Bilkomsis rehberleri
Şirketlerde şifre politikası ve parola yöneticisi kullanımı
Birçok şirkette şifre politikası hâlâ “en az 8 karakter, büyük harf, rakam, özel karakter ve her 90 günde bir değiştir” kuralından ibarettir. Bu kural kâğıt üzerinde güçlü görünse de pratikte çalışanları “Sirket2026!” gibi tahmin edilebilir şifrelere ve her değişiklikte sondaki rakamı artırmaya iter. Güncel öneriler, karmaşıklık yerine uzunluğu, zorunlu değişim yerine sızıntı kontrolünü ve hafızaya güvenmek yerine parola yöneticisini öne çıkarır.
Güncel yaklaşım: uzun, benzersiz ve sızmamış
ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün dijital kimlik yönergesi NIST SP 800-63B, şifrelerin uzunluğuna önem verilmesini, karmaşıklık kurallarının dayatılmamasını ve şifrelerin yalnızca ele geçirildiğine dair bir işaret olduğunda değiştirilmesini önerir. Bunun yanında yaygın ve daha önce sızdırılmış şifrelerin engellenmesini ister.
- Uzunluk: Birkaç kelimeden oluşan uzun parola cümleleri, kısa ve karmaşık şifrelerden hem daha güvenli hem daha kolay hatırlanır.
- Benzersizlik: Aynı şifrenin farklı sistemlerde kullanılması, bir sitedeki sızıntının şirket hesaplarına taşınmasına yol açar.
- Yasaklı şifre listesi: Şirket adı, ürün adları ve yaygın şifreler engellenmelidir. Microsoft Entra ID ve Active Directory için bu amaçla kullanılabilecek özellikler bulunur.
- Çok faktörlü doğrulama: Şifre ne kadar güçlü olursa olsun, e-posta, VPN ve uzaktan erişimde ikinci doğrulama adımı zorunlu olmalıdır.
Parola yöneticisi neden gerekli?
Bir çalışanın onlarca sistem için benzersiz ve uzun şifreleri hafızasında tutması gerçekçi değildir. Kurumsal bir parola yöneticisi şifreleri şifreli bir kasada saklar, güçlü şifre üretir ve ekip içinde paylaşılması gereken erişimlerin (ör. bir tedarikçi portalı) kontrollü şekilde paylaşılmasını sağlar. Böylece şifreler e-postayla, mesajlaşma uygulamalarıyla veya Excel dosyalarında dolaşmaz.
Parola yöneticisi seçerken bakılacaklar
- Kasanın yalnızca kullanıcının ana şifresiyle çözülebildiği bir mimari
- Kasa girişinde çok faktörlü doğrulama desteği
- Ekip ve klasör bazlı paylaşım, yetki verme ve geri alma
- Çalışan ayrıldığında erişimlerin merkezi olarak kapatılabilmesi
- Kimin hangi kayda eriştiğini gösteren kayıtlar
Geçişi adım adım yapın
Önce yönetici ve finans gibi kritik hesapları kullanan ekiplerle başlayın. Parola yöneticisini tanıtan kısa bir eğitim yapın, ortak kullanılan şifreleri kasaya taşıyın ve eski listeleri silin. Ardından şifre politikasını güncelleyerek zorunlu periyodik değişimi kaldırın, uzunluk şartını artırın ve sızıntı kontrolünü devreye alın.
Örneğin varsayımsal bir şirkette muhasebe ekibi banka ve vergi portallarının şifrelerini paylaşılan bir Excel dosyasında tutuyor olsun. Dosya bir oltalama saldırısıyla ele geçirildiğinde tüm portallar risk altına girer. Paylaşılan kasaya taşınan şifreler ise yalnızca yetkili kişilere görünür ve bir çalışan ayrıldığında erişimi tek adımda kapatılabilir.
Çok faktörlü doğrulamaya geçiş için MFA geçiş planı rehberimize göz atabilirsiniz. Siber güvenlik hizmetimiz kapsamında şifre politikanızı ve parola yönetimi düzeninizi birlikte kurabiliriz.