Posta Kutusu Yetkilendirme: Vekâlet, İzin Kapsamı ve Süre Sınırıyla Kimin Hangi Kutuya Erişeceğini Yönetin

Posta kutusu yetkilendirme, bir kişinin kendisine ait olmayan bir posta kutusunu (yöneticinin kutusu, izindeki çalışanın kutusu ya da bir ekip adresi) hangi izinlerle, ne kadar süreyle ve kimin onayıyla kullanabileceğini belirlemektir. Doğru kurgu parola paylaşmaz; okuma, gönderme ve silme gibi izinleri ayrı verir, vekâleti süreyle sınırlar ve her işlemi kayda geçirir.

Bu yazı ekip adreslerinin günlük düzenini değil, kişiye ait kutulara verilen vekâleti ve yetkinin yaşam döngüsünü ele alıyor. info@ ve muhasebe@ gibi ortak adreslerin rol matrisini ortak posta kutusu yönetimi rehberinde ayrıca anlattık.

Vekâlet ihtiyacı nerede doğar?

Hemen her şirkette başka birinin posta kutusuna bakma ihtiyacı birkaç tanıdık durumda ortaya çıkar. Genel müdürün asistanı toplantı davetlerini ve yazışmaları takip eder; yıllık izne çıkan satın alma uzmanının kutusuna gelen teklifler bekleyemez. Hastalık izni uzayan bir çalışanın müşteri yazışmalarını yöneticisi devralır; bir iç inceleme ya da hukuki süreç için de belirli bir döneme ait maillere bakmak gerekebilir.

Bu ihtiyaçların çoğu meşrudur; sorun, nasıl karşılandığıdır. En yaygın yöntem hâlâ "parolanı bana söyle" demektir. Parola verildiği anda vekil, kutu sahibinin yapabildiği her şeyi yapabilir: okur, gönderir, siler, yönlendirme kuralı kurar. Kimin hangi işlemi yaptığı ayırt edilemez; izin bittiğinde parola genellikle değişmez.

İkinci yaygın hata "geçici" verilen yetkinin kalıcılaşmasıdır. Asistan değişir ama eski asistanın genel müdür kutusuna erişimi kalır. Departman değiştiren çalışan, eski ekibinin kutularını görmeye devam eder. Yıllar içinde kimsenin tam olarak bilmediği bir erişim ağı oluşur.

Kontrolsüz yetkinin maliyeti

Vekâlet düzensizliği tek başına bir ihlal değildir, ama ihlali büyüten koşulları hazırlar. Saldırganlar çoğu zaman sisteme sızmak yerine var olan bir kimliği kullanır:

Verizon'un 2026 veri ihlali araştırmasına göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem olarak yerini korudu. (Verizon 2026 Data Breach Investigations Report)

Bir vekilin kimliği ele geçirildiğinde saldırgan yalnızca onun kutusuna değil, vekâlet verildiği tüm kutulara ulaşır. Sophos'un The State of Identity Security 2026 araştırmasında kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadığını söyledi; olağan dışı giriş denemelerini sürekli izleyenlerin oranı ise yalnızca %24'tü. Yani fazla yetkinin kötüye kullanımı da pek çok kurumda fark edilmeden kalabilir.

Türkiye'de de tablo soyut değil. TÜİK Girişimlerde Bilişim Teknolojileri Kullanım Araştırması verisine göre girişimlerin %9,4'ü 2025'te en az bir bilgi ve iletişim teknolojileri (BİT) güvenliği ihlali yaşadı; %5,6'sı kötü amaçlı yazılım ya da yetkisiz erişim nedeniyle veri kaybı veya bozulması bildirdi.

Kişisel veri boyutu da ayrı bir risk. Posta kutuları müşteri, tedarikçi ve çalışan verisiyle doludur. Kişisel Verileri Koruma Kurumu 2025 Faaliyet Raporu'na göre Kurum'a 2025'te ulaşan 12.512 ihbar ve şikâyetin 6.506'sı verilerin hukuka aykırı işlenmesiyle ilgiliydi. Gerekçesiz ve süresiz verilmiş bir kutu erişimi, bu tür bir şikâyette savunulması zor bir tablodur.

