Dijitalleşme yeni bir soruyu beraberinde getiriyor: kim neyi görebilir?
Kuyumculuk işletmelerinde dijitalleşmenin hızlanmasıyla birlikte müşteri kayıtları, banka hareketleri, faturalar, satışlar, stok bilgileri ve uyum belgeleri artık aynı sistem içerisinde yönetilebiliyor.
Bu durum operasyonu ciddi biçimde kolaylaştırıyor.
Ancak beraberinde yeni bir güvenlik sorusu getiriyor:
Sisteme erişebilen herkes, gerçekten her şeyi görmeli mi?
Bir satış personelinin banka hesaplarının tamamını görmesi gerekiyor mu?
Bir şube çalışanı başka şubenin müşteri kayıtlarına erişebilmeli mi?
Yeni başlayan bir personel geçmiş yıllara ait finansal raporları indirebilmeli mi?
Uyum belgeleri tüm kullanıcılar tarafından görüntülenmeli mi?
Dijital finansal güvenliğin önemli parçalarından biri tam olarak burada başlıyor.
Tek kullanıcı, tek şifre dönemi neden riskli?
Küçük işletmelerde sistemlere ortak kullanıcı adı ve şifreyle giriş yapılması uzun yıllardır yaygın bir alışkanlık.
İlk bakışta kolay görünür.
Ancak bir işlem değiştirildiğinde veya kritik bir kayıt oluşturulduğunda şu soruya cevap verilemez:
Bunu kim yaptı?
Aynı hesabı beş personel kullanıyorsa;
- kaydı kimin değiştirdiği,
- hangi kullanıcının belge indirdiği,
- hangi personelin fiyat üzerinde işlem yaptığı,
- müşteri bilgisini kimin görüntülediği
belirsiz hale gelir.
Bu nedenle çalışan sayısı arttıkça kişiye özel kullanıcı hesapları ve yetkilendirme yapısı operasyonel kontrol için kritik hale gelir.
Rol bazlı yetkilendirme nedir?
Rol bazlı yetkilendirme, her kullanıcının yalnızca görevini yapması için ihtiyaç duyduğu ekranlara ve işlemlere erişebilmesi anlamına gelir.
Örneğin bir kuyumculuk işletmesinde;
Satış personeli
müşteri ve satış işlemlerine erişebilir ancak tüm şirket banka hesaplarını veya yönetim raporlarını görmeyebilir.
Muhasebe personeli
fatura, banka ve finansal kayıtlara erişebilir ancak belirli yönetimsel ayarları değiştiremeyebilir.
Şube müdürü
kendi şubesinin operasyonlarını görebilir ancak diğer şubeler üzerinde sınırlı yetkiye sahip olabilir.
Uyum sorumlusu
KYC, müşteri riskleri ve ilgili uyum kayıtlarına daha geniş erişime sahip olabilir.
İşletme sahibi veya merkez yönetim
tüm şubeleri ve finansal tabloyu görebilir.
Bu yapı, herkesi sistemden uzaklaştırmak için değil, erişimi işin gerektirdiği seviyeye indirmek için kullanılır.
Banka verileri neden ayrıca korunmalı?
Kuyumculuk işletmelerinde banka hareketleri yüksek hassasiyet taşıyan finansal verilerdir.
Hesap bakiyeleri, müşterilerden gelen transferler, tedarikçi ödemeleri ve şirketin günlük para hareketi işletmenin finansal fotoğrafını ortaya koyar.
Bu nedenle banka entegrasyonu yapılırken yalnızca:
“Banka hesabı sisteme bağlandı mı?”
sorusuna bakmak yeterli değildir.
Aynı zamanda:
“Bu banka hesabını kimler görebiliyor?”
sorusunun da yanıtlanması gerekir.
Örneğin İzmir şubesindeki bir çalışanın İstanbul şubesinin banka hesaplarını görmesine operasyonel olarak ihtiyaç yoksa erişimin sınırlandırılması daha kontrollü bir yapı oluşturur.
