Yetkisi Vardı, Gerekçesi Yoktu: Erişim Yönetimi Neden Yetmiyor?

Avrupa'da bir bankada bir çalışan, iki yıldan uzun süre boyunca müşteri hesaplarına baktı: 3.573 müşteri, 6.600'den fazla sorgu. Hiçbirinin iş gerekçesi yoktu ve hiçbirini kurumun iç izleme sistemleri işaretlemedi. Düzenleyici 2026 martında 31,8 milyon euro ceza verdi. Kimse sistemi kırmadı. Çalışanın erişimi vardı.

Aynı Hikâye, Farklı Ülkeler

Bu tek bir bankanın talihsizliği değil. Örüntü tekrar ediyor.

• Kanada'da bir finans kooperatifi: bir çalışan en az 26 ay boyunca yaklaşık 9,7 milyon kişinin verisini çekti. Veri ambarına erişimi sınırlıydı, ama başka çalışanlar aynı veriyi paylaşım sürücüsüne kopyalamıştı. Denetleyici komiser erişim kontrolü ve veri ayrımının yetersiz olduğunu yazdı.
• Türkiye'de: Kişisel Verileri Koruma Kurulu'nun bir karar özetinde, bir banka çalışanı kendisine tanımlı müşteri bilgilerini görüntüleme yetkisini amacı dışında kullanmış, müşterinin kimlik görüntüsünü fotoğraflamış ve üçüncü kişiyle paylaşmıştır. Karar 100.000 TL idari para cezasıyla sonuçlanmıştır.

Olayların ortak yanı: dışarıdan saldırgan yok, aşılan bir güvenlik duvarı yok, kırılan bir parola yok.

Yetki ile Gerekçe Aynı Şey Değil

Yetki bir soruyu cevaplar: bu kişi ne yapabilir? Gerekçe başka bir soruyu cevaplar: bu kişi bunu neden yaptı?

Erişim yönetimi birinci soruda çok iyidir: rol, grup, tablo yetkisi, kolon yetkisi. İkinci soruda ise çok az kurumun sistemi vardır. Yetkili bir kişi yetkisi dahilinde bir sorgu çalıştırdığında bunun bir iş gerekçesi olup olmadığı hiçbir yerde kayıtlı değildir. Bu yüzden yetki temizliği yaparak, rol matrisini iyileştirerek, hatta kişileri azaltarak bile bu sorunu çözemezsiniz: sorun, yetkisi olan birinin gerekçesiz bakmasıdır.

Bu Vakalarda Ortak Dört Şey

• Süre uzun. İki yıl, 26 ay. Bir defalık bir hata değil, tekrar eden bir davranış.
• Hacim küçük değil. Binlerce müşteri, milyonlarca kayıt.
• Kimse sormadı. Kayıt vardı, izleme vardı, ama "bu sorgunun gerekçesi neydi" diye soran yoktu.
• Ceza orantısız. Bir çalışanın davranışı kurumu milyonlarca euro ve dolarlık bir fatura ile baş başa bıraktı.

Türkiye'de Tavan Ne?

KVKK kapsamında veri güvenliği yükümlülüğünün ihlali için 2026 yılı idari para cezası üst sınırı 17.092.242 TL'dir. Kanun ayrıca ihlalin ilgili kişiye ve Kurula en kısa sürede bildirilmesini ister. Bildirebilmek için de önce şunu bilmek gerekir: hangi veri, kimin eliyle, ne zaman çıktı? Yani "kim, neden baktı" sorusunun cevabı yalnız iç denetimin değil, ihlal anında yasal yükümlülüğün de konusudur.

Çözümün İskeleti: Tek Kanal ve Zorunlu Gerekçe

Üretimden veri çekmenin tek yolu bir talep olsun. Bu talep:

• gerekçe istesin (serbest metin, zorunlu),
• hangi kolonların döneceğini sorgu çalıştırılmadan hedef sunucudan sorup göstersin, kimse veri görmeden,
• hassas kolonları otomatik maskelesin (kimlik numarası, kart, IBAN, telefon),
• maskesiz kolon için gerekçeyle birlikte ayrı bir onay istesin,
• dosyayı şifreli teslim etsin; indirme parolası portalde gösterilsin ve gerekçe istesin,
• kim indirdi, hangi adresten, hangi gerekçeyle kaydı tutsun.

Bu kayıtlar "Veri Erişimi ve Dışa Aktarım Günlüğü" raporunda toplanır. Denetçi "geçen çeyrekte kim hangi müşteri verisini hangi gerekçeyle aldı" diye sorduğunda cevap tek sayfadadır.

Bu Ne Yapmaz?

• Uygulama ekranından yapılan bakışı görmez. Yukarıdaki bankada olduğu gibi çalışan bankacılık uygulamasının ekranından baktıysa iz uygulamanın kendisinde durur. Ürünün konusu veritabanından veri çıkarma talebidir.
• Veritabanına doğrudan bağlanmayı engellemez. Bir DBA kendi hesabıyla SELECT çalıştırabilir. Bunu yakalamak veritabanı etkinlik izleme ve SIEM'in işidir. Doğru kurgu: tek kanal talep, kanalın dışına çıkan her erişim için alarm.
• Dosya indirildikten sonraki hayatını izlemez. İndirilen dosya bir yere kopyalanırsa o kopya ürünün dışında kalır. Bu yüzden maskeleme ve kısa saklama süresi önemlidir.

Bu sınırları yazmak zayıflık değil. Sınırı olmayan bir çözüm anlatan biri ya bilmiyor ya söylemiyor.

Sık Sorulan Sorular

Yetkisi olan birinin gerekçesiz erişimi neden fark edilmiyor?

Erişim yönetimi "bu kişi ne yapabilir" sorusunu cevaplar. "Bu kişi bunu neden yaptı" sorusunun cevabı çoğu kurumda hiçbir yerde kayıtlı değildir. Yetkili biri yetkisi dahilinde bir sorgu çalıştırdığında sistem bunu normal bir işlem olarak görür.

Yetki temizliği bu sorunu çözmez mi?

Tek başına çözmez. Rol matrisini iyileştirmek ve kişileri azaltmak riski düşürür ama yetkisi kalan birinin gerekçesiz bakmasını engellemez. Çözüm, veri çıkarmanın tek yolunu zorunlu gerekçeli bir talebe bağlamaktır.

Bu yaklaşım veritabanına doğrudan bağlanmayı engeller mi?

Hayır. Ürün bir proxy değildir. Bir DBA kendi hesabıyla doğrudan SELECT çalıştırabilir. Bunu yakalamak veritabanı etkinlik izleme ve SIEM'in işidir; doğru kurgu tek kanalın talep olması ve kanal dışı her erişimin alarm üretmesidir.