E-posta Güvenliği Nedir? Kurumlar İçin Kapsamlı Rehber

E-posta güvenliği, bir kurumun e-posta hesaplarını, alan adını ve yazışmalarını oltalama, sahte gönderici, kötü amaçlı ek, hesap ele geçirme ve veri sızıntısı gibi tehditlere karşı koruyan teknik ve idari önlemlerin bütünüdür. Tek bir ürünle sağlanmaz; kimlik doğrulama, filtreleme, giden trafik denetimi, şifreleme, arşivleme, eğitim ve izleme katmanlarının birlikte çalışmasıyla oluşur.

Bu rehber her katmanı kısaca açıklıyor ve ayrıntılar için ilgili yazılarımıza yönlendiriyor. Kendi durumunuzu hemen değerlendirmek isterseniz e-posta güvenliği kontrol listesi ile başlayabilirsiniz.

E-posta neden sık hedef alınıyor?

E-postanın saldırganlar için cazip olmasının birkaç yapısal nedeni vardır:

• Herkes kullanıyor: Her çalışanın bir adresi vardır ve bu adresler çoğu zaman tahmin edilebilir biçimdedir.
• Protokol güven üzerine kurulu: SMTP, gönderenin kimliğini doğrulamak için tasarlanmamıştı; kimlik doğrulama sonradan eklenen katmanlarla sağlanır.
• İnsan faktörü: İyi kurgulanmış bir e-posta, teknik bir açık bulmaktan daha kolay sonuç verebilir.
• Paraya ve veriye doğrudan yol: Fatura, ödeme ve kişisel veri içeren süreçlerin önemli kısmı e-postayla yürür.
• Hesaba erişim, her şeye erişimdir: Ele geçirilen bir posta kutusu parola sıfırlama bağlantılarına ve iç yazışmalara kapı açar.

Başlıca e-posta tehditleri nelerdir?

• Oltalama (phishing): Kullanıcıyı sahte bir sayfaya parola girmeye veya zararlı dosya açmaya yönlendiren iletiler (phishing nedir).
• İş e-postası dolandırıcılığı: Yönetici veya tedarikçi kılığına girerek ödeme yaptırma girişimleri (BEC saldırısı, CEO dolandırıcılığı).
• Yerel temalı sahte bildirimler: Sahte fatura, sahte kargo ve banka veya e-Devlet adına sahte e-postalar.
• Sahte gönderici ve benzer alan adları: Alan adınızı doğrudan taklit eden (spoofing) veya ona çok benzeyen (typosquatting) adresler.
• Kötü amaçlı ekler ve fidye yazılımı: Makrolu belgeler ve arşiv içine gizlenmiş çalıştırılabilir dosyalar (fidye yazılımı ve e-posta).
• Hesap ele geçirme: Çalınan parolalarla posta kutusuna sızılması (ele geçirilmiş hesap belirtileri).
• Giden kötüye kullanım: Ele geçirilmiş hesaplardan spam gönderilmesi ve IP adreslerinizin kara listeye girmesi.

Hangi tehdide hangi kontrol karşılık gelir?

Aşağıdaki tablo, her tehdide karşı hangi kontrollerin birlikte çalıştığını özetler:

Katmanlı savunma neden önemli?

Hiçbir kontrol tek başına yeterli değildir; her katman bir öncekinin kaçırdığını yakalamak için vardır. Bir örnek düşünelim: saldırgan, kurumunuzun alan adına benzeyen bir adresten finans ekibine sahte bir fatura gönderiyor. DMARC bu iletiyi durdurmaz, çünkü kullanılan alan adı sizin değildir; ancak benzer alan adı tespiti iletiyi işaretleyebilir. İleti yine de ulaşırsa eğitimli bir çalışan farklı alan adını fark edebilir. O da gözden kaçarsa, banka bilgisi değişikliğinin kayıtlı telefon numarasından doğrulanmasını şart koşan süreç ödemeyi durdurur. Saldırganın bütün katmanları aşması gerekir, savunanın ise tek bir katmanda yakalaması yeterlidir.

1. Kimlik doğrulama: alan adınızı nasıl korursunuz?

SPF, DKIM ve DMARC, alan adınız adına kimin e-posta gönderebileceğini tanımlar ve sahte gönderimlerin reddedilmesini sağlar. SPF kaydı yetkili sunucuları listeler, DKIM iletiyi kriptografik olarak imzalar, DMARC ise bu iki kontrolün sonucuna göre alıcının ne yapacağını belirler ve size rapor gönderir. Raporları yorumlamak için DMARC raporu nasıl okunur yazımıza bakabilirsiniz.

Tamamlayıcı kayıtlar da vardır: PTR kaydı gönderen IP adresinin tutarlılığını gösterir, BIMI ise DMARC'ı sıkı uygulayan markaların logosunun destekleyen posta kutularında görünmesine olanak tanır.

