Dördüncü bölüm geçiş sırasını belirledi: işlemlerden önce ana veriler, açık uçlu değil ilan edilmiş bir bitiş tarihi olan paralel çalışma ve tek bir başarı işareti: biri, kendisine söylenmeden eski dosyayı açmayı bırakır. Veriler artık yeni evinde yaşıyor.

Ve onlarla birlikte dosyalar dünyasında var olmayan bir soru geliyor; kimse onu görmezden geldiği için değil, bir dosyanın bu soruyu sormanın hiçbir yolu olmadığı için: kim neyi görür? Bu, BT için bir güvenlik sorusu değil. Sizin için operasyonel bir sorudur, çünkü cevabı her çalışanın şirket, iş arkadaşları ve müşterileriniz hakkında neler öğrenebileceğini belirler.

Bir dosya tek bir cevap bilir: açık ya da kapalı

Elektronik tablo pek çok iş için mükemmel bir araçtır, ama yetkiler bunlardan biri değildir. Tek bir düzeyi vardır: ona ulaşan her şeyini görür. Bir kişiye görünüp diğerinden gizlenen bir sütun, muhasebecinin okuyabildiği ama satış temsilcisinin okuyamadığı bir satır yoktur. Bazen bir dosyaya konan parola bile denklemi değiştirmez, çünkü içeriği değil kapıyı korur; kapıdan geçince arkasındaki her şey görünür.

Daha önemlisi, kopyalar çoğalır. Tek bir kalemi kontrol etmesi için dosyayı bir iş arkadaşınıza gönderirsiniz ve artık eksiksiz bir kopya kalıcı olarak onun bilgisayarında yaşar. O da kendisine yardım eden kişiye iletir, dosya e-posta, sohbet ve USB bellekle dolaşır ve bir yıl önce ayrılmış bir çalışanın dizüstü bilgisayarında son bulur. Kimseye kalıcı erişim vermediniz, ama kopya bunu sizin adınıza verir ve bir kez çıktıktan sonra geri almanın hiçbir yolu yoktur.

Kimse fark etmeden her gün açığa çıkan üç şey

Bir işletme sahibine dosyalarının neyi açığa çıkardığını sorun, genellikle satış rakamlarını düşünür. Üç başka şey daha sessizce dolaşır ve daha çok önem taşır:

  • Bordro. Bordro dosyası normalde muhasebecide bir tablo olarak başlar, sonra insan kaynaklarının ona ihtiyacı olur, sonra banka havalesini yapan kişi onu kontrol eder. Her biri şirketteki tüm maaşları taşıyan üç kopya. Bir sızıntı için kötü niyet gerekmez: birinin dosyayı yanından geçen bir iş arkadaşının okuyabileceği bir ekranda açması yeterlidir. Ekibiniz üzerindeki etkisi herhangi bir mali kayıptan daha ağırdır, çünkü maaş karşılaştırması çalışma ilişkilerine bir daha eskisi gibi olmayacak şekilde zarar verir.
  • Marjlar ve özel fiyatlar. Satış tablosunun kendisi genellikle maliyet fiyatını, izin verilen indirim aralığını ya da büyük bir müşteriye verilen özel fiyatı içerir. Bir satış temsilcisinin satış yapmak için fiyata ihtiyacı vardır; maliyete ihtiyacı yoktur. İkisini birlikte gördüğünde pazarlık davranışı değişir ve özel fiyatlarınız, bir rakibe geçen ilk çalışanla birlikte piyasaya ulaşır.
  • Müşteri verileri. İsimler, cep telefonu numaraları, adresler ve bazen kimlik belgeleri ile sicil kayıtlarının görüntüleri. Bunlar yalnızca şirket bilgisi değildir; size emanet eden kişilerin kişisel verileridir. Ayrıca iç bir teamül değil yasal bir yükümlülük taşıyan kalem de budur; birazdan buna döneceğiz.

