Hukuk Biriminde Yetkilendirme ve Denetim İzi Tasarımı

Gökçen Beyazoğlu LL.B.

Avukat, Chief Product Officer · Attornaid

Hukuk biriminde yetkilendirme, herkesin her dosyayı gördüğü varsayılan yerine beş rol (yönetici, avukat, asistan veya paralegal, dış büro, stajyer) ile altı işlemin (görüntüle, düzenle, sil, dışa aktar, paylaş, yetki ver) kesiştiği bir matrisle kurulur. Gizli dosyalar bu matrisin üzerine konan dosya bazlı bir duvarla yalnızca atanmış kişilere açılır; herkes en az yetkiyle başlar ve geçici yetkiler süresi dolunca kendiliğinden kapanır. Denetim izi her işlem için kim, ne zaman, hangi kayıt, işlem türü, eski ve yeni değer ile cihaz veya oturum bilgisini tutar; dışa aktarım ve toplu indirme ayrıca işaretlenir. Erişim listesi üç ayda bir gözden geçirilir ve sonuç onay kaydıyla saklanır.

Yetkilendirme çoğu birimde bir tasarım kararı olarak değil, yazılımın kurulum günündeki varsayılanı olarak ortaya çıkar: herkes yöneticidir, her dosya herkese açıktır ve kimse kimin neye baktığını bilmez. Sorun ilk yıllarda görünmez; birim büyüdüğünde, bir dış büro sisteme dahil olduğunda veya bir çalışan ayrıldığında bir anda ortaya çıkar. Aşağıdaki çerçeve, hukuk birimi yöneticisinin veya yönetici ortağın BT ile konuşurken elinde tutabileceği beş parçadan oluşur: roller, matris, dosya kısıtı, denetim izi ve gözden geçirme döngüsü.

Neden "herkes her şeyi görsün" varsayılanı sorun

Kurumsal hukuk biriminin dosyaları şirketin geri kalanından farklı bir gizlilik profili taşır. Standart bir tedarik sözleşmesinin birim içinde herkese açık olması çoğu zaman sorun değildir; ancak aşağıdaki dosya türleri için aynı varsayılan ciddi risk üretir:

Yönetim kurulu ve üst yönetim dosyaları: henüz açıklanmamış kararlar, yönetici sözleşmeleri, hisse ve prim düzenlemeleri.
İK ve disiplin dosyaları: fesih süreçleri, iş yeri şikâyetleri, sağlık verisi içeren yazışmalar.
Birleşme ve devralma görüşmeleri: karşı taraf bilgisi, değerleme belgeleri, gizlilik sözleşmesiyle korunan veri odası içerikleri.
İç soruşturmalar: soruşturulan kişinin kendisi birimde çalışıyor veya birime erişimi olabilir; dosyanın varlığının bile görünmesi soruşturmayı etkiler.

Herkese açık varsayılanın ikinci maliyeti ihlal anında ortaya çıkar. Bir belge dışarı sızdığında ve o belgeye yüz kişi erişebiliyorsa kaynağı daraltmak mümkün olmaz; denetim izi tutulmuş olsa bile okunacak kayıt sayısı anlamını yitirir. Erişimi dar tutmak hem sızıntı ihtimalini azaltır hem de sızıntı olduğunda açıklanabilirlik sağlar.

Büyük bürolarda tablo benzerdir. Aynı büro iki rakip şirkete farklı konularda hizmet veriyor olabilir, bir ortağın dosyası diğer ekiplere kapalı tutulmak zorunda olabilir ve çakışma kontrolü sonucunda konan bilgi duvarlarının yazılımda bir karşılığı olması gerekir. Baro kurallarının gizlilik yükümlülüğü ekip içinde "güveniyoruz" ile değil, erişimin fiilen sınırlandırılmasıyla yerine getirilir.

Roller ve yetki matrisi

Beş rol çoğu birim ve büro için yeterlidir. Rol sayısını artırmak değil, her rolün yetkisini kesin tanımlamak ve her kullanıcıyı tek bir role bağlamak önemlidir.

