# Kurumsal Parola Güvenliği: Çalınan Bir Parolanın Şirketinize Giriş Kapısı Olmasını 7 Adımda Önleyin

> Kurumsal parola güvenliği rehberi: NIST'e göre parola politikası, MFA, tek kimlik ve oturum yönetimiyle çalınan parola riskini 7 adımda azaltın.

Kaynak: https://digitalbridge.com.tr/blog/kurumsal-parola-guvenligi.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-14 · Güncelleme: 2026-10-22

Kurumsal parola güvenliği, şirket hesaplarını parola tahmini, sızıntı ve oltalamaya karşı koruyan politika ve teknik önlemlerin bütünüdür. Amaç karmaşık parola dayatmak değil, çalınan tek bir parolanın şirketin tamamına açılmasını engellemektir. Bunun için dört katman birlikte kurulur: uzun ve benzersiz parolalar, oltalamaya dayanıklı [çok faktörlü kimlik doğrulama (MFA)](https://digitalbridge.com.tr/sozluk.html#mfa), tek kimlikle merkezi erişim ve uzaktan kapatılabilen oturumlar.

## Kısaca

- Microsoft Digital Defense Report 2025'e göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır; oltalamaya dayanıklı MFA bunların %99'undan fazlasını durdurabilir.
- NIST SP 800-63B, 90 günlük zorunlu parola değişikliğini ve sembol kurallarını kaldırır; tek doğrulama olan parola için en az 15 karakter ister.
- MFA'ya önce yönetici hesapları, e-posta ve uzaktan erişimden (VPN, bulut panelleri) başlanmalıdır.
- Ortak hesap parolaları kaldırılmalı; herkes ortak kutuya kendi kimliğiyle erişmeli ve her işlem kayıt altında tutulmalıdır.
- Tek kimlik ve görünür oturumlar, ayrılan çalışanın erişimini tüm sistemlerde aynı gün tek adımda kapatmayı mümkün kılar.

## Şirketlerde parola sorunu gerçekte nasıl görünür?

Çoğu şirkette kurumsal parola politikası bir kez yazılır ve unutulur: "En az 8 karakter, bir büyük harf, bir rakam, 90 günde bir değiştirin." Sonuç tahmin edilebilir: `Sirket2026!` gibi kalıplar, her değişiklikte sondaki rakamı bir artıran çalışanlar ve monitöre yapıştırılmış notlar.

Asıl risk ise politikanın kapsamadığı yerlerde birikir:

- **Aynı parola birden çok sistemde.** E-posta, dosya sunucusu, muhasebe programı ve bir alışveriş sitesi için aynı parola kullanılır. Alışveriş sitesi sızdığında e-posta kutusu da açılır.
- **Ortak hesaplar.** `muhasebe@` ya da `satinalma@` kutusunun parolası beş kişide, bir WhatsApp grubunda ve eski bir Excel dosyasındadır.
- **Kapanmayan erişimler.** Ayrılan çalışanın e-postası kapatılır, ama dosya paylaşım hesabı, VPN'i ve telefonundaki açık oturum aylarca yaşar.
- **Görünmeyen oturumlar.** Bir parolanın başka bir ülkeden, tanınmayan bir cihazdan kullanıldığını kimse fark etmez; çünkü böyle bir liste hiç tutulmaz.

Bu dört risk türünün ortak noktası, hiçbirinin kötü niyetli bir çalışandan kaynaklanmamasıdır. Çalışanlar işlerini hızlı yapmak için en kolay yolu seçer; sistem onlara güvenli yolu kolay hale getirmediğinde paylaşılan parolalar ve tekrar kullanılan şifreler kendiliğinden oluşur. Bu yüzden çözüm, yeni kurallar eklemekten önce güvenli davranışı en kısa yol haline getirmekten geçer.

