Rol, Yetki ve Güvenlik (2FA, denetim kaydı): kim neyi görür, kim neyi değiştirir

Kimler için, hangi sorunu çözer?

Bu modül, İK verisine birden fazla kişinin eriştiği her işletme içindir; maaş, özlük belgeleri ve sağlık raporu gibi hassas verilerin yalnızca ilgili kişilerce görülmesi gerektiğinde belirleyici olur. Yetki düzenli tanımlanmadığında iki uç ortaya çıkar: ya herkes her şeyi görür ya da hiç kimse işini yapamaz. Ayrılan çalışanın hesabı açık kalır, paylaşılan parolalar dolaşır ve “Bu kaydı kim değiştirdi?” sorusunun cevabı bulunamaz.

• Firma sahibi ve sistem yöneticisi: kullanıcıları, rolleri ve güvenlik ayarlarını yönetir.
• İK ve bordro ekibi: işi için gereken verilere erişir; hassas verilerin görüntülenmesi kayıt altındadır.
• Ekip yöneticisi: yalnızca kendi ekibinin işle ilgili bilgilerini görür.
• Çalışan: yalnızca kendi kaydını, belgelerini ve taleplerini görür.

Rol, yetki ve güvenlik modülü neler yapar?

Modül, “en az yetki” ilkesini uygulanabilir kılar: her kullanıcı yalnızca işi için gereken kayıtlara erişir, hassas erişimler ve değişiklikler iz bırakır.

• Hazır roller: firma sahibi, sistem yöneticisi, İK, ekip yöneticisi ve çalışan. Her rolün varsayılan yetkileri sabittir ve ayarlar ekranında salt okunur bir tabloda görünür.
• Özel roller: yetki listesinden seçerek bordro uzmanı, mali müşavir ya da salt okuyan İK gibi firmaya özel roller tanımlanır; firma başına en çok 50 rol. Özel rol atanan kullanıcının yetkileri yalnızca o rolün yetkileridir; böylece yetki eklemek kadar daraltmak da mümkündür. Birbirine bağlı yetkiler, örneğin değiştirme ile okuma, birlikte seçilir.
• Yetki yükseltmeye karşı koruma: firma sahibi dışında kimse kendisinde olmayan bir yetkiyi role koyamaz ya da başkasına veremez; kimse kendine rol atayamaz, kendine atanmış rolü düzenleyemez.
• Veri kapsamı: tüm firma, kendi ekibi (doğrudan ve dolaylı; organizasyon şemasındaki yönetici bağından) ya da yalnızca kendi kaydı.
• Hassas veri ayrımı: ücret ve bordro, sağlık raporu ve adli sicil kaydı gibi özel nitelikli belgeler ayrı yetkilerle açılır. Kimlik numarası listelerde ve yetkisi olmayana gösterilmez; başkasının kimlik numarası açık gösterildiğinde kayda geçer.
• Kendi kaydı kuralı: firma sahibi dışında kimse kendi personel kartına izin hareketi, PDKS kaydı, belge ya da ücret giremez; kişinin kendi talepleri ve giriş-çıkışı bunun dışındadır.
• İki adımlı doğrulama: doğrulama uygulamasının ürettiği zaman tabanlı tek kullanımlık kod (TOTP) ve kurtarma kodları; her kullanıcı kurulumu kendisi yapar. Firma sahibi doğrulamayı firmadaki tüm kullanıcılar için zorunlu kılabilir; rol ya da kullanıcı bazında seçim yoktur ve ayarı yalnızca firma sahibi değiştirir. Firma sahibi ve sistem yöneticisi, rol hiyerarşisine göre bir kullanıcının kurulumunu sıfırlayabilir; sıfırlanan kullanıcının oturumları kapanır.
• Parola güvenliği: parolalar argon2id algoritmasıyla özetlenerek saklanır, düz metin olarak tutulmaz.
• Hesap yaşam döngüsü: çalışan, işe giriş sürecinde personel kartından Sora İK'ya davet edilir; ayrılışta hesap çıkış kaydı sırasında ya da istenen an elle kapatılır. Hesabın çıkış gününün sonunda kendiliğinden kapanması yakında eklenecek.
• Denetim kaydı: kayıt oluşturma, değiştirme ve silme (değişen alanların adlarıyla), kimlik numarası, ücret geçmişi ve bordro ayrıntısının görüntülenmesi, belge indirme, dışa aktarmalar ve özel rol değişiklikleri; hazır rol değişiklikleri bu ekranda görünmez. Ekranda tarih, kullanıcı, eylem ve kayıt türüne göre süzülür, CSV olarak indirilir; arayüzden düzenlenemez ve silinemez.
• Giriş kaydı: başarılı ve başarısız giriş denemeleri ayrıca kaydedilir; firma sahibi ve sistem yöneticisi firmanın son 90 gününü görür.

