Selam Ekip - E67 - Identity and Access Management

Selam ekip, ben Productivity ekibinden Erdem.

Ben Storefront Therapy gibi ekibinden Cengiz.

Teknoloji ekiplerini tanıdığımız ve süreçler, teknolojiler gibi konuları konuştuğumuz Selam Ekip Podcast serisinin 67.

bölümünde Identity and Access Management ekibiyle birlikteyiz.

Bu ekibi tanıyıp, ekip yapısı, kullanılan teknolojiler ve pratikler gibi konuları konuşacağız.

Hoş geldiniz arkadaşlar. Hoş geldiniz.

Hoş bulduk. Hoş bulduk.

Kısaca bize kendinizi tanıtabilir misiniz?

Önce ben başlayayım isterseniz.

Merhaba, ben Tuğçe.

32 yaşındayım.

Kocaeli Üniversitesi Elektronik ve Haberleşme Mühendisliği mezunuyum.

İlk olarak sektörde haberleşme alanında başlamıştım.

Sonrasında güvenlik alanına geçtim.

7 yıldır bu sektörde çalışıyorum.

3 yıldır da Trendyol'dayım.

Trendyol'a başladığımda bilgi güvenliği ekibinde başlamıştım.

Ekip büyüdükçe bölündük.

Şu anda IEM ekibi altında görev alıyorum.

Burası benim 4. şirketim.

Trendyol gerçekten çalıştığım diğer şirketlerden çok farklı.

Burada inanılmaz bir enerji var.

Çok dinamik bir yapımız var.

Bizi zorladığı noktalar oluyor tabii.

Ama 3 yılın sonunda geri dönüp baktığımda geldiğimiz nokta beni çok mutlu ediyor.

Bu noktadaki en önemli etken bence iyi bir ekip.

Bu ekibin de bir parçası olduğum için iyi ki diyorum diyerek sözümü tamamlayıp Gürkan'a topu atayım.

Ağzına sağlık ben devam edeyim.

Merhabalar ben Gürkan Çetinkaya.

32 yaşındayım.

Yaklaşık 14 aydır Trendyol'da çalışıyorum.

Ben de 2017 yılında Ege Üniversitesi Bilgisayar Mühendisliğinden mezun oldum.

Yaklaşık 7,5 yıldır bu sektördeyim.

Daha önce de bir bankada farklı farklı birçok ekipte görev alma şansım oldu.

Farklı domain ekiplerine developer olarak görev aldım.

Sonra 2019 yılından itibaren de aslında Securet hayatına giriş yaptım.

Bankanın mimari ekibinde Arctic Train Engine olarak çalışmıştım.

Hep bir keşke Securet üzerine bir çalışmalarımız oldu.

Trendyol'a geldiğim ilk günden bu yana aslında Tuğçe'nin de dediği gibi müthiş bir enerjiyle karşılaştım.

Yani iş hayatımın büyük bir kısmını bankada geçirmiş biri olarak burada kültür ve enerjinin çok daha farklı seviyede olduğunu görmek beni çok memnun etti.

Tabii bu düşüncelerime sebep olan da biricik IM ekibine genç, enerjik ve sevgili dolu yaklaşımlarımdan dolayı teşekkür ediyorum.

Oradan da topu ben alayım isterseniz.

Selamlar, ben de Bestay Can Yılmaz, 29 yaşındayım.

Süleyman Demir Üniversitesi Elektronik Haberleşme Mühendisliği bölümünden mezunum.

Yaklaşık 4 yıldır Trendyol'da çalışıyorum.

İlk girişim aslında infra ekibiyle birlikte oldu.

İlk 2 yıl onlarla birlikte çalıştım.

Ardından rotasyon kültürü sayesinde aslında şirketin ayağım ekibine geçiş yaptım.

Burası benim ilk iş yerim ve aslında iş hayatım burada doğdu diyebilirim.

O yüzden şey kısmı benim için çok büyük avantaj oldu.

İnfradayken kendi uzmanlaşmak istediğim alanının aslında security olduğunu fark edip bu kültürü sayesinde istediğim alana doğru yönelme fırsatında bulundum.

Ve bu yüzden de mutluyum açıkçası.

O zamandan beri de IAM ekibinde arkadaşlarımla birlikte çalışıyoruz.

Ve aslında onlar da bahsettiler ama ikimiz aşırı enerjik, iletişime harika olan bir ekip.

Dolayısıyla burada olduğum için çok mutluyum ben de aynı şekilde.

Tekrar hoş geldiniz arkadaşlar.

Yani dolu dolu kendinizi tanıttınız.

Bu tanışma faslında bazı ekipler çok kısa tutuyorlar, bazı ekipler de sizin gibi dolu dolu anlatıyorlar.

