Kurumsal E-Posta Güvenliği

Kurumsal e-posta güvenliği iki katmanda kurulur: hesap güvenliği (güçlü parola, iki adımlı doğrulama, erişim takibi) ve alan adı güvenliği (SPF, DKIM, DMARC ile kimliğinizin taklit edilmesini önlemek). Türkiye'de işletmelerin en sık karşılaştığı saldırı türü, ödeme bilgisi değiştirmeye çalışan sahte fatura ve IBAN postalarıdır; teknik önlemler kadar ekip içi doğrulama kuralı da gerekir.

Üç saldırı türü

1. Kimlik avı (phishing)

Kullanıcıyı sahte bir giriş sayfasına yönlendirip parolasını almayı hedefler. Tipik bahaneler: "posta kutunuz doldu", "parolanız süresi doluyor", "yeni bir dosya paylaşıldı". Bağlantıdaki adresi kontrol etmek çoğu saldırıyı boşa çıkarır.

2. Sahte gönderici (spoofing)

Saldırgan, sizin alan adınızdan geliyormuş gibi görünen posta gönderir. Bunu engellemenin yolu SPF, DKIM ve DMARC kayıtlarını doğru kurmak ve politikayı sıkılaştırmaktır; nasıl yapıldığını SPF, DKIM ve DMARC yazısında anlattık.

3. Hesap ele geçirme

Parola çalındığında saldırgan kutuyu okur, yazışmaları izler ve doğru anı bekler: bir ödeme yazışmasının ortasında araya girip IBAN değiştirir. Belirtiler arasında bilinmeyen yönlendirme kuralları, giden kutusunda sizin göndermediğiniz postalar ve ani gönderim artışı vardır.

Hesap tarafında yapılacaklar

1. Benzersiz parola: Her hesap için ayrı; başka servislerde kullandığınız parolayı kullanmayın.
2. İki adımlı doğrulama: Panelde ve destekleniyorsa posta erişiminde açın.
3. Parola yöneticisi: Ekip parolalarını not defterinde veya ortak bir dosyada tutmayın.
4. Ayrılan çalışan: Parolayı aynı gün değiştirin, hesabı yönlendirmeye alın.
5. Yönlendirme denetimi: Hesaplarda tanımlı yönlendirme ve filtre kurallarını dönemsel olarak kontrol edin; saldırganların ilk işi gizli yönlendirme kurmaktır.
6. Cihaz güvenliği: Telefon ve dizüstü bilgisayarlarda ekran kilidi ve disk şifrelemesi.

Alan adı tarafında yapılacaklar

• SPF kaydını tek ve eksiksiz tutun.
• DKIM imzalamayı etkinleştirin.
• DMARC'ı p=none ile başlatıp raporları okuyun, ardından quarantine ve reject seviyesine çıkın.
• Kullanmadığınız alt alan adlarından gönderim yapılmasını engelleyecek politikalar tanımlayın.
• Alan adınızın kendisini koruyun: transfer kilidi açık olsun, kayıt paneline iki adımlı doğrulama ekleyin. Süre takibini de unutmayın; süre dolarsa ne olur yazısındaki önlemlere bakın.

Ekip kuralı: ödeme doğrulaması

Teknik önlemler, ikna edilmiş bir çalışanı durdurmaz. Bu yüzden basit ve yazılı bir kural gerekir:

IBAN veya ödeme bilgisi değişikliği içeren hiçbir talep, yalnızca e-postaya dayanarak işleme alınmaz. Talep, daha önce kayıtlı bir telefon numarasından sesli olarak teyit edilir.

Bu tek cümlelik kural, sahte fatura saldırılarının büyük bölümünü etkisiz hale getirir. Kuralı yeni başlayan her çalışana anlatın.

