E-Posta İletilerinde Açık Bilgi Paylaşımının Önlenmesi
- 103
Bilgi güvenliği, yalnızca verilerin saklanması değil, aynı
zamanda iletim süreçlerinin de güvenli hale getirilmesini gerektirir. E-posta
iletişimi, güvenlik mekanizmaları uygulanmadığında saldırganların kolaylıkla
erişebileceği bir kanal haline gelmektedir. Kullanıcıların sıklıkla yaptığı
hata, şifre veya kullanıcı adı gibi kritik bilgileri düz metin (plain text)
halinde göndermeleridir. Bu durum hem KVKK hem de ISO/IEC 27001 gibi bilgi
güvenliği standartları çerçevesinde ciddi uyumsuzluklara yol açmaktadır.
Yetkisiz Erişim: Açık gönderilen parolalar, e-posta
trafiğini izleyen saldırganlar tarafından kolaylıkla ele geçirilebilir.
Kimlik Avı ve Sosyal Mühendislik: Ele geçirilen bilgiler, sahte
e-postalar veya hesap ele geçirme girişimlerinde kullanılabilir.
Yasal ve Düzenleyici Uyumsuzluk: GDPR ve KVKK gibi düzenlemeler, kişisel
verilerin korunmasını zorunlu kılmakta; açık şifre paylaşımı ise bu
düzenlemelere aykırılık oluşturmaktadır.
Nasıl yapmalıyız?
- Parsiyel
Maskelenme: Kullanıcı adı veya parolanın yalnızca belirli
bölümlerinin görünür, geri kalan kısmının yıldız (\*) veya nokta (•)
karakterleri ile gizlenmesi. Örn: `ahmet*****@mail.com` veya `Pa***123`.
- Tek
Kullanımlık Parolalar (OTP): E-posta ile şifre göndermek yerine, tek
seferlik geçici doğrulama kodlarının paylaşılması.
- Şifreli
Dosya Paylaşımı: Parola veya kullanıcı adı gibi bilgilerin doğrudan
e-posta gövdesine değil, şifrelenmiş dosyalar içerisine yerleştirilmesi.
- Güvenli
İletim Kanalları: E-posta yerine, güvenli mesajlaşma sistemleri veya
kurumsal parola yönetim araçlarının kullanılması.
Maskelenme yaklaşımı, sadece teknik bir uygulama değil, aynı
zamanda kurumsal bilgi güvenliği kültürünün bir parçasıdır. ISO/IEC 27001 Bilgi
Güvenliği Yönetim Sistemi, kritik bilgilerin iletiminde güvenli yöntemlerin
kullanılmasını tavsiye etmektedir. Benzer şekilde, NIST ve ENISA yönergeleri de
açık kimlik doğrulama bilgisi paylaşımının risklerine dikkat çekmektedir.
E-posta üzerinden açık şekilde kullanıcı adı ve parola
paylaşımı hem bireysel hem de kurumsal güvenlik için yüksek risk taşımaktadır.
Bu nedenle maskelenme yöntemleri, şifreleme çözümleri ve güvenli iletişim
protokolleri mutlaka uygulanmalıdır. Kurumlar, çalışanlarına yönelik düzenli
farkındalık eğitimleri düzenleyerek bu riskleri azaltabilir ve bilgi güvenliği
standartlarına uyum sağlayabilir.