İki türlüsünü de seviyoruz tabii.

Tekrar hoş geldiniz.

Şimdi Identity and Access Management ekibi isim olarak da baktığımız zaman aslında bizim tüm izinlerimiz.

Yani izinlerimiz ne diyeyim, herhangi bir yere girme izinlerimiz.

kimlik yönetimimiz vs. gibi şeyler benim aklıma geliyor.

Ki zaten birçoğunuzla da direkt olarak mesajlaşmışızdır.

Ya şöyle bir problemimiz var falan tarzında.

Birazcık Identity and Management ekibinin Trendyol'daki sorumluluklarından bahsedelim isterseniz.

Bu ekip neyi hedefliyor?

Sorumlulukları nelerdi Trendyol içerisinde?

Tabii ki. Öncelikle Identity and Access Management'ın ne olduğunu kısaca tanımlayalım.

Türkçe ifadesiyle erişim ve kimlik yönetimi aslında.

Ama podcast boyunca bizden çokça IEM olarak bahsettiğimizi duyacaksınız.

Sektörde de bu kısaltma zaten çokça kullanılıyor.

IEM tanımına gelecek olursak doğru kişilerin doğru kaynaklara, doğru zamanlarda ve doğru erişim seviyelerinde erişmesini sağlayan bir konsept olarak tanımlayabiliriz.

Bunun daha iyi oturması için çok sevdiğim bir otel örneği var.

Onu verebilirim.

Bir otele giriş yaptığınızı düşünün.

Resepsiyona gidip kimliğinizi gösteriyorsunuz ya da rezervasyon kodunu söylüyorsunuz.

Burada aslında authentication, kimlik doğrulama adımını gerçekleştiriyorsunuz.

Senin gerçekten o kişi olduğunu kanıtlıyorsun.

Kimliğin doğrulandıktan sonra sana bir oda kartı veriliyor.

Bu kart sadece senin odanı açıyor.

Başkasının odasını açamaz.

Ya da asansörde belli katlara çıkabiliyorsun o kartla.

Spor salonuna gidebilirsin, VIP lunch giremezsin gibi otelin hangi alanlarına giriş yapabileceğin de belli oluyor.

Bu da aslında authorization yani yetkilendirme.

İçerideki aslında bilgi teknolojileri alanındaki ifadesi de bu gibi diyebiliriz.

Bu iki kavram IEM'in yapı taşları.

IEM de uzaktan çalışmayla ve dijitalleşen dünyada şirketler için çok daha kritik bir noktaya geldi.

Trendyol'da bu alanın öneminin farkındaydı.

Ve çok hızlı aksiyonlar aldı ve ekibimiz çok hızlı bir şekilde büyüdü.

Şu an kocaman büyük bir ekibiz ve bu IEM ekibi olarak Trendyol'da neler yapıyoruz ondan bahsedeyim kısaca.

Bir çalışan işe başladığında ihtiyaç duyduğu sistemlere erişimin sağlanması aşamasından, işten çıkış sürecine kadar ki doğru kaynaklara erişmesi, yetkilendirilmesi, sistemlerin, uygulamaların

kendi aralarında güvenli bir erişim sağlaması.

Tüm bu erişimlerde kullanılan kullanıcı ve sistem hesaplarının güvenliğinin sağlanması, kayıtlarının tutulması, raporlanması süreçlerini geliştirip iyileştirilmesi IEM ekibi olarak sorumluluklarımız

arasında diyebilirim.

Burada 3 ekip olarak hedefimiz içerideki tüm IEM süreçlerini olabildiğince merkeze iyileştirmek, yeni IEM teknolojilerini de takip ederek modern ve güvenli bir yapı yaratmaya çalışıyoruz.

Oluşabilecek bir güvenlik ihlali durumları içinde.

İçerideki görünürlüğü artırmak bizim için çok kıymetli.

Böylelikle daha hızlı aksiyonlar alabilmeyi hedefliyoruz diyebilirim.

Aslında bir noktada size Trendyol için bir nüfus müdürlüğü departmanı da diyebilir miyiz?

Muhtarlık gibi. Yani evet bence.

Bir yandan da giriş çıkışı da kontrol ediliyor.

Çok kapsamlı. Sadece nüfus müdürlüğü değil aslında yani.

Daha kapsamlı bir şey bulamadım şu anda.

Ne diyebiliriz bilmiyorum bu yüzden de.

Ben şeyi merak ediyorum.

Ekibin içerisindeki dağılım nasıl?

Yani hangi rollerde insanlar çalışıyor bu ekipte?

Aslında Tuğçe birazcık bahsetti.

