Kurumsal parola güvenliği, çalışanların parolalarını karmaşık yapmaktan çok, bir parola çalındığında bunun şirketin tamamına açılan bir kapıya dönüşmesini engellemektir. Bunun yolu dört katmanı birlikte kurmaktır: uzun ve tekrar kullanılmayan parolalar, oltalamaya dayanıklı çok faktörlü kimlik doğrulama (MFA), tek kimlikle merkezi erişim yönetimi ve oturumların görünür olup uzaktan kapatılabilmesi.
Parola sorunu şirketlerde gerçekte nasıl görünür?
Çoğu şirkette parola politikası bir kez yazılır ve unutulur: "En az 8 karakter, bir büyük harf, bir rakam, 90 günde bir değiştirin." Sonuç tahmin edilebilir: Sirket2026! gibi kalıplar, her değişiklikte sondaki rakamı bir artıran çalışanlar ve monitöre yapıştırılmış notlar.
Asıl risk ise politikanın kapsamadığı yerlerde birikir:
- Aynı parola birden çok sistemde. E-posta, dosya sunucusu, muhasebe programı ve bir alışveriş sitesi için aynı parola kullanılır. Alışveriş sitesi sızdığında e-posta kutusu da açılır.
- Ortak hesaplar.
muhasebe@ya dasatinalma@kutusunun parolası beş kişide, bir WhatsApp grubunda ve eski bir Excel dosyasındadır. - Kapanmayan erişimler. Ayrılan çalışanın e-postası kapatılır, ama dosya paylaşım hesabı, VPN'i ve telefonundaki açık oturum aylarca yaşar.
- Görünmeyen oturumlar. Bir parolanın başka bir ülkeden, tanınmayan bir cihazdan kullanıldığını kimse fark etmez; çünkü böyle bir liste hiç tutulmaz.
Bu tablonun ortak noktası, hiçbirinin kötü niyetli bir çalışandan kaynaklanmamasıdır. Çalışanlar işlerini hızlı yapmak için en kolay yolu seçer; sistem onlara güvenli yolu kolay hale getirmediğinde paylaşılan parolalar ve tekrar kullanılan şifreler kendiliğinden oluşur. Bu yüzden çözüm, yeni kurallar eklemekten önce güvenli davranışı en kısa yol haline getirmekten geçer.
Kısacası sorun "zayıf parola" değil, parolanın tek savunma hattı olması ve kimin nereye eriştiğinin merkezden yönetilmemesidir. Bu açığı kapatmak insan tarafını da gerektirir: kısa ve düzenli bir siber güvenlik farkındalık eğitimi güvenli yolu alışkanlığa dönüştürür.
Sorunu çözmemenin maliyeti
Saldırganlar için çalınmış bir parola, bir güvenlik açığı aramaktan çok daha ucuz bir giriş yoludur. Veriler bu tabloyu açıkça gösteriyor:
Microsoft'a göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır; oltalamaya dayanıklı çok faktörlü kimlik doğrulama bu saldırıların %99'undan fazlasını durdurabiliyor. (Microsoft Digital Defense Report 2025)
Verizon 2026 Data Breach Investigations Report verisine göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem olarak yerini koruyor. Sorun tek tük şirketlerle de sınırlı değil: Sophos'un The State of Identity Security 2026 araştırmasında 17 ülkeden 5.000 BT ve güvenlik yöneticisine soruldu; kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadığını, olayların yaklaşık %43'ünde çalışanların kandırılarak kimlik bilgisi verdiğini bildirdi.
En etkili önlemin yaygınlığı ise hâlâ sınırlı. İngiltere hükümetinin Cyber Security Breaches Survey 2025/2026 anketine göre işletmelerin yalnızca %47'si iki faktörlü kimlik doğrulama kullanıyor. Yani MFA'nın büyük farkı yarattığı bilinse de işletmelerin yarıdan fazlası bu kapıyı açık bırakıyor.
Türkiye'de bir e-posta kutusunun ele geçirilmesi yalnızca itibar sorunu da değildir: kutuda müşteri ve çalışan kişisel verisi varsa bu, KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) kapsamında bir veri ihlali olarak değerlendirilmesi gereken bir olaydır; bu durumda izlenecek adımları KVKK veri ihlali ve 72 saat yazımızda anlattık.
