E-posta Güvenliği Kontrol Listesi (25 Maddelik Denetim)

E-posta güvenliği kontrol listesi, kurumunuzun e-posta altyapısını DNS kayıtlarından çalışan davranışına kadar sistemli biçimde gözden geçirmenizi sağlayan bir denetim aracıdır. Aşağıdaki 25 madde yedi başlıkta toplanmıştır; her maddeyi "tamam", "kısmen" veya "yok" olarak işaretleyerek eksiklerinizi ve önceliklerinizi hızla görebilirsiniz.

Listeyi bir kez doldurmak yeterli değildir. Altyapı, personel ve tehditler değiştikçe sonuçlar da değişir; bu yüzden denetimi en az yılda bir, mümkünse üç ayda bir tekrarlayın.

DNS ve kimlik doğrulama

Bu maddeler, başkalarının alan adınız adına e-posta göndermesini zorlaştırır ve postalarınızın alıcıya güvenilir görünmesini sağlar.

1. SPF kaydı tek ve günceldir. Alan adınız adına gönderen tüm servisler tanımlıdır ve 10 DNS sorgusu sınırı aşılmaz (SPF kaydı nedir).
2. DKIM tüm gönderen servislerde açıktır. Mümkünse 2048 bit anahtar kullanılır, kullanılmayan seçiciler kaldırılır.
3. DMARC kaydı yayımlanmış ve raporlar okunuyordur. p=none ile başlanır, hedef quarantine veya reject politikasıdır (DMARC raporu nasıl okunur).
4. MX ve PTR kayıtları tutarlıdır. Gönderen IP adreslerinin ters DNS kaydı vardır ve sunucu adıyla uyumludur (PTR kaydı nedir).
5. MTA-STS ve TLS raporlaması değerlendirilmiştir. Alan adınıza gelen postanın şifresiz bağlantıyla teslim edilmesi zorlaştırılır (MTA-STS nedir).

Gelen e-posta filtreleme

Gelen filtreleme, oltalama ve zararlı yazılımın kullanıcıya ulaşmadan durdurulduğu ilk savunma hattıdır.

6. Spam ve virüs filtresi etkin ve günceldir. İmza ve kural güncellemeleri otomatik alınır, filtre kararları düzenli izlenir.
7. Tehlikeli ekler engellenir. Yürütülebilir dosyalar, makrolu Office belgeleri ve bunları içeren arşivler karantinaya alınır (zararlı ek engelleme).
8. Benzer alan adları ve sahte gönderenler tespit edilir. Kurum alan adına benzeyen adreslerden ve yönetici adı taklidiyle gelen postalar işaretlenir (benzer alan adı saldırıları).
9. Karantina düzenli incelenir. Kullanıcılar karantina özeti alır, yanlış pozitifler filtreye öğretilir (e-posta karantinası).

Giden e-posta

Giden trafik denetimi, ele geçirilmiş bir hesabın IP adresinizi ve alan adınızı kara listeye sokmasını önler.

10. Tüm giden posta kimlik doğrulamalı bir smarthost üzerinden çıkar. Sunucular ve uygulamalar internete doğrudan gönderim yapmaz (smarthost nedir).
11. Kullanıcı ve sunucu başına gönderim limitleri vardır. Saatlik ve günlük limitler, ele geçirilmiş bir hesabın verebileceği zararı sınırlar.
12. Olağan dışı hacim otomatik olarak durdurulur. Ani gönderim artışında posta bekletilir ve yöneticiye bildirim gider (giden spam engelleme).
13. Gönderen IP adresleri kara listelere karşı izlenir. Kara listeye giren adres hızla fark edilir ve devreden çıkarılır (IP itibarı nedir).

Hesaplar ve erişim

Parolalar saldırganların başlıca hedeflerindendir; bu maddeler çalınan bir parolanın etkisini sınırlar.

14. Posta kutularında ve yönetim panellerinde iki adımlı doğrulama açıktır. Öncelik yönetici, finans ve DNS paneli hesaplarındadır (iki adımlı doğrulama).
15. Eski protokoller kapalıdır. Gerekmiyorsa POP, IMAP ve temel kimlik doğrulamalı SMTP kapatılır, çünkü iki adımlı doğrulamayı atlatabilirler.
16. Yönetici yetkileri en az yetki ilkesine göre verilir. Rol bazlı erişim kullanılır ve ortak kullanılan yönetici hesabı bulunmaz.
17. Ayrılan çalışanların hesapları zamanında kapatılır. Dış adreslere otomatik yönlendirme kuralları düzenli olarak denetlenir.

Veri ve arşiv

Bu başlık, yazışmaların gerektiği kadar saklanmasını ve gereğinden uzun tutulmamasını sağlar.

18. Saklama süreleri yazılı ve uygulanmaktadır. Süreler KVKK ve TTK gibi mevzuata göre hukuk ekibiyle belirlenir (KVKK e-posta arşivleme).
19. Arşiv şifrelidir ve erişimler kayıt altındadır. Arama ve dışa aktarma yalnızca yetkili rollere açıktır.
20. Yedekler geri yükleme testiyle doğrulanır. Yedeğin varlığı değil, ondan gerçekten geri dönülebildiği düzenli olarak sınanır.

