Güçlü Şifre Politikası Nasıl Oluşturulur?

Güçlü bir şifre politikası sadece "en az 8 karakter, bir büyük harf" kuralından ibaret değil; asıl fark, kullanıcıların şifreleri nasıl ürettiğinde ve tekrar kullanıp kullanmadığında ortaya çıkıyor.

Özet

Adım adım

Minimum uzunluğu en az 12 karaktere çek, karmaşık kural yığınından daha etkili.
Şifre üreticisiyle rastgele, tahmin edilemez şifreler oluşturmayı teşvik et, aklında tutulabilir şifreler genelde zayıf kalıplara dayanır.
Farklı hesaplarda şifre tekrarını engelle; tek bir sızıntı tüm hesapları etkilememeli.
Mümkünse iki adımlı doğrulamayı zorunlu kıl, tek başına şifre politikası artık yeterli bir savunma değil.

Neden önemli?

Hesap ele geçirmelerinin büyük kısmı karmaşık saldırılarla değil, başka bir siteden sızmış bir şifrenin tekrar denenmesiyle olur. Saldırgan elindeki e-posta ve şifre listesini farklı servislerde sırayla dener; kullanıcı aynı şifreyi iş hesabında da kullandıysa kapı açılır. Bu yüzden iyi bir şifre politikası, kullanıcıyı zorlayan kurallardan çok tekrar kullanımı ve tahmin edilebilir şifreleri engelleyen düzenlemelerden oluşur.

Eski alışkanlıkları gözden geçirin

Uzun yıllar şifrelerin her 90 günde bir değiştirilmesi zorunlu tutuldu. Güncel güvenlik önerileri bu yaklaşımdan uzaklaştı: zorunlu periyodik değişim, kullanıcıları Yaz2025!, Sonbahar2025! gibi tahmin edilebilir sıralamalara itiyor. Şifre ancak sızdığına dair bir belirti olduğunda değiştirilmelidir. Benzer şekilde 'şifre ipucu' ve 'annenizin kızlık soyadı' gibi güvenlik soruları da kolayca araştırılabilir bilgilere dayandığı için zayıf bir halka olarak görülüyor.

Sık yapılan hatalar

Maksimum uzunluğu düşük tutmak. 16 karakterle sınırlanan bir alan, uzun parola cümlesi kullanmak isteyen kullanıcıyı cezalandırır.
Yapıştırmayı engellemek. Şifre yöneticisi kullananlar kopyala yapıştır yapamayınca daha kısa ve akılda kalan şifrelere döner.
Sızdırılmış şifre listelerini kontrol etmemek. 'Qwerty123!' tüm karmaşıklık kurallarını geçebilir ama herkesin listesindedir.
Deneme sayısını sınırlamamak. Giriş ekranı sınırsız deneme kabul ediyorsa en iyi kural bile kaba kuvvet denemelerine karşı yetersiz kalır.
Politikayı yazıp kullanıcıya nedenini anlatmamak. Gerekçesini bilmeyen çalışan, kuralı aşmanın yolunu arar.

Örnek bir senaryo

Yirmi kişilik bir ajans, tüm çalışanların ortak bir müşteri paneline aynı şifreyle girdiğini fark ediyor. Yeni düzende herkes için ayrı hesap açılıyor, şirket bir şifre yöneticisi seçip ortak hesap bilgilerini oradaki paylaşılan kasada tutuyor. Minimum uzunluk 12 karaktere çıkarılıyor, iki adımlı doğrulama zorunlu hale geliyor. Bir çalışan ayrıldığında yalnızca onun erişimi kapatılıyor, herkesin şifresini değiştirmeye gerek kalmıyor.

Ne zaman bir uzmana danışmalı?

Kişisel veri, ödeme bilgisi veya sağlık verisi işleyen bir sistem yönetiyorsanız şifre politikası yasal yükümlülüklerle de bağlantılıdır. Bu durumda kendi kurallarınızı belirlemeden önce bir bilgi güvenliği uzmanından ya da KVKK konusunda deneyimli bir danışmandan görüş almak, sonradan yaşanacak bir ihlalde neyin eksik olduğunu tartışmaktan çok daha kolaydır.