2. Gelen e-posta filtreleme nasıl çalışır?

Gelen filtreleme, tehditlerin kullanıcıya ulaşmadan durdurulduğu katmandır ve genellikle bir mail gateway üzerinde çalışır. Etkili bir filtre birden çok tekniği birleştirir:

• Bağlantı aşamasında RBL kara listeleri ve greylisting
• Kural setleriyle içerik analizi ve kullanıcı geri bildirimiyle öğrenen Bayes filtresi
• Toplam spam skoru üzerinden karar ve şüpheli iletiler için karantina
• Virüs taraması ve zararlı ek engelleme

Doğru çözümü seçmek için kurumsal spam filtresi ve e-posta güvenlik çözümü seçimi yazılarımıza göz atabilirsiniz. Kendi altyapısını yönetmek isteyen ekipler için Proxmox Mail Gateway gibi açık kaynak seçenekler de bulunur. MXZilla bu katmanda SpamAssassin ve ClamAV tabanlı filtrelemeye Türkçe oltalama kuralları ile benzer alan adı tespitini ekler; karantinadaki iletiler kullanıcıya markalı günlük özetle bildirilir.

3. Giden trafik nasıl korunur?

Kendi sunucularınızdan çıkan postayı denetlemek hem itibarınızı hem de alıcılarınızı korur. Ele geçirilmiş bir hesap veya istismar edilmiş bir web sitesi kısa sürede yüksek hacimli spam gönderebilir; sonuç çoğu zaman IP adresinizin kara listeye girmesi ve meşru postalarınızın reddedilmesidir. Temel önlemler şunlardır:

• Tüm giden postanın kimlik doğrulamalı bir smarthost üzerinden çıkması
• Hesap ve sunucu başına saatlik ve günlük limitler, olağan dışı hacimde otomatik bekletme (giden spam engelleme)
• IP itibarının izlenmesi ve gerektiğinde kara listeden çıkma süreci
• Gönderim hacmine göre paylaşımlı veya adanmış IP seçimi

Bu önlemler e-posta teslim edilebilirliği açısından da doğrudan fayda sağlar.

4. Şifreleme neden gerekli?

E-postalar sunucular arasında TLS ile şifrelenerek taşınır. Varsayılan olarak kullanılan fırsatçı TLS araya girme saldırılarına açık olduğundan, MTA-STS gibi yöntemlerle şifrelemenin zorunlu kılınması önerilir. İçeriğin yalnızca alıcı tarafından okunması gereken durumlarda S/MIME veya PGP ile uçtan uca şifreleme kullanılır. Ayrıntılar için e-posta şifreleme rehberimize bakabilirsiniz.

5. Hesap güvenliği ve erişim

Saldırganın en kolay yolu çoğu zaman bir parolayı ele geçirmektir. Tüm posta kutularında ve yönetim panellerinde iki adımlı doğrulama, en az yetki ilkesine göre verilmiş yönetici rolleri, kapatılmış eski protokoller ve ayrılan çalışanların hesaplarının zamanında kapatılması bu katmanın temelidir.

6. Arşivleme ve uyum

E-postalar kişisel veri ve ticari kayıt içerdiğinden saklama ve imha kuralları önemlidir. E-posta arşivleme, yazışmaları değiştirilemez ve aranabilir biçimde saklar. Türkiye'de 6698 sayılı KVKK kişisel verilerin yalnızca gerekli süre kadar tutulmasını ve uygun güvenlik tedbirlerinin alınmasını ister; 6102 sayılı TTK ise ticari mektuplar gibi belgeler için genel olarak on yıllık bir saklama süresi öngörür. Ayrıntılar için KVKK e-posta arşivleme yazımıza bakabilirsiniz.

Bu bölüm genel bilgi niteliğindedir ve hukuki danışmanlık değildir; kurumunuza özgü yükümlülükler için bir avukata danışın.

7. İnsan ve süreç

Teknik kontroller her saldırıyı durduramaz; özellikle gerçek hesaplardan gönderilen dolandırıcılık e-postalarında son karar çalışana kalır. Kısa ve düzenli farkındalık eğitimleri, şüpheli e-postayı bildirmenin kolay bir yolu ve banka bilgisi değişikliklerinin telefonla doğrulanması gibi yazılı süreçler bu katmanın temelidir.

8. İzleme ve olay müdahalesi

Güvenlik kurulup bırakılan bir ayar değildir. DMARC raporları, filtre ve teslim kayıtları, IP itibar uyarıları ve giriş kayıtları düzenli izlenmeli, olağan dışı bir durumda doğru kişilere hızla bildirim gitmelidir. Ele geçirilmiş hesap ve sahte ödeme talebi gibi senaryolar için yazılı bir müdahale planı olay anında zaman kazandırır. MXZilla'de olay bildirimleri e-posta, webhook, Slack, Telegram veya syslog ile iletilebilir; panel işlemleri ayrıntılı etkinlik günlüğünde tutulur.