Çok hızlı büyüdüğümüzden vs.

de konuştuk. Arkada böyle 3 tane virtual team olarak çalışıyoruz.

Biri privilege access management, identity management ve access management olarak.

Tüm ekip 3 farklı uzmanlık alanında aslında aynı amaca yönelik olarak çalışıyor.

Örneğin birazcık ben IDM tarafından bahsedeceğim.

O tarafta destek veriyorum ekibe.

Burada bir hesabın oluştuğu andan bitiş anına kadar yaşam döngüsünü yönetiyoruz diyebiliriz.

Daha genel bir tabir kullanmam gerekirse de aslında hani şey gibi onboarding, offboarding, yetkilendirme gibi tüm akışların yönetimi diyelim buraya.

Tabii bir yönetimi sağlarken süreçlerde şeye çok fazla önem veriyoruz.

İşte SOD, minimum yetki prensibi.

gibi konular bizim bayağı kırmızı çizgimiz oluyor burada.

Roller ve yetkilendirme politikalarının oluşturulması ve uygulanması da bizim sorumluluğumuzda.

Kullanıcı yetkilerinde belirli sürelerde gözden geçirilmesini istiyoruz mesela ilgili kişilerden.

Bunlarla birlikte de kullandığımız ürün üzerinde bu tarz geliştirmeler yapıp trend yol ve kendi güvenlik ihtiyaçlarımıza göre bu durumu özelleştiriyoruz.

Süper, süper.

Valla bu kadar detaylı olması, farklı farklı amaçlar için farklı farklı yerlere bölünmesi.

Çok güzel böylelikle bir süreç diğerini bloklamamış oluyor ve hepsi aslında ayrı ayrı eforlar şeklinde ilerliyor.

Gayet güzel. Şimdi birazcık onboarding durumundan da bahsettik.

Yani onboardingden bahsetmişken hani sizde bir tık farklı sanırım bu durum.

Size gelen, yeni gelen biri nasıl bir onboard süreci içerisinde ilerliyor?

Aslında tam olarak öyle.

Tüm Trendyol'daki onboardi ile bizim onboardimiz birazcık birbirinden farklı oluyorlar.

Uçtan uca Trendyol'a tüm gelen kişiler aslında bizim için bir onboardi.

Şöyle oluyor aslında böyle kısaca bahsetmek istiyorum çok zaman almadan.

Yeni başlayacak olan arkadaşımız aslında hepimizin bildiği üzere insan kaynaklarından bir sistemden dahil oluyor ilk başta hayatına.

Ve o andan itibaren bizde bir onboardi olmuş oluyor.

Girilen bilgilere göre kullanıcının belirlediğimiz standartlara uygun olarak hesabının ilk uygulamalarda, ilgili uygulamalarda açılmasını ve yetkilendirmesini sağlıyoruz.

Hepimizin ilk gün yaşadığı sorunlar vardır işte yani.

Ben buraya erişemiyorum.

İşte şurada yetkim yok, yetki talep etmem gerekiyor vesaire gibi.

Bunları da mümkün mertebe güvenlik riski oluşturmadan yönetmeye çalışıyoruz gibi düşünebiliriz burasını.

Bu süreçlerin ortasında olduğumuzdan da ekip arkadaşlarımızın onboarding adımlarını ilk elden takip edebiliyoruz.

Bununla birlikte yeni gelen kullanıcılarımız için de aslında bir bodylik ataması yapılıyor.

Ve bu sene hızlı bir büyüyen bir ekip olduğumuz için de iki kere bodylik yapma fırsatım oldu ekipte sadece bu sene içerisinde.

Arkadaşlarımız işe başlamadan önce onları soruyup sorularını yanıtlıyoruz.

İşte bir düşündüğü ya da sıkıntı duyduğu bir durum varsa onları mümkün mertebe rahatlatmaya çalışıyoruz.

Aynı zamanda da başladığı günden itibaren gerek kültür gerekse teknik anlamda onları süreçlerden bahsedip onun ekibe ve tren yolu en kısa zamanda alışmasını sağlamaya çalışıyoruz.

Bu seneki tecrübeme göre söyleyebilirim ki alışmaları hiç de zor olmuyor.

Çünkü sadece bodisi değil tüm ekip inanılmaz bir tatlılıkla ekibimize dahil ediyoruz arkadaşımızı.

Ona paralel de isterseniz diğer ekiplerden de birazcık bahsedebiliriz.

Suç'a belki girmek ister araya.

Olur. Ben de kısaca PAM tarafında neler yapıyoruz, ondan bahsedeyim.

Bizim de PAM ekibi olarak odak noktamız ayrıcalıklı hesaplar ve kritik sistemler içerideki.