KYC belgeleri de herkese açık olmamalı
Müşteri tanı süreçlerinde işletmeler kimlik, adres ve farklı müşteri bilgileriyle çalışır.
Bu nedenle KYC sistemlerinin güvenliği yalnızca verinin dışarıdan saldırıya karşı korunmasıyla sınırlı değildir.
İç erişim de kontrol edilmelidir.
Bir çalışanın görevi gereği yalnızca müşterinin KYC sürecinin tamamlanıp tamamlanmadığını bilmesi yeterliyse, kimlik belgesinin tüm ayrıntılarını görmesine ihtiyaç olmayabilir.
Buradaki temel prensip basittir:
Kullanıcı, görevini yapabilmek için gerekli olan kadar veriye erişmelidir.
“Kim ne yaptı?” sorusunun cevabı: işlem izi
Yetkilendirmenin ikinci ayağı kullanıcı hareketlerinin kayıt altına alınmasıdır.
Bir finansal sistemde sadece mevcut sonucun görünmesi yeterli değildir.
Örneğin bir müşteri kaydındaki bilgi değişmişse;
- önceki değer neydi?
- yeni değer ne oldu?
- değişiklik ne zaman yapıldı?
- hangi kullanıcı yaptı?
sorularının cevaplanabilmesi önemlidir.
Benzer şekilde;
- işlemin iptal edilmesi,
- belgenin oluşturulması,
- kullanıcı yetkisinin değiştirilmesi,
- banka hareketine not eklenmesi,
- müşteri bilgilerinin güncellenmesi
gibi kritik hareketlerin kullanıcı bazında izlenebilmesi güçlü bir iç kontrol mekanizması oluşturur.
Bu kayıt yapısı çoğu zaman audit trail, yani işlem izi olarak adlandırılır.
İşlem izi neden yalnızca denetim için değildir?
Kullanıcı hareket kayıtları genellikle yalnızca resmi denetim açısından düşünülür.
Oysa günlük işletme yönetiminde de son derece kullanışlıdır.
Örneğin sistemde bir işlem yanlışlıkla değiştirildiğinde yönetici;
“Bu neden böyle olmuş?”
diye tüm ekibe sormak yerine doğrudan işlem geçmişine bakabilir.
Bu durum hem hataların daha hızlı bulunmasını sağlar hem de çalışanlar arasında gereksiz belirsizliği azaltır.
Kurumsal hafıza kişinin hatırlamasına değil, sistemdeki kayda dayanır.
Personel ayrıldığında ne oluyor?
Yetkilendirme sistemlerinin en kritik anlarından biri personelin görev değiştirmesi veya işletmeden ayrılmasıdır.
Ortak kullanılan kullanıcı hesaplarında eski çalışanın erişimini tamamen kapatmak zorlaşabilir.
Kişisel kullanıcı hesaplarında ise ilgili hesabın yetkisi kaldırılarak erişim merkezi olarak sonlandırılabilir.
Özellikle;
- banka hareketleri,
- müşteri bilgileri,
- şirket raporları,
- fiyat ve satış verileri
gibi hassas alanlarda çalışan değişikliklerinin erişim yetkilerine hızlı şekilde yansıtılması gerekir.
Çok şubeli kuyumcularda konu daha da kritik
Tek mağazalı bir işletmede erişim yönetimi daha basit olabilir.
Ancak şube sayısı arttıkça;
- merkez,
- mağaza müdürü,
- satış personeli,
- finans ekibi,
- muhasebe,
- uyum ekibi
aynı sistem üzerinde farklı görevlerle çalışmaya başlar.
Bu yapıda herkesin tüm şirketi görmesi yerine yetkilerin şirket, şube ve görev bazında ayrılması kontrolü güçlendirir.
Merkez yönetim tüm operasyonu görebilirken şubeler yalnızca kendilerini ilgilendiren kayıtlarla çalışabilir.
