İki Faktörlü Doğrulama: Büroda Zorunlu Adım

İki faktörlü doğrulama, hesaba girerken parolanın yanında ikinci bir kanıt istenmesidir; bu kanıt genellikle telefondaki doğrulama uygulamasının ürettiği kod ya da fiziksel bir güvenlik anahtarıdır. Parola sızsa, tahmin edilse veya sahte bir sayfaya yazılsa bile saldırgan ikinci kanıta sahip olmadığı için içeri giremez. Büro e-postası, dosya depolama alanı ve tebligat ya da süre takip hesapları kritik veri tuttuğu için bu koruma isteğe bağlı bir ayrıntı değil, her hesapta açık olması gereken bir adımdır. En sağlam seçenekler donanım anahtarı ve doğrulama uygulamasıdır; SMS kodu hiç yoktan iyidir ama görece zayıftır.

İki Faktörlü Doğrulama Nedir ve Büroda Neden Önemlidir

Kimlik doğrulamada üç ana kanıt türü vardır: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon ya da anahtar) ve olduğunuz bir şey (parmak izi, yüz tanıma gibi biyometrik veri). İki faktörlü doğrulama, bu üç türden en az ikisini birlikte ister. Yalnızca parola kullanan bir hesapta her şey tek bir bilgiye bağlıdır; o bilgi başkasının eline geçtiği anda hesap artık sizin kontrolünüzde değildir. İkinci faktör bu tek noktadan kaynaklanan riski ortadan kaldırmaz ama saldırganın işini katbekat zorlaştırır.

Hukuk bürosu bu konuda sıradan bir işletmeden daha hassas bir konumdadır. Büro hesaplarında müvekkil yazışmaları, dilekçe taslakları, sözleşmeler, kimlik belgeleri ve dava stratejisi bulunur. Bunların hepsi avukatlık sırrı kapsamında korunması gereken, ayrıca kişisel verilerin korunması mevzuatı bakımından da özenle ele alınması gereken bilgilerdir. Bir e-posta hesabının ele geçirilmesi yalnızca yazışmaların okunması anlamına gelmez; saldırgan müvekkile sizin adınıza ödeme talimatı gönderebilir, parola sıfırlama bağlantılarını kendi eline alarak başka hesaplara da sıçrayabilir.

Üstelik hukuk pratiğinde zaman kritiktir. Elektronik tebligat, muhatabın elektronik adresine ulaştığı tarihi izleyen beşinci günün sonunda, muhatap okumasa bile tebliğ edilmiş sayılır. Hesabınıza erişemediğiniz ya da hesabınızın başkasında olduğu birkaç gün içinde gelen bir tebligat, süreyi sessizce başlatır. Bu yüzden hesap güvenliği yalnızca bilişim meselesi değil, doğrudan süre ve sorumluluk meselesidir.

Örneğin Ankara'da icra ağırlıklı çalışan bir avukat düşünün. Uzun yıllardır aynı parolayı birkaç serviste kullanıyor. Bu servislerden biri veri sızıntısı yaşıyor ve parola listelerde dolaşıma giriyor. Saldırgan e-posta adresiyle bu parolayı otomatik araçlarla birçok serviste deniyor. Eğer avukatın hesabında ikinci faktör yoksa giriş başarılı olur; varsa saldırgan ikinci adımda takılır ve deneme başarısız kalır. Aradaki fark, tek bir ayarın açık olup olmamasıdır.

Parola Neden Tek Başına Yetmez

Parolaların zayıf kalmasının nedeni çoğu zaman teknik değil, insani nedenlerdir. Hatırlanabilir olsun diye kısa ve tahmin edilebilir parolalar seçilir, aynı parola birden çok yerde kullanılır, değiştirmek zahmetli olduğu için yıllarca aynı kalır. Saldırganlar bu alışkanlıkları bilir ve buna göre çalışır. Bir servisten sızan parola listesi diğer servislerde otomatik olarak denenir; buna parola doldurma saldırısı denir ve başarı şansı tam da parolanın tekrar kullanılmasından gelir.

İkinci büyük tehdit sahte giriş sayfalarıdır. Kullanıcıya "hesabınız kilitlenecek" ya da "belgeniz paylaşıldı" gibi bir e-posta gelir, bağlantı gerçeğine çok benzeyen bir sayfaya götürür ve kullanıcı parolasını kendi eliyle yazar. Yoğun bir mesai günü içinde, telefondan bakılan bir e-postada bu farkı yakalamak kolay değildir. Burada güçlü bir parola da işe yaramaz, çünkü parolayı saldırgana veren kişi kullanıcının kendisidir. İkinci faktör bu senaryoda ikinci bir engel çıkarır; ancak şunu da bilmek gerekir: bazı gelişmiş sahte sayfalar kullanıcının yazdığı tek kullanımlık kodu da anında gerçek siteye ileterek geçmeye çalışır. Bu nedenle faktörün türü önemlidir ve donanım anahtarları bu tür saldırılara karşı daha dirençlidir.

