Güçlü Parola Politikası: Hesaplarınızı Koruyan İlk Savunma Hattı

Siber güvenlikte en pahalı güvenlik duvarını kurabilir, en pahalı antivirüsü satın alabilirsiniz; ama bir çalışanınızın parolası "123456" veya "sirket2024" ise bu yatırımların büyük kısmı boşa gider. Parola, dijital hayatınızın anahtarıdır ve saldırganların ezici çoğunluğu kapıyı zorlamak yerine anahtarı çalmayı ya da tahmin etmeyi tercih eder. Bu yazıda, teknik jargona boğulmadan, güçlü bir parola politikasının neden ilk savunma hattı olduğunu ve bunu hem bireysel hem kurumsal düzeyde nasıl kuracağınızı anlatacağız.

Türkiye'de küçük ve orta ölçekli işletmelerin yaşadığı veri ihlallerinin önemli bir kısmı, sızdırılmış ya da tahmin edilmiş parolalarla başlar. Muhasebe programına, e-posta hesabına veya e-ticaret paneline giren tek bir zayıf parola, tüm müşteri verinizi riske atabilir. KVKK kapsamında bu verinin korunması yasal bir yükümlülüktür; dolayısıyla parola hijyeni yalnızca teknik değil, hukuki bir meseledir.

Zayıf Parolalar Neden Bu Kadar Tehlikeli?

Saldırganlar parolaları elle tahmin etmez. Otomatik araçlar, saniyede milyonlarca kombinasyonu deneyebilir. Bunun için iki temel yöntem kullanılır. Birincisi sözlük saldırısı: yaygın kelimeler, isimler, doğum yılları ve klavye dizilimleri içeren devasa listeler denenir. İkincisi kaba kuvvet (brute force) saldırısı: tüm olası karakter kombinasyonları sırayla denenir.

Bir parola ne kadar kısa ve tahmin edilebilirse, bu araçlar için o kadar kolay hedef olur. Sekiz karakterlik, yalnızca küçük harflerden oluşan bir parola, modern donanımlarla çok kısa sürede kırılabilir. Buna karşılık uzun ve rastgele bir parola, kırılması pratik olarak imkânsız hale gelene kadar süre uzatır.

Parolanızın gücü, karmaşıklığından çok uzunluğundan gelir. On altı karakterlik anlamlı bir cümle, sekiz karakterlik "P@ssw0rd" ifadesinden çok daha güvenlidir.

Güçlü Bir Parolanın Özellikleri

İyi bir parolanın taşıması gereken temel nitelikler nettir ve akılda tutması zor değildir:

• Uzunluk: En az 12, tercihen 16 veya daha fazla karakter. Uzunluk, kırılma süresini üstel olarak artırır.
• Benzersizlik: Her hesap için farklı bir parola. Bir sitede sızan parola, diğer hesaplarınızı asla açmamalı.
• Öngörülemezlik: İsim, doğum tarihi, şirket adı, favori takım gibi kişisel ve tahmin edilebilir bilgiler içermemeli.
• Çeşitlilik: Büyük/küçük harf, rakam ve sembol karışımı. Ancak bunu uzunluğun yerine değil, üzerine ekleyin.

Parola Cümlesi (Passphrase) Yaklaşımı

İnsan zihni rastgele karakterleri hatırlamakta zorlanır ama anlamlı ifadeleri kolayca tutar. Bu yüzden güvenlik uzmanları giderek daha çok parola cümlesi önerir: birbiriyle alakasız birkaç kelimeyi birleştirmek. Örneğin "mavi-kaplan-lamba-42-nehir" gibi bir ifade hem uzundur hem hatırlanması kolaydır hem de sözlük saldırılarına karşı dirençlidir. Sıradan bir cümle yerine tahmin edilemeyen kelimeler seçmek burada kritiktir.

Parola Yeniden Kullanımı: En Yaygın Ölümcül Hata

İnsanların çoğu, aynı parolayı onlarca sitede kullanır. Bunun mantığı basittir: hatırlaması kolaydır. Ancak bu, siber güvenlikte en büyük risklerden biridir. Bir alışveriş sitesi veri ihlali yaşadığında, sızan e-posta ve parola çiftleri karanlık ağda satışa çıkar. Saldırganlar bu listeleri alır ve aynı bilgileri bankanızda, e-postanızda, sosyal medyanızda dener. Bu yönteme kimlik bilgisi doldurma (credential stuffing) denir ve son derece etkilidir çünkü insanlar parolalarını tekrar tekrar kullanır.