Yönetici: yetki verir ve alır, denetim izini okur, gizli dosya açar. Günlük dosya işini bu hesapla yapmaz; yönetici hesabı günlük iş için kullanılmamalıdır.
Avukat: atandığı dosyalarda tam çalışır; görüntüler, düzenler, dışa aktarır. Silme ve yetki verme yetkisi yoktur.
Asistan veya paralegal: belge yükler, takvim ve yazışma kayıtlarını girer, düzenler. Dışa aktarım yetkisi sınırlıdır veya onaya bağlıdır.
Dış büro (misafir): yalnızca görevlendirildiği dosyayı görür ve o dosyaya belge ekler. Dosya listesinin geri kalanı görünmez; görevlendirme bitince hesap kapanır.
Stajyer: atandığı dosyalarda görüntüler ve taslak hazırlar; dışa aktarım, paylaşım ve silme yetkisi yoktur.

Rol	Görüntüle	Düzenle	Sil	Dışa aktar	Yetki ver
Yönetici	Tüm dosyalar (kayıtlı)	Evet	Evet, arşive taşıma	Evet	Evet
Avukat	Atandığı dosyalar	Evet	Hayır	Evet	Hayır
Asistan veya paralegal	Atandığı dosyalar	Evet	Hayır	Onayla	Hayır
Dış büro (misafir)	Yalnızca görevlendirildiği dosya	Belge ekleme	Hayır	Hayır	Hayır
Stajyer	Atandığı dosyalar	Taslak	Hayır	Hayır	Hayır

Matrisin altıncı işlemi olan paylaşma, bir dosyanın veya belgenin bağlantı yoluyla birim dışına açılmasıdır. Paylaşım yetkisi avukat ve yöneticiyle sınırlı tutulur; her paylaşımın alıcısı ve süresi kayda geçer. Silme ise çoğu düzende gerçek silme değil arşive taşımadır; kalıcı silme yalnızca yönetici tarafından ve saklama süresi dolduğunda yapılır.

Görüntüleme ile dışa aktarma aynı yetki değildir: Bir belgeyi ekranda okumak ile dosyanın tamamını tek seferde indirmek farklı risklerdir. Matris bu ikisini ayırmıyorsa denetim izi de ayıramaz.

Dosya bazlı gizlilik duvarı ve en az yetki

Rol yetkisi "bu kişi genel olarak ne yapabilir" sorusuna cevap verir. Gizlilik duvarı ise "bu dosyayı kim görebilir" sorusuna cevap verir ve rolün üzerine konur. Bir avukatın rolü dosyaları görüntülemeye izin verse bile, gizli olarak işaretlenmiş bir dosya yalnızca o dosyaya atanmış kişilere açılır; atanmamış kullanıcı için dosya arama sonuçlarında ve listelerde bile görünmez.

Dosya açılırken bir gizlilik seviyesi seçilir: açık (birim içi), kısıtlı (yalnızca atanan ekip), gizli (adıyla atanan kişiler ve yönetici).
Yönetim kurulu, İK ve disiplin, birleşme ve iç soruşturma dosyaları varsayılan olarak gizli açılır.
Gizli dosyanın erişim listesi dosya içinde görünür; listeye ekleme ve çıkarma denetim izine yazılır.
Yönetici bile gizli dosyaya girdiğinde bir erişim kaydı oluşur; yöneticinin her şeyi görmesi olağan sayılmaz, kayda geçer.

En az yetki ilkesi, her kullanıcının işini yapmak için gereken en dar yetkiyle başlamasıdır. Yeni bir avukat tüm dosyalarla değil, atandığı dosyalarla başlar; ihtiyaç doğdukça eklenir. Bu ilkenin pratikte işlemesini sağlayan araç geçici yetkidir: bir dosyaya iki haftalığına katılan meslektaş, bir ay sürecek bir inceleme için gelen dış denetçi veya izindeki avukatın yerine bakan kişi, bitiş tarihi belli bir erişim alır ve tarih geldiğinde erişim kendiliğinden kapanır. Süreli erişim, sonra kapatılmak üzere açılıp unutulan yetkilerin birikmesini engeller.

Denetim izinde bulunması gereken altı kayıt

Denetim izi, kimin ne yaptığını sonradan kesin biçimde söyleyebilmektir. Eksik tutulan iz, hiç tutulmamış izden daha kötü sonuç verebilir; çünkü güven yaratır ama ihtiyaç anında cevap vermez. Her işlem için en az altı alan tutulmalıdır.

