Otomasyon Kurulumunda Yetki (Permission) Tanımlamada Yapılan Hatalar

Otomasyon sistemleri, iş süreçlerini hızlandırmak için AI Automation ve Workflow Automation araçlarını kullanırken, güvenlik açısından en kritik adımlardan biri yetkilendirme (permission) tanımlamadır. Yanlış yapılandırılmış izinler, veri sızıntısından sistem ele geçirilmesine kadar ciddi sonuçlar doğurabilir. Bu yazıda, en sık yapılan 5 hatayı ve doğru uygulamaları adım adım inceleyeceğiz.

1. Tüm Entegrasyonlara Tam Yönetici Yetkisi Vermek

Yanlış olan: Bir CRM ile e-posta pazarlama aracını bağlarken, entegrasyon token'ına “admin” seviyesinde izin vermek. Bu, otomasyonun sadece ihtiyacı olan okuma/yazma alanlarının çok ötesine geçer.

Risk Senaryosu: Diyelim ki bir klinik, randevu hatırlatmaları için bir AI Automation asistanı kullanıyor. Asistanın CRM’e tam erişimi var. Bir gün asistanın bağlı olduğu sunucuda bir güvenlik açığı bulunuyor; saldırgan bu açıktan yararlanarak CRM’deki tüm hasta kayıtlarını (isim, telefon, adres) dışarı sızdırıyor. Oysa asistanın sadece randevu verilerini okuma yetkisi yeterli olurdu.

Doğrusu: Her entegrasyona “en az yetki” (least privilege) prensibiyle yaklaşın. Sadece işlevini yerine getirmesi için gereken minimum izni verin. Örneğin, bir API entegrasyonunda yalnızca ilgili endpoint’lere erişim sağlayın.

2. Kapsam (Scope) Sınırlamalarını Göz Ardı Etmek

Yanlış olan: Bir workflow automation aracına tüm Google Drive dosyalarına erişim izni vermek, oysa sadece bir klasördeki belgeleri okuyup güncellemesi gerekiyor.

Doğrusu: Cloud hizmetlerinde (Google, AWS, Azure vb.) kapsamı daraltın. Örneğin, yalnızca “/marketing/reports” klasörüne okuma/yazma yetkisi verin. Scope'ları her zaman minimum düzeyde tutun.

3. API Anahtarlarını Kod İçinde Sabit Kodlamak ve Aşırı Yetkilendirmek

Yanlış olan: Python betiğine API anahtarını düz metin olarak yazmak ve anahtara yönetici izni atamak. Bu betik bir repository'ye yanlışlıkla yüklenirse herkes erişebilir.

Doğrusu: API anahtarlarını ortam değişkenlerinde veya güvenli bir parola yöneticisinde saklayın. Anahtarın yetkilerini de en aza indirin – sadece betiğin gerçekten kullandığı işlemleri yapmasına izin verin.

4. Düzenli Yetki Gözden Geçirmeyi İhmal Etmek

Yanlış olan: Yıllar önce kurulan bir entegrasyona verilen izinleri hiç kontrol etmemek. Zamanla çalışanlar değişse de eski izinler kalır, “yetki sürünmesi” (permission creep) oluşur.

Doğrusu: Belirli aralıklarla (örneğin 3 ayda bir) tüm otomasyon izinlerini denetleyin. Kullanılmayan entegrasyonları kaldırın, yetkileri güncel ihtiyaçlara göre yeniden değerlendirin.

5. Rol Tabanlı Erişim Kontrolü (RBAC) Kullanmamak

Yanlış olan: Her kullanıcı veya servise bireysel izinler vermek yerine, doğrudan “okuma/yazma” gibi genel izinler atamak.

Doğrusu: RBAC kullanarak roller oluşturun (örneğin, “Randevu Okuyucu”, “Fatura Düzenleyici”). Her otomasyon bileşenini bir role atayın. Bu, izin yönetimini basitleştirir ve hata riskini azaltır.

Sonuç olarak, AI Automation ve Workflow Automation projelerinde güvenlik en başından itibaren düşünülmelidir. Yukarıdaki hatalardan kaçınarak, hem veri sızıntısı riskini azaltır hem de uyumluluk gereksinimlerini karşılarsınız. Unutmayın: “en az yetki” en iyi uygulamadır.