Dikkat edin, üçünden hiçbiri bir kararla açığa çıkmıyor. Kimse temsilcinin maliyeti görmesine karar vermedi; sütun yalnızca başka bir nedenle ihtiyaç duyduğu bir dosyanın içinde bulunuyordu. Sorun tam olarak budur: dosyalar dünyasında açığa çıkma varsayılan durumdur ve istisna, günlük baskı altında kimsenin göstermediği bilinçli bir çaba gerektirir.

Bir sistemin size ilk verdiği şey daha güzel bir ekran değildir

Bir sisteme geçtiğinizde ilk gerçek fark ne görünüm ne de hızdır. Fark, sorunun artık sorulabilir ve cevaplanabilir hale gelmesidir: kim neyi görür? Dört pratik fark vardır:

  • Yetki kişiye değil role bağlanır. Satış rolünün neyi görebileceğini bir kez tanımlarsınız ve o rolü üstlenen herkes bunu devralır. Yeni katılan biri düşünmenin baştan başlamasını gerektirmez ve departmanlar arasında geçen bir çalışanın görebildikleri, birinin aklına geldiği zaman değil, rolüyle birlikte değişir.
  • Yetki alan düzeyine kadar iner. Bir temsilci, aynı satırdaki marjı görmeden müşteri kaydının tamamını ve sipariş geçmişini görebilir. Bu bir dosyada imkânsız, iyi tasarlanmış bir sistemde ise sıradandır.
  • Kimin görüntülediğinin ve kimin düzenlediğinin kaydı vardır. Bu kayıt, personeli izlemekten çok tartışmaları bitirmeye yarayan bir araçtır. Bir rakam değiştiğinde ve herkes onu kimin, ne zaman değiştirdiğini sorduğunda, sistem bir saniyede cevap verir; soru, onu çözecek bir dayanak olmadan karşılıklı suçlamaya dönüşmez. Bu serinin birinci bölümündeki dördüncü işaretin anlattığı tam olarak buydu.
  • Erişim anında geri alınır. Bir çalışan ayrıldığında hesabını devre dışı bırakmak erişimini hemen ve tamamen sona erdirir. Yıllarca süren çalışması boyunca dosyalarınızdan aldığı kopyalar ise onda kalır ve bunları geri almanın, hatta kaç tane olduğunu bilmenin bile bir yolu yoktur.

Hukuki boyut: müşteri verileri bir düzen meselesi değildir

Müşteri verileri diğer iki kalemden farklıdır, çünkü onları kötü yönetmenin bedeli iç bir mahcubiyet değil, yasal sorumluluktur. Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA) tarafından denetlenen Kişisel Verilerin Korunması Kanunu, Krallık içindeki bireylerin kişisel verilerini işleyen her kuruluşa, büyüklüğe dayalı hiçbir muafiyet olmadan uygulanır. Kuruluşu bu verileri korumaktan, amacın gerektirdiğinden fazlasını toplamamaktan ve onları tehdit eden bir ihlali bildirmekten sorumlu tutar.

Bu yükümlülüğü günlük uygulamanın yanına koyun: yüzlerce müşteri kaydı içeren bir dosya bir sohbet uygulaması üzerinden üç çalışana gönderiliyor ve otomatik olarak kişisel telefonlarına kaydediliyor. Bu durumda verilerinizin kopyalarının nerede bulunduğunu, onlara kimin ulaşabildiğini ya da bir müşteri isterse onları nasıl sileceğinizi bilmezsiniz. Bununla, verileri tanımlı yetkiler altında tek bir yerde tutan bir sistem arasındaki fark bir zarafet meselesi değildir; uyum sağlayabilmek ile sağlayamamak arasındaki farktır.

Yükümlülükleri Kişisel Verilerin Korunması Kanunu'na ilişkin pratik rehberimizde daha ayrıntılı açıkladık ve en yaygın durumu, yani müşteri verilerinin konuşmaların içinde dolaşmasını, müşteri konuşmalarınız ve kanun yazısında ele aldık. Daha küçük bir şirket için daha geniş koruma tablosu için KOBİ'ler için siber güvenlik rehberimize bakın.

