Avukatlar İçin Güçlü Parola Politikası

Avukatlar için güçlü parola politikasının özü şudur: kısa ve karmaşık görünen parolalar yerine uzun bir parola cümlesi kullanın, her hesap için farklı bir parola belirleyin, bunları bir parola yöneticisinde saklayın ve mümkün olan her yerde iki faktörlü doğrulamayı açın. Parolayı her ay zorunlu olarak değiştirmek yerine, bir sızıntıdan veya şüpheli bir girişten haberdar olduğunuzda hemen değiştirin. e-İmza PIN'i ile UYAP ve UETS parolaları ise kimseyle, hiçbir yazılımla paylaşılmaz. Bu sade kurallar, dosya, süre ve tebligat bilgisinin yoğun aktığı bir büroda hem müvekkil sırrını hem de mesleki itibarınızı korur.

Kısa Cevap: Güçlü Parola Politikası Neyi Hedefler?

Bir parola politikası, büroda herkesin aynı şekilde davrandığı yazılı veya yazısız bir kurallar bütünüdür. Amacı, hesaplarınıza yetkisiz birinin girmesini zorlaştırmak ve girse bile zararı sınırlamaktır. Avukatlık mesleğinde bu hedef sıradan bir kullanıcıdan daha ağırdır, çünkü e-posta kutunuzda, bulut klasörlerinizde ve telefonunuzda müvekkillerinizin kişisel verileri, dava stratejileri ve süreye bağlı belgeler bulunur. Bu bilgilerin ele geçmesi yalnızca teknik bir sorun değildir; sır saklama yükümlülüğünüzü ve KVKK kapsamındaki sorumluluğunuzu doğrudan ilgilendirir.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukat düşünün. Sabah erken saatte dizüstü bilgisayarından e-postasını, bulut klasörünü ve büronun ortak takvimini açıyor. Üçünde de yıllar önce belirlediği, doğum yılını ve müvekkil adını içeren aynı parolayı kullanıyor. Bir gün alışveriş yaptığı sıradan bir sitenin kullanıcı kayıtları ele geçiriliyor ve aynı e-posta-parola çifti, saldırganlar tarafından başka hizmetlerde sırayla deneniyor. Avukatın hiçbir hatası yokmuş gibi görünse de tek bir zayıf alışkanlık bütün hesaplarını açık hale getiriyor. Güçlü parola politikası tam olarak bu zincirleme riski keserek çalışır.

Güncel iyi uygulama dört temel fikre dayanır. Birincisi, parolanın karmaşıklığı değil uzunluğu belirleyicidir. İkincisi, her hesabın parolası diğerlerinden bağımsız olmalıdır. Üçüncüsü, insan belleğine güvenmek yerine bir parola yöneticisi kullanılmalıdır. Dördüncüsü, parola tek başına yeterli sayılmamalı, ikinci bir doğrulama katmanı eklenmelidir. Bu dört fikrin üzerine, parolanın ne zaman değiştirileceğine dair akılcı bir kural ve resmî sistemlere ait kimlik bilgilerinin paylaşılmaması ilkesi gelir. Aşağıdaki bölümlerde bunları sırayla, uygulanabilir ayrıntılarıyla ele alıyoruz.

Uzun Parola ve Parola Cümlesi Nasıl Kurulur?

Yıllarca bize büyük harf, rakam ve özel karakter içeren sekiz haneli parolalar önerildi. Sonuç, akılda tutması zor ama tahmin edilmesi görece kolay parolalar oldu; insanlar harfin yerine benzer görünen bir rakam koyuyor, sonuna bir ünlem ekliyor ve bunu karmaşıklık sanıyordu. Bugün kabul gören yaklaşım, karakter sayısını artırmaktır. Her ek karakter, saldırganın deneme sayısını katlayarak çoğaltır. Bu yüzden kısa ve süslü bir parola yerine, birkaç sözcükten oluşan uzun bir ifade çok daha güçlüdür.

