Microsoft 365 İşten Ayrılan Çalışan Kontrol Listesi

Önce kararları ayırın: erişim, veri ve lisans

İşten ayrılma anında üç farklı karar vardır: çalışanın hangi sistemlere erişiminin kesileceği, iş verisini kimin devralacağı ve hangi lisansların serbest bırakılacağı. Bunları tek bir kullanıcı silme işlemi gibi ele almak gereksiz veri kaybına veya açık kalan erişimlere yol açabilir. Microsoft’un eski çalışan hesabı yönetimi rehberi de erişimi engelleme, veriyi koruma ve hesabı kaldırmayı ayrı adımlar olarak ele alır.

Quad Bilişim’in önerisi, her ayrılış için tek bir görev kaydı açılmasıdır. Kayıtta yetkili talep sahibi, yürürlük zamanı, hesap kimliği, veriyi devralacak kişi ve kapanış sorumlusu bulunsun. Teknik ekibe yalnızca gerekli bilgiler verilsin; personel dosyasının tamamını destek talebine eklemeyin. Şüpheli bir hesap olayı varsa normal devir akışından ayrı bir olay müdahalesi kaydı oluşturun.

• Erişim kapatma onayı: insan kaynakları veya yetkili yönetici.
• Dosya ve posta devri onayı: ilgili iş birimi ve veri sorumlusu.
• Teknik uygulama ve kanıt: yetkili IT personeli.

1. Oturum açmayı engelleyin, açık oturumları da ele alın

Yönetim merkezinde doğru kullanıcıyı doğrulayın; benzer adlara veya ortak kullanılan hesaplara dikkat edin. Microsoft 365 yönetim merkezindeki etkin kullanıcı kaydında oturum açmayı engelleme, parola sıfırlama ve tüm oturumlardan çıkış işlemleri ayrı seçeneklerdir. Kullanılan yönetici rolü hedef hesaba göre yeterli olmalı; günlük işlemler için gereksiz yüksek yetki verilmemelidir.

Microsoft’un erişimi engelleme adımı, bu işlemlerin her uygulamada aynı anda sonuçlanmayabileceğini açıklar. Dolayısıyla “hesabı engelledim, her yerde anında kapandı” varsayımıyla kaydı kapatmayın. Yerel Active Directory ile eşitlenen ortamlarda bulut tarafı ile yerel dizin sorumluluklarını birlikte planlayın.

Ayrıca Microsoft Entra erişim iptali belgesi, uygulamanın kendi verdiği oturum çerezleri ile Entra oturumlarının farklı olabileceğini belirtir. CRM, VPN ve diğer SaaS uygulamalarında ayrı oturum veya kullanıcı iptali gerekebilir. Kurumsal hesaba bağlı olmayan yerel uygulama hesaplarını da envanterden kontrol edin.

Kapanış ölçütü: IT sorumlusu, engellemenin uygulandığını ve kritik uygulamaların oturum durumlarının ayrıca incelendiğini görev kaydına yazar. Eski kullanıcının parolasını başka bir çalışana vererek devir yapılmaz.

2. E-posta devrini iş ihtiyacına göre seçin

E-postanın nasıl devredileceği işletmenin ihtiyacına bağlıdır. Yalnızca yeni mesajların başka bir sorumluya ulaşması isteniyorsa yönlendirme; geçmiş yazışmalara ekip erişimi gerekiyorsa paylaşılan posta kutusu seçenekleri değerlendirilir. Bunlar aynı sonuçları üretmez. Microsoft’un posta devri rehberine göre yönlendirme yeni gelen mesajları taşırken, paylaşılan posta kutusuna dönüşüm eski posta ve takvim bilgisini koruyabilir.

Paylaşılan posta kutusu her koşulda lisanssız değildir: boyut ve kullanılan arşivleme veya saklama özellikleri ayrıca kontrol edilmelidir. Aynı belge, yönlendirme ya da paylaşılan posta kutusu için bağlı kullanıcı hesabının silinmemesi gerektiğini hatırlatır. Bu nedenle lisans veya hesap kaldırma kararı, seçilen posta yöntemi doğrulandıktan sonra verilmelidir.

Operasyon önerimiz, devralan kişi ve erişim bitiş tarihini yazılı belirlemektir. Gereksiz dış yönlendirme açmayın; müşteri yazışmalarını kişisel e-posta adreslerine taşımayın. Takvimdeki toplantıların ve oda rezervasyonlarının yeni sorumlusunu da belirleyin. Devir testi kurumun onaylı yöntemiyle yapılsın; bu rehber herhangi bir gerçek e-posta gönderimini otomatik başlatmaz.

3. OneDrive dosyalarını silmeden önce sahiplik planı yapın

Bir kişinin OneDrive alanında duran teklif dosyası veya proje klasörü, hesabın kapatılmasıyla ekip açısından sahipsiz kalabilir. Önce iş verisinin listesini çıkarın; hangi içeriğin ortak ekip alanına taşınacağını ve kimin erişeceğini kararlaştırın. Tüm kişisel alanı herkese açmak yerine ihtiyaçla sınırlı yetki verin.

Microsoft’un OneDrive ve Outlook verisi devri rehberi, eski kullanıcının dosyalarına yetkili erişim verilmesini ve korunacak dosyaların taşınmasını açıklar. Belgede, sürüm geçmişi olan dosyaların taşıma veya kopyalama işleminde yalnızca son sürümünün aktarılabileceği uyarısı da bulunur. Sürüm geçmişi iş açısından önemliyse seçtiğiniz yöntemle gerçekten korunduğunu ayrıca doğrulayın.

