Güçlü bir parola iyi bir başlangıçtır, ancak e-postanızın güvende olduğundan emin olmanın daha fazla yolu var.
E-posta, çoğu kişinin günlük yaşamının önemli bir parçasıdır, ancak çok az kişi sadece bir parola girmenin dışında, e–posta hesabını nasıl koruyabileceğini düşünür. E-posta güvenliğini sağlamak için hangi seçenekler kullanılabilir hatta tavsiye edilir?
E-posta güvenliği nedir?
Bu yazının amacına uygun olarak; e-posta güvenliğini, hem mesajların içeriği hem de insanların e-postalarına erişmek için kullandıkları hesaplarla ilgili olarak tanımlayacağım.
E-posta güvenliği, hesaplarımıza erişim için kimlik doğrulamasıyla sınırlı kalmaz; mesaj içeriği doğrulanabilir ve korunabilir, gönderen kimliği doğrulanabilir, e-posta gönderenlerin yetkilendirilmesi sağlanabilir ve e-posta uygulamasının bütünlüğü ve işlevselliği daha iyi korunabilir.
E-posta hesabınızın yöneticisi sizseniz, doğal olarak başkası tarafından yönetilen bir hesaba göre daha farklı bir seçenek alt kümesine sahip olursunuz. Tehdit örneğine bağlı olarak, hangi seçeneklerin gerekli olduğu biraz farklılık gösterebilir, ancak çoğumuz için daha fazla güvenlik yöntemi eklememiz faydalı olacaktır.
Mesaj içeriğinin güvenliğini sağlamak
Bir e-posta göndermenin, gizlice izlenmeye bir kartpostal kadar açık olabileceğinin farkında olan çok az kişi vardır. Neyse ki, bir mesaj gönderimine güvenlik katmanları ekleyebilecek birkaç yok vardır. Yöntemlerden biri, mesajı bir zarfa koymaya benzer; diğer insanlar mesajın nereden geldiğini ve nereye gönderildiğini görebilir. Hatta bir dinleme aracı kullanılıyorsa mesaj içeriğinin de görüntülenmesi (özellikle de zarf açıldıktan sonra) mümkündür. Bu tür koruma, internet üzerinden aktarılan mesajın korunmasına yardımcı olduğu için “taşıma seviyesinde” olarak kabul edilir.
İletinin “uçtan uca” korunması da mümkündür, yani mesaj ağa düşmeden önce kaynakta şifrelenir ve alıcı tarafından şifresi çözülür. Bu, iletinin aktarım sırasında veya içeriğinin şifresi çözülene kadar okunamamasını sağlayacağı için, bir mesajın (bir dinleme aracıyla bile olsa) okunabileceği süreyi kısaltır. Dinleme aracı, engellenen bir ileti içindeki verilere erişmek için e-postanın yanı sıra şifre çözme anahtarına da ihtiyaç duyar.
Yöneticiler, kullanıcılar için en şeffaf tür olduğundan ve kendileriyle doğrudan etkileşime ihtiyaç duymadıklarından, genellikle taşıma seviyesinde güvenliği uygulamayı tercih ederler. Uçtan uca şifreleme gerekiyorsa, bu işlemi basitleştiren teknolojileri seçmek ve bu tür bir şifreleme kullanıldığında dikte eden ilkeler oluşturmak iyi bir fikirdir.
Geçerli, uygun içeriğin sağlanması
Gelen kutumuza düşen gönderilerin çoğunu aslında almak istemiyor olmamız, modern yaşamın bir gerçeğidir. Gönderilen spam, dolandırıcılık, kimlik avı ve kötü amaçlı yazılım miktarını da eklediğimizde, kesinlikle istenmeyen miktarda trafik oluştuğunu görüyoruz. Çoğu firma ve e-posta servis sağlayıcısı, bu yoğunluğu engellemeye yardımcı olmak için kendi filtreleme yöntemlerini kullanır. Kendi risk toleransı seviyelerimize göre, bunun yapılabileceği çeşitli yollar vardır.
Çoğu e-posta sağlayıcısı, müşterilerine ulaşan istenmeyen ve kötü amaçlı e-posta miktarını azaltmak için bilinen spam, kimlik avı ve kötü amaçlı yazılımları içeren basit bir kara liste kullanır. Ancak birçok kuruluşun, filtrelemeler konusunda daha proaktif olmaları akıllıca olacaktır. İletileri ek türlerine göre de sınırlayabilirsiniz. Örneğin, daha güvenilir veya çok kullanılan belirli dosya türlerine izin verebilir veya daha az kullanılan veya daha riskli dosya türlerini engelleyebilirsiniz.
Güvenli görünebilecek birçok popüler dosya türünün, güçlü makro kodları veya zararlı, gömülü dosyalar içerebileceğini unutmayın. Hiçbir dosya türü tamamen güvenli kabul edilmemelidir. Dosya türlerine, potansiyel tehlikelerinden çok, risk düzeyi ve iş akışına potansiyel etkileri açısından bakmak daha faydalı olabilir. Çoğu kişi dokümanlar, elektronik tablolar veya sunumlar gibi şeyler gönderirken, çok azı işle ilgili yürütülebilir dosya türlerini gönderip almak için e-posta kullanır. Bu nedenle, çoğu firmada bu dosya türlerinin dışlanması pek sorun yaratmayacaktır.