Üçüncü risk, büro içindeki alışkanlıklardır. Parolanın monitörün kenarına yapıştırılmış bir kâğıtta durması, ortak bir mesajlaşma grubunda paylaşılması ya da stajyer ve sekreterle "kolaylık olsun" diye aynen verilmesi çok sık görülen uygulamalardır. Böyle bir durumda parolanın kimde olduğunu bilemezsiniz ve ayrılan bir çalışanın parolayı hâlâ bilmesi mümkündür. İkinci faktör, parolanın dolaşıma girmiş olmasına rağmen hesabı kişiye bağlı tutan ek bir güvence sağlar.

Parola yöneticisi ile birlikte kullanım

İki faktörlü doğrulama parola hijyeninin yerine geçmez, onu tamamlar. Her hesap için uzun, benzersiz ve rastgele parolalar üreten bir parola yöneticisi kullanmak, ikinci faktörle birleştiğinde pratik ve güçlü bir düzen kurar. Parolayı hatırlamak zorunda kalmadığınız için karmaşık seçebilir, ikinci faktörü ise yalnızca giriş anında kullanırsınız.

Doğrulama Uygulaması (TOTP) Nasıl Çalışır

Doğrulama uygulamaları, zamana dayalı tek kullanımlık parola yöntemini (TOTP) kullanır. Hesabı ilk kurarken sunucu ile telefondaki uygulama ortak bir gizli anahtar paylaşır; bu paylaşım genellikle ekrandaki bir karekodun okutulmasıyla yapılır. Bundan sonra hem sunucu hem uygulama, o gizli anahtar ile anlık saatten aynı hesabı yaparak altı haneli bir kod üretir. Kod her yarım dakikada bir değişir. Giriş sırasında yazdığınız kod, sunucunun hesapladığı kodla eşleşirse ikinci adım geçilmiş olur.

Bu yöntemin en büyük avantajı, çalışması için telefonun internete ya da operatör şebekesine bağlı olmasına gerek duymamasıdır. Kod telefonun içinde, gizli anahtar ve saat bilgisiyle üretilir. Dolayısıyla uçakta, bodrum katındaki bir arşivde ya da çekim gücü zayıf bir adliye koridorunda da kod üretebilirsiniz. Kodun hiçbir kanaldan gönderilmemesi, araya girilebilecek bir iletim yolunun olmaması demektir. SMS'te olduğu gibi numaranızın başkasına aktarılması gibi bir risk de bu yöntemde yoktur.

Uygulamanın seçiminde dikkat edilecek birkaç nokta vardır. Uygulama telefon değiştirdiğinizde hesapları taşımaya veya yedeklemeye izin veriyor mu, kodlara erişimde ekran kilidi ya da biyometrik doğrulama isteniyor mu, bunlara bakılmalıdır. Telefonun kendisi ekran kilidiyle korunmuyorsa, telefonu eline alan kişi kodları da görebilir; bu yüzden telefonun güçlü bir ekran kilidi olması şarttır. Ayrıca telefonun saatinin otomatik ağ saatine ayarlı olması gerekir; saat sapması kodların reddedilmesine yol açan yaygın bir sorundur.

Kurulum sırasında verilen gizli anahtar, karekodun yazı hâlidir ve parola kadar hassastır. Ekran görüntüsünü alıp galeriye ya da bulut yedeğine bırakmak, bu gizli anahtarı koruma dışı bir yere taşımak anlamına gelir. Kurulum bittikten sonra bu görüntüler silinmeli, yedek için ise yalnızca yedek kodlar kullanılmalıdır. Büroda birden fazla kişi aynı hesabı kullanıyorsa, o hesabın kodunun tek bir telefonda durması başka bir sorun doğurur; bu konuya ileride değineceğiz.

Donanım Güvenlik Anahtarı

Donanım güvenlik anahtarı, bilgisayarın bağlantı noktasına takılan ya da telefona yaklaştırılan küçük bir cihazdır. Giriş sırasında cihaza dokunmanız ya da yaklaştırmanız istenir; cihaz kendi içindeki özel anahtarla bir doğrulama cevabı üretir. Burada yazılacak bir kod yoktur, dolayısıyla kullanıcının kodu yanlış bir sayfaya yazması gibi bir hata da mümkün değildir. Anahtar, doğrulamayı hangi siteye yaptığını da dikkate alır; sahte bir sayfa gerçek site olmadığı için anahtardan geçerli bir cevap alamaz.