Parola politikasında neyi değiştirmelisiniz?
Güncel yaklaşım, çalışanı sık değişikliğe ve sembol kurallarına zorlamak yerine uzun, benzersiz parolaları ve ek doğrulama katmanını esas alıyor. ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün NIST SP 800-63B dijital kimlik rehberi belirli aralıklarla zorunlu parola değişikliğini ve karakter türü karışımı kurallarını açıkça yasaklıyor; parolanın tek doğrulama olduğu durumda en az 15 karakter, MFA ile birlikte kullanıldığında en az 8 karakter istiyor ve yeni parolanın sızmış ve yaygın parola listeleriyle karşılaştırılmasını şart koşuyor.
| Eski yaklaşım | Güncel yaklaşım |
|---|---|
| En az 8 karakter + sembol kuralı | Uzun parola ya da parola cümlesi (15+ karakter) |
| 90 günde bir zorunlu değişiklik | Yalnızca sızma şüphesinde değişiklik |
| Parola tek doğrulama | Parola + MFA (tercihen oltalamaya dayanıklı) |
| Her sistemde ayrı hesap | Tek kimlik, merkezi erişim yönetimi |
| Oturumlar görünmez | Cihaz bazlı oturum listesi, uzaktan kapatma |
| Ortak kutu parolası paylaşılır | Kişisel hesap + kutu bazlı yetki |
7 adımlık kurumsal parola güvenliği çerçevesi
- Envanter çıkarın. Hangi sistemlere kim, hangi hesapla giriyor? E-posta, dosya paylaşımı, ERP, muhasebe, VPN, bulut panelleri ve yönetici hesaplarını tek listeye yazın. Ortak ve paylaşılan hesapları ayrıca işaretleyin. Bulut yönetim panellerini (buluta geçiş maliyeti yazımızda neden kritik olduklarını anlattık) ve yazılımların birbirine bağlanmak için kullandığı API anahtarları ve servis hesaplarını da listeye ekleyin; bunlar çoğu zaman kimsenin sahiplenmediği kimliklerdir.
- Önce kritik hesaplara MFA getirin. Yönetici hesapları, e-posta ve uzaktan erişim ilk sıradadır. Mümkün olan yerde SMS yerine uygulama tabanlı ya da donanım anahtarı gibi oltalamaya dayanıklı yöntemler seçin; SMS kodu, oltalama e-postasının yönlendirdiği sahte bir giriş sayfasında parolayla birlikte kolayca ele geçirilebilir. Yöntemlerin karşılaştırması ve aşamalı geçiş planı için iki adımlı doğrulama (MFA) rehberimize bakın.
- Parola kuralını sadeleştirin. Uzunluğu artırın, periyodik zorunlu değişikliği kaldırın, bilinen sızmış ve yaygın parolaları engelleyin. Çalışanlara bir parola yöneticisi sağlayın ki her sistemde farklı parola kullanmak gerçekçi olsun.
- Kimliği merkezileştirin. Her uygulamada ayrı kullanıcı hesabı yerine tek kimlik kullanın. Böylece bir kişinin erişimi tek yerden açılır, değişir ve kapanır. Konunun ayrıntısını tek oturum açma (SSO) rehberimizde, protokol seçimini ise SAML mi OIDC mi yazımızda anlattık.
- Ortak hesapları kaldırın. Ortak posta kutusuna herkes kendi kimliğiyle erişsin; kimin ne yaptığı kayıtlı olsun. Ortak parola, kimin hata yaptığını bilmeyi imkânsız kılar.
- Oturumları görünür kılın. Hangi hesabın hangi cihazdan açık olduğunu görebilmeli, şüpheli oturumu uzaktan kapatabilmelisiniz. Parola değiştiğinde açık oturumların da kapanması gerekir.
- İşten ayrılışı tek işleme indirin. Ayrılan çalışanın tüm sistemlerdeki erişimi aynı gün, tek adımda kapanmalı. Bu adımın kontrol listesini işten ayrılan çalışanın e-posta erişimi yazımızda verdik.
