Yetkilendirmenin İşletme Güvenligindeki Yeri
Bir perakende işletmesinde onlarca hatta yüzlerce kisi aynı ERP sistemi üzerinde çalışır. Kasyer kasada satış yapar, mağaza müdüru stok transferi onaylar, bölge müdüru birden fazla şubenin raporlarıni inceler, muhasebe departmani finansal verileri yönetir ve genel müdür tüm bu verilere tek bir noktadan erişir. Her bir kullanıcınin ihtiyaç duyduğu veri ve işlev farklı olduğuna göre, herkesin aynı yetki seviyesine sahip olması hem gereksiz hem de tehlikelidir.
Yetkilendirme eksıklığı işletmelerde ciddi risklere yol açar. Yetkisiz fiyat değişiklikleri kârlılık kayıplarina neden olur. Kontrolsuz iade işlemleri suistimal kapisi açar. Maliyet verilerine herkesin erisebilmesi rekabet avantajini tehlikeye atar. Müşteri kişisel verilerinin kontrolsuz erişimi ise KVKK kapsamında agir cezai yaptirim riski oluşturur. Bu risklerin tümü, yapılanndirilmis bir yetkilendirme sistemi ile yönetilebilir.
İşletme güvenliginin temeli "en az yetki ilkesi"dir (Principle of Least Privilege). Bu ilkeye göre her kullanıcıya sadece görevini yerine getirmek için ihtiyaç duyduğu minimum yetki seviyesi verilir. Kasiyerin maliyet verilerini gormesine gerek yoktur, muhasebecinin kasa acma yetkisine ihtiyaçi yoktur, bölge mudürünün diğer bölgelerin verilerine erismesi gerekmez. Bu ilke doğru uygulandiginda hem ic güvenlik artar hem de operasyonel verimlilik yükselir cunku kullanıcılar sadece ilgili ekranlari görür ve karmaşıkliktan uzaklasir.
Rol Tanımlama ve Erisim Kontrolu
Rol bazlı erişim kontrolü (RBAC - Role Based Access Control), kullanıcılara bireysel olarak yetki atamak yerine roller tanımlayip bu rollere yetki setleri atamak ve kullanıcılari uygün rollere eklemek prensibine dayanir. Bu yaklaşım özellikle çok şubeli perakende işletmelerinde yetki yönetimini ölçeklenebilir ve suerduruerulebilir killar.
Tipik bir perakende işletmesinde tanımlanmasi gereken temel roller sunlardir: Kasyer rolu satış işlemi yapabilir, ödeme alabilir, Z raporu cekebilir ancak fiyat değiştirme, iade onaylama veya stok görüntuleme yetkisine sahip değildir. Mağaza müdüru kasyer yetkilerine ek olarak iade onaylama, stok transferi başlama, belirli bir sınıra kadar indirim verme ve personel çalışma saatlerini görüntuleme yetkilerine sahiptir. Bölge müdüru kendi bölgesindeki tüm mağazaların satış raporlarıni, stok durumlarini ve personel performansıni görebilir ancak diğer bölgelerin verilerine erisemez.
Merkez muhasebe rolu finansal veriler, cari hesaplar, banka mutabakatlari ve vergi raporları üzerinde tam yetkiye sahipken mağaza operasyonlarına müdahale edemez. Genel müdür veya ust yönetim rolu ise tüm verilere okuma erişimi sağlar ancak operasyonel işlem yetkisi genellikle sınırlı tutulur. Bu sayede yanlislikla yapılacak bir işlem tüm sistemi etkilemez.
İşlem Bazlı Yetkilendirme
Rollerin yaninda belirli işlemler için ek yetkilendirme katmanlari tanımlanabilir. Fiyat değiştirme yetkisi özellikle hassas bir alandir; kasiyerin veya mağaza mudürünün satış esnasinda ürün fiyatini değiştirip değiştiremeyecegi, değiştirebiliyorsa hangi oranlarda sınırlama olacagi belirlenir. Örneğin kasyer hicbir fiyat değişikligi yapamaz, mağaza müdüru yüzde 10'a kadar indirim verebilir, bölge müdüru onayiyla yüzde 25'e kadar cikilabilir şeklinde kademeli bir yapi kurulabilir.
Kasa acma ve kapatma işlemleri de yetki kontrolüne tabi tutulmalidir. Z raporu çekme yetkisi genellikle mağaza müdüru ve üstü pozisyonlarla sınırlandirilir. Kasa sayımi ve kasa devri işlemleri ayrı yetkiler olarak tanımlanabilir. İade işlemlerinde ise tutar bazlı sınır belirlenebilir: örneğin 500 TL'ye kadar iadeler kasyer tarafından yapılarken, üzerindeki tutarlar mağaza müdüru onayina tabi tutulur.
Maliyet ve kar marjı verilerine erişim özellikle dikkatle yönetilmelidir. Ürünun alis fiyatini gormek kasayer için gereksiz ve riskli bir bilgidir. Bu veriler sadece satın alma departmani, ust yönetim ve muhasebe rollerine açılmalidir. Benzer şekilde personel maas bilgileri, tedarikçi sözleşme detaylari ve stratejik planlama verileri de sınırlı erişimli olmalıdır.