Denetim izi kaydı	Neden gerekli	Hangi olayda okunur
Kim (kullanıcı kimliği)	İşlemi kişiye bağlar; ortak kullanılan hesaplarda anlamını yitirir	Ayrılış, şikâyet, ihlal şüphesi
Ne zaman (tarih ve saat)	Olayın zaman çizgisini kurar	İhlal şüphesi, uyuşmazlık öncesi inceleme
Hangi kayıt (dosya, belge, alan)	Etkilenen veriyi gösterir	Şikâyet, ihlal şüphesi
İşlem türü (görüntüleme, düzenleme, silme, dışa aktarım, paylaşım, yetki değişikliği)	Riskin ağırlığını belirler	Her okuma
Eski ve yeni değer	Değişikliğin ne olduğunu ve geri alınabilirliğini gösterir	Hatalı düzenleme, şikâyet
Cihaz veya oturum bilgisi	Hesabın başkası tarafından kullanılıp kullanılmadığını ayırt eder	İhlal şüphesi, periyodik örneklem

Dışa aktarım ve toplu indirme kayıtları bu altı alanın içinde yer alır, ancak ayrıca işaretlenmeli ve ayrı bir raporla izlenebilmelidir. Veri sızıntısı çoğu zaman tek bir belgenin düzenlenmesiyle değil, bir dosyanın tamamının veya yüzlerce belgenin kısa sürede indirilmesiyle gerçekleşir. Olağan dışı hacimde indirme, denetim izinin okunmasını beklemeden yöneticiye bildirim olarak ulaşmalıdır.

Denetim izi dört durumda okunur:

Ayrılış: ayrılan çalışanın son altmış gündeki dışa aktarım ve paylaşım kayıtları gözden geçirilir.
Şikâyet: bir müvekkil, çalışan veya karşı taraf, bilginin uygunsuz görüldüğünü veya değiştirildiğini ileri sürdüğünde ilgili dosyanın izi çıkarılır.
Veri ihlali şüphesi: tüm zaman çizgisi kurulur; cihaz ve oturum bilgisi burada belirleyicidir.
Periyodik örneklem: üç aylık gözden geçirmede rastgele seçilen birkaç gizli dosyanın erişim izi okunur. Amaç sorun bulmak kadar, izin gerçekten tutulduğunu doğrulamaktır.

Denetim izi değiştirilemez olmalıdır: İzi tutan sistemde yöneticinin bile kaydı silememesi veya düzenleyememesi gerekir. Değiştirilebilir bir iz, ihlal anında kanıt değeri taşımaz.

Erişim kapatma akışı ve üç aylık gözden geçirme

Yetki tasarımının en çok ihmal edilen parçası kapatmadır. Açılan her erişim bir gün kapanmak zorundadır ve bu kapanış kendiliğinden olmaz. Ayrılan personel için akış dört adımdır:

İK ayrılış bildirimini hukuk birimi yöneticisine ve BT'ye aynı gün iletir.
Son çalışma günü mesai bitiminde hesap devre dışı bırakılır; silinmez, çünkü denetim izindeki kayıtlar kişiye bağlı kalmalıdır.
Ayrılan kişinin sorumlu olduğu dosyalar yeni sorumluya kayıtlı biçimde devredilir ve devir dosyada görünür.
Son altmış günün dışa aktarım ve paylaşım kayıtları gözden geçirilir; sonuç ayrılış dosyasına eklenir.

Biten dış büro görevlendirmesi için akış aynı mantıkla kurulur: görevlendirme sona erdiğinde misafir hesabı kapanır, dış büronun yüklediği belgeler dosyada kalır ve dış büroya açılmış paylaşım bağlantıları iptal edilir. Dış büro hesaplarının en baştan bitiş tarihli açılması bu adımın unutulmasını engeller.

Üç aylık yetki gözden geçirmesi üç çıktıyla tamamlanır:

Liste: her rol için kullanıcı listesi ve her gizli dosya için erişim listesi sistemden alınır; elle hazırlanmaz.
İmza: her dosyanın sorumlusu kendi dosyasının listesini onaylar veya fazlalıkları işaretler; birim yöneticisi rol listelerini onaylar.
Kayıt: onaylanan listeler, kapatılan erişimler ve tarih tek bir gözden geçirme kaydında saklanır; bir sonraki dönemde önceki kayıtla karşılaştırılır.

