İki Faktörlü Doğrulamaya Nereden Başlamalı? KOBİ'ler İçin Hesap Önceliklendirme

Bir KOBİ'de tek bir çalınmış parola, e-posta kutusundan bulut konsoluna, oradan da müşteri verisine uzanan bir zincirin ilk halkası olabilir. İki faktörlü doğrulama (2FA), parolanın ele geçirilmesi durumunda saldırganın önüne ikinci bir engel koyar. Ancak çoğu işletmede asıl zorluk 2FA'yı bilmek değil, nereden başlayacağını bilmektir. Her hesapta aynı anda açmaya çalışmak ekibi yorar, süreç yarıda kalır ve en kritik hesaplar yine korumasız kalabilir.

Bu yazıda yönetici gözüyle ilerliyoruz: önce hangi hesapların korunması gerektiğini sıralıyor, ardından uygulayabileceğiniz kısa bir kontrol akışı sunuyoruz. Adım adım kurulum ayrıntıları için İki Faktörlü Doğrulama (2FA) Kurulum Rehberi yazımıza yönlenebilirsiniz.

01İki faktörlü doğrulamada sıralama neden önemlidir?

Bütün hesaplar aynı değerde değildir. Bazı hesaplar yalnızca kendi içeriğine erişim verir; bazıları ise başka hesapların kapısını açar. Örneğin e-posta hesabı, birçok servisin “parolamı unuttum” bağlantısının gittiği yerdir. Bir saldırgan e-posta hesabını ele geçirirse, 2FA'sı olan servisler dışında kalan pek çok hesabın parolasını sıfırlayabilir.

Bu nedenle sıralamayı şu iki soruyla belirlemek mantıklıdır:

• Hesap ele geçirilirse etkisi ne olur? Para hareketi, müşteri verisi, sistem yönetimi veya itibar kaybı gibi sonuçlar doğuruyorsa öncelik yüksektir.
• Hesap başka hesapları da etkiler mi? E-posta, kimlik sağlayıcı ve alan adı hesapları bu gruptadır.

KVKK'nın veri güvenliğine ilişkin yükümlülüğü, kişisel veri işleyen kurumlardan uygun teknik ve idari tedbirleri almasını bekler. Kritik hesaplarda 2FA, bu tedbirlerin görece düşük maliyetli ve somut örneklerinden biridir.

02Önce envanter: Hangi hesaplarınız var?

Önceliklendirme için elinizde bir liste olmalı. Çoğu KOBİ'de hesaplar zaman içinde farklı kişilerin kararıyla açılır ve kimsenin tam bir resmi yoktur. Kısa bir envanter için şu tabloyu bir elektronik tabloda hazırlayabilirsiniz:

1. Hesap/servis adı: Örneğin kurumsal e-posta, bulut konsolu, muhasebe yazılımı.
2. Sahibi: Hesabı kimin yönettiği. Ortak kullanılan hesaplar burada görünür hale gelir.
3. Yönetici yetkisi var mı? Yönetici hesapları sıradan kullanıcı hesaplarından önce ele alınır.
4. 2FA destekleniyor mu, açık mı? Evet, hayır veya bilinmiyor olarak işaretleyin.
5. Kurtarma yolu: Hesabın kurtarma e-postası veya telefon numarası kime ait?

Yaklaşık 10-15 satırlık bir liste bile ilk turda işinizi görür. Mükemmel bir envanter beklemeyin; kritik hesaplar listede yer aldıktan sonra eksikleri sonradan tamamlayabilirsiniz.

03Öncelik sırası: Önce hangi hesaplar korunmalı?

Aşağıdaki sıra çoğu KOBİ için makul bir başlangıçtır. Kendi iş modelinize göre yer değiştirebilirsiniz, ancak ilk iki basamağı atlamamanızı öneririz.

1. E-posta hesapları. Önce yönetici ve üst düzey kullanıcıların, sonra finans ve IT ekibinin hesapları. E-posta, parola sıfırlama zincirinin başı olduğu için en önce korunmalıdır.
2. Bulut ve yönetim konsolları. Ofis paketi yönetici paneli, bulut sağlayıcı hesapları (kök/sahip hesabı dahil), alan adı kayıt firması ve DNS yönetimi. Buradaki bir ele geçirme, tüm sistemlerinizi etkileyebilir.
3. Para ve kayıt sistemleri. İnternet bankacılığı, ödeme sağlayıcı paneli, muhasebe/ERP ve CRM yönetici hesapları. Bunlar finansal kayıp ve müşteri verisi riskiyle doğrudan ilişkilidir.
4. Geliştirme ve uzaktan erişim. Kod depoları, CI/CD araçları, VPN ve sunucu erişimleri. Kod ve altyapı erişimi, saldırgana kalıcı bir yerleşme imkânı verebilir.
5. Diğer SaaS ve kurumsal sosyal medya hesapları. Reklam hesapları ve pazarlama araçları dahil. Etkisi çoğunlukla itibar ve bütçe kaybıdır; yine de 2FA ile korunmalıdır.

Pratik kural: Bir hesap “başka hesapların parolasını sıfırlayabiliyorsa” veya “yönetici yetkisi taşıyorsa” listenin üst sırasındadır.

