Yıllık Dijital Güvenlik Denetimi Nasıl Yapılır?

Dijital hayatın büyük bir kısmı hesaplara bağlıdır. E-posta, banka, iş araçları, alışveriş siteleri, sosyal medya, bulut depolama: her birinin ayrı bir şifresi, ayrı bir erişim tanımı ve zaman içinde birikmiş izin listesi var. Bu hesapların büyük çoğunluğu bir kez kurulur, sonra yıllarca dokunulmadan çalışır. Güvenlik sorunları da çoğu zaman bu dokunulmamış alanda büyür.

Yıllık denetim, bir saldırı sonrası koşturmanın değil, önleyici bakımın adıdır. Yılda bir kez, sistemli biçimde tüm hesap tablonuzu gözden geçirdiğinizde o anda somut bir sorun bulamayabilirsiniz. Ama iki yıl önce verilen bir uygulama iznini, güncellenmesi gereken bir kurtarma telefon numarasını ya da uzun süredir giriş yapılmayan bir hesabı fark etmek için bu denetim yeterlidir.

Adımlar karmaşık değil. Zaman alır, ama her adım ölçülebilir bir iş bitirir ve biten iş bir sonraki yıla taşınmaz.

Başlangıç noktasını belirleyin: her şeyi aynı anda değil

Tüm hesapların aynı anda incelenmesi ne gereklidir ne de sürdürülebilir. Pratik yaklaşım, hesapları riske ve etki alanına göre sıralamaktır. Bir hesabın ele geçirilmesi başka hesaplara kapı açıyorsa, bu hesap listenin başındadır.

E-posta birinci sıradadır. Çünkü diğer hesapların büyük çoğunluğunun kurtarma adresi, bir anlamda asıl anahtarı, e-postanızda saklıdır. Ardından finansal hesaplar gelir: banka, aracı kurum, varsa kripto borsaları. Üçüncü sırada iş hesapları yer alır; bir ihlal burada kişisel değil kurumsal sonuçlar doğurabilir. Sosyal medya ve alışveriş hesapları bunların gerisinde kalır, ama denetim kapsamı dışında bırakılmamalıdır.

Bu sıralama aynı zamanda zamanınızı nasıl dağıtacağınızı belirler. E-postanıza bir saat ayırıp her şeyi gözden geçirmeniz, kalan on hesabı beşer dakikada kontrol etmenizden çok daha değerlidir. Her hesabın aynı ağırlıkta olmadığını kabul etmek, denetimi tamamlanabilir kılan ilk karardır.

Pratik bir liste tutmak da işe yarar. Hangi hesaplara sahip olduğunuzu, e-posta ya da kullanıcı adı bilgilerini ve son giriş tarihini tek bir tabloya yazmak, denetim sırasında hiçbir şeyi atlamadığınızı görmenizi sağlar. Bu liste şifre yöneticinizin dışa aktarımından da elde edilebilir; önemli olan her hesabın görünür olmasıdır.

Şifre yeniden kullanımı: gücünden daha tehlikeli sorun

Şifre denetiminde akla ilk gelen genellikle güç meselesidir: uzunluk ve karmaşıklık. Asıl risk ise çoğu durumda yeniden kullanımdan gelir. Yıllarca aktif kalan tek bir şifre, farklı sitelerde aynı kombinasyonla kullanılıyorsa, bu şifrelerden birinin sızması tüm listeyi tehlikeye atar; şifrenin gücü burada fark yaratmaz.

Şifre yöneticisi kullanıyorsanız, neredeyse hepsinde bir güvenlik raporu veya şifre sağlığı bölümü vardır. Zayıf, tekrarlanan ve sızdırılan şifreleri otomatik olarak listeler. Denetim için bu raporu açmak yeterlidir; her hesabı tek tek gözden geçirmeye gerek kalmaz. Raporda kırmızı ya da sarı işaretli kaç hesap göründüğünü saymak, işin büyüklüğünü anlamanızı sağlar.

Şifre yöneticisi kullanmıyorsanız, ilk adım en kritik hesaplar için benzersiz şifreler oluşturmaktır. Her hesapta farklı, en az 16 karakter uzunluğunda ve rastgele üretilmiş bir şifre sağlam bir başlangıç noktasıdır; 96 karakterlik bir havuzdan üretilen 16 karakterlik rastgele bir şifreye kaba kuvvet saldırısıyla ulaşmak, mevcut hesaplama kapasitesiyle pratik olarak mümkün değildir. Aklında tutulabilecek şifre sayısının sınırlı olduğunu düşündüğünüzde, şifre yöneticisi bu denetimi sürdürülebilir kılmanın da tek pratik yoludur.

Kaç hesapta aynı şifreyi tekrar kullandığınızı saymak, nereden başlayacağınızı gösterir. Beş farklı sitede aynı şifre varsa, bu beşi aynı gün değiştirmek mantıklıdır. Tekrar kullanılan şifre ne kadar çok hesaba yayılmışsa, o gün harcanacak süre o kadar değerlidir.