Kişisel verilerin korunması mevzuatı açısından yetkilendirme ve kayıt tutma, veri sorumlusundan beklenen idari ve teknik tedbirlerin parçasıdır. Erişimin görev tanımına göre sınırlandırılması, erişim kayıtlarının tutulması ve bu düzenin periyodik olarak gözden geçirilmesi, bir denetimde veya ihlal bildiriminde birimin düzenini açıklamasını sağlar. Belirleyici olan politika belgesinin varlığı değil, uygulandığının kayıtla gösterilebilmesidir.

Kontrol listesi

Roller tanımlı ve her kullanıcı tek bir role mi atanmış?
Görüntüleme ile dışa aktarma yetkisi matriste ayrı mı tutuluyor?
Yönetim kurulu, İK, birleşme ve iç soruşturma dosyaları gizli olarak mı açılıyor?
Dış büro ve geçici erişimler bitiş tarihiyle mi veriliyor?
Denetim izi altı alanı da tutuyor ve yönetici tarafından değiştirilemiyor mu?
Toplu indirme olağan dışı hacme ulaştığında yöneticiye bildirim gidiyor mu?
Ayrılan personelin hesabı son gün kapatılıyor ve son altmış günün kayıtları okunuyor mu?
Üç aylık yetki gözden geçirmesi liste, onay ve kayıtla tamamlanıyor mu?

Sıkça sorulan sorular

Hukuk biriminde yetkilendirme neden herkese açık varsayılanla kurulmamalı?

Yönetim kurulu kararları, İK ve disiplin dosyaları, birleşme ve devralma görüşmeleri ve iç soruşturmalar birimin içindeki herkese bile açık olmamalıdır. Herkese açık varsayılan sızıntı ihtimalini artırır ve bir ihlal şüphesinde kimin neyi gördüğünü ayırt etmeyi imkânsız kılar. Varsayılan kapalı, ihtiyaca göre açılan erişim hem daha güvenli hem de açıklanabilir bir düzendir.

Hukuk biriminde hangi roller tanımlanmalı?

Beş rol çoğu birim için yeterlidir: yönetici, avukat, asistan veya paralegal, dış büro (misafir) ve stajyer. Yönetici yetki verir ve denetim izini okur; avukat atandığı dosyalarda tam çalışır; asistan belge ve takvim işlerini yürütür; dış büro yalnızca görevlendirildiği dosyayı görür; stajyer gözetim altında ve dışa aktarım yetkisi olmadan çalışır.

Yetki matrisinde hangi işlemler ayrı ayrı tanımlanmalı?

Altı işlem ayrı ayrı tanımlanır: görüntüle, düzenle, sil, dışa aktar, paylaş ve yetki ver. Görüntüleme ile dışa aktarma aynı yetki sayılmamalıdır; bir belgeyi ekranda okumak ile yüzlerce belgeyi tek seferde indirmek farklı risklerdir. Silme ve yetki verme en dar tutulan iki işlemdir.

Dosya bazlı gizlilik duvarı nedir?

Rol yetkisinin üzerine konan dosya kısıtıdır. Bir avukatın rolü dosyaları görüntülemeye izin verse bile, gizli olarak işaretlenmiş bir dosya yalnızca atanmış kişilere açılır ve atanmamış kullanıcı için listelerde bile görünmez. Yönetim kurulu, İK, birleşme ve iç soruşturma dosyaları bu duvarın tipik kullanım alanlarıdır.

Denetim izinde hangi kayıtlar bulunmalı?

Altı kayıt bulunmalıdır: işlemi yapan kişi, zaman, hangi kayıt veya belge, işlem türü, eski ve yeni değer, cihaz veya oturum bilgisi. Dışa aktarım ve toplu indirme kayıtları ayrıca işaretlenir; çünkü veri sızıntısı çoğu zaman tek bir düzenlemeyle değil, toplu indirmeyle gerçekleşir.

Yetki gözden geçirmesi ne sıklıkla yapılmalı?

Üç ayda bir yapılır. Her rol ve her gizli dosya için erişim listesi sistemden alınır, dosya sorumlusu listeyi onaylar veya fazlalıkları kapatır, sonuç onay kaydıyla saklanır. Ayrılan personel ve biten dış büro görevlendirmeleri bu dönemi beklemez; erişim aynı gün kapatılır.