Yani asıl sorun "zayıf parola" değil, **parolanın tek savunma hattı olması** ve kimin nereye eriştiğinin merkezden yönetilmemesidir. Bu açığı kapatmak insan tarafını da gerektirir: kısa ve düzenli bir [siber güvenlik farkındalık eğitimi](https://digitalbridge.com.tr/blog/siber-guvenlik-farkindalik-egitimi.html) güvenli yolu alışkanlığa dönüştürür.

## Zayıf parola yönetiminin şirkete maliyeti nedir?

Saldırganlar için çalınmış bir parola, bir güvenlik açığı aramaktan çok daha ucuz bir giriş yoludur. 2025–2026 verileri bunu açıkça gösteriyor:

> Microsoft'a göre kimlik saldırılarının %97'sinden fazlası parola saldırısıdır; oltalamaya dayanıklı çok faktörlü kimlik doğrulama bu saldırıların %99'undan fazlasını durdurabiliyor. ([Microsoft Digital Defense Report 2025](https://blogs.microsoft.com/on-the-issues/2025/10/16/mddr-2025/))

[Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verisine göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem olarak yerini koruyor. Sorun tek tük şirketlerle de sınırlı değil: [Sophos'un The State of Identity Security 2026](https://www.sophos.com/en-us/press/press-releases/2026/05/71-percent-organizations-suffered-identity-breach-state-of-identity-security-2026) araştırmasında 17 ülkeden 5.000 BT ve güvenlik yöneticisine soruldu; kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadığını, olayların yaklaşık %43'ünde çalışanların kandırılarak kimlik bilgisi verdiğini bildirdi. Aynı araştırmaya göre kurumların yalnızca %24'ü olağandışı giriş denemelerini sürekli izliyor.

En etkili önlemin yaygınlığı ise hâlâ sınırlı. İngiltere hükümetinin [Cyber Security Breaches Survey 2025/2026](https://www.gov.uk/government/statistics/cyber-security-breaches-survey-20252026/cyber-security-breaches-survey-20252026) anketine göre işletmelerin yalnızca %47'si iki faktörlü kimlik doğrulama kullanıyor. Yani MFA'nın büyük farkı yarattığı bilinse de işletmelerin yarıdan fazlası bu kapıyı açık bırakıyor.

Türkiye'de bir e-posta kutusunun ele geçirilmesi yalnızca itibar sorunu da değildir: kutuda müşteri ve çalışan kişisel verisi varsa bu, [KVKK](https://digitalbridge.com.tr/sozluk.html#kvkk) (6698 sayılı Kişisel Verilerin Korunması Kanunu) kapsamında bir veri ihlali olarak değerlendirilmesi gereken bir olaydır; bu durumda izlenecek adımları [KVKK veri ihlali ve 72 saat yazımızda](https://digitalbridge.com.tr/blog/kvkk-veri-ihlali-72-saat.html) anlattık.

## Kurumsal parola politikası nasıl olmalı?

Güncel parola politikası yaklaşımı, çalışanı sık değişikliğe ve sembol kurallarına zorlamak yerine uzun, benzersiz parolaları ve ek doğrulama katmanını esas alıyor. ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün [NIST SP 800-63B dijital kimlik rehberi](https://pages.nist.gov/800-63-4/sp800-63b.html) belirli aralıklarla zorunlu parola değişikliğini ve karakter türü karışımı kurallarını açıkça yasaklıyor; parolanın tek doğrulama olduğu durumda en az 15 karakter, MFA ile birlikte kullanıldığında en az 8 karakter istiyor ve yeni parolanın sızmış ve yaygın parola listeleriyle karşılaştırılmasını şart koşuyor.

| Eski parola politikası | Güncel yaklaşım (NIST SP 800-63B ve iyi uygulama) |
|---|---|
| En az 8 karakter + sembol kuralı | Uzun parola ya da parola cümlesi (15+ karakter) |
| 90 günde bir zorunlu değişiklik | Yalnızca sızma şüphesinde değişiklik |
| Parola tek doğrulama | Parola + MFA (tercihen oltalamaya dayanıklı) |
| Her sistemde ayrı hesap | Tek kimlik, merkezi erişim yönetimi |
| Oturumlar görünmez | Cihaz bazlı oturum listesi, uzaktan kapatma |
| Ortak kutu parolası paylaşılır | Kişisel hesap + kutu bazlı yetki |