Parola cümlesi mantığı

Parola cümlesi, birbiriyle anlamsal bağı zayıf olan üç, dört veya daha fazla sözcüğün art arda yazılmasıdır. Önemli olan sözcüklerin ünlü bir deyim, şarkı sözü veya kitap cümlesi olmamasıdır; çünkü bunlar sözlük saldırılarında önceden denenir. Kendi hayatınıza ait, başkasının tahmin edemeyeceği ama sizin görüntüsünü kolayca zihninizde canlandırabileceğiniz bir sahne iyi bir başlangıçtır. Varsayımsal örnek olarak "sabah icra dairesinde mavi dosya kokusu" gibi bir yapı düşünebilirsiniz; bu yalnızca biçimi göstermek içindir ve sizin kullanmanız doğru olmaz, çünkü yazıda yer alan her örnek artık bilinen bir örnektir.

Uzunluk ve ayırıcılar

Sözcükleri boşluk, tire veya başka bir ayırıcıyla birleştirmek hem okunabilirliği hem de gücü artırır. Sözcüklerin içine kişisel bilgi, yani doğum tarihi, plaka, müvekkil adı veya büro adı koymayın. Bir parolanın güvenliği, onu bilen kişi sayısıyla ters orantılıdır; bu nedenle parola cümlesini yalnızca siz bilmelisiniz. Büronun ortak kullandığı bir hesap varsa bu hesabın parolası bir parola yöneticisi üzerinden paylaşılmalı, kâğıda veya mesajlaşma uygulamalarına yazılmamalıdır.

Parola cümlesi, hatırlamak zorunda olduğunuz az sayıdaki parola için uygundur. Bunlar çoğunlukla bilgisayarınızın oturum açma parolası, telefonunuzun kilidi ve parola yöneticinizin ana parolasıdır. Diğer tüm hesaplar için rastgele üretilmiş, uzun ve benzersiz parolalar kullanmak, ezberleme yükünü ortadan kaldırır. Böylece insan belleği yalnızca üç dört kritik noktada çalışır, geri kalanını güvenli bir araç üstlenir.

Her Hesapta Farklı Parola Neden Zorunlu?

Parola tekrarı, bireysel kullanıcıların en yaygın ve en tehlikeli alışkanlığıdır. Mantığı basittir: bir hizmetin kullanıcı bilgileri sızdığında, saldırganlar o e-posta ve parola çiftini başka hizmetlerde otomatik olarak dener. Parolanız her yerde aynıysa, tek bir zayıf noktadaki sızıntı bütün hesaplarınıza kapı açar. Bu yöntem, saldırganın sizi özellikle hedef almasını bile gerektirmez; yalnızca daha önce sızmış bir listede adınızın bulunması yeterlidir.

Avukat için bu risk iki katmanda büyür. Birincisi, kişisel e-posta adresinizle kaydolduğunuz alışveriş, forum veya üyelik sitelerinin güvenliğini siz denetleyemezsiniz. İkincisi, mesleki hesaplarınız, yani kurumsal e-posta, dosya depolama alanı, takvim ve muhasebe kayıtlarınız tek bir kişisel hesabın zayıflığıyla birlikte tehlikeye girer. Çözüm, mesleki ve kişisel hesapları tamamen ayırmak ve her birine bağımsız parola vermektir. Bir parolanın sızması yalnızca o hesabı etkilemeli, başkasına sıçramamalıdır.

"Aynı parolayı sonuna sayı ekleyerek çeşitlendiririm" yöntemi de güvenli değildir. Saldırganlar bu kalıbı bilir ve bir parolayı ele geçirdiklerinde basit varyasyonları da dener. Gerçek bağımsızlık, parolaların birbirinden türetilememesiyle sağlanır; bunu insan zihniyle yapmak yorucudur, bu yüzden bir sonraki bölümde anlatılan parola yöneticisi bu işi sizin yerinize üstlenir.

Parola Yöneticisi Kullanımı

Parola yöneticisi, tüm hesap parolalarınızı şifrelenmiş bir kasada saklayan, gerektiğinde rastgele ve uzun parolalar üreten, giriş sayfalarında bunları sizin yerinize dolduran bir araçtır. Tek bir güçlü ana parolayla açılır. Bu sayede onlarca hesabın parolasını hatırlamak zorunda kalmazsınız ve her hesapta farklı parola kullanmak pratik hale gelir. Tarayıcının kendi kayıt özelliği de bir ölçüde işe yarar, ancak büro ortamında paylaşım, yetkilendirme ve yedekleme imkânı veren ayrı bir yönetici çoğu zaman daha kontrollü bir çözümdür.