Bu özellik, sahte giriş sayfası saldırılarına karşı donanım anahtarını en dirençli yöntem yapar. Kullanıcı ne kadar dikkatsiz olursa olsun, anahtar yanlış adreste çalışmaz. Çok sayıda hesabı olan, sürekli e-posta ve belge trafiği yöneten büro ortakları ve yöneticileri için bu, anlamlı bir koruma farkıdır. Bununla birlikte yöntemin bazı pratik koşulları vardır: kullandığınız servis anahtarı desteklemelidir, bilgisayarınızda uygun bağlantı noktası ya da yakın alan iletişimi bulunmalıdır ve cihazı kaybetme ihtimaline karşı en az iki anahtar kaydedilmelidir.

Anahtarı satın alırken yalnızca bilinen üreticilerden ve güvenilir kanallardan temin etmek önemlidir. Kullanım kolaylığı açısından anahtarı bir anahtarlığa takıp yanınızda taşımak, masada bırakmaktan daha doğrudur; ancak bunu yaparken yedek anahtarı büro kasasında ya da güvenli bir yerde saklamak gerekir. Anahtarı kaybettiğinizde ilgili hesaplardan hemen kaldırmak, bulan kişinin anahtarla bir şey yapamayacağını bilseniz bile sağlıklı bir alışkanlıktır.

Hangi hesaplar için donanım anahtarı düşünülmeli

Her hesap için donanım anahtarı şart değildir. Ancak büro e-posta hesabı, alan adı yönetimi, bulut depolama ve yönetici yetkisi olan hesaplar öncelikli adaylardır. Bu hesapların ele geçirilmesi bütün büroyu etkileyeceği için en güçlü yöntemi burada kullanmak mantıklıdır. Diğer hesaplarda doğrulama uygulaması makul bir denge sunar.

SMS Kodunun Görece Zayıflığı

SMS ile gelen tek kullanımlık kod, en yaygın ve en kolay ikinci faktördür; kurulumu gerektirmez, her telefonda çalışır. Bu kolaylık onu pek çok servisin varsayılan seçeneği yapmıştır. Buna karşılık SMS, diğer yöntemlere göre görece zayıf bir faktördür ve bunun birkaç ayrı nedeni vardır. Kod, operatör şebekesi üzerinden düz metin olarak iletilir ve telefon numarasının başka bir kişide etkinleştirilmesi durumunda mesaj o kişiye gider. Bu tür numara aktarma dolandırıcılıkları, özellikle belirli bir hedefe yönelik saldırılarda görülür.

İkinci zayıflık, kodun telefonun ekranında görünmesidir. Kilit ekranında bildirim önizlemesi açıksa, telefonu eline alan herkes kodu okuyabilir. Üçüncü zayıflık, kullanıcıların kandırılmasına açık olmasıdır: saldırgan kendini banka ya da servis çalışanı olarak tanıtıp "size gelen kodu söyler misiniz" diyebilir. Altı haneli bir kodun kimseyle paylaşılmayacağı bilgisi bu yüzden büro içinde de açıkça hatırlatılmalıdır.

Bu durum SMS'i kullanmayın demek değildir. SMS ikinci faktörü hiç olmamasından çok daha iyidir; parolayı ele geçiren sıradan bir saldırgan çoğu zaman bu engeli aşamaz. Mesele, seçenek sunulduğunda SMS yerine doğrulama uygulamasını veya donanım anahtarını tercih etmektir. Servis yalnızca SMS sunuyorsa, açmak kapalı bırakmaktan yeğdir. Bu durumda telefon numarasının operatör hesabını da korumak, yani operatör nezdinde ek parola ya da numara aktarma kilidi istemek iyi bir tamamlayıcı önlemdir.

Yedek Kodlar ve Telefon Kaybı Senaryosu

İkinci faktörün en çok korkulan yanı, telefonu kaybettiğinizde ya da değiştirdiğinizde hesabınıza giremez hâle gelme ihtimalidir. Bu korku yersiz değildir; ancak çözümü baştan kurmak mümkündür. Birçok servis, ikinci faktörü etkinleştirdiğiniz anda bir dizi yedek kod verir. Bunlar tek kullanımlıktır; her biri telefonunuz elinizde olmadığında bir kez giriş yapmanıza izin verir. Yedek kodlar, ikinci faktörün sigortasıdır.

