2FA kurumsal güvenlik: nereden başlamalı?
İki faktörlü doğrulama (2FA), bir hesabı ele geçirmeyi 100 kat zorlaştırır. Kurumsal ortamda yaygınlaştırmak için sırayla yapmanız gerekenler.
2FA temel mantığı
Kimlik doğrulamada üç faktör vardır:
- Bildiğiniz bir şey — şifre.
- Sahip olduğunuz bir şey — telefon, hardware key.
- Olduğunuz bir şey — parmak izi, yüz.
Tek faktör (sadece şifre) zayıftır; phishing, brute-force, sızıntı ile alınabilir.
İki faktör (şifre + telefondaki kod) çok daha güvenlidir; saldırganın iki şeyi birden çalması gerekir.
2FA türleri
SMS: Eski yöntem. Kolay ama güvenli değil — SIM swap saldırılarıyla kırılır. Yine de hiç olmamasından iyidir.
TOTP (Authenticator uygulaması): Google Authenticator, 1Password, Authy. 30 saniyede yenilenen 6 haneli kod. Standart önerilir.
Push notification: Microsoft Authenticator, Duo. Daha rahat ama bağlı uygulama gerek.
Hardware key (FIDO2/U2F): YubiKey, Google Titan. En güvenli — phishing'e bile dayanıklı. 250-1.500 TL/cihaz.
Pasif anahtarlar (Passkey): 2024+ bir standart. Apple, Google, Microsoft destekliyor. Şifreyi tamamen değiştirir; sadece biyometri kullanır.
Kurumsal başlangıç noktası
Şirketin tamamına bir anda 2FA dayatmak felaket olur. Sıralı yaklaşım:
Hafta 1: IT ve yönetim. Önce siz açın, deneyin. 1-2 sorunu baştan çözün.
Hafta 2-4: Pilot ekip. 5-10 gönüllü çalışan. Onlardan geri bildirim alın.
Ay 2: Yeni çalışanlar. Onboarding'e 2FA ekleyin — yeni gelen herkes açar.
Ay 3: Yüksek riskli roller. Finans, IT, üst yönetim. Bu rollerdeki insanların 2FA'sı zorunlu olsun.
Ay 4-6: Tüm şirket. Eğitim oturumu (15 dk yeterli), bir tarih belirleyin, o tarihten sonra zorunlu olsun.
Çalışanların itirazları ve cevapları
İtiraz: "Telefonum hep yanımda değil."
Cevap: 2FA için telefonun internete bağlı olması gerekmez. Authenticator uygulaması offline çalışır. Sadece fiziksel olarak yanınızda olması yeterlidir.
İtiraz: "Telefonumu kaybedersem ne olur?"
Cevap: Yedek kodları kaydedersiniz (10 adet 8 haneli). IT kendisi yeniden kurabilir. Bu süreç çoğu sistemde 5 dakika alır.
İtiraz: "Çok yavaş, her seferinde kod giriyorum."
Cevap: Çoğu sistem "bu cihazda 30 gün 2FA sorma" seçeneği sunar. Bilgisayarınızdan günde bir kez sorulur. Mobil için Face ID/Touch ID otomatik çözer.
Hangi sistemlere önce eklemeli?
Önceliklendirme:
- E-posta hesapları (Gmail, Outlook). Şifre sıfırlama linkleri buradan gider; çalınırsa her şey çalınır.
- SSO sağlayıcısı (Onremo gibi). Tek noktada hepsini koruyacak.
- Bankacılık ve ödeme sistemleri.
- Bulut depolama (Google Drive, Dropbox, OneDrive).
- Sosyal medya hesapları (eğer kurum hesabı yönetiyorsanız).
- Diğer sistemler.
Yedek kod yönetimi
2FA aktivasyonunda 10 adet yedek kod verilir. Bunlar telefonu kaybederseniz son çıkış kapısıdır.
Önerilen yöntem: Parola yöneticisinde (1Password, Bitwarden) saklayın. Hesabın yanında ayrı bir alanda.
Önerilmeyen yöntem: E-posta gönderme, dosya kaydetme, ekran görüntüsü alma — hepsi sızıntı riski.
Ekibinizde 2FA'yı zorunlu yapmak
Onremo Hesap → Ekip → “2FA'yı tüm üyelerden iste” seçeneği vardır. Açtığınızda:
- Mevcut üyeler 7 gün içinde 2FA açmalıdır.
- 7 gün sonra hala açmamış olanlar Onremo'ya giriş yapamaz.
- Yeni üyeler ilk girişte 2FA kurulumu yapmadan geçemezler.
Bu zorunluluk sertçe geliyor ama 6 ay sonra bunu hatırlayan kalmaz; 2FA artık doğal bir parçadır.
Onremo özelinde 2FA
Onremo SSO + 2FA kombinasyonu, KOBİ güvenliğinin temelini oluşturur. Tek hesap, iki faktörle korunmuş, tüm bağlı sistemlere geçer.
Aktivasyon detayları için 2FA aktivasyon rehberini okuyun.
Bilim açısından konunun derinine girmek istiyorsanız NIST 800-63B (Amerikan Standartlar Enstitüsü) kılavuzu en kapsamlı kaynaktır.