Erişim İnceleme Sürecini Nasıl Otomatikleştirebilirsiniz? Komple Bir Rehber

Erişim İnceleme Süreci: Yıllarca İnsan Kaynağı Tüketen Bir Kâbus

Şirketlerin compliance süreçlerinde en sık karşılaşılan sorunlardan biri, çalışanların sistemlere erişimlerini düzenli olarak incelemek. Bu işlem, özellikle büyük kurumlar için saatlerce süren, kağıt tabanlı, hata yapmaya açık bir çaba. HR sisteminden gelen çalışan listesi, kimlik sağlayıcıdan (IDP) gelen erişim hakları, ve bilet sisteminden gelen onay geçmişleri — bunlar ayrı ayrı dosyalarda, farklı formatlarda, hatta farklı zaman dilimlerinde tutuluyor. Sonuç? Uyum denetimlerinde yüzlerce eksik veya aşırı erişim tespit ediliyor, ve bu, sadece bir hata değil, düzenli bir kriz.

Neden Bu Kâbus Hâlâ Devam Ediyor?

İşletmelerin çoğu, erişim incelemelerini ‘yılbaşında bir kez’ yapacak bir görev olarak görüyor. Bu yaklaşım, gerçek zamanlı güvenlik için yetersiz. Bir çalışan işten ayrılırken, onun erişimleri 3 hafta sonra kapatılıyor olabilir. Bir yönetici değiştiğinde, ekipteki tüm üyelerin erişim hakları güncellenmiyor. Bu tür gecikmeler, veri sızıntılarına, iç tehditlere ve özellikle SOC 2 ya da ISO 27001 gibi uluslararası uyum standartlarında ciddi ihlallere yol açıyor. Reuters’a göre, 2024 itibarıyla kurumsal veri ihlallerinin %43’ü, aşırı veya eski erişim haklarından kaynaklanıyor.

Reddit’ten Gelen Devrim: Bir Prompt, Üç Sistem, Bir Çözüm

Bu durumda, bir Reddit kullanıcısı, tamamen beklenmedik bir yoldan çözüm üretti. /r/OpenAI forumunda paylaştığı bir prompt zinciri, sadece bir metin komutuyla, üç farklı veri kaynağını — HRIS (İnsan Kaynakları Bilgi Sistemi), IDP (Kimlik Sağlayıcı), ve Ticketing Sistemi — otomatik olarak entegre ediyor. Bu, teknik bir çözüm değil, bir düşünce devrimi.

İşte bu promptun özeti:

1. Verileri Topla: HRIS’den aktif/terk edilen çalışan listesi, IDP’den kullanıcılar ve grup üyelikleri, ticket sisteminden erişim talep ve kapatma geçmişleri CSV olarak çıkarılır.
2. Standartlaştır: Tüm verilerdeki sütun isimleri tek bir yapıya dönüştürülür: Employee_ID, Email, Department, Employment_Status, App_Name, Action_Type, Close_Date gibi.
3. Hata Tespit Et: Aynı çalışanın iki farklı ID’si var mı? E-posta eksik mi? Tarih formatları uyumlu mu? Bu sorular otomatik olarak cevaplanır ve bir ‘Veri Kalitesi Listesi’ oluşturulur.
4. Uyumsuzlukları Bul: İşten ayrılmış bir çalışanın hâlâ Active Directory’de erişimi var mı? Bir yönetici, bir alt çalışanın erişimini onaylamış ama onaylanan talep kapatılmamış mı?

Bu süreç, önceki yöntemlerde 2-3 hafta süren bir inceleme işlemini 4 saatte tamamlıyor. Ve daha da önemlisi: insan hatası %90 azalıyor.

Neden Bu Yöntem Sadece Bir ‘Prompt’ Değil, Bir Strateji?

Çoğu şirket, compliance yazılımı satın almayı düşünüyor. Ama v-comply.com’un 2024 raporuna göre, 72% kurumun kullandığı compliance yazılımı, sadece raporlama fonksiyonu sunuyor — veri entegrasyonu ve otomatik reconciliation yok. Yani, yazılımın kendisi, verileri birleştirmiyor. İnsanlar hâlâ Excel’de bu işi yapıyor.

Reddit’ten gelen bu prompt, tam da bu boşluğu dolduruyor. Bu, bir yazılım satışı değil, bir prosedür değişikliği. Sadece bir AI prompt’u kullanarak, şirketlerin kendi verilerini kendi kurallarıyla analiz etme gücü kazanıyor. Bu, özellikle küçük ve orta ölçekli firmalar için kritik bir avantaj: milyonlarca liralık yazılım almak zorunda kalmadan, kendi verilerini kontrol altına alabiliyorlar.

Uygulama Alanları: Sadece Teknoloji Değil, Sağlık, Eğitim ve Finans

Bu yöntem, sadece bir IT ekibinin sorunu değil. Sağlık kurumlarında, hastane personelinin hasta verilerine erişimi, HIPAA uyumu için kritik. Eğitim kurumlarında, öğrencilerin akademik sistemlere erişimi, FERPA kurallarıyla sınırlandırılıyor. Finansal kurumlar ise, SOC 2 uyumunda, her erişim değişikliğinin izlenebilir olması şart. Bu üç sektörde de, aynı prompt zinciri, farklı veri kaynaklarıyla çalıştırılabiliyor — sadece alan özel sütunlar ekleniyor.

Gelecek: İnsan, AI’ya Sormaya Başlıyor

Bu durum, compliance alanının geleceğini tanımlıyor: artık yazılımlar değil, prosedürler yeniden tanımlanıyor. AI, sadece rapor üretmek için değil, süreçleri yeniden tasarımlamak için kullanılıyor. Bir şirketin IT yöneticisi artık, ‘Bu ayki erişim incelemesi için bir rapor hazırla’ demiyor. ‘HRIS, IDP ve ServiceNow verilerini al, normalize et, uyumsuzlukları bul, ve bana bir eylem planı ver’ diyor.

Bu, teknolojinin değil, düşüncenin ilerlemesi. Ve bu değişiklik, sadece bir prompt ile başladı.