İzleme ve müdahale

Önleyici kontroller ne kadar iyi olursa olsun, bir şeyin ters gittiğini hızla fark etmek ve doğru tepkiyi vermek gerekir.

21. DMARC, teslim ve filtre raporları düzenli incelenir. Yetkisiz gönderim kaynakları ve teslim sorunları erken fark edilir.
22. Olay bildirimleri doğru kişilere ulaşır. Askıya alma, kara liste ve olağan dışı giriş uyarıları e-posta, webhook veya sohbet kanalıyla iletilir.
23. Yazılı bir olay müdahale planı vardır. Ele geçirilmiş hesap ve sahte ödeme talebi senaryoları için adımlar ve sorumlular bellidir (ele geçirilmiş hesap belirtileri).

İnsan ve süreç

Teknik kontrollerin yakalayamadığı saldırılarda son kararı e-postayı okuyan kişi verir.

24. Düzenli farkındalık eğitimi ve oltalama tatbikatı yapılır. Çalışanlar şüpheli bir e-postayı nasıl bildireceklerini bilir (çalışanlar için e-posta güvenliği eğitimi).
25. Ödeme ve IBAN değişiklikleri bağımsız bir kanaldan doğrulanır. E-postayla gelen talep, kayıtlı telefon numarasından aranarak teyit edilmeden uygulanmaz.

Saklama sürelerini konu alan 18. madde hukuki değerlendirme gerektirir. Bu liste hukuki danışmanlık değildir; süreler için bir hukukçuya danışın.

Sonuçları nasıl puanlamalı?

Her madde için "tamam" 2, "kısmen" 1, "yok" 0 puan verirseniz 50 puan üzerinden basit bir olgunluk göstergesi elde edersiniz. Bu puan bir standart değil, ilerlemenizi izlemenin pratik bir yoludur:

• 40 ve üzeri: Temel kontroller yerinde; odak izleme ve süreçlerin sürekliliği olmalıdır.
• 25 ile 39 arası: Temel önlemlerin bir kısmı var, ancak kapatılması gereken önemli boşluklar bulunuyor.
• 25'in altı: Öncelikli bir eylem planı gerekiyor; aşağıdaki tablodaki ilk hafta maddeleriyle başlayın.

Puanı her denetimde kaydetmek, yönetime ilerlemeyi göstermenin de kolay bir yoludur.

Nereden başlamalı?

Tüm maddeleri aynı anda ele almak gerekmez. İşaretlediğiniz eksikleri aşağıdaki sırayla kapatmak, kısa sürede görünür bir iyileşme sağlar:

Gelen ve giden filtreleme maddelerini tek tek araçlarla kurmak yerine bir e-posta güvenlik ağ geçidi kullanmak işi sadeleştirir. MXZilla gibi bir ağ geçidi, 6 ile 13 arasındaki maddelerin çoğunu tek panelden yönetmenizi sağlar: spam ve virüs filtresi, ek engelleme, benzer alan adı tespiti, karantina özeti, smarthost, gönderim limitleri, otomatik bekletme ve kara liste izleme.

İlk üç maddenin ve MX kaydınızın durumunu birkaç saniyede görmek için alan adınızı ücretsiz güvenlik kontrolü sayfasında tarayabilir, eksikleri kapatacak seçenekleri paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

Bu kontrol listesi ne sıklıkla uygulanmalı?

En az yılda bir kez, mümkünse üç ayda bir gözden geçirilmelidir. Yeni bir e-posta servisine geçiş, şirket birleşmesi veya bir güvenlik olayından sonra da liste yeniden doldurulmalıdır.

Küçük bir şirketin 25 maddenin hepsini uygulaması gerekir mi?

Hepsini aynı anda uygulamak gerekmez, ancak maddelerin çoğu küçük şirketler için de geçerlidir. İki adımlı doğrulama, DMARC, ek engelleme ve ödeme doğrulaması düşük maliyetle büyük risk azaltır. Önceliklendirilmiş bir plan için KOBİ e-posta güvenliği yazımıza bakabilirsiniz.

Hangi maddeler en hızlı sonuç verir?

İki adımlı doğrulama, DMARC kaydının yayımlanması, tehlikeli ek türlerinin engellenmesi ve yazılı ödeme doğrulama prosedürü genellikle birkaç gün içinde uygulanabilir. Bu dört madde, en yaygın saldırı senaryolarının önemli bir kısmına karşı koruma sağlar.

Kontrol listesini kim yürütmeli?

Teknik maddeleri BT sorumlusu veya hizmet sağlayıcınız, saklama süreleri gibi maddeleri hukuk ve uyum ekibi, ödeme ve eğitim maddelerini ise finans ve insan kaynakları birlikte üstlenmelidir. Listenin bir sahibinin olması ve sonuçların yönetime raporlanması sürekliliği sağlar.

Listeyi tamamlamak tam güvenlik anlamına gelir mi?

Hayır, hiçbir kontrol listesi riski sıfırlamaz. Liste, en yaygın açıkları sistemli biçimde kapatmanıza ve önceliklerinizi belirlemenize yardım eder. Tehditler değiştikçe maddeleri güncellemek ve yaşanan olaylardan ders çıkarmak gerekir.