin. Amaç tek seferlik bir parola değişimi değil, çalışan ve tedarikçi değişse de sürdürülebilen bir erişim düzenidir.

• Alan adı, e-posta, bulut depolama, reklam, e-ticaret, ödeme ve muhasebe sistemlerini tek envanterde listeleyin.
• Her hesap için sahibi, yedek sorumlusu, rolü, doğrulama yöntemi ve son gözden geçirme tarihini kaydedin.
• Ortak yönetici hesabı kullanımını sonlandırın; her yetkiliye ayrı ve izlenebilir hesap verin.
• Günlük işler için sınırlı rol, kritik yapılandırmalar için ayrı yüksek yetkili hesap kullanın.
• Kritik hesaplarda iki adımlı doğrulamayı zorunlu tutun; kurtarma bilgisini ve yedek yöntemi deneyin.
• Acil erişim bilgilerinin kişisel telefona bağlı olmadığını, güvenli ve yetkili kişilerce erişilebilir olduğunu doğrulayın.
• Çalışan veya tedarikçi ayrılışında hesabı kapatma, oturumu sonlandırma ve anahtar yenileme adımlarını aynı gün tamamlayın.
• Acil hesap kullanımını alarm üretir hale getirin; denemeyi ve yetki incelemesini en geç 90 günde bir tekrarlayın.

Kısa sonuç

Dijital büyüme, daha fazla aracı aynı yönetici parolasına bağlamak değildir. Ayrı kimlik, sınırlı rol, güçlü doğrulama ve denenmiş kurtarma yolu; müşteri iletişimi ile operasyonun tek hesaba bağlı kalmasını önler. KOBİ için ilk hedef kusursuz bir güvenlik mimarisi değil, kimin neye neden eriştiğinin ve erişim kesildiğinde işin nasıl devam edeceğinin kayıtlı olmasıdır. Bu içerik genel işletme ve teknoloji analizi niteliğindedir; yatırım, vergi, hukuk veya muhasebe danışmanlığı değildir.