Erişim kontrolü, bir okulun aldığı en pratik ve etkili veri yönetimi kararlarından biridir. Doğru yapıldığında, hassas bilgiler korunur, personel işlerini yapmak için ihtiyaç duydukları kaynaklara sahip olur ve denetimler kolaylaşır. Yanlış yapıldığında ise -en yaygın olarak çok fazla kişiye çok fazla erişim izni verilmesiyle- okul hem güvenlik riskleriyle hem de uyumluluk sorunlarıyla karşı karşıya kalır.

Bu kılavuz ManageBac+ , OpenApply , Atlas ve SchoolsBuddy gibi platformlarda kullanıcı izinlerini yapılandırmak ve sürdürmekle sorumlu okul yöneticileri ve BT müdürleri içindir. Burada belirtilen ilkeler, okulunuzun hangi sistemleri kullandığına bakılmaksızın genel olarak geçerlidir.

En az ayrıcalık ilkesi: Her kullanıcı, işini yapmak için ihtiyaç duyduğu minimum veri ve işlevselliğe erişebilmelidir - daha fazlasına değil. Bu, etkili erişim kontrolünün temelidir.

Aşırı Yetkilendirmenin Sorunu

Okullarda en sık yapılan erişim kontrolü hatası, bir rolün gerektirdiğinden daha fazla erişim izni vermektir. Bu durum genellikle, özellikle sistem devreye alma sürecinde zaman baskısı altında, dikkatli bir şekilde yapılandırmaktan ziyade geniş erişim izni vermenin daha kolay olmasından kaynaklanır.

Riskler şunları içerir:

• Kazara veri ifşası - sadece kendi sınıflarındaki öğrencilerin değil, tüm öğrencilerin tıbbi kayıtlarını görebilen bir öğretmen.
• İstenmeyen veri değişikliği - yalnızca görüntüleme yetkisine sahip olması gereken bir personel üyesinin kayıtları düzenleme yetkisine sahip olması.
• Uyumluluk riski - GDPR, PDPA ve benzeri düzenlemeler uyarınca, kişisel verilere erişim yalnızca meşru bir ihtiyacı olanlarla sınırlı olmalıdır.
• Denetim zorluğu - izinler gevşek bir şekilde atandığında, kimin hangi verilere ne zaman eriştiğini belirlemek çok zorlaşır.

Aşırı yetkilendirme de kendi kendini besleyen bir durumdur: geniş erişim bir kez verildiğinde, kalıcı olma eğilimindedir. Aktif bir inceleme süreci olmadan, işe alım sırasında verilen yetkiler zaman içinde nadiren azalır - sadece artar.

Rol Tabanlı Erişim Tasarımı

Okul platformlarında erişim kontrolü için en etkili yaklaşım, rol tabanlı erişim kontrolüdür (RBAC): izinler rollere atanır ve kullanıcılar rollere atanır; her kişi için ayrı ayrı izinler yapılandırmak yerine bu yöntem kullanılır.

Okul ortamında iyi tasarlanmış roller genellikle işlev artı veri kapsamı modelini takip eder:

Kullanıcılar sisteme eklenmeden önce roller tanımlanmalıdır; her bir kişi sisteme dahil edilirken anlık olarak yapılandırılmamalıdır. Bu, tutarsızlığı önler ve gelecekteki denetimleri çok daha kolay hale getirir.

İzin Denetimi Gerçekleştirme

Yetki denetimi, kimin neye erişimi olduğunu ve bu erişimin hala uygun olup olmadığını düzenli olarak gözden geçiren bir işlemdir. Düzenli denetimler yapan okullar, bir uyumluluk sorunu haline gelmeden önce, bir kişinin mevcut rolünü artık yansıtmayan erişim haklarının kademeli olarak birikmesi olan yetki kaymasını tespit eder.

Temel bir izin denetimi şunları kapsamalıdır:

• Aktif kullanıcılar - aktif hesabı olan herkesin ilgili pozisyonda okulda çalışmaya devam ettiğini doğrulayın.
• Rol doğruluğu - her kullanıcının atanmış rolünün mevcut iş fonksiyonuyla eşleştiğini doğrulayın.
• Yüksek yetkilendirmeler - yönetici veya süper kullanıcı erişimine sahip tüm kullanıcıları gözden geçirin ve bu yetkilendirme düzeyinin hala gerekli olup olmadığını doğrulayın.
• Etkin olmayan hesaplar - son 90 gün içinde erişilmemiş hesapları belirleyin ve devre dışı bırakılmaları gerekip gerekmediğini araştırın.
• Paylaşılan hesaplar - birden fazla kişi arasında paylaşılan ve denetimi ve hesap verebilirliği imkansız hale getiren tüm hesapları işaretleyin.