Bu noktada kritik erişimlerde 5'den 1'ka soruların tamamına yanıt arıyoruz diyebilirim.

Ne, nerede, ne zaman, nasıl, niçin, kim sorularını aslında cevaplandırarak erişim süreçlerini şeffaf ve güvenilir.

hale getirmeye çalışıyoruz.

Burada hedefimiz tüm kritik sistemlere erişim sağlayan hesapların güvenli bir noktada tutulması.

Bu hesapların güvenli bir noktadan erişiminin sağlanması ve şifre yönetiminin merkezi bir şekilde yapılması.

Aynı zamanda SSO ve MFA çok faktörlü kimlik doğrulama gibi entegrasyonları da hayata geçirerek merkezi ve güvenli bir erişim süreci oluşturuyoruz.

Kısaca özet olarak tüm ekiplerin ve çalışanların Trendyol altyapısındaki kritik noktalara erişimlerini sistemlerimiz üzerinden güvenli, merkezi ve kontrol edilebilir bir yapıya taşımak için çalışıyoruz.

Trendyol'da sizin de bahsettiğiniz gibi tüm çalışanlara ve birçok ekibe dokunuyoruz diyebilirim.

Sözü Gürkan'a bırakabilirim.

Tabii. Ben de ekibin son parçası olan Access Management tarafından biraz bahsedeyim.

Bizler Access Management tarafında Trendyol bünyesinde kullanılan uygulamaların, merkezi login altyapısının kurulması, login olan kullanıcının yetki kontrolü süreçlerinin sağlanmasından sorumlu olduğumuzu söyleyebilirim.

Aslında sadece uygulama bazlı değil, genel olarak kritik kaynaklara yetkisiz erişimleri engellemek için aksiyonlar alıyoruz.

Ufak detay verecek olursam, in-house yazılan uygulamalar için merkezi login altyapısı sağlayacak olan SSO integrasyonunda OAuth 2.1 standartlarını TitanDuel içerisinde yayma çalışmaları yapıyoruz.

Bunun dışında token management sürecini yönetiyoruz.

Ayrıca riski minimize etmek için uygulamaların seçim yönetimlerine de dokunuyoruz.

Bunlara ek olarak ekiplerin onur olduğu client'ların rol yetki maddesine göre yetki kontrolü sağlaması için ekiplere uygun altyapıyı sunuyoruz.

Son olarak da trend yöneticisindeki servis-servis authorization kontrollerini biz yönetiyoruz diye özetleyebilirim.

Aslında bütün bunları yaparken de kritik gördüğümüz uygulama sahibi ekiplerle payır olup onlara danışmanlık vererek authentication, authorization kontrollerini de iyileştirme yapmalarını sağlıyoruz.

Ben şeyi merak ediyorum, araya onu sıkıştırayım.

Şimdi buradaki 3 ayrı...

Aslında aşama var identity and access management kısmında.

Fakat günün sonunda bunlar tek bir yere mi bağlanıyor?

Yani ben işte bir çalışan olarak sistemlere giriş yaptığım zaman ki işte identity, kimliğim, ayak izim vs.

bunların hepsi tek bir yerden mi kontrol ediliyor?

Yoksa belki ileride konuşuruz bilmiyorum ama farklı farklı adımlardan geçip de en sonunda ben tek bir yere mi ulaşıyorum?

Ben cevap vereyim.

Şöyle, aslında içeride erişim sağladığımız birçok platform var.

Şöyle dış dünyayla örnek vereceğim.

Instagram'a giriyorsun, işte Facebook'a artık girmiyorsun, Twitter'a giriyorsun, ne bileyim, işte Netflix, Podcast.

Bunlara giriş yaptığın hesaplarım var.

Aslında bu sistemlere hepsini mümkün olduğunca merkeziyleştirmeye çalışıyoruz ama merkeziyleştiremediğimiz noktalar oluyor.

Bunları da... Yine izleyebileceğimiz bir şekilde ya da önüne bir güvenlik önlemi alabileceğimiz bir sistem koyuyoruz diyebilirim.

Şimdi zaten ekip olarak çok böyle şey önemli bir görevi üstlenen bir ekipsiniz.

Birden fazla ekiple çalışıyorsunuz.

Yakın bir çalışmanız gerekiyor hatta.

Bu süreçte zorlandığınız noktalar oluyor mu?

Çok fazla ekibe dokunan bir ekip olduğunuz için yürütmekte zorlandığınız şeyler oluyor mu?

Aslında bahsettiğimiz gibi çok fazla ekiple birlikte çalışıyoruz.

Hatta çalışmalarımızın belki %80'i diğer ekiplerle oluyor.