Silinmiş kullanıcıların OneDrive saklama süresi kiracı ayarlarıyla ilişkili olduğundan, internette görülen tek bir süreye güvenerek hareket etmeyin. Kurumun güncel saklama ayarını ve uygulanmış koruma politikalarını kontrol edin. Dosya listesi, yeni konum, erişim sahibi ve örnek açılabilirlik testi kapanış kaydına eklensin. Geçici yönetici erişimi iş bittikten sonra kaldırılsın.

Silme, arşivleme ve saklama kararları kurumun yetkili sorumluları tarafından verilmelidir. Bu içerik belirli bir hukuki saklama süresi önermez; özel yükümlülükler için kurumunuzun uzmanından görüş alın.

4. Cihazları ve Microsoft 365 dışındaki erişimleri unutmayın

Aşağıdaki liste Quad Bilişim’in operasyonel kontrol önerisidir; Microsoft ürün dokümanının zorunlu adımlarının yerine geçmez. Envanterinizde olan sistemleri seçerek uygulayın.

• Cihazlar: dizüstü bilgisayar, telefon ve güvenlik anahtarlarının teslim durumunu kaydedin.
• Ağ erişimi: VPN, uzaktan destek ve kablosuz ağ kimliklerini kontrol edin.
• İş uygulamaları: CRM, muhasebe, dosya paylaşımı ve müşteri portallarının kullanıcılarını gözden geçirin.
• Yetkili hesaplar: çalışanın yönettiği otomasyonların veya servis hesaplarının yeni sorumlusunu belirleyin.
• Ortak erişimler: gerçekten paylaşılmış bir sır varsa bağımlılıklarını inceleyerek güvenli değiştirme planı hazırlayın.

Kişisel cihazda bulunan kurumsal veri ile şirket cihazının teslimi aynı işlem değildir. Uzaktan silme gibi geri dönüşü zor işlemler, cihaz sahipliği ve yetki onayı doğrulanmadan başlatılmamalıdır. Ortak otomasyonların parolasını plansız değiştirmek de başka ekiplerin işini durdurabilir. Bu nedenle her erişim için “kapatılacak”, “devredilecek” veya “inceleme gerekiyor” durumlarından birini kaydetmek daha güvenli bir iş akışı sağlar.

5. Lisansı en son değerlendirin ve işi kanıtla kapatın

Lisans maliyetini azaltmak yararlıdır; fakat korunması gereken posta ve dosyanın nasıl devredileceği belli olmadan lisans kaldırmak doğru başlangıç değildir. Kullanıcı silme, lisans kaldırma ve posta kutusu dönüşümü farklı işlemlerdir. Geri alma imkânı ve hizmet etkisi, seçilen işlem ve kurum ayarları üzerinden değerlendirilmelidir.

Önerdiğimiz kapanış kontrolü şu dört soruya açık yanıt vermelidir: Eski erişimlere ne oldu? İş verisi kime devredildi? Cihaz ve uygulama sorumlulukları kimde? Geçici erişimlerin bitişi ne zaman? Her satır için uygulayan kişi, kontrol zamanı ve kısa kanıt notu bulunması, aylar sonra süreci yeniden kurmaya çalışmaktan daha pratiktir.

Örnek görev kaydı: “Satış hesabı için oturum engeli kontrol edildi; müşteri klasörlerinin sahibi satış yöneticisi olarak belirlendi; posta devri kararı bekleniyor; lisans işlemi bu karar sonrasına bırakıldı.” Bu örnekte belirsizlik saklanmaz ve tamamlanmayan adım yanlışlıkla kapatılmaz.

Yeni başlayan çalışanlara da aynı şablonun tersini uygulamak, hangi erişimin neden verildiğini izlemeyi kolaylaştırır. Microsoft 365’in temel bileşenlerini ve IT dış kaynak çalışma modelini okuyarak süreçteki sorumlulukları netleştirebilirsiniz.

Sık sorulan sorular

İşten ayrılan kişinin hesabını hemen silmeli miyim?

Oturum erişimini kapatma ile hesabı silme aynı karar değildir. Önce posta ve dosya devri, uygulanmış saklama politikaları ve bağlı servislerin durumu doğrulanmalı; hesap kaldırma kararı bundan sonra yetkili sorumlu tarafından verilmelidir.

Parola sıfırlamak bütün uygulamalardan anında çıkarır mı?

Her uygulama için böyle bir garanti yoktur. Açık oturumlar, erişim belirteçleri ve uygulamaların kendi oturumları farklı çalışabilir. Microsoft 365 ve Microsoft Entra adımları yanında kritik üçüncü taraf uygulamalar da kontrol edilmelidir.

Bu kontrol listesini IT hizmet sağlayıcım uygulayabilir mi?

Kurumunuz gerekli yetkiyi ve açık sorumlulukları tanımlarsa teknik uygulama IT hizmet sağlayıcısına verilebilir. Veri devri ve saklama kararları yine kurumunuzun yetkili kişilerinde olmalı; yapılan işlemler kayda alınmalıdır.

Teknik kaynaklar

• Microsoft: Eski çalışanı kaldırma ve veriyi koruma
• Microsoft: Oturum açmayı engelleme
• Microsoft Entra: Kullanıcı erişimini iptal etme
• Microsoft: E-posta devri ve paylaşılan posta kutusu
• Microsoft: OneDrive ve Outlook veri devri

Kaynak kontrolü: 18 Ekim 2026. Görev kayıtları ve operasyon örnekleri Quad Bilişim’in özgün önerileridir; resmî Microsoft standardı veya güvenlik garantisi değildir.