Akademik yıl içinde en az bir kez, ideal olarak personel değişikliklerinin en sık olduğu yıl başında, kapsamlı bir izin denetimi yapmayı hedefleyin. Büyük okullar için daha hafif bir yıl ortası incelemesi de faydalı olabilir.

Ekstra Özen Gerektiren Hassas Veri Kategorileri

Tüm veriler aynı riski taşımaz. Öğrenci ve personel bilgilerinin bazı kategorileri, standart akademik kayıtlara göre daha sıkı erişim kontrolleri gerektirir. Çoğu yargı bölgesinde bunlar şunları içerir:

• Tıbbi ve sağlık bilgileri - alerjiler, rahatsızlıklar, ilaçlar; erişim yalnızca belirlenmiş sosyal hizmet personeli ve ilgili öğretmenlerle sınırlı olmalıdır.
• Öğrenme desteği ve özel eğitim ihtiyaçları kayıtları - özel eğitim ihtiyaçlarına ilişkin belgeler; genellikle özel eğitim koordinatörü, ilgili öğretmenler ve öğrencinin velileriyle sınırlıdır.
• Davranışsal ve rehberlik kayıtları - olay kayıtları ve danışmanlık notları; erişim, tüm personele açık olmaktan ziyade net bir politikaya göre sağlanmalıdır.
• Finansal bilgiler - ücret durumu ve ödeme kayıtları; genellikle finans ve üst düzey yöneticilerle sınırlıdır.
• Başvuru sahibinin kişisel verileri - OpenApply , kayıt öncesi başvuru sahibi bilgilerine yalnızca kabul personeli erişebilmeli, okul topluluğunun geneline değil.

Mevcut platform yapılandırmalarınızın bu kategorilere erişimi uygun şekilde kısıtlayıp kısıtlamadığını gözden geçirin. FariaSupport platform kurulumunuzdaki belirli izin ayarları konusunda size tavsiyelerde bulunabilir.

İpuçları ve Dikkat Edilmesi Gerekenler

• Paylaşımlı veya genel hesaplar asla kullanmayın ; her kullanıcının kendi giriş bilgileri olmalıdır; paylaşımlı hesaplar, verilere kimin eriştiğini veya verileri kimin değiştirdiğini takip etmeyi imkansız hale getirir.
• Rol tanımlarınızı belgeleyin - her rolün nelere erişebileceğini ve nelere erişemeyeceğini yazılı olarak kaydetmek, denetimler ve yeni personelin tutarlı bir şekilde işe alınması için çok önemlidir.
• Geçici personele özen gösterin - yedek öğretmenler, sözleşmeli personel ve kısa süreli çalışanlara, görev süreleri sona eren veya görev sürelerinin bitiminde derhal gözden geçirilen, zaman sınırlı erişim izni verilmelidir.
• Mümkün olduğunca kayıt tutun ve izleyin - birçok platform erişim kayıtları sağlar; özellikle yüksek yetkilere sahip kullanıcılar için bunları etkinleştirin ve düzenli olarak inceleyin.

Özetle

• En az ayrıcalık ilkesini uygulayın: her kullanıcı, rolü için ihtiyaç duyduğu minimum erişime sahip olur, daha fazlasına değil.
• Kullanıcıları sisteme dahil etmeden önce rol tabanlı erişim yapıları tasarlayın; kişiye özel olarak değil.
• En az yılda bir kez kapsamlı bir izin denetimi gerçekleştirin ve büyük okullar için yıl ortasında daha hafif bir inceleme yapın.
• Sağlık, özel eğitim ihtiyaçları, manevi destek ve mali kayıtlar da dahil olmak üzere hassas veri kategorilerine ek kısıtlamalar uygulayın.

ManageBac+ , OpenApply , Atlas ve SchoolsBuddy iyi yapılandırılmış erişim kontrolü, öğrenci ve personel verilerini korur ve uyumluluk incelemesi durumunda okulunuzu önemli ölçüde daha savunulabilir hale getirir. Belirli platform kurulumunuzda rol yapılandırması konusunda rehberlik için FariaSupport ile iletişime geçin.

İlgili Makaleler

• Okulunuzun Sistemlerinin Sahibi Kim Olmalı? Sistemler Devreye Alınmadan Önce Rollerin Tanımlanması
• Bir Personel Ayrıldığında: Veri Tabanlı İşten Ayrılma Kontrol Listesi
• Okulların GDPR, PDPA ve Sınır Ötesi Veri Uyumluluğu Hakkında Bilmesi Gerekenler
• Veri Yönetiminde En İyi Uygulamalar