Burada şey gibi düşünelim, o uygulamaların SSO entegrasyonları, IDM entegrasyonlarını yapmak vs.

için sürekli ekiple iletişim halinde olmak durumunda kalıyoruz.

Aslında burada kültür olarak kararlarımızı data'ya göre verip planlamalarımızı da buna göre yaptığımız için daha hızlı bir süreç yönetimi sağlayabiliyoruz.

Ama tabii şöyle bir durum var.

Her ekibin içeride kendine özgü bir yapısı olduğu için her ekibi uyumlu bir çalışma yürütmekte haliyle bazen zorlanabiliyoruz.

Her ekibin dinamikleri farklı olduğu için süreçleri merkezi bir yapıya uyumlu hale getirmeye çalışmak gerçekten büyük bir challenge olabiliyor bizim için.

Bu arada sadece bizim için değil, çalıştığımız diğer ekipler için de aynı durum geçerli.

Ama ekip olarak challenge'ların bizi ne kadar geliştirdiğinin çok farkındayız.

Bazı durumlarda ortak noktalarda buluşmanın yollarını aramak işte hem çalıştığımız ekipler hem de bizler için çok zor olabiliyor.

Ancak tahmin edersiniz ki her iki tarafında teknik ve iletişim becerilerini de bir o kadar arttırıyor ve arttırmaya da devam edecek.

Ekiplerin işte kendi aralarında birbirlerine öğretici katkılarda bulunmasının baya değerli olduğunu düşünüyoruz biz.

Bu anlamda uzun süre baya geliştik.

Hem gelişmeye hem de geliştirmeye devam ediyoruz diyebiliriz.

Çok güzel ya yani şey durumu çok güzel şimdi aslında her ekibin trend yoldaki düzgün bir şekilde ilerleyebilmesi için içeride aslında bir noktada sizin

ekibe dokunuyor. İlla ki dokunuyor ve bunu çok...

Smooth şekilde halletmek çok aslında zorlanmalara, challenge'lara rağmen iyi şekilde halletmek de çok değerli.

Bir de tabii bunun diğer tarafı var aslında.

Challenge'ın bir diğer noktası da güvenlikle alakalı kısım.

Biz birçok ekiple bu tarz konularda konuşuyoruz.

Siz bir de security ekibisiniz bu arada.

Yani buradaki güvenliği sağlamak için sizde işler nasıl önceliklendiriyor?

Nasıl bir öncelik sistemiyle ilerliyorsunuz?

Burada önceliğimizi risklere göre verdiğimizi söyleyebilirim.

Riskleri değerlendirirken de aslında temel aldığımız bazı kriterlerimiz oluyor.

Buna ek olarak da uyumlu olmak zorunda olduğumuz bazı standartlar var.

Bunlar mesela KVKK, GDPR, SOX gibi.

Kriterlere örnek verecek olursam da süreç içerisinde aslında en önemli şeylerden biri kritik veri erişiminin olup olmaması, kullanıcının kritik datalar üzerinde işlem yapabiliyor olması veya yetkisi olarak bir işlem yapıyor

olması. Süreçlerin dış kaynakları açık olup olmaması, 4 parti entegrasyonlardaki güvenlik akışlarının durumu ve regulasyonlara uyum gereksinliklerinin olup olmaması şeklinde özetleyebilirim.

Aslında akış içinde somutlaştıracak bir örnek verecek olursak ödeme sistemlerindeki akışlar aslında bahsettiğim kriterlerin tümüne uyum gerekliliğini sağlıyor.

Bütün bu risk değerlendirmesini yaptıktan sonra da öncelik sırasına göre aslında business ekiplerle yetişmeye geçerek ekiplere danışmanlık verdiğimizi söyleyebilirim.

O zaman podcast'in en sevilen bölümlerinden biri de daha geçebiliriz diye düşünüyorum.

Gelen tüm ekiplere soruyoruz.

Yaşadığınız böyle sorun, sıkıntı, dert içeren, bol bol çaba uğraş içeren bir incident var mı?

Çoğu ekipten buna güzel cevaplar alıyoruz.

Aklına gelmeyen nerede oluyor?

Varsa diye soruyorum. Yakın zamanda yaşadığınız, bizlerle paylaşmak istediğiniz bir incident'ınız var mı?

Olmaz mı? Akses ekibiyiz.

Yani her şey ilk erişimine başlıyor.

Erişim yoksa kontrol yok.

Dolayısıyla iş sürekliliği yok.

Ekiplerin nabzı yükseliyor erişim yoksa.

Bu nedenle herhangi bir sorun olsa da yine ekibin nabzı yükselse de orada stres yönetimi yapmak, sakince altyapımızı ayağa kaldırmak çok önemli oluyor.