Bir yönetici seçerken şu soruları sorun: Kasa cihazınızda mı yoksa güvenilir bir hizmetin sunucusunda mı şifreli tutuluyor? Ana parolayı unutursanız ne olur? Büro içi paylaşım için ortak kasalar oluşturulabiliyor mu? Çalışan ayrıldığında erişimi kapatmak kolay mı? Bu soruların cevabı, aracın bürodaki işlevini belirler. Önemli olan, aracı seçtikten sonra tutarlı kullanmaktır; yarım kullanılan bir yönetici, yeni hesapların yine kısa ve tekrar eden parolalarla açılmasına yol açar.

Ana parolanın korunması

Parola yöneticisinin gücü, ana parolasının gücüne eşittir. Bu yüzden ana parola için uzun bir parola cümlesi kullanın, hiçbir yerde tekrar etmeyin ve yazıp bilgisayarın başına yapıştırmayın. Mümkünse yöneticiyi de iki faktörlü doğrulamayla koruyun. Ana parolayı unutmaya karşı güvenli bir kurtarma yöntemi belirleyin; bu yöntemin kendisi de zayıf bir kapı olmamalıdır. Yöneticiyi telefonunuza da kurmanız, hareket halindeyken duruşma salonunda veya adliyede hesaplarınıza güvenli biçimde ulaşmanızı sağlar.

• ✓ Ana parola uzun bir parola cümlesi olmalı ve başka hiçbir yerde kullanılmamalı
• ✓ Yeni hesap açarken parola yönetici tarafından rastgele üretilmeli
• ✓ Yönetici kendi hesabında iki faktörlü doğrulamayla korunmalı
• ✓ Ortak büro hesapları kişisel kasalardan ayrı, yetkili kişilere açık bir kasada tutulmalı
• ✓ Çalışan ayrıldığında ortak kasa erişimi aynı gün kapatılmalı

İki Faktörlü Doğrulama: Parola Yetmediğinde Devreye Giren Katman

En güçlü parola bile ele geçirilebilir; bir kimlik avı sayfasına yazılabilir, bir cihazdaki zararlı yazılım tarafından kaydedilebilir veya bir sızıntıda açığa çıkabilir. İki faktörlü doğrulama, parola bilinse bile girişin tamamlanmasını engeller; çünkü ikinci bir kanıt ister. Bu kanıt, telefonunuzdaki bir doğrulama uygulamasının ürettiği tek kullanımlık kod, bir bildirim onayı veya fiziksel bir güvenlik anahtarı olabilir. Saldırgan parolanıza sahip olsa da ikinci faktöre sahip değildir.

Tercih sıralaması konusunda genel ilke şudur: doğrulama uygulamasının ürettiği kodlar ve fiziksel güvenlik anahtarları, kısa mesajla gelen kodlardan daha sağlamdır; çünkü telefon numarası ele geçirilirse kısa mesaj da ele geçirilebilir. Yine de hiç doğrulama olmamasından, kısa mesajla doğrulama bile çok daha iyidir. Önceliğiniz e-posta hesabı olmalıdır; çünkü e-postaya erişen biri, birçok hizmette "parolamı unuttum" adımıyla diğer hesapları da ele geçirebilir. Sonra bulut depolama, takvim, parola yöneticisi ve büro yazılımları gelir.

Kurtarma kodlarını güvenli bir yerde, parola yöneticinizin dışında ve başkalarının ulaşamayacağı biçimde saklayın. Telefonunuzu kaybettiğinizde veya değiştirdiğinizde bu kodlar sizi hesabınızdan kilitlemekten korur. Doğrulama kodunu hiç kimseye, kendini banka, kargo, bilişim destek ekibi veya meslektaş olarak tanıtan kişilere bile söylemeyin; kodu isteyen herkes, kural olarak saldırgandır.