Yedek kodların nasıl saklandığı, onların değerini belirler. Kodları aynı telefona not olarak yazmak, telefonu kaybettiğinizde kodları da kaybetmek demektir. Kodları e-posta taslağı olarak saklamak ise e-posta hesabının kendisi saldırıya uğradığında kodların da saldırganın eline geçmesine yol açar. Daha sağlam yol, kodları yazdırıp büro kasası ya da evdeki güvenli bir yer gibi fiziksel ve kontrollü bir yerde saklamaktır. Parola yöneticisinin güvenli notları da, yönetici kendi başına güçlü bir parola ve ikinci faktörle korunuyorsa makul bir seçenektir.

Telefon kaybı anında yapılacak işlerin sırası baştan bilinmelidir. Önce operatörden hattı kilitletmek, sonra telefonu uzaktan bulma ve silme özelliğini kullanmak, ardından kritik hesaplarda eski cihazın oturumlarını sonlandırıp ikinci faktörü yeni cihaza taşımak gerekir. Bu sırayı büro içinde kısa bir kontrol notu olarak asmak, panik anında doğru adımı atmayı kolaylaştırır. Yedek kod kullanıldığında kod listesi yenilenmeli ve eskileri geçersiz kılınmalıdır.

• ✓ Yedek kodlar basılı kopya olarak kilitli bir yerde duruyor
• ✓ Kritik hesaplarda en az iki doğrulama yöntemi kayıtlı
• ✓ Hesaba bağlı telefon numarası ve kurtarma e-postası güncel
• ✓ Telefon kaybı durumunda izlenecek sıra büroda yazılı
• ✓ Kullanılmış yedek kodlar listeden düşülüyor ve liste yenileniyor

Büroda Adım Adım Uygulama

İki faktörlü doğrulamayı büroda hayata geçirmek, tek tek herkesten "açın" demekle bitmez; bir sıra ve sahiplenme gerektirir. Aksi hâlde bir kısmı açar, bir kısmı unutur ve en zayıf hesap bütün büronun zincirindeki halka olur. Önce hangi hesapların kritik olduğunu belirlemek, ardından bunları önem sırasına göre kapsama almak en verimli yoldur.

Uygulamada başarının asıl koşulu, bir kişiyi sorumlu belirlemektir. Bu kişi büro yöneticisi, ortak avukat ya da bilgi işlem konusuna meraklı bir ekip üyesi olabilir. Görev tanımı basittir: hangi hesapların korunduğunu takip etmek, yeni gelen çalışana kurulumu yaptırmak ve ayrılan çalışanın erişimini kapatmak. Bu sorumluluk yazılı olmazsa, işin sahibi olmadığı için yarım kalır.

1. Hesap envanterini çıkarın. E-posta, bulut depolama, alan adı, süre takip ve tebligat ile ilgili hesapları tek listede toplayın.
2. Öncelik sırası belirleyin. Büro e-postası ve yönetici yetkili hesaplarla başlayın; ardından diğerlerine geçin.
3. Yöntemi seçin. Mümkünse donanım anahtarı ya da doğrulama uygulaması; yalnızca SMS sunuluyorsa onu açın.
4. Yedek kodları güvenle saklayın. Kodları yazdırıp kilitli bir yerde tutun, telefona kaydetmeyin.
5. Her hesapta ikinci bir yöntem ekleyin. Telefon kaybında hesaba dönebilmek için yedek yöntem tanımlayın.
6. Ekibe kısa bir eğitim verin. Kodun kimseyle paylaşılmayacağını ve şüpheli girişlerin nasıl bildirileceğini anlatın.
7. Düzenli kontrol yapın. Üç ayda bir envanteri gözden geçirip ayrılanların erişimini kapatın.

Bu adımlar bir seferde, tek bir öğleden sonrada tamamlanabilir. Önemli olan tamamlanma tarihini belirlemek ve ertelemeye izin vermemektir. İlk hafta bazı çalışanlar yeni giriş düzenini zahmetli bulabilir; bu normaldir ve birkaç gün içinde alışkanlığa dönüşür. Başlangıçta yaşanan küçük zahmet, bir hesabın ele geçirilmesinin yaratacağı kesintiyle kıyaslanamaz.

Büro İçi Roller ve Ortak Hesap Sorunu

Büroda en sık karşılaşılan güvenlik tuzaklarından biri ortak hesap kullanımıdır. Sekreter, stajyer ve avukat aynı e-posta ya da sistem hesabını paylaşır; parola herkesin bildiği bir şeydir. İkinci faktör bu düzende sorun çıkarır, çünkü kod tek bir telefona gider ve o telefonun sahibi yoksa kimse giremez. Çözüm kolaylık adına güvenliği gevşetmek değil, ortak hesap kullanımını bırakmaktır.

