Müvekkil sırrı ve dosya erişim yetkisi nasıl sınırlandırılır?

Avukat, stajyer, sekreter ve muhasebe gibi rollerin hangi bilgilere erişebileceği ayrı ayrı tanımlanmalıdır. Herkesin işini yapmak için ihtiyaç duyduğu bilgiye erişmesi, fazlasına erişmemesi esas alınmalıdır.

Bu ayrımın işi zorlaştırmaması gerekir; aşırı kısıtlı bir yapı çalışanları alternatif yollar aramaya iter ve fiilen daha risklidir. Doğru denge, günlük işi aksatmayan ama gereksiz erişimi kapatan bir yapıdır. Dosya bazında istisna tanımlanabilmesi de faydalıdır; özellikle hassas dosyalarda erişimi yalnızca ilgili avukatla sınırlamak gerekebilir ve bu esneklik olmadan tüm yapı ya çok gevşek ya çok katı kalır. Doğru kurulan bir yetki düzeni ise günlük işleyişte fark edilmez; yalnızca gerekmeyen kapılar kapalı kalır.

Kimin hangi dosyaya ne zaman eriştiği kayıt altına alınmalıdır. Bu kayıt hem bir sorun doğduğunda inceleme imkânı verir hem de varlığıyla caydırıcı bir etki üretir.

Kaydın değiştirilemez olması da önemlidir; sonradan düzenlenebilen bir iz, kanıt değeri taşımaz. Ayrıca kayıtların düzenli olarak gözden geçirilmesi gerekir; hiç bakılmayan bir kayıt yalnızca olay sonrası işe yarar, oysa dönemsel bir kontrol olağandışı erişim örüntülerini önceden yakalayabilir. Ekibin bu kaydın varlığından haberdar olması da gereklidir; gizli tutulan bir izleme hem etik olarak sorunludur hem de caydırıcılık etkisini tamamen kaybeder. Kaydın amacının kişileri denetlemek değil gizlilik yükümlülüğünü korumak olduğunun anlatılması ise ekipte doğru karşılanmasını sağlar.

Müvekkille ve karşı taraflarla belge paylaşımı e-posta eki yerine erişimi kontrol edilebilen bir kanaldan yapılmalıdır. Bir kez gönderilen ek geri alınamaz ve nerede saklandığı hiçbir zaman bilinemez.

Kontrollü bir kanalda ise kimin ne zaman eriştiği görülür ve gerektiğinde erişim kapatılabilir. Müvekkilin kendi dosyasındaki belgelere erişebilmesi ayrıca büroya gelen talep sayısını da azaltır. Paylaşım öncesinde belgenin kimlerle paylaşılacağının bilinçli bir karar olması gerekir; alışkanlıkla yapılan toplu gönderimler, gizlilik ihlallerinin en yaygın nedenlerinden biridir ve çoğu zaman fark bile edilmez. Alıcı listesini gönderim öncesinde bir kez okumak, bu riskin büyük bölümünü hiçbir maliyet olmadan ortadan kaldırır.

Bir kişi büroyla ilişiğini kestiğinde tüm erişimlerinin kapatılması aynı gün yapılmalı ve bu bir kontrol listesine bağlanmalıdır. Kimsenin görevinde olmayan bir kapatma işlemi kaçınılmaz olarak ertelenir.

Listenin kapsamlı olması gerekir: sistem hesapları, e-posta erişimi, paylaşılan klasörler, fiziksel anahtarlar ve varsa cihazlar. Ayrıca kişinin üzerindeki açık işlerin ve dosya sorumluluklarının devredilmesi de aynı listede yer almalıdır. Bu adımların bir sorumlusu olması ve tamamlandığının kaydedilmesi işi güvenceye alır; ayrılma günü yoğun geçtiğinde hatırlamaya bırakılan hiçbir işlem yapılmaz ve açık haftalarca sürebilir. Listenin varlığı bu işi kişisel dikkate bağlı olmaktan çıkarır ve tamamlandığının kaydı da geriye dönük bir güvence oluşturur.

Altı ayda bir yapılacak bir denetim, zamanla genişlemiş yetkileri ortaya çıkarır. Erişimler kurulduğu gibi kalmaz; geçici olarak verilen haklar kalıcılaşır ve rol değişiklikleri yetkilere yansımaz.

Denetimde bakılacak şey basittir: kim hangi yetkiye sahip ve bu yetki hâlâ gerekli mi. Artık ihtiyaç duyulmayan erişimlerin kapatılması gerekir; geçici verilmiş bir hakkın kalıcılaşması en sık rastlanan durumdur. Ayrıca aktif olmayan hesapların tespiti de bu denetimin parçasıdır; kullanılmayan bir hesap unutulduğu için en savunmasız açıklardan biridir. Denetimin bir kişiye görev olarak atanması ve sonucunun kaydedilmesi, işin gerçekten yapılmasının tek güvencesidir. Kaydedilmemiş bir denetim, yapılıp yapılmadığı bilinemeyen bir denetimdir.