## Kurumsal parola güvenliği 7 adımda nasıl sağlanır?

1. **Envanter çıkarın.** Hangi sistemlere kim, hangi hesapla giriyor? E-posta, dosya paylaşımı, ERP, muhasebe, VPN, bulut panelleri ve yönetici hesaplarını tek listeye yazın. Ortak ve paylaşılan hesapları ayrıca işaretleyin. Bulut yönetim panellerini ([buluta geçiş maliyeti](https://digitalbridge.com.tr/blog/bulut-gecisi-maliyet.html) yazımızda neden kritik olduklarını anlattık) ve yazılımların birbirine bağlanmak için kullandığı [API anahtarları ve servis hesaplarını](https://digitalbridge.com.tr/blog/api-entegrasyonu-nedir.html) da listeye ekleyin; bunlar çoğu zaman kimsenin sahiplenmediği kimliklerdir.
2. **Önce kritik hesaplara MFA getirin.** Yönetici hesapları, e-posta ve uzaktan erişim ilk sıradadır. Mümkün olan yerde SMS yerine uygulama tabanlı ya da donanım anahtarı gibi oltalamaya dayanıklı yöntemler seçin; SMS kodu, [oltalama e-postasının](https://digitalbridge.com.tr/blog/oltalama-maili-nasil-anlasilir.html) yönlendirdiği sahte bir giriş sayfasında parolayla birlikte kolayca ele geçirilebilir. Yöntemlerin karşılaştırması ve aşamalı geçiş planı için [iki adımlı doğrulama (MFA) rehberimize](https://digitalbridge.com.tr/blog/iki-adimli-dogrulama-mfa.html) bakın.
3. **Parola kuralını sadeleştirin.** Uzunluğu artırın, periyodik zorunlu değişikliği kaldırın, bilinen sızmış ve yaygın parolaları engelleyin. Çalışanlara bir parola yöneticisi sağlayın ki her sistemde farklı parola kullanmak gerçekçi olsun.
4. **Kimliği merkezileştirin.** Her uygulamada ayrı kullanıcı hesabı yerine tek kimlik kullanın. Böylece bir kişinin erişimi tek yerden açılır, değişir ve kapanır. Konunun ayrıntısını [tek oturum açma (SSO) rehberimizde](https://digitalbridge.com.tr/blog/tek-oturum-sso-nedir.html), protokol seçimini ise [SAML mi OIDC mi](https://digitalbridge.com.tr/blog/saml-mi-oidc-mi.html) yazımızda anlattık.
5. **Ortak hesapları kaldırın.** [Ortak posta kutusuna](https://digitalbridge.com.tr/blog/ortak-posta-kutusu-yonetimi.html) herkes kendi kimliğiyle erişsin; kimin ne yaptığı kayıtlı olsun. Ortak parola, kimin hata yaptığını bilmeyi imkânsız kılar.
6. **Oturumları görünür kılın.** Hangi hesabın hangi cihazdan açık olduğunu görebilmeli, şüpheli oturumu uzaktan kapatabilmelisiniz. Parola değiştiğinde açık oturumların da kapanması gerekir.
7. **İşten ayrılışı tek işleme indirin.** Ayrılan çalışanın tüm sistemlerdeki erişimi aynı gün, tek adımda kapanmalı. Bu adımın kontrol listesini [işten ayrılan çalışanın e-posta erişimi yazımızda](https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-e-posta-erisimi.html) verdik.

Bu yedi adım, genel siber güvenlik hijyeninin bir parçasıdır; diğer başlıkları [KOBİ siber güvenlik kontrol listemizde](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html), kategorinin tamamını [Siber Güvenlik ve KVKK rehberimizde](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) bulabilirsiniz.

