Sözlük · Süreç, yetki ve güvenlik
Rol tabanlı yetkilendirme (RBAC) nedir?
Rol tabanlı yetkilendirme (RBAC), yazılımda erişim haklarının kişilere tek tek verilmediği, satış temsilcisi ya da muhasebe gibi tanımlı rollere bağlandığı modeldir. Kullanıcı yetkisini atandığı rolden alır. Kişi görev değiştirdiğinde yalnız rol ataması güncellenir.
Son güncelleme: · Yazar: Şevket Erer, Kurucu Ortak, Yapay Zekâ Uzmanı
Rol tabanlı yetkilendirme neden kullanılır?
Kişi başına yetki vermek küçük bir ekipte kolay görünür. Ekip büyüdükçe kimin neyi gördüğü izlenemez hale gelir: işten ayrılanın yetkisi kapatılmaz, departman değiştirenin eski yetkisi üzerinde kalır. Rol modeli yetkiyi tanımlı rollere bağlar; kişi değişir, rol aynı kalır. Rol modeli denetimi de kolaylaştırır. Muhasebe rolünün müşteri kartlarını görüp göremeyeceği tek yerde cevaplanır. Kişisel veriye erişimi görevle sınırlamak, KVKK'nın veri güvenliği için beklediği tedbirlerden biridir ve rol modeli bunu yazılı bir düzene çevirir.
Roller nasıl tanımlanır?
Rol tabanlı yetkilendirmede roller şirketteki gerçek görevlerden çıkarılır: satış temsilcisi, satış müdürü, muhasebe, İK ya da saha teknisyeni gibi. Her rolün hangi kayıtları görüp değiştirebileceği ve hangi işlemleri yapabileceği yazılır; kullanıcı bir ya da birkaç role atanır ve yetkisini rolden alır. Rol değişikliği kimin yaptığıyla kaydedilir.
- Roller çıkarılır
Şirketteki gerçek görevlerden roller tanımlanır: satış temsilcisi, satış müdürü, muhasebe, İK, saha teknisyeni gibi.
- Kapsam yazılır
Her rolün hangi kayıtları görebileceği, hangilerini değiştirebileceği ve hangi işlemleri yapabileceği belirlenir. Kapsam kişinin kendi kayıtları, ekibinin kayıtları ya da bütün şirket olabilir.
- Kişiler atanır
Kullanıcı bir ya da birkaç role atanır ve yetkisini rolden alır.
- Değişiklik izlenir
Rol ya da atama değiştiğinde kimin, ne zaman, neyi değiştirdiği kaydedilir. Roller düzenli aralıklarla gözden geçirilir.
Bir örnek
Bir inşaat firmasında şantiye şefleri kendi projelerinin kayıtlarını ve sözleşme kapsamını görmeli, müşteriyle yapılan fiyat pazarlığını görmemeli. Muhasebe faturaları ve ödeme planını görür ama şantiye raporunu değiştiremez. Bir şantiye şefi başka bir projeye geçtiğinde yalnız rol ataması değişir; yetkileri tek tek elden geçirmek gerekmez.
Bu sayfa genel bilgidir, hukuki görüş değildir; mevzuat son olarak 23 Eylül 2026 tarihinde kontrol edildi. Resmi metin: Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr), Kişisel Verileri Koruma Kurumu (kvkk.gov.tr)
Corex360'ta nasıl görünür?
Corex360'ta erişim rol bazlıdır: her kullanıcı yalnız rolünün kapsamındaki kayıtları görür, yetki değişikliği yönetici onayı ister ve kayda geçer. Corex Drive'da dosyalar yetkiye bağlıdır; paylaşım süreli, yetkiye bağlı ve geri alınabilir bağlantıyla yapılır. Aynı güvenlik katmanı Corex360 Bulut'ta da kendi sunucunuzda da çalışır.
Sık karıştırılan terimler
| Denetim izi (audit log) | Yetkilendirme kimin neyi yapabileceğini önceden belirler. Denetim izi yapılanı sonradan gösterir. İkisi birlikte çalışır. |
|---|---|
| Kimlik doğrulama | Kimlik doğrulama kullanıcının iddia ettiği kişi olduğunu doğrular; şifre ve doğrulama kodu bu adımdır. Yetkilendirme, doğrulanan kişinin neye erişebileceğini belirler. |
İlgili terimler: Denetim izi (audit log), Veri işleme sözleşmesi
Sık sorulanlar
Rol tabanlı yetkilendirmede bir kullanıcının birden fazla rolü olabilir mi?
Çoğu sistemde evet ve yetkiler rollerin birleşimi olur. Rolleri az ve anlamlı tutmak kimin neyi gördüğünü açıklanabilir kılar.
Rol tabanlı yetki KVKK için yeterli mi?
Tek başına yeterli sayılmaz ama gerekli tedbirlerdendir. Erişim kaydı, şifreli yedek, aydınlatma ve saklama süreleriyle birlikte değerlendirilir.
Rol tabanlı yetkilendirmede yöneticiler her şeyi görmeli mi?
Görevin gerektirdiği kadarını. Yönetici rolü geniş olabilir, ama kişisel veri ve ücret gibi alanlar yalnız ilgili rollere açılır.
Bu sayfa işinize yaradı mı?