Kurumsal e-posta güvenliği, şirket hesaplarını ve bu hesaplar üzerinden yürüyen iş süreçlerini yetkisiz erişimden korumayı kapsar. Güçlü bir parola başlangıçtır; hesabın kim tarafından kullanıldığı, şüpheli mesajların nasıl bildirildiği ve ödeme taleplerinin nasıl doğrulandığı da aynı planın parçasıdır.
Bu rehber, kendi BT ekibi olan veya dış kaynak destek alan işletmelerin ortak bir kontrol düzeni oluşturmasına yardımcı olur. Ofiste, evden ya da farklı illerde çalışan ekipler için temel sorular aynıdır: Kim erişebiliyor, hangi işlem ayrıca onaylanıyor ve sorun fark edildiğinde kime haber veriliyor?
Oltalama e-postası nasıl anlaşılır?
Oltalama, yani phishing, alıcıyı bir bağlantıyı açmaya, bilgi paylaşmaya veya beklenmedik bir işlemi yapmaya yönlendiren aldatıcı mesajlardır. “Hesabınız kapanacak”, “yeni faturayı açın” veya “bu ödemeyi hemen yapın” gibi taleplerle karşılaşabilirsiniz.
Görünen gönderen adının tanıdık olması tek başına yeterli değildir. Tam e-posta adresini, alan adını ve talebin beklediğiniz işle ilgili olup olmadığını kontrol edin. Düzgün Türkçe ve kurumsal bir imza da güvenilirlik kanıtı sayılmaz. Microsoft, şüpheli taleplerin mesajdan bağımsız, bilinen bir iletişim kanalıyla doğrulanmasını önerir. Microsoft’un oltalama rehberi.
Örneğin bir tedarikçiden gelen “banka hesabımız değişti” mesajını düşünün. İşletmenin uygulanabilir kuralı şu olabilir: Muhasebe çalışanı değişikliği kaydetmeden önce, mesajdaki numara yerine mevcut tedarikçi kaydındaki numarayı arar; doğrulama sonucunu ve ikinci onayı ödeme kaydına ekler. Bu örnek, yazılım filtresinin yanında iş akışının da neden gerekli olduğunu gösterir.
Hesap ve erişim düzenini netleştirin
Birden fazla çalışanın aynı kullanıcı adı ve parolayla oturum açması, yapılan işlemin sorumlusunu belirlemeyi zorlaştırır. Ortak bir adres gerekiyorsa, sağlayıcının desteklediği paylaşımlı posta kutusu veya yetkilendirme modelini değerlendirin. Kişisel hesap ile ortak iş adresinin yönetimini ayırın.
Çok faktörlü kimlik doğrulamayı (MFA) sağlayıcınızın desteklediği yöntemlerle etkinleştirin. Kurtarma yöntemlerinin ve yönetici erişimlerinin sorumlularını belirleyin. Destek ekibi dahil hiç kimseyle tek kullanımlık doğrulama kodu paylaşmayın; başlatmadığınız oturum açma bildirimlerini onaylamayın.
Yeni çalışan için hesap açılması kadar, görev değişikliği ve ayrılışta erişimin yeniden değerlendirilmesi de önemlidir. İşletmenin onayladığı devir planında posta kutusunun sorumlusu, cihazlar, ortak adres yetkileri ve erişimin kapatılacağı zaman yer alsın.
İşletmeniz için 8 maddelik kontrol listesi
Bu listeyi BT sorumlunuzla birlikte kullanın. Her eksik için bir sorumlu ve tamamlanma tarihi belirleyin.
- Hesap listesi: Aktif kullanıcılar, yönetici hesapları ve ortak posta adreslerinin sahipleri biliniyor mu?
- Doğrulama: Hesaplar için MFA ve güvenli kurtarma yöntemleri tanımlı mı?
- Parola düzeni: Her hesapta farklı parola kullanılıyor ve paylaşım yerine uygun yetkilendirme yapılıyor mu?
- Ödeme onayı: Yeni banka bilgisi veya olağandışı ödeme talebi ayrı kanaldan doğrulanıyor mu?
- Bildirim kanalı: Çalışanlar şüpheli mesajı hangi yetkiliye, hangi araçla bildireceklerini biliyor mu?
- Yetki kontrolü: Posta kutusu erişimleri, otomatik yönlendirmeler ve bağlı uygulamalar düzenli inceleniyor mu?
- Çalışan ayrılışı: Erişim kapatma ve iş yazışmalarının devri için kayıtlı bir süreç var mı?
- Olay kaydı: Hesap sorunu yaşandığında zaman, kullanıcı ve yapılan işlemler kayda alınıyor mu?
Kontroller yalnız merkez ofisi kapsamamalıdır. Şube çalışanlarının ve uzaktan çalışan ekiplerin aynı bildirim ve onay sürecini kullanması, destek taleplerini tek yerde takip etmeyi kolaylaştırır.
Şüpheli bağlantıya tıkladıysanız ne yapmalısınız?
Bağlantıya tıklamak, parola girmek ve bir dosyayı çalıştırmak farklı durumlardır. BT sorumlusuna ne yaptığınızı açıkça bildirin. Mesajın geliş zamanını ve görünen gönderen bilgisini kaydedin; inceleme için mesajı koruyun. Parolayı veya doğrulama kodunu destek kaydına yazmayın.
Hesaba yetkisiz erişim şüphesinde yalnız parola değiştirmekle yetinilmemelidir. Microsoft 365’in resmi müdahale rehberi, yetkili yöneticinin oturumları, doğrulama yöntemlerini ve posta yönlendirme kurallarını da incelemesini ele alır. Müdahaleyi işletmenin BT sorumlusu veya yetkili sağlayıcısıyla yürütün. Microsoft 365 hesap müdahale rehberi.
İlk adımı nasıl seçebilirsiniz?
Önce hesap listesini çıkarın ve şüpheli mesaj bildirim kanalını çalışanlarla paylaşın. Ardından ödeme doğrulama kuralını muhasebe ve yönetimle netleştirin. Böylece teknik kontrol ile işletme onayı aynı süreçte buluşur.
Microsoft 365 ve bulut desteği sayfamızda hesap yönetimi kapsamını, siber güvenlik ve yedekleme sayfamızda ilgili teknik kontrolleri inceleyebilirsiniz. Hesap ve cihaz yapınıza uygun başlangıç planı için ücretsiz BT ön değerlendirmesi talep edebilirsiniz.