Posta kutusu yetkilendirme için 7 adımlı çerçeve

Aşağıdaki sıra, vekâleti kişisel bir iyilikten kayıtlı bir iş sürecine dönüştürür:

1. Kutuları ve mevcut vekâletleri listeleyin. Kimin hangi kutuya eriştiğini, bu erişimin parola paylaşımıyla mı yoksa tanımlı yetkiyle mi verildiğini çıkarın. Parolası birden çok kişide olan kutular ilk önceliktir.
2. Parolayı devreden çıkarın. Vekil kendi kimliğiyle girmeli, kutu sahibinin parolası kimseye söylenmemeli. Kimlik tarafını güçlendirmek için iki adımlı doğrulama ve tek oturum açma temel önlemlerdir.
3. İzinleri parçalayın. "Kutuya erişim" tek yetki olmamalı. Okuma, yazma-gönderme, silme ve etiketleme ayrı verilmeli; silme ve kural değiştirme en az kişide kalmalı.
4. Her vekâlete bir gerekçe ve bitiş tarihi yazın. "Yıllık izin, 12–23 Ağustos, yalnız okuma ve cevaplama" gibi. Bitiş tarihi olmayan vekâlet kalıcı yetkiye dönüşür.
5. Onaylayanı belirleyin. Kişisel kutuya erişim talebini kutu sahibi ya da (sahip ulaşılamıyorsa) birim yöneticisi, hassas kutularda ayrıca BT ya da KVKK sorumlusu onaylamalı.
6. Adına gönderimi ayrıca düşünün. Vekilin kutu sahibi adına mail göndermesi en riskli izindir; teklif, ödeme teyidi gibi mesajlar için gönderim öncesi onay kurgulayın. Ayrıntısını e-posta onay akışı yazımızda anlattık.
7. Üç ayda bir gözden geçirin ve kapatın. Tüm vekâletleri kutu sahibiyle birlikte gözden geçirin; gerekçesi bitenleri kapatın. Ayrılışlarda yapılacaklar için işten ayrılan çalışanın e-posta erişimi kontrol listesini kullanın.

Bu adımlar, dosya tarafında uyguladığımız en az yetki ilkesinin e-postadaki karşılığıdır; klasör yetkileri için dosya paylaşım yetkilendirme rehberine bakabilirsiniz. Güvenlik mimarisinin bütününde ise "kimseye varsayılan güven yok" yaklaşımı olan sıfır güven modeli aynı mantığı izler.

Hangi vekâlet senaryosunda hangi izin?

Tablo bir başlangıç önerisidir. Ortak nokta şu: silme hiçbir vekâlet senaryosunda varsayılan değildir ve her satırın bir bitiş koşulu vardır.

Gözden kaçan iki yetki: yönlendirme kuralı ve açık oturum

Vekâlet çoğu zaman izinler tablosunda doğru görünür, ama iki yan kapı açık kalır. Birincisi, dışarıya otomatik yönlendirme kuralıdır; izin dönüşü unutulan bir "tüm mailleri kişisel adresime ilet" kuralı, kurumsal yazışmaları kontrol dışına taşır. İkincisi, vekilin cihazında açık kalan oturumlardır.

Vekâlet kapatılırken bu iki noktayı da kontrol edin ve oturumları sonlandırın. Parola politikasının geri kalanını kurumsal parola güvenliği yazısında topladık.

Çalışanın kutusuna erişim ve KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 4. maddesinde verinin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlar için, bu amaçlarla bağlantılı, sınırlı ve ölçülü işlenmesini ister. Bir yöneticinin çalışanın kutusuna erişimi de bu ilkelere göre tasarlanmalıdır: gerekçe yazılı olmalı, kapsam iş yazışmalarıyla ve belirli bir dönemle sınırlanmalı, çalışan önceden aydınlatılmalıdır.

Pratikte bu en az üç belge gerektirir: kurumsal e-postanın kullanım kurallarını anlatan bir politika, çalışan aydınlatma metni ve her vekâletin gerekçesini tutan kayıt. Çalışan verilerinin genel çerçevesini KVKK kapsamında çalışan kişisel verileri yazısında anlattık. İK sistemindeki işe giriş, görev değişikliği ve ayrılış kayıtlarının e-posta yetkilerini tetiklemesi de bu tabloyu tamamlar; bunun için İK yazılımı seçimi sırasında entegrasyon sorusunu baştan sorun.