Büro içinde iki faktörlü doğrulamayı yaygınlaştırırken pratik bir zorlukla karşılaşabilirsiniz: duruşma salonunda telefonun kapalı olması veya yedek cihazın bulunmaması. Bu nedenle her çalışanın en az bir yedek yöntemi, örneğin kurtarma kodlarını veya ikinci bir cihazı hazır tutması gerekir. Böylece güvenlik katmanı, iş akışını kilitleyen bir engele dönüşmez.

Zorunlu Periyodik Değişim Yerine Sızıntı Halinde Değişim

Pek çok büroda hâlâ "parolalar her üç ayda bir değiştirilir" kuralı vardır. Bu alışkanlığın yan etkisi iyi bilinir: insanlar yeni parolayı eskisinin hafifçe değiştirilmiş hali olarak seçer, sonuna sayı ekler veya bir kenara yazar. Sonuç olarak güvenlik artmaz, aksine tahmin edilebilir kalıplar oluşur. Güncel yaklaşım, parolayı yalnızca bir neden olduğunda değiştirmektir; neden yoksa uzun ve benzersiz bir parola olduğu gibi kalabilir.

Değişimi gerektiren durumlar nelerdir? Bir hizmetin kullanıcı bilgilerinin sızdığı duyurulmuşsa, hesabınıza tanımadığınız bir yerden giriş bildirimi geldiyse, parolayı yanlışlıkla başkasına söylediyseniz veya parolayı girdiğiniz cihazın zararlı yazılım bulaştırdığından şüpheleniyorsanız parolayı derhal değiştirin. Büronun ortak hesaplarında bir çalışan ayrıldığında da ilgili parolalar yenilenmelidir; çünkü o kişi parolaları biliyordu.

Sızıntıdan haberdar olmanın pratik yolu, kullandığınız e-posta adreslerinin bilinen veri ihlallerinde geçip geçmediğini gösteren hizmetleri arada bir kontrol etmektir. Birçok parola yöneticisi de bu denetimi kendisi yapar ve sızmış veya tekrar eden parolalar için sizi uyarır. Uyarı geldiğinde işlemi ertelemeyin; değişimi, o hesapta iki faktörlü doğrulamanın açık olup olmadığını kontrol ederek tamamlayın. Değişiklikten sonra eski parolanın kullanıldığı başka bir yer olup olmadığına da bakın.

Olay sonrası değişimde sıra da önemlidir. Önce e-posta ve parola yöneticisi gibi diğer hesapların anahtarını taşıyan hesapları yenileyin, ardından bulut depolama ve takvim gibi hizmetlere geçin. Değişimi yaparken yeni parolayı eskisinden türetmeyin; yöneticinin ürettiği tamamen yeni bir parola kullanın ve açık oturumları kapatarak eski erişimleri sonlandırın.

e-İmza PIN'i, UYAP ve UETS Parolaları Kimseyle Paylaşılmaz

Bu bölüm bütün yazının en katı kuralını içerir: elektronik imzanızın PIN'i ile UYAP ve UETS parolalarınız yalnızca size aittir. Bunları sekretere, stajyere, meslektaşa, bilişim desteği veren kişiye ve hiçbir yazılıma, uygulamaya veya hizmete vermeyin. Bu bilgiler, sizin adınıza işlem yapılmasını sağlayan anahtarlardır. Birisi bunlara sahip olduğunda dilekçe verebilir, tebligat görebilir, işlem yapabilir ve bu işlemlerin sorumluluğu sizin üzerinizde kalır. e-İmzayla atılan bir imza, hukuken sizin imzanız olarak değerlendirilir.

Büro içinde işlerin kolaylaşması için sekreterin sizin adınıza UYAP'a girmesi gibi pratikler yaygındır, ancak bu pratik her durumda parola paylaşımı anlamına gelmek zorunda değildir. Yetkilendirme gerekiyorsa, ilgili sistemin kendi yetki veya vekâlet mekanizmaları üzerinden, kendi kimliğiyle işlem yapacak biçimde düzenleme yapılmalıdır. Hangi sistemde bunun nasıl yapıldığı konusunda ilgili kurumun güncel yönergesine bakın; menü adımlarını ezbere uygulamayın.