Bazı kuruluşlar, kötü amaçlı yazılım ve/veya gizli şirket verileri için ağlarından gönderilecek e-postaları da göndermeden önce taramayı seçer. Çoğu şirket, ödeme veya kimlik kartı bilgileri, sağlık bilgileri veya gizli şirket verileri gibi bazı hassas dosyaları veya bilgileri ve bu bilgilerin bulundukları yeri de kaydetmekte başarılıdır. Ağ geçidi için zararlı yazılım tarayıcılarının daha “paranoyak” ayarlara çekilmesi yararlı olabilir, çünkü e-postadan geçen dosyaların daha yavaş taranması daha az fark edilir ve daha az rahatsız edicidir.
E-posta yetkilendirmesi ve kimlik doğrulaması
Kötü niyetli kişilerin e-postaları sahtecilik yapmak için kullanmaları oldukça kolaydır ve bunu sınırlamanın yolları olsa da, mevcut seçenekler henüz yaygın olarak kullanılmamaktadır. Bu teknikler ileti içeriğinin doğrulanmasına yardımcı olur, hangi kullanıcıların ve hesapların etki alanınızdan gönderim yapmaya yetkili olduğunu belirler ve e-posta konularının dahili olarak tutarlı olduğunu doğrulamaya yardımcı olabilir.
Bu yetkilendirme ve kimlik doğrulama teknikleri yaygın olarak uygulanmadığından, çoğu şirket için en iyi kullanım şekli, marka bütünlüğünüzü korumanıza yardımcı olmak veya belirli Business Email Compromise (BEC) saldırılarını önlemek için bu yöntemleri uygulamaktır. Bunları ayrıca, adli amaçlara uygun olarak doğrulanamayan e-postaların kaydını tutmak için de kullanabilirsiniz.
E-posta kimlik doğrulaması ve yetkilendirmesinin kullanımı, firmanın eski çalışanların ait hesaplar gibi artık kullanılmayan hesapların derhal kaldırılması (veya en azından şifrelerinin değiştirilmesi) gibi iyi yönetim hijyeninin bir parçası olarak kabul edilmelidir.
Hesap koruması
Çoğumuz e-posta hesaplarımızın kimlik doğrulamasının farkındayız, çünkü bu, çoğumuzun kullandığı e-posta güvenliği yöntemidir. Önceki paragraflarda bahsettiğimiz diğer e-posta güvenlik yöntemlerinden birkaçı, çalınan e-posta hesap bilgilerinden kaynaklanacak zararları azaltmaya yardımcı olur. Fakat çok aşamalı kimlik doğrulama e-posta hesaplarımıza erişim için çok etkili bir koruma seviyesidir.
Söylediğiniz kişi olduğunuzu doğrulamak için sadece bir “aşama” olan, kullanıcı adı ve parola sağlamasını kullanmaktansa, çok aşamalı kimlik doğrulama ile hesap bilgilerinizi farklı bir yöntemle kombine edebilirsiniz. En çok kullanılan ikinci yönteme örnek olarak, kullanıcı adı ve parolanızı başarıyla girdikten sonra, genellikle e-posta veya kısa mesaj ile gönderilen veya bir uygulama ya da dongle tarafından oluşturulan tek seferlik anahtarları gösterebiliriz. Çok faktörlü kimlik doğrulamayı, tehditlere ve özel ihtiyaçlarınıza göre, direkt olarak bir e-posta uygulamasının veya bir ağın giriş işlemine bağlayabilirsiniz.
Yazılım koruması
Son olarak, işletim sisteminiz ve e-postalara erişmek için kullandığınız uygulama veya tarayıcı da dahil olmak üzere kullandığınız yazılımları düzenli olarak güncelleyerek e-postanızı korumak da önemlidir. Bu, saldırganların e-postalarınıza erişmesine izin verebilecek güvenlik açıklarının giderilmesine yardımcı olacaktır. Bunu, yazılımın kendisinden veya işletim sisteminizdeki otomatik güncelleme özelliğiyle veya doğrudan üreticinin web sitesine giderek yapmayı tercih etmelisiniz.
Son Olarak
E-posta veya genel olarak bilgisayar güvenliği için hangi yöntemleri kullanacak olursanız olun, firmanızdaki çalışanların kullanabileceği ve kullanacağı yöntemler olması önemlidir. Bu da, bu teknolojileri kullanacak kişilerin iş akışını gözlemlemek, otomatik olarak uygulanan veya kullanımı kolay seçenekleri seçmek ve ardından kullanıcıları koruma yöntemlerinin nasıl ve ne zaman kullanılacağı konusunda eğitmek anlamına gelir.
Lysa Myers tarafından kaleme alınan makalenin aslını buradan okuyabilirsiniz.