İki aşamalı doğrulama: kurulu olanı değil, çalışanı listeleyin

İki aşamalı doğrulama (2FA) açık olan her hesap eşit derecede güvende değildir. Asıl soru hangi yöntemin kullanıldığıdır. SMS tabanlı doğrulama, SIM taşıma saldırısına karşı savunmasızdır. Uygulama tabanlı doğrulama (TOTP), çok daha sağlam bir yöntemdir. Donanım anahtarı ise en yüksek koruma seviyesini sunar. SMS hiçten iyidir, ama TOTP'ye geçiş ertelenecek bir adım değildir.

Denetimde yapılacak iş nettir: her kritik hesaba girip hangi 2FA yönteminin aktif olduğunu not edin. Yalnızca SMS kullanan kritik hesaplar varsa, bunların TOTP'ye geçirilmesi öncelik taşır. Çoğu büyük platform bu geçişi destekler ve kurulum beş dakikadan uzun sürmez. Google Authenticator, Aegis veya benzer bir uygulama yüklüyse, hesabı bağlamak için genellikle bir QR kod taraması yeterlidir.

Bunun yanı sıra aktif 2FA cihazlarının listesi kontrol edilmelidir. Bazı platformlar, hangi telefon numarası veya uygulamanın doğrulama için kayıtlı olduğunu güvenlik ayarlarında gösterir. Tanımadığınız bir numara ya da cihaz görürseniz ciddi bir uyarı işareti var demektir; bu durumda şifreden bağımsız bir erişim yolu hâlâ açık kalıyor olabilir ve önce o kapatılmalıdır.

Yedek kodları da bu adımda kontrol edin. Pek çok platform, 2FA cihazınıza erişimi kaybettiğinizde kullanabileceğiniz tek kullanımlık yedek kodlar üretir. Bu kodları güvenli bir yerde, şifre yöneticinizde ya da şifreli bir notta saklıyorsanız sorun yok; bilmiyorsanız ya da nereden bulacağınızı hatırlamıyorsanız, yenilerini üretmek sadece birkaç dakika alır.

Üçüncü taraf uygulama erişimlerini kaldırın

"Google ile giriş yap" veya "Facebook ile bağlan" seçenekleri kullanışlıdır, ama her bağlantı bir izin belgesidir. Üç yıl önce bir uygulamaya verdiğiniz e-posta okuma ya da takvim erişimi, o uygulamayı sildiğinizde otomatik olarak kaldırılmaz. İzin hâlâ geçerlidir.

Google hesabınız için myaccount.google.com/permissions adresine, Microsoft için account.microsoft.com/privacy/app-access adresine gittiğinizde bağlı uygulamaların tam listesini görürsünüz. Artık kullanmadığınız ya da tanımadığınız her uygulamanın erişimini buradan iptal edebilirsiniz. Facebook, Twitter/X ve benzeri sosyal platformların da benzer bir "bağlı uygulamalar" paneli vardır; güvenlik ya da gizlilik ayarları altında bulunur.

Liste şaşırtıcı derecede uzun çıkabilir. Pek çok uygulama, test sitesi ya da uzun süredir ziyaret edilmeyen servis fark ettirmeden birikir. Silme işlemi birkaç dakika içinde tamamlanır, ama bırakıldığında bu izinler yıllarca aktif kalır ve o uygulamaların güvenlik açıkları sizin hesabınıza taşınır.

İzin kapsamına da dikkat edin. Bazı uygulamalar yalnızca temel profil bilgisine erişim isterken, bazıları e-posta okuma, takvim düzenleme veya kişi listesi görme gibi geniş yetkiler alır. Geniş erişim verilen uygulamalar, kısıtlı erişimli olanlara kıyasla daha önce temizlenmelidir.

Etkin olmayan hesapları kapatın

Hiç kullanılmayan bir hesabın zarar vermeyeceğini düşünmek yaygın bir yanılgıdır. O hesapta e-posta adresiniz, telefon numaranız ve belki ödeme bilgileriniz kayıtlıdır. Sitenin güvenliği zayıfsa ya da bir gün ihlale uğrarsa, bu bilgiler sızdığında sizinle ilişkilendirilir.

Etkin olmayan hesapları belirlemek için şifre yöneticinizin listesi işe yarar. Hangi hesaplara son altı aydır giriş yapılmadığını not edin. Bunlar arasında kişisel bilgi barındıranları kapatın; hesabı tamamen silmek mümkün değilse kayıtlı verileri en aza indirin, ödeme bilgilerini kaldırın ve profil alanlarını boşaltın.

Bazı platformlar hesap silmeyi kasıtlı olarak zorlaştırır. Ayarlar menüsünde doğrudan bir "hesabı kapat" bağlantısı bulamıyorsanız, arama motoruna "[platform adı] hesap silme" yazarak doğrudan silme sayfasına ulaşabilirsiniz. Silme talebi işleme alındıktan sonra genellikle 30 günlük bir bekleme süresi uygulanır; bu süre içinde geri dönüş mümkündür, dolayısıyla kapatma kararı geri alınamaz değildir.