Şüpheli postayı tanıma

Ele geçirilmiş hesapta ilk 30 dakika

1. Parolayı değiştirin ve tüm oturumları sonlandırın.
2. Hesaptaki yönlendirme, filtre ve otomatik yanıt kurallarını kontrol edip temizleyin.
3. Giden kutusunu inceleyin: kimlere ne gönderilmiş?
4. Etkilenen muhataplara bilgi verin; özellikle ödeme yazışması varsa telefonla arayın.
5. Giriş kayıtlarını inceleyin: hangi IP, hangi saat?
6. Aynı parolanın kullanıldığı diğer hesapları da değiştirin.
7. Gönderim hacmi arttıysa kara liste durumunu kontrol edin; teşhis adımları spam'a düşme yazısında.

Yedekleme ve saklama

E-posta, çoğu işletmede en kritik iş kaydıdır: sözleşme yazışmaları, teklifler, siparişler. Buna rağmen yedekleme planında en sık atlanan bileşendir. Üç soruyu yanıtlayın: kutular yedekleniyor mu, yedek nerede saklanıyor, geri dönüş denendi mi? Hosting tarafındaki yöntemleri cPanel'de yedek alma yazısında anlattık.

Kişisel veri içeren yazışmalarda saklama süresi ve erişim yetkileri konusunda hukuk danışmanınızla bir politika belirleyin.

Düzenli kontrol takvimi

• Aylık: Yönlendirme ve filtre kurallarını gözden geçirin.
• Üç ayda bir: Aktif hesap listesini denetleyin; kullanılmayan hesapları kapatın.
• Altı ayda bir: DMARC raporlarını inceleyip politikayı gözden geçirin.
• Yılda bir: Yedekten geri dönüş provası yapın ve ekibe kısa bir farkındalık hatırlatması gönderin.

Küçük ekipler için asgari güvenlik paketi

Beş kişilik bir işletmede uygulanabilir asgari düzen şudur:

1. Her çalışana kendi hesabı; ortak hesap yok.
2. Parolalar bir parola yöneticisinde; kâğıtta veya ortak dosyada değil.
3. Panel erişiminde iki adımlı doğrulama.
4. IBAN ve ödeme değişikliklerinde telefonla teyit kuralı.
5. Ayrılan çalışanda aynı gün parola değişimi.
6. Ayda bir yönlendirme kurallarının kontrolü.

Bu altı madde ek maliyet gerektirmez ve pratikte en sık karşılaşılan saldırıların büyük bölümünü karşılar.

Eğitim: en ucuz önlem

Teknik önlemlerin karşılayamadığı tek şey, ikna edilmiş bir kullanıcıdır. Yılda bir yapılan kısa bir hatırlatma bile fark yaratır: gerçek bir kimlik avı örneği gösterin, sahte alan adını birlikte inceleyin ve şüpheli postayı kime bildireceklerini söyleyin. Bildirim kanalı belirsizse çalışanlar sessiz kalır ve saldırı fark edilmeden ilerler.

Netx'te e-posta

E-posta hesaplarınızı Netx hosting paketlerinizde yönetebilir, DNS kayıtlarınızı aynı panelden düzenleyebilirsiniz. Paketler için cPanel hosting, web hosting ve kurumsal hosting sayfalarına, kurulum adımları için cPanel'de e-posta kurulumu yazısına bakabilirsiniz.

Sık sorulan sorular

Şifremi ne sıklıkla değiştirmeliyim?

Düzenli zorunlu değişim yerine güçlü ve benzersiz bir parola ile iki adımlı doğrulama daha etkilidir. Şüphe durumunda hemen değiştirin.

Alan adım taklit ediliyor, ne yapmalıyım?

DMARC politikanızı sıkılaştırın ve raporları izleyin. Benzer alan adı kaydedilmişse marka hakları açısından hukuk danışmanınıza başvurun.

Antivirüs ve spam filtresi yeterli mi?

Filtreler kitlesel saldırıları engeller; hedefli saldırılarda insan doğrulaması gerekir.

Çalışanların kişisel telefonunda şirket postası olur mu?

Olabilir; ekran kilidi, uzaktan silme imkânı ve ayrılma durumunda erişimin kaldırılması şartıyla.

Hangi postaları saklamalıyım?

Ticari ve hukuki yazışmaların saklama süresi mevzuata bağlıdır; şirketinize özel süreleri mali müşavir ve hukuk danışmanınızla belirleyin.