Kullanıcı yetkisi nedir, kim neyi görür?

Bir iş yazılımında herkesin her şeyi görmesi gerekmez. Satış temsilcisinin kendi müşterilerini, depo sorumlusunun stok hareketlerini, finans müdürünün kasa ve banka bakiyelerini görmesi yeter. Maaş ya da maliyet fiyatı gibi bilgiler ise yalnız işi gereği bakması gerekenlere açık olmalıdır. Kullanıcı yetkileri bu “kim neyi görür ve neyi yapar” sorusunun yazılımdaki yanıtıdır.

Yetkiler genellikle tek tek kişilere değil, “Muhasebe” ya da “Satış” gibi iş tanımlarına karşılık gelen rollere bağlanır. Kullanıcı bir rol aldığında o rolün izinlerini devralır. Görevi değiştiğinde izinleri tek tek aramak yerine rolünü değiştirmek yeter.

Rol, izin ve kapsam

ERP’de yetki genellikle üç soruya yanıt verir:

• İzin: Hangi işlem yapılabilir? Görüntüleme, oluşturma, düzenleme, onaylama ve dışa aktarma ayrı izinlerdir.
• Kapsam: Hangi kayıtlarda? Yalnız kendi kayıtları, ekibinin kayıtları, bir şube ya da bir şirket.
• Alan: Kaydın hangi bilgileri? Bir kullanıcı cariyi görebilir ama vergi numarasını, IBAN’ı ya da maliyet fiyatını görmeyebilir.

Rol bu üçünü tek pakette toplar. Bir kişiye birden çok rol verildiğinde kişinin yetkisi bu rollerin birleşiminden oluşur. Bu yüzden bir roldeki açık yasağın başka bir rolden gelen izni geçip geçmediği önemlidir.

Görev ayrılığı

Yetki tasarımı yalnız erişimi daraltmaz, aynı kişinin bir işlemi baştan sona tek başına yürütmesini de önler. Faturayı kesen kişinin tahsilatı da alması ya da siparişi onaylayan kişinin sevkiyatı da yapması iç kontrol açısından risklidir. “Dört göz” ilkesi, bir kaydı oluşturan kişiyle onaylayan kişinin farklı olmasını ister.

KVKK ile ilişkisi

6698 sayılı Kanun’un 12. maddesi veri sorumlusuna, kişisel verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kişisel Verileri Koruma Kurulu’nun hazırladığı Kişisel Veri Güvenliği Rehberi, çalışanlara yalnız iş ve görevleri ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmasını ve bir erişim yetki ve kontrol matrisi oluşturulmasını önerir. Rehberin teknik tedbirler tablosunda yetki matrisi, yetki kontrolü, erişim kayıtları ve veri maskeleme de yer alır.

IWB’de kullanıcı yetkileri

IWB’de rolleri Ayarlar’da tanımlarsınız ve her modül için seviyeyi seçersiniz: Erişim yok, Görüntüler, Düzenler ya da Tam yetki. Rolü kişilere ve departmanlara atarsınız; Yönetici, Muhasebe, Satış ve Depo gibi hazır rol şablonları kurulumla gelir. Kişinin hangi kayıtları göreceği kayıt sahibine (Tümü, Kendi, Ekibi, Alt ağaç), şubeye ve şirkete göre sınırlanır. Bunlardan hiçbiri tek başına görülen kayıtları genişletemez. Rollerin birleşiminde yasak, izinden önce gelir. Kayıt kuralları ise bir rolün hangi kayıtları göreceğini koşula bağlar.

Her alanı bir rol için Gizli, Maskeli, Salt okunur ya da Düzenler olarak ayarlayabilirsiniz. Gizli alan ekranda, listede, dışa aktarmada, yazdırmada ve IWB AI yanıtında görünmez. Yevmiye ve kebir gibi yasal çıktılar bu gizlemenin dışındadır. T.C. kimlik numarası ve IBAN gibi hassas bilgiler varsayılan olarak gizlidir.

Görev ayrılığı için 15 hazır kural gelir: 10 çakışma kuralı ve 5 dört göz kuralı. Örneğin fatura kesen tahsilat alamaz, siparişi onaylayan sevk edemez. Her kural ya yalnız uyarır ya da işlemi engeller. “Kim ne görebilir” ekranı bir kullanıcının bir kaydı neden görüp göremediğini adım adım açıklar. Rol, atama ve alan ayarlarındaki değişiklikler Güvenlik Günlüğü’ne yazılır.