Kapatılamayan hesaplar için bir orta yol da mümkündür: şifreyi rastgele ve uzun bir dizeyle değiştirin, kayıtlı kişisel verileri silin, varsa ödeme bilgisini kaldırın. Hesap aktif kalmaya devam eder ama barındırdığı veri en aza iner. Tam silme seçeneği gelecekte açılırsa o zaman tamamlanabilir.

Veri sızıntısı kontrolü: geçmişe değil, bugünkü duruma bakın

E-posta adresinizin daha önce bir sızıntıda yer alıp almadığını kontrol etmek, yıllık denetimin sabit adımlarından biridir. haveibeenpwned.com bu kontrolü ücretsiz yapar: e-posta adresinizi girdikten sonra hangi sızıntılarda göründüğünüzü ve hangi veri tiplerinin etkilendiğini listeler.

Sızıntı raporu temiz çıkarsa bu ne anlama gelir? Hesaplarınızın kesinlikle güvende olduğunu değil, yalnızca bu veritabanında kayıt bulunmadığını gösterir. Temiz rapor bir referans noktasıdır, garanti değil. Sızdırılan veri arasında şifre varsa ve o şifreyi hâlâ kullanıyorsanız değiştirmek öncelik taşır; rapor ne kadar eski olursa olsun.

Aynı servis, yeni bir sızıntıda e-posta adresiniz göründüğünde bildirim gönderir. Bunu etkinleştirmek reaktif değil proaktif bir savunma hattı kurar. Sızıntıyı haberlerden değil doğrudan bildirimle öğrenmek tepki süresini kısaltır ve hasarın yayılmasını önler.

Birden fazla e-posta adresiniz varsa hepsini ayrı ayrı kontrol edin. Nadiren kullanılan bir adres, yıllardır giriş yapılmayan bir hesaba bağlıysa ve o hesap bir sızıntıda yer aldıysa, bildirimi hiç görmemiş olabilirsiniz. Her aktif e-posta adresini kayıt altına almak ve denetimde hepsini kontrol etmek bu riski kapatır.

Kurtarma yöntemlerini güncelleyin

Hesap kurtarma bilgileri genellikle hesap kurulurken bir kez girilir, sonra yıllarca dokunulmadan kalır. Telefon numarası değişmiş olabilir, yedek e-posta kapatılmış olabilir, güvenlik soruları artık geçerli olmayabilir. Denetimin bu adımı kritik anlarda karşılaşılacak sürprizleri ortadan kaldırır.

Her önemli hesabın güvenlik ayarlarına girip kayıtlı kurtarma telefon numarasını ve yedek e-posta adresini doğrulayın. Eskimiş ya da artık erişilemeyen bir numara veya adres varsa güncelleyin. Bazı platformlar bu bilgiler eksikse hesap kurtarmayı imkânsız hale getirir; kilitlenmenin ardından desteğe yazmak haftalar alabilir.

Güvenlik sorularına özellikle dikkat edin. "Annenizin kız soyadı" veya "ilk okulunuzun adı" gibi sorulara verilen gerçek yanıtlar, sosyal mühendislik yoluyla tahmin edilebilir. Bu soruları destekleyen platformlarda gerçek yanıt yerine rastgele bir dize kullanmak ve bu dizeyi şifre yöneticinizde saklamak çok daha güvenlidir. Tahmin edilemeyen bir yanıt, sorunun kendisini anlamsız kılar.

Kurtarma yöntemlerini güncellemek, şifre değiştirmekten daha çok ertelenen bir adımdır; çünkü işe yararını kilitlenme anına kadar fark etmezsiniz. Ama tam o anda, kayıtlı numaranın artık çalışmadığını görmek, şifreden çok daha büyük bir sorun haline gelir.

Tüm bu adımları tek bir günde bitirmeye çalışmak gerekmez. En işlevli yaklaşım, denetimi birkaç güne yaymak ve her gün bir kategoriye odaklanmaktır: e-posta birinci gün, finansal hesaplar ikinci gün, iş araçları üçüncü gün. Adımlar eksiksiz tamamlanır, gün içindeki konsantrasyon dağılmaz.

Denetim tamamlandıktan sonra kısa bir not tutmak, sonraki yıla taşınan işleri ve değiştirilen şifreleri hatırlamak için yeterlidir. Ayrıntılı bir kayıt tutmak gerekmez; hangi hesapların gözden geçirildiği, hangi izinlerin kaldırıldığı ve herhangi bir sorun tespit edilip edilmediğine dair birkaç satır bile kılavuz görevi görür.

Yıllık denetim bir korku tepkisi değil, bakım alışkanlığıdır. Ev bakımında veya araç servisinde olduğu gibi, sorun ortada görünmese de periyodik kontrol çok daha büyük sorunları başlamadan engeller. İlk yıl bu süreç birkaç saati alabilir; ama denetim bir alışkanlığa dönüştükçe her geçen yıl daha az zaman harcanır, çünkü büyük temizlik bir kez yapılmış olur.