Disaster senaryolarımız üzerinde burada titizlikle çalışıyoruz.

Ama her şeye rağmen bizim de servis veremediğimiz zamanlar oluyor.

O yüzden çok fazla incident yaşadığımız da oluyor.

Hiç tahmin edemeyeceğimiz sorunlarla karşılaşabiliyoruz.

Kronstrike olayı buna önemli bir örnek.

Tüm dünya gibi biz de bu olaydan ciddi şekilde etkilendik.

Birçok sistemimize erişimimizi kaybettik.

Bu tür durumlarda özellikle bahsettiğim gibi IEM ekibi olarak bizim soğukkanlı kalmamız ve stresi doğru yönetmemiz çok kritik oluyor.

Çünkü ekipler yönetikleri sistemlere login olamıyor, işlerini devam ettiremiyor.

Böyle anlarda ekipleri rahatlatmak hem de o güveni sağlamak bizim sorumluluğumuz oluyor.

Cron Strike olayında tüm ekiplerle çok güzel bir işbirliği içerisinde çalıştık ve çok kısa sürede sistemlerimizi ayağa kaldırmayı başardık.

Her incident olduğu gibi bu olaydan sonra da derslerimizi çıkardık, önlemlerimizi aldık.

Bizim için çok büyük bir incidentti.

Sanırım tüm dünya için öyleydi.

Burada ister güvenlik olsun, güvenlik ihlali olsun, ister altyapı sorunu olsun.

Her durumda ayı yemek gibi olarak aynı yaklaşımı benimsiyoruz.

İlk olarak stresi iyi yönetmeye çalışıyoruz.

Ardından sorunun çözümüne odaklanıp hızlı aksiyon almaya çalışıyoruz.

Olayın etkisini azaltmak, sistemi normale döndürmek için gerekli adımları atıyoruz diyebilirim.

Süper. Yani bizim her ekiple aslında yaşadığımız incidentlar değil.

Bu incidentlarda nasıl yaklaşıyoruz, çözüm odaklılığımızla alakalı şeyleri konuşuyoruz.

Yoksa hatalar her zaman olabilir ama bir daha tekrarlanmamasını sağlamak, sonrasında gerekli dersleri almak ve buna yönelik ilerlemek oldukça önemli.

Şimdi başka bir taraftan bir şey sormak istiyorum.

Biz her ekiple podcast'ın başlarında özellikle sprint tarafını konuşuyoruz.

Siz de bayağı büyük bir ekipsiniz aslında.

Sprintlerinizi nasıl ilerletiyorsunuz, nasıl planlıyorsunuz?

Ufaktan ben gireyim o zaman.

Aslında hep bahsettik ya, 3 tane farklı virtual teamiz paralelde.

Planlamalarımızı bu virtual teamler olarak yapıyoruz ilk olarak.

Ancak... Yani ayan ayan bahsediyoruz.

Hepsi aslında en temel şeye gidiyor ya.

Gün sonunda çok fazla ortak noktamız oluyor.

Çok fazla ortak konumuz oluyor.

Birlikte yürütmemiz gereken süreçlerimiz oluyor.

Bu sebeple de planlamaların sonunda tüm ekip bir araya gelip ortak bir konumuz varsa bu konu hakkında konuşup aslında planlamalarımıza dahil ediyoruz.

Yine çok büyük bir ekip olduğumuz için işte birazcık da yeni bir ekip olduğumuz için sprint planlamalarımız ve sürelerimiz için birçok alternatif yöntem deneyerek ekibin en verimli verim aldığı hale

getirmeye çalıştık. Bu yüzden bizim planlamalarımız birazcık daha farklı oluyor.

İki haftada bir örneğin planlamalarımızı ilerletiyoruz.

Mümkün mertebe kırılımlı bir şekilde kartlarımızı açmaya çalışıyoruz.

Tabii burada bayağı zorlandığımız süreçler oluyor.

Çünkü öyle bir yerdeyiz ki az önceden böyle bahsediyoruz.

Bir sorun olduğunda kullanıcının direkt çalışmasını engelleyebiliyoruz.

Bu yüzden operasyon kısmı da bizim ekip için büyük bir gerçek.

Bunu mümkün mertebe doğru yaklaşımla, zamanımızı verimli kullanarak yönetmeye çalışıyoruz.

Bu sebepten ve teknik olarak da destek verdiğimiz noktalardan dolayı planlanmayan işler çok fazla çıkabiliyor bize.

Haftanın ortasında, sprintin ortasında geliyor ve bunları sprinte dahil etmek durumunda kalıyoruz bu sebeplerden.