Platforma göre neler değişir?

Temel ilkeler aynıdır, ancak uygulama ortamınıza göre ayrıntılar değişir:

• Microsoft 365 ve Google Workspace yerleşik koruma sunar; ek bir katman kullanılacaksa bağlayıcı ve MX ayarlarına dikkat gerekir.
• cPanel ve Plesk sunucularında filtreleme ve giden trafik denetimi harici bir ağ geçidiyle güçlendirilebilir.
• KOBİ'ler için öncelik, düşük maliyetli temel önlemlerdir.
• Hosting firmaları bu hizmetleri kendi markalarıyla müşterilerine sunabilir.

Sorumluluk kimde?

E-posta güvenliği yalnızca BT ekibinin işi değildir. Teknik kontrolleri BT ekibi veya hizmet sağlayıcınız yönetir; ödeme doğrulama süreçleri finans biriminin, saklama ve imha kuralları hukuk ve uyum ekibinin sorumluluğundadır. Eğitim ile hesap açma ve kapatma süreçleri insan kaynaklarıyla birlikte yürütülür. Üst yönetimin desteği, özellikle iki adımlı doğrulama gibi kullanıcıyı etkileyen değişikliklerin benimsenmesinde belirleyicidir. Rollerin yazılı olması, bir olay anında kimin ne yapacağı konusundaki belirsizliği ortadan kaldırır.

Nereden başlamalı?

1. Alan adınızın SPF, DKIM, DMARC ve MX durumunu ölçün.
2. Tüm hesaplarda iki adımlı doğrulamayı açın.
3. Gelen filtrelemeyi ve tehlikeli ek engelini devreye alın.
4. Giden postayı smarthost ve gönderim limitleriyle denetim altına alın.
5. Ödeme doğrulama ve olay müdahale süreçlerini yazılı hale getirin.

İlk adımı birkaç saniyede atabilirsiniz: alan adınızı ücretsiz güvenlik kontrolü sayfasında tarayın, ardından ihtiyacınıza uygun seçenekleri paketler bölümünde inceleyin veya hesap oluşturun.

Sık sorulan sorular

E-posta güvenliği ile spam filtresi aynı şey mi?

Hayır, spam filtresi e-posta güvenliğinin yalnızca bir parçasıdır. E-posta güvenliği; alan adı kimlik doğrulamasını, giden trafik denetimini, hesap güvenliğini, şifrelemeyi, arşivlemeyi ve çalışan farkındalığını da kapsar.

SPF, DKIM ve DMARC'ın üçü de gerekli mi?

Evet, üçü birlikte çalışır. SPF yetkili sunucuları, DKIM iletinin bütünlüğünü doğrular; DMARC ise bu sonuçları gönderen alan adıyla eşleştirip politika uygular ve rapor üretir. Büyük posta sağlayıcıları da toplu göndericilerden bu kayıtları bekler.

Microsoft 365 veya Google Workspace kullanıyorsak e-posta güvenliği sağlanmış olur mu?

Bu platformlar güçlü yerleşik filtreler sunar, ancak güvenliğin tamamını sağlamaz. İki adımlı doğrulamanın zorunlu kılınması, DNS kayıtlarının tamamlanması, ödeme süreçleri ve eğitim sizin sorumluluğunuzdadır. Karma ortamlar veya yerel tehdit kuralları için ek bir katman da değerlendirilebilir.

Bir e-postanın sahte olduğunu nasıl anlarım?

Gönderen adresin alan adını dikkatle okuyun, acele ve gizlilik vurgusu yapan taleplere şüpheyle yaklaşın ve bağlantıların üzerine gelerek gerçek adresi kontrol edin. Ödeme veya parola isteyen her e-postayı bağımsız bir kanaldan doğrulayın. Şüpheli iletiyi açmadan BT ekibinize bildirin.

E-posta güvenliği KVKK ile nasıl ilişkilidir?

E-postalar kişisel veri içerdiğinden KVKK'nın veri güvenliği ve saklama ilkeleri e-posta altyapısı için de geçerlidir. Yetkisiz erişimi önleyen teknik ve idari tedbirler, saklama ve imha politikası ve ihlal durumunda bildirim süreci bu ilişkinin temel unsurlarıdır. Kurumunuza özgü yükümlülükler için bir hukukçuya danışın.

Küçük bir şirket için hangi önlemler öncelikli?

Önce hesapları ve alan adını koruyan adımlar gelir: tüm kullanıcılarda iki adımlı doğrulama ve alan adı için eksiksiz kimlik doğrulama kayıtları. Ardından tehlikeli ekleri durduran bir filtre, geri yüklemesi denenmiş yedekler ve ödeme taleplerinin telefonla teyidi eklenir. Haftalara bölünmüş bir plan için KOBİ e-posta güvenliği rehberimize bakabilirsiniz.