"Süreyi kaçırmayayım diye yazılıma parolamı veririm" düşüncesi de yanlıştır. Güvenilir bir hizmet sizden bu bilgileri istemez; çünkü bu bilgilerin başka bir sunucuya aktarılması, riskin sizden çıkıp üçüncü bir tarafa geçmesi demektir. Bir yazılım, UYAP veya UETS parolanızı, e-imza PIN'inizi veya oturum bilginizi sizden talep ediyorsa bunu açık bir uyarı işareti sayın. Erişim, kural olarak sizin kendi bilgisayarınızda, kendi açtığınız oturumla yapılmalıdır.

Büro iç yönergesi örneği: "e-İmza PIN'i, UYAP ve UETS parolaları kişiseldir. Hiçbir çalışan, bilişim sağlayıcı veya yazılım bunları talep edemez, hiçbir ortamda yazılı veya dijital olarak paylaşılamaz. Bu bilgilerin açığa çıktığından şüphelenen çalışan aynı gün ortağa bildirir."

Büro İçin Parola Politikası Nasıl Hazırlanır ve Uygulanır?

Parola politikası uzun bir belge olmak zorunda değildir; bir sayfayı geçmeyen, herkesin okuyup uygulayabildiği bir metin yeterlidir. Ortaklar, avukatlar, sekreterler ve stajyerler aynı kuralları paylaşmalıdır; çünkü zincir en zayıf halkası kadar güçlüdür. Kuralı kimin uygulayacağını, ihlal şüphesinde kime haber verileceğini ve yeni çalışan başladığında veya ayrıldığında hangi adımların izleneceğini açıkça yazın. Politikayı bir toplantıda tek tek anlatmak, e-postayla göndermekten çok daha etkilidir.

Uygulamada başarının anahtarı, kuralları yaşamı zorlaştırmadan sağlamaktır. İnsanlar kuralı zahmetli bulursa dolanır; kâğıda yazar, aynı parolayı kullanır. Parola yöneticisini kurmak, iki faktörlü doğrulamayı birlikte açmak ve ilk haftada yeni çalışana kısa bir eğitim vermek, uyum oranını belirgin biçimde artırır. Bu çalışmanın ardından düzenli aralıklarla, örneğin yılda birkaç kez, hesapların ve yetkilerin gözden geçirilmesi yeterlidir.

1. Hesapları listeleyin. E-posta, bulut depolama, takvim, dosya takip ve büro yazılımlarını tek tek yazın.
2. Parola yöneticisini kurun. Büro için ortak, kişi için ayrı kasalar oluşturun ve ana parolaları parola cümlesi olarak belirleyin.
3. Zayıf ve tekrar eden parolaları yenileyin. Önce e-posta hesaplarından başlayın, sonra diğerlerine geçin.
4. İki faktörlü doğrulamayı açın. Kurtarma kodlarını güvenli bir yerde saklayın.
5. Paylaşılmayacak bilgileri yazılı hale getirin. e-İmza PIN'i ile UYAP ve UETS parolalarının hiçbir koşulda paylaşılmadığını politikaya ekleyin.
6. Ayrılan çalışanın erişimini kapatın. Ortak hesapların parolalarını aynı gün yenileyin.
7. Olay bildirimini kolaylaştırın. Şüpheli bir durumda çalışanın utanmadan haber verebileceği tek bir kişi belirleyin.

MÜHLET ile Parola Güvenliği: Şifre MÜHLET'e Verilmez

Parola güvenliği ile süre takibi birbirinden ayrı konular gibi görünse de aynı yerde kesişir: tebligatlara ulaşmak için kullandığınız oturumun güvenliği. MÜHLET, bu ilişkiyi şu ilkeyle kurar: şifre MÜHLET'e verilmez. UETS'e düşen e-tebligatlar, tarayıcı eklentisi aracılığıyla, avukatın kendi bilgisayarında, kendi açtığı oturumla alınır; sunucular UETS'e bağlanmaz. Böylece parolalarınız ve oturumunuz sizin cihazınızda kalır. Ayrıntılı bilgi için UETS entegrasyonu sayfasına bakabilirsiniz.

