KISA CEVAP

Bir yönetim kurulu devri, yeni ekip alan adını, web sitesini, ortak gelen kutusunu, ödeme platformunu ve üye kayıtlarının kontrolünü ele alana ve ayrılan ekip artık ihtiyaç duymadığı erişimi yitirene kadar tamamlanmış sayılmaz. Parola belgesi bunu kanıtlamaz. Her sisteme sahibinin kim olduğunu, kimin yönetebildiğini ve hangi kişisel hesabın kurtarma yoluyla onu geri alabileceğini sorun. Yanıt, tek bir eski gönüllünün e-posta adresiyse devir hâlâ açıktır.

Başkan bir Drive klasörünü devrediyor. Sayman bir elektronik tabloyu devrediyor. Alan adını satın alan kişi haziranda mezun oldu, ama yenileme mesajları hâlâ kişisel gelen kutusuna gidiyor. Kimse bir sonraki yönetim kurulunu açıkta bırakmak istemedi. Dernek yalnızca belgeleri devretti, kontrolü devretmedi.

Bu yazı, bir geliştiricinin ortadan kaybolmasını değil, yönetim kurulunun değişmesini konu alıyor. Aynı web sitesi yayında kalabilir; ama arkasındaki kuruluş onu yönetme imkânını yitirebilir.

Yeni yönetim kuruluna yalnızca bir klasör değil, kontrol gerekir

Derneğin harekete geçmesini durdurabilecek şeylerle başlayın: alan adı ve yenilemesi, web sitesi ve barındırma hesabı, ortak posta kutusu, ödeme platformu, üye sicili ve varsa yayın ya da analitik hesapları. Her biri için hesabın adı yazılı sahibini, mevcut yöneticileri, kurtarma adresini ve bundan sonra sahibi olması gereken rolü yazın.

Soru pratik: Görevden ayrılan başkanın telefonu bu gece kaybolsa, yeni yönetim kurulu erişimi sıfırlayıp siteyi ve ödemeleri çalışır durumda tutabilir mi? Yanıt o başkana bağlıysa dernek devri bitirmemiştir.

Şekil 1Yönetim kurulu devri

Rolü devredin. Eski erişimi kapatın.

Parolaların yazılı olduğu bir belge, hizmeti şu anda kimin kontrol ettiğini kanıtlayamaz.

Şekil 1Kontrol dernekte kalır; kişi yalnızca kendi hesabını elinde tutar.CNIL dernekler rehberi ve erişim rehberi. İşleyiş modeli; adı geçen bir dernekle ilgili bir bulgu değildir.

Ortak parola, eski kurulu içeride tutar

Ortak bir giriş, neyi kimin değiştirdiğini gizler ve parolanın eski bir kopyasını herkesin notlarında bırakır. Ayrılışları da zorlaştırır: parolayı değiştirmek gelen ekibi dışarıda bırakabilir, olduğu gibi bırakmak ise giden ekibi içeride tutar. Her kişi için adı belli bir yönetici hesabı, ayrılışı parolanın kopyalandığı her yeri aramaya değil, bir yetki değişikliğine dönüştürür.

CNIL'in dernekler rehberi, çalışanlar ve gönüllüler için bireysel bir tanımlayıcı, gerçek görevlere dayalı erişim ve kişi ayrıldığında hesapların kapatılmasını öneriyor. Erişim rehberi ise ayrılış prosedürleri, geçerliliğini yitirmiş hakların kaldırılması ve düzenli erişim incelemeleri istiyor. Bunlar, ortada bir ihlalden söz edilmeden önce bile yararlı işleyiş kurallarıdır.

Rol hesapları kalır, kişisel yetkiler gider

Dernek rolü elinde tutmalıdır: secretariat@... gibi ortak bir adres, sahibi olduğu alan adı kayıt kuruluşu hesabı ve yönetici erişimini geri almanın belgelenmiş bir yolu. Kişi ise kişisel girişi ve yetkileriyle ayrılmalıdır. Bu ayrım, eski bir gönüllünün hesabını etkin tutmadan posta kutusunun ve web sitesinin yönetim kurulu değişikliklerinden sağ çıkmasını sağlar.

Bir hizmet, hesabın adı belli bir kişiye ait olmasında ısrar ediyorsa, bu rolü kimin üstlendiğini ve hangi işlemin onu devrettiğini kaydedin. Birden çok yöneticiyi destekliyorsa, erişimi geri alabilecek ikinci bir mevcut yönetim kurulu üyesini belirleyin. Kurtarma kodlarını herkese açık bir devir dosyasına koymayın. Derneğin üzerinde anlaştığı güvenli bir yöntem kullanın.

Gelen ekip erişimi kendisi sınamalıdır

Gelen sahibin kendi hesabıyla oturum açmasını, zararsız bir ayarı değiştirip geri almasını ve ardından giden hesabın eski haklara artık sahip olmadığını doğrulamasını sağlayın. Kayıtlı adreslere bir deneme mesajı göndererek yenileme ve güvenlik bildirimlerini kontrol edin. Aynısını ödeme ve üyelik sistemlerinde de yapın; eskimiş bir giriş orada gerçek üye verilerine ulaşır.

CNIL'in dernek rehberi, kuruluşlardan üye dosyalarına kimlerin erişebileceğini sınırlamalarını istiyor. Dolayısıyla erişim incelemesi devrin parçasıdır; isteğe bağlı bir teknik toparlama değildir. Tarihi, mevcut sahibi ve hâlâ kapatılması gereken istisnaları kaydedin.

Dernek hesaplarının sahibiyse ücretsiz bir kontrol tablosu işe yarar

Her hizmet için bir satır, mevcut bir sahip, bir yedek yönetici, kurtarma yolu ve bir ayrılış eylemi içeren bir kontrol tablosu hazırlayın. Giden ve gelen görevlilerin tabloyu birlikte gözden geçirmesini sağlayın. Sürprizleri çözmek için iki taraf da ulaşılabilirken eski yetkileri kaldırın. Tabloyu, bir sonraki kurulun bulabileceği, derneğin kontrolündeki bir alanda tutun.

Az sayıda hizmeti olan küçük bir dernek için düzeltmenin tamamı bu olabilir. Sınır, hesaplar derneğin dışındaki bireylere ait olduğunda, kurtarma e-postası artık erişilemez olduğunda ya da ayrılan bir kişinin erişim jetonuna (token) hangi entegrasyonun dayandığını kimse bilmediğinde gelir. Bir belge, kuruluşun hiç elinde tutmadığı kontrolü devredemez.

Elevates, bir sonraki devri tekrarlanabilir kılar

Elevates, yönetim kuruluyla birlikte web sitesini, alan adını, postayı, ödeme ve üye sistemlerini envantere alabilir; hangi hesapların kişilere bağlı olduğunu belirleyebilir; hizmetlerin izin verdiği yerlerde sahipliği taşıyabilir; adı belli roller tanımlayabilir ve kurtarmayı gelen görevlilerle sınayabilir. Ortaya çıkan, çalışan bir erişim haritası ve tekrarlanabilir bir ayrılış kontrol listesidir; çözülmemiş sağlayıcı adımları açıkça belirtilir.

Yeni yönetim kurulu bağımsız olarak oturum açabiliyor, içerik yayımlayabiliyor, yenileme bildirimlerini alabiliyor ve giden bir görevlinin erişimini kaldırabiliyorsa devir gerçektir. Tek kurtarma yolu hâlâ eski bir gönüllüyse, bu yol ortadan kalkmadan kontrolü devretmek için Elevates ile çalışın.

Bize Ulaşın