Çözüm nettir: her hesap için benzersiz parola. Peki onlarca farklı parolayı nasıl hatırlarsınız? Cevap, hepsini hatırlamaya çalışmamaktır; bunun için parola yöneticisi kullanılır.

Parola Yöneticisi: Modern Çözüm

Parola yöneticisi, tüm parolalarınızı şifreli bir kasada saklayan ve her site için otomatik olarak güçlü, benzersiz parolalar üreten bir araçtır. Siz yalnızca tek bir güçlü "ana parolayı" hatırlarsınız; gerisini uygulama halleder. Bu sayede yüzlerce hesabınız için yüzlerce farklı, uzun ve rastgele parola kullanabilirsiniz.

1. Kurun ve güçlü bir ana parola belirleyin; bu tek parolayı asla başka yerde kullanmayın.
2. Yeni hesap açarken uygulamanın rastgele parola üretmesine izin verin.
3. Mevcut zayıf ve tekrar eden parolalarınızı zaman içinde tek tek güçlendirin.
4. Ana hesabınızı iki faktörlü kimlik doğrulama ile ek olarak koruyun.

Kurumsal Parola Politikası Nasıl Kurulur?

Bir işletmede güvenlik, en zayıf halka kadar güçlüdür. Bu yüzden parola kuralları kişisel tercihe bırakılmamalı, yazılı bir politikayla tanımlanmalıdır. İyi bir kurumsal parola politikası şunları içerir:

• Minimum uzunluk ve karmaşıklık: Tüm çalışan hesapları için asgari standart belirleyin.
• Ortak parola yasağı: Ofis Wi-Fi'si veya paylaşımlı hesaplar için tek ortak parola kullanımını sınırlayın.
• Kurumsal parola yöneticisi: Ekip için merkezi bir çözüm sağlayın; personel ayrıldığında erişimi kolayca iptal edin.
• İş bitiminde erişim iptali: Ayrılan çalışanların tüm hesap erişimlerini derhal kapatın.
• Kritik hesaplarda 2FA zorunluluğu: E-posta, muhasebe ve yönetim panellerinde ikinci doğrulama şart olsun.

Eski yaklaşım "parolanızı her 30 günde bir değiştirin" derdi. Güncel rehberler ise bunun tersini söyler: parolayı sızma şüphesi olmadıkça değiştirmeyin, ama en baştan uzun ve benzersiz yapın. Sık zorunlu değişim, insanları tahmin edilebilir varyasyonlar üretmeye iter.

Parolanızın Sızıp Sızmadığını Kontrol Edin

E-posta adresinizin geçmiş veri ihlallerine karışıp karışmadığını sorgulayan güvenilir hizmetler vardır. Bu tür bir kontrol, hangi hesaplarınızın risk altında olduğunu gösterir. Eğer bir parolanız sızmış listede görünüyorsa, onu kullandığınız her yerde derhal değiştirmelisiniz.

Kontrol Listesi: Parola Hijyeni

• Her hesap için benzersiz parola kullanıyor muyum?
• Parolalarım en az 12-16 karakter uzunluğunda mı?
• Bir parola yöneticisi kullanıyor muyum?
• Kritik hesaplarımda iki faktörlü doğrulama açık mı?
• Parolalarımı tarayıcıya "hatırla" derken bu bilgi şifreli mi saklanıyor?
• Ekipteki herkes aynı standartlara uyuyor mu?

Sık Sorulan Sorular

Parolamı tarayıcıya kaydetmek güvenli mi? Modern tarayıcıların parola yöneticileri makul koruma sunar, ancak özel parola yöneticileri kadar güçlü değildir ve cihazlar arası yönetimi zorlaştırır. Kritik hesaplar için özel bir çözüm daha iyidir.

Parolamı bir kâğıda yazmak yanlış mı? Ana parolanızı fiziksel olarak güvenli bir yerde saklamak, onu tahmin edilebilir yapmaktan iyidir. Ancak dijital hesaplar için parola yöneticisi çok daha pratik ve güvenlidir.

Küçük bir işletmeyim, gerçekten hedef olur muyum? Evet. Saldırıların büyük kısmı otomatiktir ve büyük-küçük ayırmaz. Küçük işletmeler genellikle daha zayıf korunduğu için tercih edilen hedeflerdir.

Parola politikası, siber güvenliğin temeli ve en düşük maliyetli savunmasıdır. Bugün atacağınız birkaç basit adım, yarın yaşayabileceğiniz büyük bir veri ihlalini önleyebilir. İşletmenizin dijital altyapısını ve müşteri verilerinizi KVKK uyumlu şekilde güvence altına almak istiyorsanız, projenizi konuşalım.