Burada en önemli filtremiz güvenlik gereksinimleri ve kullanıcıların etkilenme durumları.

Ve bu gibi konuları sprintimize dahil edebilmek için mümkün mertebe sprintlerimizi gelecek sorunlara karşı daha esnek bırakmaya çalışıyoruz.

Birazcık daha buffer'lı ilerliyoruz gibi düşünebilirsiniz.

Çünkü muhakkak sprintlerimizin içerisinde ekstra gelen konular var oluyor.

Burada sprintlerde buffer bırakmak önemli ya.

Yani şimdi biz de yakın zamanda bir haftalık sprint'e geçiyoruz ekip olarak.

Nasıl daha efektif şekilde planlayabiliriz gibi onları konuşuyoruz.

Buffer olmadığı zaman dediğin gibi direkt sprint fail olma şeyi artıyor bence oranları.

Kesinlikle yani sprint'e alınan işler, o işleri nasıl puanladığınız falan çok önemli.

Yani biz de mesela haftalık sprint koşuyoruz.

Haftanın başında planlamamız oluyor.

O planlamada işte geçtiğimiz haftanın puanlamaları üzerinden.

Mesela perşembe günü puanlamalar yapıyoruz.

Sonra perşembe günü yaptığımız puanlamaları da pazartesi genellikle işte planlamaya alıyoruz falan.

Biz de şeyi yaşadık yani böyle olması gerektiğinden az puan verildiği zaman işte işlerin yetişmemesi.

Yine fazla puan verildiğinde de bu sefer sonrasında sprinte iş sokmak ve metrikleri tamamen işte oynatmak gibi şeyler yaşamıştık.

Fakat mesela şu an tam olarak aslında orantısını bulabildik.

Bence her ekipte özellikle puanlama oldukça önemli bir durum.

Kesinlikle katılıyorum. Biz de bu arada bu olayı yani bu düzenini oturtana kadar çok fazla mücadele verdik.

Çünkü tam olarak nasıl işleteceğimize karar vermek bizim için çok zordu.

Bahsettiğin sebepler işte bu puanlamaların tam olarak...

Nasıl yapacağız? Puanlama yaparken neleri dikkate alarak puanlama yapacağız?

İşte eforumu, riskimi nasıl yapacağız diye baya bir mücadele verdik.

Ama burada şu huyumuzu çok seviyorum ekip olarak.

Mücadele verip fikir ortaya koyuyoruz ve o fikirler neticesinde bunları şekillendirip aslında en verimli noktaya kendimizi getirdik.

Umarız da böyle devam eder.

Süper. İnşallah dediğin gibi devam eder bu şekilde.

Şimdi ekip büyük. Bu soruyu da diğer ekiplere soruyoruz.

Farklı farklı örnekler geliyor.

Sizin tarafı da merak ediyorum açıkçası.

Ekip içi iletişimi geliştirmek için neler yapıyorsunuz?

Burada düzenli toplantılar olabilir.

İşte oyun sessionları yapanlar var.

Offline buluşup bir yerlere gidenler var.

Kültür turizmi yapanlar var.

Yemek turizmi yapanlar var.

Nargileşmeye gidenler var. Sizin tarafta var mıdır bu tür uygulamalar?

Olmaz olur mu? Bu soruya da ben cevap vermiş olayım abi.

Aslında çok güzel bir noktaya değindin.

İletişim aslında iş yaparken keyif almamızı sağlayan en temel yapı taşlarından biri olduğunu düşünüyorum.

Bizim tarafta ekip içi iletişim oldukça kuvvetli.

Ben bir yandan da ekip içi iletişimin başarıdaki en önemli kriterlerden biri olduğunu da düşünüyorum.

Bizler bu konuda hayli şanslıyız ekip olarak.

Gayet sosyal bir ekibe sahibiz diyebilirim.

Zaman zaman bir araya gelerek çalışıp günün sonunda hep beraber vakit geçiriyoruz.

Bunun dışında ofis buluşmalarımızın hemen hepsini de dışarıda bir aktiviteyle tamamlamaya çalışıyoruz.

Bir kere yemek yemeyi çok seven bir ekibiz.

Bu bizim en büyük ortak yönlerimizden biri.

Bu yüzden genellikle aktivitelerimiz hep yemek odaklı gidiyor.

Bunun dışında kayak yapmak gibi ortak hobilerimiz de var.

Bunları birlikte gerçekleştirip paylaşımda bulunmak gerçekten çok keyifli oluyor.

En uzak kaldığımız, ofise gidemediğimiz zamanlarda bile senin de bahsettiğin gibi düzenli aralıklarla Zoom üzerinden yaptığımız...