04Yönetici için kısa kontrol akışı

Her hesap için aynı akışı tekrarlamak, süreci sadeleştirir. Aşağıdaki adımlar bir hesabın 2FA'ya geçirilmesini baştan sona kapsar:

1. Hesabı envanterde bulun ve sahibini belirleyin. Sahibi belirsiz bir hesapta 2FA açmak, sonradan erişim kaybına yol açabilir.
2. 2FA desteğini kontrol edin. Servis destekliyorsa devam edin; desteklemiyorsa güçlü ve benzersiz parola, erişim kısıtlaması ve kullanım dışı bırakma seçeneklerini değerlendirin.
3. Yöntemi seçin. Mümkünse kimlik doğrulama uygulaması veya donanım anahtarı tercih edin. SMS, hiç koruma olmamasından iyidir; ancak SIM değişikliği gibi risklere açıktır, bu yüzden kritik hesaplarda ikinci sırada tutulması önerilir.
4. Önce kendi hesabınızda açın ve test edin. Yönetici olarak oturumu kapatıp yeniden girmeyi deneyin. Süreç sizde sorunsuz çalışmadan ekibe yaymayın.
5. Yedek kodları ve kurtarma yöntemini kaydedin. Yedek kodları parola yöneticisinde veya kilitli bir fiziksel yerde saklayın; e-postayla veya sohbet uygulamasıyla paylaşmayın.
6. Ekibe kısa bir yönerge verin. Hangi uygulamanın kullanılacağı, telefon kaybolursa kimin ne yapacağı ve destek için kime başvurulacağı tek sayfada yazılı olsun.
7. Envanteri güncelleyin ve kontrol tarihi koyun. “2FA açık” olarak işaretlediğiniz hesapları belirli aralıklarla gözden geçirin; ayrılan çalışanların erişimlerini kapatmayı unutmayın.

Bu akışı önce ilk iki öncelik grubundaki hesaplara uygulamak, kısa sürede riskin büyük bölümünü azaltmanıza yardımcı olur. Kalan hesapları sonraki turlara bırakabilirsiniz. Yöntemlere göre ekran adımlarını görmek için kurulum rehberimize bakabilirsiniz.

Sık yapılan hatalar

• Yöneticiyi sona bırakmak: Ekip hesaplarını açıp yönetici hesabını atlamak ters bir önceliklendirmedir.
• Kurtarma e-postasını korumasız bırakmak: Kurtarma adresi 2FA'sızsa zincirin zayıf halkası olur.
• Ortak hesap kullanmak: Birden fazla kişinin aynı parolayı ve aynı telefonu kullandığı hesaplar yönetilemez. Mümkünse kişiye özel hesaplara geçin.
• Yedek kodları kaydetmemek: Telefon kaybolduğunda hesaba erişim günlerce kapanabilir.

05Sık sorulan sorular

SMS ile gelen kod yeterli mi?

Hiç ikinci faktör olmamasına göre SMS daha iyidir ve başlangıç için kabul edilebilir. Ancak kritik hesaplarda kimlik doğrulama uygulaması veya donanım anahtarı gibi daha güçlü yöntemler tercih edilmelidir. Servis yalnızca SMS sunuyorsa, bunu açık tutmak ve telefon hattınızın korunmasına dikkat etmek yerinde olur.

Çalışan telefonunu kaybederse ne olur?

Önceden belirlenmiş bir kurtarma yolu varsa süreç kısa tutulabilir. Yedek kodlar, yönetici tarafından yapılan 2FA sıfırlaması veya yeni cihaz tanımlama gibi seçenekleri baştan yazılı hale getirin. Sıfırlama talebinde, talebin gerçekten çalışandan geldiğini doğrulayacak bir adım ekleyin; örneğin telefonla geri arama.

Ortak kullanılan hesaplarda 2FA nasıl yönetilir?

En sağlıklı çözüm, ortak hesabı kişiye özel hesaplara dönüştürmek ve yetkileri rollerle vermektir. Bu mümkün değilse hesabın sahibini belirleyin, doğrulama cihazını kurumsal bir cihaz olarak tanımlayın ve erişimi kimin, ne zaman kullandığını kayıt altında tutun.

06Sonuç: Küçük bir başlangıç, büyük bir fark yaratır

İki faktörlü doğrulamaya başlamak için tüm hesapları aynı gün dönüştürmeniz gerekmez. Envanter çıkarın, e-posta ve bulut yönetici hesaplarıyla başlayın, ardından para ve kayıt sistemleri ile geliştirme erişimlerine geçin. Her hesapta aynı kısa akışı uygulamak, hem ekibinizin alışmasını kolaylaştırır hem de ilerlemenizi ölçülebilir kılar.

Kurumunuzda 2FA'nın ötesinde güvenlik denetimi, açık tarama veya KVKK uyumuyla ilgili bir değerlendirmeye ihtiyaç duyuyorsanız, OPEIS Teknoloji Siber Güvenlik hizmet sayfasından kapsamı inceleyebilir ve ekibimizle iletişime geçebilirsiniz.