## Digital Bridge kurumsal parola güvenliği projesini nasıl yürütür?

Digital Bridge olarak parola güvenliğini bir yazılım satın alma kararı olarak değil, kimlik ve erişim yönetimi projesi olarak ele alıyoruz:

- **Mevcut durumu çıkarıyoruz.** [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında hesap envanterinizi, ortak hesapları, yönetici yetkilerini, MFA kapsamını ve işten ayrılış sürecinizi inceliyor; öncelik sırasına göre yazılı bir bulgu listesi hazırlıyoruz.
- **Politikayı birlikte yazıyoruz.** Parola, MFA, ortak hesap ve işten ayrılış kurallarını ekibinizin gerçekten uygulayabileceği sadelikte belgelendiriyoruz.
- **Sistemleri tek kimliğe bağlıyoruz.** Mevcut uygulamalarınızın kimlik doğrulamasını [sistem entegrasyonları](https://digitalbridge.com.tr/teknoloji-donanim/sistem-entegrasyonlari.html) ile merkezi yapıya bağlıyor, erişimin tek yerden yönetilmesini sağlıyoruz.
- **KVKK tarafını unutmuyoruz.** Kimlik bilgisi sızıntısında hangi kişisel verilerin etkilenebileceğini ve bildirim sürecini [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) ile hazır hale getiriyoruz.

## Smart360 parola riskini nasıl azaltır?

Digital Bridge'in geliştirdiği [Smart360](https://digitalbridge.com.tr/smart360.html), kurumsal e-posta ([SmartMail](https://digitalbridge.com.tr/smart360/smartmail.html)), dosya yönetimi ([SmartFiles](https://digitalbridge.com.tr/smart360/smartfiles.html)), yapay zeka müşteri temsilcisi (SmartOperator) ve kartlı geçiş (SmartPass) ürünlerini tek panelde ve tek kimlik (SmartID) altında toplayan uygulama ailesidir; proje yönetimi ürünü SmartPM'e de aynı Smart360 hesabıyla girilir. Smart360'ın tek kimlik ve oturum yönetimi, 7 adımlık parola güvenliği çerçevesinin birkaç adımını doğrudan karşılar:

- **Tek kimlik, tek parola.** Çalışan SmartID ile tüm bu ürünlere tek parolayla girer ve ürünler arasında parolasız geçer. Hatırlanacak ve sızabilecek parola sayısı azalır.
- **Posta kutusu parolası çalışana dağıtılmaz.** Posta kutusu parolalarını sistem üretir ve AES-256-GCM ile şifreli saklar. Ortak kutu parolasının WhatsApp grubunda dolaşması bu yapıda söz konusu olmaz.
- **Oturumlar görünür ve kapatılabilir.** Açık oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılır; SmartMail ve SmartFiles'ta parola değiştiğinde tüm cihazlardaki oturumlar kapanır.
- **Giriş ekranı korumalı.** Smart360 Security, Smart360 paneli ile SmartMail ve SmartFiles giriş ekranlarında insan doğrulaması yapar; doğrulama tamamlanmadan giriş isteği sunucuya ulaşmaz, böylece otomatik parola deneme saldırıları durur.
- **Ayrılan çalışan tek işlemle çıkar.** Erişim tek yerden, tüm ürünlerde kapanır; departmandan çıkan çalışanın o departman üzerinden aldığı erişim de tüm ürünlerde kendiliğinden kalkar.
- **Paylaşım bağlantıları kısa ömürlü.** SmartFiles'ın indirme ve önizleme bağlantıları dakikalar içinde geçersizleşir; eski bir bağlantı aylar sonra kimsenin eline geçmez.

Somut bir senaryo: satış temsilciniz dizüstü bilgisayarını kaybetti. Yönetim panelinden onun oturumlarını cihaz bilgisiyle görür, ilgili oturumu kapatır ve parolasını yenilersiniz; parola değiştiği anda diğer tüm oturumlar da kapanır. Aynı kişi ertesi ay ayrılırsa, erişimi e-postada ve dosyalarda tek işlemle sona erer.