Origami'nin bakışı

Elektronik tablolarla çalışmış bir şirket için özel bir sistem kurduğumuzda, yetki matrisi teslim aşamasına değil tasarım aşamasına aittir. Nedeni pratiktir: bir yetki, sona eklenen bir ayar değildir; ekranların nasıl bölüneceğini, raporların nasıl kurulacağını ve hassas bir alanın sıradan bir alandan nerede ayrılacağını şekillendiren bir karardır. Onu ertelemek, sonradan bazı bölümlerini yeniden inşa etmeden kısıtlanamayan bir sistem ortaya çıkarır.

Ayrıca bu matrise teorik bir listeden değil, şirketin bugün fiilen dayandığı rollerden başlarız, çünkü operasyonel gerçeklikten uzak tasarlanmış bir yetki işi tıkar ve ekip onun etrafından mevcut en hızlı yolla dolaşır; genellikle verileri bir dosyaya dışa aktararak. O noktada, kimsenin kullanmadığı bir sisteme para ödemiş olarak tam başladığınız yere dönersiniz. Bu mantık hizmetlerimiz kapsamında kurduğumuz her şeyde geçerlidir: işin gerçekte nasıl yapıldığına saygı göstermeyen bir kontrol ayakta kalmaz.

İşi felç etmeden yetkileri belirlemek

İlk devreye almada yaygın hata aşırı katılıktır: her şey kapalıdır ve talep üzerine açılır, böylece ekip haftasını onay bekleyerek geçirir ve sistemi kullanmayı öğrenmeden önce ona kızmayı öğrenir. Şu sıra bunu önler:

  • İsimlerden değil rollerden başlayın. Şirketinizde gerçekten var olan rollerin listesini yazın: muhasebeci, satış temsilcisi, depo sorumlusu, şube müdürü. Genellikle ondan az rol tüm çalışanları kapsar ve bir rol listesini yönetmek, her ay değişen bir kişi listesini yönetmekten çok daha kolaydır.
  • Önce hassas alanları adlandırın. Maaş, maliyet, marj, izin verilen indirim, müşteri kimlik belgeleri. Her şirkette kısa bir listedir ve her kalem için net bir karar sorunun büyük kısmını çözer.
  • Görüntülemeyi düzenlemeden ayırın. Bir rakamı görmesi gereken herkesin onu değiştirmesi gerekmez. Düzenleme olmadan okuma, en güvenli ve işi en az aksatan yetkidir ve çoğu durumda yeterlidir.
  • Dışa aktarmayı ayrı bir yetki yapın. Bu her zaman unutulur: verileri bir dosyaya dışa aktarabilen herkes, yukarıdaki her şeyi tek bir tıklamayla atlatabilir. Bu yetkinin kimde olacağına karar verin ve her dışa aktarmanın, diğer her işlem gibi kayıtta görünmesini sağlayın.
  • Listeyi ekipteki her değişiklikte gözden geçirin. Yeni bir katılım, departmanlar arası bir geçiş ya da sona eren bir iş ilişkisi. Birkaç ayda bir yapılan dönemsel bir gözden geçirme, genellikle ayrılmış kişilere ait hesapları ve bitmiş geçici bir görevden kalan yetkileri ortaya çıkarır.

Yön veren kural basittir: herkes işini yapmak için ihtiyaç duyduğunu ve onu yapmak için ihtiyaç duyduğu her şeyi görür. İlk yarısı sizi korur; ikinci yarısı sistemi, ekibin etrafından dolaştığı bir engele dönüşmekten korur.

Sırada ne var

Kimin neyi göreceğini belirledik; geriye görülecek ne olduğu sorusu kalıyor. Bir sonraki bölüm, her ay sonunda elle hazırladığınız raporları ve bir sistemin içindeki raporun neden, anlattığı ay çoktan geçtikten sonra biten bir toplama çalışması yerine şu anın bir görünümü haline geldiğini ele alıyor. Ardından seriyi geçişten sonraki ilk otuz gün ve bu sürede genellikle nelerin bozulduğuyla kapatıyoruz.

Kaynaklar