Böylece merkezi yönetim ile yerel operasyon arasında denge kurulabilir.
Yetki vermek kadar yetkiyi sınırlamak da önemlidir
Dijital sistemlerde sık yapılan hata, kullanıcı oluştururken ihtiyaçtan fazla yetki vermektir.
“Bir sorun çıkmasın, hepsini açalım.”
yaklaşımı kısa vadede kolaylık sağlar.
Ancak zaman içerisinde sistem büyüdüğünde kimlerin hangi verilere erişebildiğinin kontrolünü zorlaştırır.
Daha sağlıklı yöntem;
asgari gerekli yetki
mantığıdır.
Kullanıcı önce görevini gerçekleştirmesi için gerekli erişime sahip olur. Ek yetki gerekiyorsa kontrollü şekilde açılır.
Bu yaklaşım hem güvenliği hem operasyonel disiplini artırır.
SarrafPro açısından konu neden önemli?
SarrafPro'da banka hareketleri, müşteri işlemleri ve farklı operasyon alanları aynı merkezi yapı içinde yönetilebildiği için kullanıcı yetkilendirmesi sistemin önemli parçalarından biridir.
Rol bazlı erişim ve şube bazlı görünürlük sayesinde işletmeler, kullanıcıların görev alanlarına göre farklı erişim seviyeleri tanımlayabilir.
Kullanıcı hareketlerinin kayıt altına alınması ise yapılan işlemlerin geriye dönük izlenmesine yardımcı olur.
Buradaki amaç yalnızca sistemi güvenli hale getirmek değildir.
Amaç aynı zamanda:
doğru kullanıcının, doğru veriye, doğru zamanda erişmesini sağlamaktır.
Sonuç: dijital güvenlik yalnızca güçlü şifre değildir
Bir işletmenin verilerinin güvenli olması sadece iyi bir parola kullanmasına veya sunucularının korunmasına bağlı değildir.
İçerideki erişim modeli de en az bunun kadar önemlidir.
Kuyumculuk işletmelerinde;
- müşteri verileri,
- banka hareketleri,
- satış kayıtları,
- uyum belgeleri,
- finansal raporlar
aynı dijital ekosistemde toplanırken kimlerin hangi verilere erişebileceğinin açık biçimde tanımlanması gerekir.
Güçlü bir sistem yalnızca işlemleri kaydetmez.
Kimin hangi işlemi yapabildiğini ve gerçekte kimin yaptığını da bilir.
Bu nedenle rol bazlı yetkilendirme ve işlem izi, büyüyen kuyumculuk işletmeleri için basit bir yazılım özelliği değil; finansal kontrol mekanizmasının temel parçalarından biridir.
Sık Sorulan Sorular
Her personelin ayrı kullanıcı hesabı olması gerekir mi?
Operasyonel güvenlik açısından kişiye özel kullanıcı hesapları, yapılan işlemlerin kullanıcı bazında takip edilebilmesini ve erişimlerin gerektiğinde ayrı ayrı kapatılabilmesini sağlar.
Rol bazlı yetkilendirme nedir?
Kullanıcının yalnızca görevi için gerekli ekranlara, verilere ve işlemlere erişmesine izin veren yetki modelidir.
Audit trail nedir?
Bir sistemde kimin, hangi işlemi, hangi tarihte gerçekleştirdiğini gösteren geriye dönük işlem kayıtlarıdır.
Şubeler birbirlerinin banka hesaplarını görmek zorunda mı?
Hayır. İşletmenin operasyon modeline göre şube veya kullanıcı bazında görünürlük sınırlandırılabilir.
Personel işten ayrıldığında ne yapılmalı?
İlgili kullanıcı hesabının erişimi kapatılmalı ve sahip olduğu aktif yetkiler kontrol edilmelidir. Ortak kullanıcı hesaplarından kaçınılması bu süreci çok daha güvenli hale getirir.