Sophos Central’a giren her kullanıcı aynı yetkiye sahip olmak zorunda değil. Konsol beş önceden tanımlı rol sunuyor: Super Admin, Admin, Help Desk, Read-only ve User. Bu rollerin doğru dağıtılması, hem operasyonel hata riskini hem de bir denetimde “kim neye erişebiliyor” sorusuna verilecek yanıtı doğrudan etkiliyor. Çoğu kurulumda görülen hata, ilk yöneticinin herkese Super Admin vermesi; bu, kısa vadede pratik görünse de ilerleyen bir olay incelemesinde veya KVKK denetiminde geri dönüşü zor bir zafiyete dönüşüyor.
Beş rol, beş farklı yetki seviyesi
Super Admin, Sophos Central’daki her şeye erişir: politika değişikliği, rol yönetimi, özel rol oluşturma, API kimlik bilgilerinin yönetimi ve destek talebi açma dahil. Hesapta en az bir Super Admin bulunması zorunlu; bu rol silinemez veya tamamen devre dışı bırakılamaz.
Admin de ürünlerin tamamına erişir ama rol yönetemez; kimin hangi yetkiye sahip olacağına karar veremez. Karantinaya alınmış e-postaları serbest bırakma ve destek talebi açma gibi günlük işlemleri yürütür — çoğu BT ekibi için asıl çalışma rolü budur.
Help Desk, ayarlarda salt okunur erişime sahip ama pasif değil: uyarıları kapatabilir, ajan yazılımını güncelleyebilir, cihaz taraması başlatabilir ve markalama (co-branding) ayarını değiştirebilir. Rol yönetimine veya API kimlik bilgilerine dokunamaz. Sık personel değişikliği olan destek ekiplerine tanımlanacak doğal rol bu.
Read-only, hassas raporları ve uyarıları görüntüler ama hiçbir yönetim işlemi yapamaz. Denetim, sigorta veya üst yönetim raporlaması için erişim isteyen kişilere bu rol yeterli oluyor; Admin yetkisi vermek gereksiz risk yaratır.
User rolündeki kişiler konsola değil, yalnızca Self Service Portal’a erişir — kendi cihazlarındaki karantina veya parola sıfırlama gibi sınırlı işlemleri buradan yürütürler.
Neden bu ayrım gerçekten önemli
7545 sayılı Siber Güvenlik Kanunu ve KVKK’nın teknik tedbirler beklentisi, erişim yetkilerinin görev tanımına göre sınırlandırılmasını (en az ayrıcalık ilkesi) doğrudan işaret ediyor. Bir denetimde “güvenlik konsolunuza kim, hangi yetkiyle erişiyor” sorusuna somut bir rol listesiyle yanıt verebilmek, KVKK teknik tedbirler kapsamında beklenen kontrollerden biri. Ayrıca personel ayrılığında tek tek şifre değiştirmek yerine ilgili hesabı devre dışı bırakmak, hesap paylaşımından doğan iz kaybını da önlüyor.
Pratik karşılığı şu: dış danışman veya iş ortağına geçici erişim verilecekse Read-only veya sınırlı bir özel rol yeterli oluyor; Super Admin paylaşımı hem gereksiz hem de sonradan takip edilmesi zor bir yetki genişlemesine yol açıyor.
Özel rol nasıl oluşturulur
Standart dört rol her kurumun ihtiyacına birebir uymuyor. Sadece firewall günlüklerini görecek ama endpoint politikasına dokunmayacak bir ağ ekibi üyesi örneğin. Bu durumda Super Admin, Global Settings > Access Control > Admins and Roles > Roles menüsünden bir özel rol tanımlayabiliyor. Özel roller önceden tanımlı rollerden birini temel alır, ardından erişim belirli bir ürüne (yalnızca firewall, yalnızca endpoint gibi) daraltılabilir. Yalnızca Super Admin özel rol oluşturabiliyor; bu yetki de kasıtlı olarak geniş dağıtılmıyor.
Kurulum sırasında izlenmesi gereken sıra şöyle: önce hangi ekip üyesinin hangi ürüne, hangi işlem yetkisiyle erişmesi gerektiği çıkarılır, ardından bu ihtiyaç mevcut dört rolden biriyle karşılanıyor mu diye bakılır, karşılanmıyorsa özel rol tanımlanır. Rol atamasını ürün bazında değil kişi bazında düşünmek, ilerleyen dönemde rol karmaşasının en sık nedeni.
Çok şirketli yapılarda ek katman
Birden fazla şirket veya iştiraki tek Sophos Central hesabından yöneten kurumlarda rol ataması alt-hesap (sub-estate) düzeyinde de ayrıca yapılabiliyor — bir yönetici yalnızca kendi şirketinin alt-hesabında yetkili olup diğerlerini göremeyebilir. Bu yapı özellikle holding bünyesindeki gruplarda ve birden fazla müşteriyi tek panelden izleyen yönetilen hizmet modellerinde kritik; her hesabın verisi izole kalırken üst düzey görünürlük tek panelden sağlanıyor.
Sık sorulan sorular
Super Admin sayısı sınırlı mı olmalı? Sophos bir zorunluluk koymuyor ama pratikte iki-üç kişiyle sınırlı tutmak, yetki dağılımını denetlenebilir kılıyor. Herkese Super Admin vermek konsolu değil, hesap verebilirliği zayıflatıyor.
Help Desk rolü uyarıları kapatabiliyor ama politika değiştiremiyor mu? Doğru. Help Desk ayarlarda salt okunur ama alarm/uyarı yönetimi, ajan güncelleme ve tarama gibi operasyonel işlemler yapabiliyor; politika veya rol değişikliği için Admin ya da Super Admin gerekiyor.
Özel rol oluşturmak için ek lisans gerekiyor mu? Hayır, rol yönetimi Sophos Central’ın standart bir parçası; ayrı bir ücretlendirmesi yok.
Personel ayrıldığında hesabı silmek mi, rolü değiştirmek mi doğru? Anında erişimi kesmek için hesabı devre dışı bırakmak önceliklidir; denetim izinin bütünlüğü için kaydın tamamen silinmesi genelde tercih edilmiyor.
Mevcut Sophos Central hesabınızdaki rol dağılımının denetim ve KVKK gereksinimleriyle uyumlu olup olmadığını değerlendirmek için teklif alın sayfasından iletişime geçilebilir; lisans yenileme sürecinde rol yapısının gözden geçirilmesi de lisans yenileme kapsamında ayrıca ele alınabiliyor.
Kaynaklar: Sophos Central Administration Roles · Sophos Central Administration Role Summary · Sophos Central Add Administrators