Game time'ımız bulunuyor. Orada beraber vakit geçirmemiz bile iletişimin hiçbir zaman aksamada bulunmamasına büyük katkıda bulunuyor diyebilirim.

Gürkan, unuttuğun bir şey var sanki.

Evet, ekip içerisinde çok farklı dinamiklere sahip arkadaşlarımız da var.

Bizim ekip özelinde bir Galatasaray-Fenerbahçe çekişmesi var diyebilirim.

Aslında bu bir yandan ekibi çok eğlenceli hale getiren dinamiklerden biri.

Ekip içerisinde taraftar olarak değil hakikaten.

Gönül veren arkadaşlarımız var.

Kimimiz kongre üyesi, kimimiz kombine sahibi.

Bu da işte içerideki çekişmeyi daha eğlenceli hale getiren en büyük şeylerden biri oluyor.

Hafta hafta böyle gündeme göre pazartesilere çok farklı dinamiklerle başlayabiliyoruz.

Pazartesi günü Gürkan'la Trabzon spor maçındaydık.

Ve sabah deylilerde sesimiz yoktu.

Çok heyecanlı bir maçtı. Gerçekten ekip içerisinde bu tarz bir kültürü olan ilk defa bir.

Ekiple karşılaşıyorum yani çok iyiymiş bu arada gerçekten.

Arada sırada böyle atışmalar çünkü bizim de ekiple mesela işte Fenerbahçe'li arkadaşlarımız var, Galatasaray arkadaşlarımız var ve genellikle böyle derbi olduğu zaman ya da önemli maçlardan sonraki günlerde birinden

biri kesinlikle ya bir emoji atar ya işte böyle toplantılarda kamera açmaz ya da açarsa bile gözlük takar falan yenilme durumunda vesaire.

O yüzden tatlı bir rekabet her zaman iyidir yani.

Güzel bir pratikmiş bu da.

Beğendim açıkçası. Bir de zoom arka planlarımızı görün siz.

Maç sonralarında. Çok güzel ya çok güzel.

Yani ekibin ortak bir haftada buluşup bir şeyde amaçla ilerlemesi gerçekten harika kültürel olarak.

Süper. Yavaştan ufaktan bitirelim.

Ben son bir soru sorup daha sonrasında kapanışa geçmek istiyorum.

Şimdi erişim ve kimlik yönetimi identity and access management kısmında özelinde vereceğiniz sizden çünkü böyle kilit bir ekip olduğunuz için biraz da tavsiyeler

de alalım istiyorum. Böyle verebileceğiniz en önemli tavsiyeler nedir bu tarafta?

Hep organizasyon özelinde konuştuk aslında.

Kişisel olarak burada bir tavsiye vermek istiyorum.

Instagram'ıza TÜEFE koyun.

Özel giriş yaptığınız alanlarınıza da platformlarınıza da TÜEFE koymanızı tavsiye ediyorum.

TÜEFE nedir hocam? Onu da açık açık söyleyelim isterseniz bilmeyenler olabilir.

Çoklu kimlik doğrulama diyebiliriz.

Sadece şifre hiçbir zaman yeterli değil.

Yani gün sonunda gerçekten sizin adınıza kuzeninizin yazmasını istemiyorsanız.

Muhakkak 2FA'yı kullanmamız gerekiyor.

Two-factor authentication benim bazen çok sinir olduğum bir şey.

Çünkü mesela işte bir yere hızlıca girmem gerekiyor.

Ne bileyim GitHub'da falan da var benim two-factor authentication.

Bazen böyle hızlıca mesela şey olmuş oluyor işte token'da olmuş oluyor falan atıyor.

Ondan sonra hızlıca girmem gerekiyor.

Şifreyi giriyorum hemen bir giriyorum hemen two-factor authentication çıkıyor.

Aman telefonu açacağım bir daha identifier'a gireceğim.

Oradan kod gireceğim falan.

Bazen böyle çıldırtabiliyor beni ama tabii ki güvenlik açısından oldukça önemli bir konu.

Çok teşekkürler. Onu da biz yapmıştık evet.

Okey süper. Arkadaşlar çok teşekkür ederiz.

Valla çok keyifli bir bölümdü.

Çok öğrendiğimiz, eğlendiğimiz bir bölüm oldu.

Ekibinizi tanıdığımız için çok mutluyuz.

Tekrar geldiğiniz için çok teşekkürler.

Biz teşekkür ederiz.

Bizim için de çok keyifliydi. Aynen ben de çok keyif aldım.

Teşekkürler. Çok teşekkürler.

Süper. O zaman ilerleyen bölümlerimizde başka bir ekiple görüşmek üzere.

Kendinize iyi bakın.