Her çalışanın kendi kişisel hesabı olması, hem güvenlik hem de sorumluluk izlenebilirliği açısından doğru yaklaşımdır. Bir işlem yapıldığında kimin yaptığı belli olur, çalışan ayrıldığında yalnızca onun erişimi kapatılır ve diğerlerinin parolası değişmez. Yetkiler de role göre ayrılabilir: ortak avukat her şeye erişir, avukat kendi dosyalarına, sekreter operasyonel işlere, stajyer ise yalnızca ihtiyacı olan kısma. Böylece bir hesap ele geçirilse bile etkilenen alan sınırlı kalır.

Ortak olarak kullanılması gereken zorunlu hesaplar da vardır; örneğin alan adı yönetimi ya da kurumsal sosyal medya. Bu durumda ikinci faktörü tek bir kişinin telefonuna bağlamak yerine, büro kasasında tutulan bir donanım anahtarı ya da ortak yönetilen bir doğrulama uygulamasından yararlanmak gerekir. Hangi yöntem seçilirse seçilsin, kimin erişimi olduğu yazılı tutulmalı ve çalışan değişikliklerinde güncellenmelidir.

Kontrol notu: Ayrılan her çalışan için aynı gün şunlar yapılır. 1) Kişisel hesapları kapatılır. 2) Ortak hesaplarda parola değiştirilir. 3) Onun telefonuna bağlı ikinci faktörler yenisiyle değiştirilir. 4) Kayıt listesi güncellenir.

MÜHLET'te Doğrulama Desteği

Büroda kullandığınız yazılımın ikinci faktörü desteklemesi, yukarıdaki düzeni kurmayı kolaylaştırır. Süre ve tebligat takibi yapılan bir sistem, dosya ve müvekkil bilgisi taşıdığı için öncelikli olarak korunacak hesaplar arasında yer alır. MÜHLET hesaplarında doğrulama uygulamasıyla iki faktörlü giriş desteklenir.

Yazılım seçerken genel olarak şunlara bakmak yerindedir: ikinci faktör seçeneği sunuyor mu, bunu her kullanıcı için ayrı ayrı açabiliyor musunuz ve kurtarma yolu net mi? Bu üç sorunun cevabı olumluysa, yazılımın kendi tarafındaki koruma ile sizin bürodaki alışkanlıklarınız birbirini tamamlar. Araç ne kadar güvenli olursa olsun, ikinci faktörü açmak ve yedek kodları saklamak kullanıcıdan beklenen adımdır.

Sık Yapılan Hatalar

İkinci faktörü açmış bürolarda bile tekrar eden birkaç hata vardır. İlki, kodu başkasına söylemektir. Telefonla arayan "bilgi işlem" ya da "servis destek" kılıklı bir kişi kodu sorar ve çalışan, yardımcı olmak için okur. Kodun tek amacı hesabı yalnızca sizin açabilmenizdir; kim sorarsa sorsun paylaşılmaz. Meşru bir servis hiçbir koşulda kodunuzu telefonla istemez.

İkinci hata, onay isteği yorgunluğudur. Bazı servisler giriş denemesinde telefona "Siz misiniz?" şeklinde bir onay bildirimi gönderir. Saldırgan parolayı bilirse onlarca kez deneme yapar ve kullanıcı bıkıp ya da yanlışlıkla onaylar. Beklemediğiniz bir onay isteği geldiğinde reddetmek ve parolayı hemen değiştirmek gerekir. Bu tür bir isteğin kendisi, parolanızın ele geçmiş olabileceğinin işaretidir.

Üçüncü hata, kurulumu yarım bırakmaktır: ikinci faktör açılır ama yedek kod alınmaz, kurtarma e-postası güncellenmez, telefon numarası eski kalır. Dördüncü hata ise güvenliği yalnızca bir kez kurup unutmaktır. Çalışanlar değişir, telefonlar yenilenir, hesaplar eklenir. Düzenli kontrol yapılmayan bir sistem zamanla delik deşik olur.

Son olarak, süre takibi ile güvenliği ayrı düşünmemek gerekir. Hesabın ele geçirilmesi, tebligatların fark edilmemesine ve sürelerin kaçmasına yol açabilir; bu da doğrudan hak kaybı demektir. Güvenlik önlemi, aslında sürenizin ve müvekkilinizin hakkının sigortasıdır.

Bu yazı genel bilgilendirme amaçlıdır; somut olayınız için hukuki değerlendirme gerekir.

Sık Sorulan Sorular