Açık oturumları listeleyip kapatma, “Bu çalışanın ücretini kimler görebilir?” sorusunu cevaplayan erişim raporu, departman ya da lokasyona göre veri kapsamı, alan bazında yetki ayarı ve denetim kaydında önceki ve sonraki değerin saklanması şu an yok, yakında eklenecek.

Nasıl çalışır?

Yetki yapısı ilk kurulumda beş adımda oluşturulur ve sonra çalışan hareketleriyle birlikte güncellenir.

1. Rolleri gözden geçirin. Firma kaydında oluşturulan ilk hesap firma sahibi rolündedir; paket işlemleri (fiyatlandırma) bu rolle yürütülür. Hazır rollerin varsayılan yetkilerini ayarlar ekranındaki tablodan inceleyin.
2. Kullanıcıları davet edin. Personel kartından ilgili kişiyi rolüyle davet edin. Davet firma sahibi ve sistem yöneticisi tarafından gönderilir; firmada ilk ücret kaydı ya da bordro oluştuktan sonra bordro okuma, kartta özel nitelikli belge varsa bu belgeleri görme yetkisi de gerekir (sistem yöneticisinde ikisi de yoktur; bu durumda daveti firma sahibi gönderir). Sistem yöneticisi rolünü yalnızca firma sahibi verir. İK rolünü de yalnızca firma sahibi verir.
3. Gerekiyorsa özel rol tanımlayın. Hazır rollerin uymadığı durumlar için yetkileri seçerek özel rol oluşturun ve kullanıcılara atayın.
4. İki adımlı doğrulamayı zorunlu kılın. Firma sahibi ayarı firmadaki tüm kullanıcılar için açar; zorunlu kılmasanız da hassas veriye erişen kullanıcılar kurulumu kendi hesaplarında yapmalıdır.
5. Kayıtları düzenli inceleyin. Denetim kaydını belirli aralıklarla gözden geçirin; kullanılmayan rolleri ve hesapları kapatın.

Rol bazlı yetkilendirme KVKK açısından neden önemlidir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri sorumlusunun kişisel verilere hukuka aykırı erişimi önlemek için uygun teknik ve idari tedbirleri almasını ister; çalışan verisine kimin erişebileceğini sınırlamak ve erişimleri izlemek bu tedbirlerin temel parçalarındandır. Rol bazlı yetkilendirme ve denetim kaydı, bu tedbirleri uygulamanıza ve uyguladığınızı gösterebilmenize yardımcı olur; tedbirlerin yeterliliğine ise veri sorumlusu olarak işletmeniz karar verir.

Kişisel Verileri Koruma Kurumu'nun veri güvenliğine ilişkin yayımladığı rehberlere Kurum rehberleri sayfasından ulaşabilirsiniz. Saklama ve imha, açık rıza kayıtları ve çalışanların ilgili kişi başvuruları, yakında gelecek KVKK Uyum Modülü kapsamında olacak. Şifreleme, yedekleme, sunucu lokasyonu ve alt işleyenler gibi altyapı bilgileri güvenlik sayfasında; bildirim merkezi ve açık API gibi yakında gelecek platform modülleri ise Platform ve Entegrasyon kategorisi sayfasında yer alır.