Alınan tebligatın içeriği yapay zekâ ile analiz edilir; mahkeme, esas numarası, taraflar ve tebligat türü çıkarılır. Her çıktı bağımsız bir usul kuralı motoruyla doğrulanır, güven düşükse avukattan onay istenir. Süreler Türk adli takvimine göre, yani adli tatil, resmî tatil ve hafta sonu düzeltmeleri hesaba katılarak belirlenir. Bu işleyiş yapay zekâ tebligat analizi ve süre takibi sayfalarında anlatılır.

Son güne kadar kademeli olarak e-posta, SMS ve uygulama veya tarayıcı bildirimiyle hatırlatma yapılır; bildirim sistemi bu işi üstlenir. Büro için ortak, avukat, sekreter ve stajyer rolleriyle yetkilendirme yapılabilir; böylece her çalışan yalnızca görevinin gerektirdiği alanı görür. Veriler KVKK uyumlu biçimde Türkiye'de barındırılır. Kendi hesabınızı korumak için burada anlatılan parola politikası ve iki faktörlü doğrulama kuralları, MÜHLET hesabınız için de aynen geçerlidir; hizmet hakkında bilgi almak için fiyatlar sayfasını da inceleyebilirsiniz.

MÜHLET'in büro için sunduğu diğer imkânlar da düzenli çalışmayı destekler: takvim senkronizasyonu, iOS ve Android mobil uygulama, dava, müvekkil, duruşma ve görev yönetimi. Hizmet tebligat kredisiyle çalışır ve ilk kullanımda ücretsiz deneme kredisi verilir. Bunların hiçbiri sizden UETS veya UYAP parolası ya da e-imza PIN'i istemez; parola güvenliğinin sorumluluğu ve kontrolü her zaman sizde kalır. Süre hesabını kendiniz denemek isterseniz hukuki süre hesaplama aracı ücretsizdir.

Sık Yapılan Hatalar

Parola güvenliğindeki hataların çoğu bilgisizlikten değil, kolaylığa kaçmaktan doğar. En yaygın hata, aynı parolayı birden fazla hesapta kullanmaktır; ikincisi, parolayı monitöre yapışkan not, masa altına kâğıt veya telefon notlarına yazmaktır. Not defterine yazılmış bir parola, bilgisayara sızan birinden çok, büroya gelen herhangi bir ziyaretçi için risk oluşturur. Bu davranışı engellemenin yolu, parola yöneticisini kolay hale getirmektir; çünkü insanlar kolay olanı seçer.

Bir başka sık hata, kamusal bilgisayarlarda, adliye veya büro dışındaki ortak cihazlarda hesaplara giriş yapmak ve oturumu açık bırakmaktır. Güvenmediğiniz bir cihazda mesleki hesabınıza girmeyin; mecburen girdiyseniz çıkış yapın, parolanın tarayıcıya kaydedilmesini reddedin ve mümkünse sonrasında parolanızı yenileyin. Aynı biçimde, açık Wi-Fi ağlarında hassas hesaplara girmek yerine kendi mobil bağlantınızı kullanmak daha güvenlidir.

Kimlik avı mesajlarına kanmak da kritik bir hatadır. Bir e-postada "hesabınız kapanacak, hemen giriş yapın" gibi bir aciliyet vurgusu varsa durup düşünün. Bağlantıya tıklamak yerine hizmetin adresini tarayıcıya kendiniz yazın. Resmî kurum adına gelen, parolanızı, PIN'inizi veya doğrulama kodunuzu isteyen her mesaj şüphelidir; hiçbir kurum bu bilgileri e-posta veya telefonla sormaz.

Güncelleme yapılmayan yazılımlar da ihmal edilen bir noktadır. İşletim sistemi ve tarayıcı güncellemeleri, parola hırsızlığında kullanılan açıkları kapatır. Bilgisayarınızı ve telefonunuzu otomatik güncellemeye ayarlayın, cihaz kilidini mutlaka kullanın ve ekran kilidi süresini kısa tutun. Güçlü bir parola, güncel olmayan ve zararlı yazılım bulaşmış bir cihazda tek başına yeterli koruma sağlamaz.

Sık Sorulan Sorular

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.