Bu yedi adım, genel siber güvenlik hijyeninin bir parçasıdır; diğer başlıkları KOBİ siber güvenlik kontrol listemizde, kategorinin tamamını Siber Güvenlik ve KVKK rehberimizde bulabilirsiniz.
Digital Bridge'de bu işi nasıl yapıyoruz?
Parola güvenliğini bir yazılım satın alma kararı olarak değil, kimlik ve erişim yönetimi projesi olarak ele alıyoruz:
- Mevcut durumu çıkarıyoruz. Siber güvenlik danışmanlığı kapsamında hesap envanterinizi, ortak hesapları, yönetici yetkilerini, MFA kapsamını ve işten ayrılış sürecinizi inceliyor; öncelik sırasına göre yazılı bir bulgu listesi hazırlıyoruz.
- Politikayı birlikte yazıyoruz. Parola, MFA, ortak hesap ve işten ayrılış kurallarını ekibinizin gerçekten uygulayabileceği sadelikte belgelendiriyoruz.
- Sistemleri tek kimliğe bağlıyoruz. Mevcut uygulamalarınızın kimlik doğrulamasını sistem entegrasyonları ile merkezi yapıya bağlıyor, erişimin tek yerden yönetilmesini sağlıyoruz.
- KVKK tarafını unutmuyoruz. Kimlik bilgisi sızıntısında hangi kişisel verilerin etkilenebileceğini ve bildirim sürecini KVKK uyum danışmanlığı ile hazır hale getiriyoruz.
Smart360 parola riskini nasıl azaltır?
Kendi geliştirdiğimiz Smart360 ailesi; e-posta (SmartMail), dosya yönetimi (SmartFiles), yapay zeka müşteri temsilcisi (SmartOperator), kartlı geçiş (SmartPass), proje yönetimi (SmartPM) ve e-ticaret (SmartSales) ürünlerini tek panel ve tek kimlik (SmartID) altında toplar. Bu, yukarıdaki çerçevenin birkaç adımını doğrudan karşılar:
- Tek kimlik, tek parola. Çalışan tüm ürünlere tek parolayla girer ve ürünler arasında parolasız geçer. Hatırlanacak ve sızabilecek parola sayısı azalır.
- Posta kutusu parolası çalışana dağıtılmaz. Posta kutusu parolalarını sistem üretir ve AES-256-GCM ile şifreli saklar. Ortak kutu parolasının WhatsApp grubunda dolaşması bu yapıda söz konusu olmaz.
- Oturumlar görünür ve kapatılabilir. Açık oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılır; parola değiştiğinde tüm oturumlar kapanır.
- Giriş ekranı korumalı. Smart360 Security, giriş ekranlarında insan doğrulaması kullanır; otomatik parola deneme saldırıları sunucuya ulaşmadan durur.
- Ayrılan çalışan tek işlemle çıkar. Erişim tek işlemle tüm ürünlerde kapanır; departman değişince yetkiler de tüm ürünlerde birlikte değişir.
- Paylaşım bağlantıları kısa ömürlü. SmartFiles'ın indirme ve önizleme bağlantıları dakikalar içinde geçersizleşir; eski bir bağlantı aylar sonra kimsenin eline geçmez.
Somut bir senaryo: satış temsilciniz dizüstü bilgisayarını kaybetti. Yönetim panelinden onun oturumlarını cihaz bilgisiyle görür, ilgili oturumu kapatır ve parolasını yenilersiniz; parola değiştiği anda diğer tüm oturumlar da kapanır. Aynı kişi ertesi ay ayrılırsa, erişimi e-postada ve dosyalarda tek işlemle sona erer.
Sonraki adım
Başlamak için bu hafta tek bir liste çıkarın: şirketinizde paylaşılan parolası olan tüm hesaplar. Bu liste genellikle en hızlı kazanılacak riski gösterir. Ardından iletişim sayfamızdan bize ulaşın; hesap envanterinizi birlikte değerlendirelim ve Smart360'ın tek kimlik ve oturum yönetimini kendi kullanıcılarınızla kurulmuş bir ortamda gösterelim.