Denetim Izi ve KVKK Uyumu
Denetim izi (audit trail), sistemde gerçekleştirilen her işlemin detaylı kaydini tutan mekanizmadir. Kim, ne zaman, hangi cihazdan, hangi işlemi yapti; bu sorularin cevabi denetim izinde saklanir. Bu kayıtlar değiştirilemez ve silinemez olmalıdır, aksi takdirde denetim fonksiyonunu yitirir.
Etkili bir denetim izi sistemi su bilgileri kaydetmelidir: kullanıcı adi ve rolu, işlem tarihi ve saati, işlem turu (satış, iade, fiyat değişikligi, stok transferi vb.), etkilenen kayıtlar (ürün kodu, müşteri numarası vb.), işlem öncesi ve sonrasi değerler ve işlemin yapıldigi cihaz veya IP adresi. Bu kayıtlar belirli süreler boyunca saklanmali ve yetkili kisiler tarafından sorgulanabilir olmalıdır.
KVKK (Kişisel Verilerin Korunmasi Kanunu) kapsamında ERP sistemlerinde alınması gereken önlemler sunlardir: müşteri kişisel verilerine (TC kimlik, telefon, adres, e-posta) erişim sadece ilgili departmanlarla sınırlandirilmalidir. Veri işleme kayıtları tutulmali ve duzunli olarak denetlenmelidir. Belirli süre sonunda artik ihtiyaç duyulmayan kişisel veriler silinmeli veya anonim hale getirilmelidir. Veri ihlali durumunda otomatik bildirim mekanizmasi devreye girmeli ve ilgili kisiler ile KVKK Kurumu bilgilendirilmelidir.
Çok şirketli yapılarda yetki izolasyonu ayrı bir önem taşır. Aynı ERP sistemi üzerinde birden fazla şirketin verisi yönetiliyorsa, bir şirketteki kullanıcı diğer şirketlerin verilerine kesinlikle erismemelidir. Bu izolasyon hem ticari gizlilik hem de yasal zorunluluk açısından kritiktir. Nebim V3 platform altyapısı çok şirket, çok kullanıcı yapısıni destekler ve şirketler arası veri izolasyonunu garanti eder.
Parola Politikalari ve Oturum Güvenligi
Güçlu yetkilendirme sistemi, güçlü kimlik doğrulama ile desteklenmelidir. Parola politikasi en az 8 karakter uzunluk, büyük-küçük harf, rakam ve özel karakter içerme zorunlulugu, belirli sürelerle parola yenileme gerekliliği ve son birkac parolanin tekrar kullanilamamamasi gibi kurallari kapsamalidir. Mağaza kasiyerleri için PIN tabanlı hızlı giriş desteklenebilir ancak hassas işlemler için tam parola girilmesi zorunlu tutulabilir.
Oturum yönetimi de güvenligin önemli bir bileşenidirr. Belirli bir süre işlem yapılmadiginda oturumun otomatik kapanmasi, aynı kullanıcınin birden fazla cihazdan es zamanlı girişinin engellenmesi veya izlenmesi ve başarısiz giriş denemelerinde hesabin gecici olarak kilitlenmesi gibi önlemler uygulanmalıdir.
Nebim V3 ile Yetki Yönetimi
Nebim V3 ERP sistemi, kapsamli bir yetkilendirme altyapısı sunar. Platform, ofis kullanıcısi, mağaza kullanıcısi ve servis kullanıcısi olmak üzere uc temel kullanıcı tipi tanımlar. Her kullanıcı tipi için farklı yetki setleri oluşturulabilir ve bu setler işlem bazında detaylandirilabilir.
Mağaza kullanıcısi yetkileri özellikle ince ayarlanabilir: satış yapma, iade işleme, stok sorgulama, fiyat görüntuleme, indirim uygulama, Z raporu çekme, kasa sayımi gibi işlemlerin her biri için ayrı yetki tanımlari mevcuttur. E-Mutabakat Kullanicisi ve Veri Al/Gonder Kullanicisi gibi özel roller de sistem entegrasyonlarinda güvenli veri alışverişini sağlar.
Nebim V3 modülleri üzerinden her modül için ayrı yetki tanımlari yapılabilir. Satin alma modülüne erisen bir kullanıcı stok modülünun tamamina erismek zorunda değildir. Bu granular yaklaşım, en az yetki ilkesinin pratikte uygulanmasini kolaylaştırır. Denetim izi mekanizmasi tüm işlemleri otomatik olarak kaydeder ve raporlama aracılari ile analiz edilmesine imkan tanır.
Sonuç
ERP sistemlerinde rol bazlı yetkilendirme, işletme güvenliginin ve operasyonel verimliligin temel taslarindan biridir. Doğru tanımlanmis roller, işlem bazlı yetki sınırlari, etkili denetim izi mekanizmasi ve KVKK uyumlu veri erişim kontrolleri birlikte uygulandiginda, işletme hem ic tehditlere hem de dissal risklere karsi koruma altina alınır. Yetkilendirme bir kerelik bir konfigure değil, sürekli gozden gecirilmesi ve güncellenmesi gereken dinamik bir süreçttir.
ERP sisteminizde yetkilendirme yapısıni güçlandirmek ve KVKK uyumunu sağlamak mi istiyorsunuz? Bize ulaşın, işletmenize özel güvenlik yapılandırması için görüşelim.