Digital Bridge'de bu işi nasıl yapıyoruz?

Posta kutusu yetkilendirme bir ürün ayarı olmaktan önce bir organizasyon kararıdır. Bu yüzden işe yazılımla değil, mevcut durumla başlıyoruz.

• Keşif ve envanter: Kutuları, vekâletleri, paylaşılan parolaları ve dışa yönlendirme kurallarını çıkarıyor, riskleri önceliklendiriyoruz. Bulguları siber güvenlik danışmanlığı kapsamında raporluyoruz.
• Politika ve aydınlatma: Çalışan kutusuna erişim kuralları, onay zinciri ve aydınlatma metnini KVKK uyum danışmanlığı ekibimizle birlikte hazırlıyoruz.
• Pilot: Tek bir departmanda, örneğin yönetim ve satın alma kutularında, yeni izin modelini deniyor; ilk gözden geçirme döngüsünün sonuçlarına göre matrisi sadeleştiriyoruz.
• Entegrasyon: Görev değişikliği ve ayrılışın kutu yetkilerine otomatik yansıması için İK ve personel yönetimi sisteminizle bağlantıyı sistem entegrasyonları kapsamında planlıyoruz.
• Yazılı teklif: Kapsam, aşamalar ve bedel yazılı olarak netleşir; hazır paket dayatmayız.

SmartMail ile posta kutusu yetkilendirme nasıl işler?

Smart360 ailesinin SmartMail kurumsal e-posta ürünü, ortak ve kişisel posta kutularını tek web panelinde yönetir. Yukarıdaki çerçevenin karşılıkları şöyledir:

• Parola dağıtılmaz. Posta kutusu parolalarını sistem üretir, AES-256-GCM ile şifreli saklar ve çalışanlara dağıtmaz. Vekil, kendi tek kimliğiyle (SmartID) girer.
• Kutu başına dokuz izin. Görüntüleme, yazma-gönderme, silme, etiketleme, karantina, yapay zeka ile yeniden yorumlama, yapay zeka sohbeti, not ve dikkat çekme ayrı ayrı verilir. Silme ve karantina yönetimi yeni atamada kapalı gelir.
• Organizasyona bağlı erişim. Departmandan ayrılan kişinin kutu erişimi otomatik kalkar; departman değişince erişim tüm Smart360 ürünlerinde değişir. İşten ayrılan çalışanın erişimi tek işlemle kapanır.
• İz ve oturum kontrolü. Her mesajda işlem dökümü, kutu bazında denetim kaydı tutulur. Oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılır; parola değişince tüm oturumlar kapanır.
• Onaylı gönderim. Kurum adına çıkacak mesaj, gönderilmeden önce bir ya da birden çok kişinin onayına sunulabilir. Zamanlanmış gönderimde yetki gönderim anında yeniden denetlenir; yetkisi o arada kaldırılmış bir vekilin mesajı çıkmaz.

Somut bir senaryo: Satın alma müdürü iki haftalık izne çıkıyor. Yönetici, uzmana müdürün kutusu için görüntüleme, yazma-gönderme ve not izinlerini veriyor; silme kapalı kalıyor. Uzman gelen teklifleri cevaplıyor, tedarikçiye gidecek sipariş teyitlerini onaya sunuyor ve her mesajın yanına not bırakıyor. Müdür döndüğünde işlem dökümünden kimin neyi yaptığını görüyor ve vekâlet paneldeki izinler kaldırılarak kapatılıyor.

Birden çok şirketi olan gruplarda bu yapının şirket bazında nasıl ayrıldığını çok şirketli e-posta yönetimi yazısında anlattık.

Sonraki adım

Bu hafta tek bir kontrol yapın: yönetici kutularına kimlerin eriştiğini ve bu erişimlerin ne zaman verildiğini listeleyin. Gerekçesini kimsenin hatırlamadığı bir vekâlet çıkıyorsa, yetki modelinizi yeniden kurmanın zamanı gelmiştir. Genel seçim kriterleri için kurumsal e-posta nasıl seçilir rehberine, konunun diğer yazılarına kurumsal e-posta ve belge merkezimizden ulaşabilirsiniz. Kendi kutularınızla bir pilot planlamak için bizimle iletişime geçin.