İşletmede Parola Güvenliği: İki Adımlı Doğrulama Rehberi

Önce hangi hesapların işletmenin gerçek anahtarı olduğunu listeleyin. İlk sırada kurumsal e-posta gelir, çünkü çoğu hizmetin parola sıfırlama bağlantısı oraya gider. Sonra alan adı kaydı, hosting ve site yönetim paneli, reklam hesapları, sosyal medya hesapları, muhasebe ve banka gelir.

Listeyi çıkarınca her hesap için üç şeye bakın: kimde olduğu, hangi parolayla korunduğu ve ikinci doğrulamanın olup olmadığı. Çoğu işletme bu üç soruyu cevaplarken ilk açığını görür.

• Her hesap için ayrı bir parola
• Kısa ve karmaşık değil, uzun parola
• Parolaları tutan bir parola yöneticisi
• Önemli hesaplarda iki adımlı doğrulama
• Ayrılan kişinin erişimini kapatan bir liste

Güçlü parolanın iki özelliği vardır: uzundur ve başka hiçbir yerde kullanılmamıştır. Uzunluk, tek tek karmaşık karakterlerden daha çok işe yarar; birbiriyle ilgisiz birkaç kelimeden oluşan uzun bir ifade hem hatırlanır hem tahmin edilmesi zordur. Doğum tarihi, firma adı, telefon numarası ve klavye dizileri tahmin edilen ilk şeylerdir.

Hatırlamanız gerekmeyen hesaplar için parola yöneticisinin ya da şifre oluşturucunun ürettiği rastgele uzun bir parola en iyisidir. Aynı parolayı iki hesapta kullanmayın: bir hizmetten sızan parolalar başka hizmetlerde de denenir ve tekrar kullanıldığı her yerde işe yarar.

Parola yöneticisi, parolaları şifreli bir kasada tutar, yeni ve rastgele parola üretir ve doğru siteye girerken doldurur. Böylece herkes tek bir ana parolayı hatırlar, gerisini kasa taşır. Ekipler için tasarlanmış yöneticiler paylaşılan kasa da sunar; ortak hesapların parolası burada durur, mesajlaşma uygulamasında ya da tabloda değil.

Ortak hesap, yani tek giriş ve birkaç kullanıcı, mümkün olduğunca azaltılmalıdır. Hizmet kişiye özel kullanıcı tanımlamaya izin veriyorsa herkese ayrı kullanıcı açın: kimin ne yaptığı görünür ve biri ayrılınca yalnız onun erişimi kapanır. İzin vermiyorsa parolayı paylaşılan kasada tutun ve ekipten biri ayrıldığında değiştirin.

Tarayıcının parola kaydetme özelliği hiç yoktan iyidir, ama ekip yönetimi ve paylaşım için ayrı bir yönetici daha düzenlidir. Ana parola unutulursa kasa açılmaz; bu yüzden kurtarma yöntemini baştan belirleyin ve güvenli bir yerde saklayın.

İki adımlı doğrulama, parolaya ek olarak ikinci bir kanıt ister: telefonunuzdaki bir uygulamanın ürettiği kod, bir güvenlik anahtarı ya da bir onay bildirimi. Parola çalınsa bile hesaba girmek için bu ikinci unsur da gerekir.

Yöntemler eşit değildir. Telefona gelen kısa mesaj hiç olmamasından iyidir, ama doğrulama uygulaması ve fiziksel güvenlik anahtarı genellikle daha sağlam kabul edilir. Seçim, hizmetin sunduklarına ve ekibin alışkanlığına göre yapılır.

Kurulumda kurtarma kodlarını mutlaka alın ve parola yöneticisinin güvenli notunda saklayın. Telefon kaybolursa hesaba girebilmenin tek yolu bunlar olabilir. Önceliği e-posta, alan adı, hosting, reklam ve finans hesaplarına verin.

Ayrılan kişinin erişimini ayrıldığı gün kapatın ve bunu hatırlamaya değil bir listeye bırakın. İşletme hesaplarının kişinin kendi kişisel e-postasıyla açılmış olması sık görülen bir tuzaktır; hesabın sahibi şirket olmalıdır.

Ayrılma konuşması iyi geçmiş olsa da bu adımlar kişiye duyulan güvenle ilgili değildir. Amaç, unutulmuş bir yetkinin ileride açık kapıya dönüşmesini önlemektir.

• Kurumsal e-posta hesabını kapatın ya da yönlendirmeyi başka birine verin
• Ortak hesapların parolalarını değiştirin
• Hosting, reklam, sosyal medya ve site paneli yetkilerini kaldırın ya da devredin
• Kişinin telefonuna bağlı iki adımlı doğrulamaları yeni bir cihaza taşıyın
• Alan adı, hosting ve abonelik hesaplarının şirket adına kayıtlı olduğunu doğrulayın

Kimlik avı, sizi sahte bir sayfada parolanızı ya da doğrulama kodunuzu girmeye ikna eden mesajdır. Acele ettirir, hesabın kapanacağını ya da ödemenin bekleyeceğini söyler, tanıdık bir marka ya da yönetici kılığında gelir. Parola yöneticisi burada da yardım eder: kasa parolayı yalnız kayıtlı gerçek adreste doldurur, doldurmuyorsa durup adrese bakın.

Şüphe duyduğunuzda mesajdaki bağlantıya tıklamayın; hizmete kendi yer imlerinizden ya da adresi yazarak girin. Doğrulama kodunu kimseyle paylaşmayın, gerçek hizmetler bu kodu genellikle telefonla ya da mesajla sormaz. Ekipten biri şüpheli bir bağlantıya tıkladıysa suçlamak yerine hemen bildirmesini kolaylaştırın; hız zararı sınırlar.

Sık görülen hatalar şunlardır: parolaların bir tabloda ya da mesajlaşma grubunda tutulması, aynı parolanın birkaç hesapta kullanılması, iki adımlı doğrulamanın tek bir kişinin telefonuna bağlanması ve o kişi ayrılınca hesabın kilitlenmesi, kurtarma yöntemlerinin eski bir e-postada ya da telefon numarasında kalması.

Yanlış seçimler de var. Düzenli zorunlu parola değişimi, birçok güncel rehberde artık önerilmiyor; çünkü insanları tahmin edilebilir küçük değişikliklere iter. Değişimi olaya bağlayın: biri ayrıldığında ya da ele geçirilme şüphesi olduğunda. Tek kişilik bir işletmede ekip paketi gerekmeyebilir; bireysel bir yönetici ve iki adımlı doğrulama yeterli olabilir. Uygulanmayan sıkı bir politika, uygulanan sade bir düzenden daha az korur.