## Sonraki adım: paylaşılan parolaları listeleyin

Kurumsal parola güvenliğine başlamak için bu hafta tek bir liste çıkarın: şirketinizde paylaşılan parolası olan tüm hesaplar. Bu liste genellikle en hızlı kazanılacak riski gösterir. Ardından [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; hesap envanterinizi birlikte değerlendirelim ve Smart360'ın tek kimlik ve oturum yönetimini kendi kullanıcılarınızla kurulmuş bir ortamda gösterelim.

## Sık Sorulan Sorular

### Parolaları 90 günde bir değiştirmek hâlâ gerekli mi?

Güncel rehberler, sızma şüphesi yoksa belirli aralıklarla zorunlu değişikliği önermiyor; çünkü bu kural çalışanları tahmin edilebilir kalıplara itiyor. Bunun yerine uzun ve benzersiz parolalar, sızmış parola listeleriyle karşılaştırma ve MFA birlikte uygulanmalı; bir sızma şüphesi olduğunda ise parola hemen değiştirilmeli ve açık oturumlar kapatılmalıdır.

### Kurumsal parola en az kaç karakter olmalı?

NIST SP 800-63B'ye göre parola tek doğrulama yöntemiyse en az 15 karakter, çok faktörlü kimlik doğrulamayla (MFA) birlikte kullanılıyorsa en az 8 karakter olmalıdır. Sembol ve büyük harf zorunluluğu yerine uzun bir parola cümlesi tercih edilmeli, yeni parolalar sızmış ve yaygın parola listeleriyle karşılaştırılarak engellenmelidir.

### KOBİ'de MFA'ya hangi hesaplardan başlamalı?

KOBİ'lerde MFA'ya önce yönetici hesapları, e-posta ve uzaktan erişim (VPN, uzak masaüstü, bulut panelleri) ile başlanmalıdır. Bu hesaplar ele geçirildiğinde saldırgan diğer sistemlerin çoğuna ulaşabilir. Ardından muhasebe, ERP ve dosya paylaşım sistemlerine geçilebilir; mümkün olan yerde SMS yerine uygulama tabanlı ya da donanım anahtarı gibi oltalamaya dayanıklı yöntemler seçilmelidir.

### Şirket çalışanlarına parola yöneticisi vermek gerekli mi?

Evet, her sistemde farklı ve uzun parola kullanmayı gerçekçi kılmanın en pratik yolu parola yöneticisidir. Parola yöneticisi olmadan çalışanlar aynı parolayı birden çok sistemde tekrar kullanmaya ya da not almaya yönelir. Parola yöneticisi tek başına yeterli değildir; kritik hesaplarda MFA ve merkezi kimlik yönetimiyle birlikte kullanılmalıdır.

### Ortak posta kutusu parolasını paylaşmak neden riskli?

Paylaşılan parola kimin hangi işlemi yaptığını bilmeyi imkânsız kılar ve ayrılan çalışanın erişimini kapatmak için herkesin parolasını değiştirmek gerekir. Doğrusu, her çalışanın ortak kutuya kendi kimliğiyle ve kutu bazlı yetkiyle erişmesi ve işlemlerin kayıt altında tutulmasıdır.

### Smart360 kullanırken parolalar nerede ve nasıl saklanıyor?

Posta kutusu parolalarını sistem üretir ve AES-256-GCM ile şifreli saklar; bu parolalar çalışanlara dağıtılmaz. Çalışan tüm ürünlere tek kimlikle (SmartID) girer. Her kurumun verisi her ürün için ayrı veritabanında tutulur.

### Parola sızıntısı KVKK kapsamında bildirim gerektirir mi?

Ele geçirilen hesapta kişisel veri varsa ve bu verilere yetkisiz erişim olmuşsa, olay KVKK kapsamında veri ihlali olarak değerlendirilmelidir. Bildirim gerekip gerekmediği ve süreç, olayın kapsamına göre belirlenir; bu nedenle olay müdahale adımlarının önceden yazılı olması önemlidir.