Kısaca cevap
Güncel bir şifre politikası uzunluğa dayanır, karmaşıklık kuralına ve takvime bağlı değişikliğe değil. NIST SP 800-63B-4'e göre tek başına kullanılan şifreler en az 15 karakter olmalı, yeni şifreler yaygın ve sızmış şifre listeleriyle karşılaştırılmalı, periyodik değişim istenmemeli ama ele geçirilme işareti olunca değişiklik zorunlu tutulmalıdır. Buna her hesapta çok faktörlü doğrulama, şirket genelinde şifre yöneticisi, paylaşılan hesaplar için kurallar ve işten ayrılma süreci eklenmelidir.
Bu sayfada
Şifre politikası nedir, neden yeniden yazılmalı?
Şifre politikası, bir şirkette şifrelerin nasıl oluşturulacağını, nerede saklanacağını, kimlerle paylaşılabileceğini ve ne zaman değiştirileceğini belirleyen kurallardır. Parola politikası da denir. Birçok işletmede bu kurallar yıllar önce yazılmış hâliyle duruyor: "en az 8 karakter, büyük harf, rakam, sembol şart, 90 günde bir değiştir".
Bu kalıp artık önerilmiyor. Microsoft'un yöneticiler için hazırladığı şifre politikası önerilerinde de belirtildiği gibi uzunluk, özel karakter ve değişim zorunlulukları şifreleri birbirine benzetir ve tahmin etmeyi kolaylaştırır. Çalışanlar "Sirket2025!" şifresini değişim zamanı gelince "Sirket2026!" yapar. Aşağıdaki kurallar, küçük ve orta ölçekli bir işletmenin güncel bir politika yazarken temel alabileceği ilkelerdir.
NIST SP 800-63B-4'e göre şifre kuralları
ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) dijital kimlik rehberi, şifre politikaları için en çok başvurulan kaynaktır. Güncel sürümün (Rev. 4) şifrelerle ilgili başlıca kuralları şunlardır:
| Konu | NIST SP 800-63B-4 |
|---|---|
| En kısa uzunluk | Tek başına kullanılan şifre en az 15 karakter; yalnızca çok faktörlü doğrulamanın parçasıysa en az 8 karakter (zorunlu) |
| En uzun uzunluk | En az 64 karaktere izin verilmeli (öneri) |
| Karakter türü kuralları | "Büyük harf, rakam, sembol şart" gibi karışım kuralları konmamalı (yasak) |
| Periyodik değişim | Belirli aralıklarla değişiklik istenmemeli (yasak); ele geçirilme kanıtı varsa değişiklik zorunlu tutulmalı |
| Yasaklı şifre listesi | Yeni şifre yaygın, beklenen ve sızmış şifrelerden oluşan bir listeyle karşılaştırılmalı (zorunlu) |
| İpucu ve güvenlik sorusu | Şifre ipucu saklanmamalı, "ilk evcil hayvanınızın adı" gibi bilgiye dayalı sorular kullanılmamalı (yasak) |
| Şifre yöneticisi | Şifre yöneticisi ve otomatik doldurma engellenmemeli (zorunlu); yapıştırmaya izin verilmeli (öneri) |
| Deneme sınırı | Başarısız denemeler sınırlanmalı; tek hesapta art arda en fazla 100 başarısız deneme |
| Saklama | Şifreler tuzlanıp uygun bir şifre özetleme yöntemiyle saklanmalı; tuz en az 32 bit |
Bu kurallar, şifreyi doğrulayan sistem için yazılmıştır; yani şirketin kendi uygulamaları, VPN'i, e-posta ve iç sistemleri için geçerlidir. Periyodik değişimin neden bırakıldığını şifre ne sıklıkla değiştirilmeli yazısında ayrıntılı anlattık.
Şifrenin ötesinde: politikanın diğer ayakları
Çok faktörlü doğrulama (MFA)
Microsoft, yöneticilere tüm kullanıcılar için çok faktörlü doğrulama kaydını zorunlu kılmayı ve riske dayalı MFA'yı açmayı önerir. Öncelik sırası e-posta, uzaktan erişim (VPN, uzak masaüstü), yönetici hesapları, muhasebe ve bankacılık sistemleri olmalıdır. Oltalamaya en dayanıklı yöntem FIDO2 güvenlik anahtarları ve geçiş anahtarlarıdır; CISA da kurumlara bu tür doğrulamayı öncelikle yardım masası ve sistem yöneticilerinden başlatmayı önerir. Yöntemlerin farkı için iki faktörlü doğrulama ve güvenlik anahtarı nedir yazılarına bakın.
Şirket genelinde şifre yöneticisi
15 karakterli, benzersiz şifreleri ezberden istemek gerçekçi değildir. Politikada onaylı bir kurumsal şifre yöneticisi belirleyin; kasaların yöneticisi, yedeklenmesi ve çalışan ayrıldığında erişimin nasıl kaldırılacağı yazılı olsun. Seçim kriterleri için şifre yöneticisi nedir, nasıl seçilir yazısına bakabilirsiniz.
Paylaşılan hesaplar
Sosyal medya, ortak e-posta kutusu, muhasebe portalı gibi birden fazla kişinin kullandığı hesaplar en zayıf halkadır. Mümkünse her çalışana kendi hesabını ve yetkisini verin. Paylaşım kaçınılmazsa şifreyi e-postayla veya mesajla değil, şifre yöneticisinin paylaşım özelliğiyle dağıtın, kimin eriştiğini kayıt altında tutun ve ekipten biri ayrıldığında şifreyi değiştirin. Ayrıntılar şifre paylaşmak güvenli mi yazısında.
İşe giriş ve işten ayrılma
Yeni çalışana verilen ilk şifre tek kullanımlık olmalı ve ilk girişte değiştirilmelidir. İşten ayrılma sürecinde ise kişinin hesapları aynı gün kapatılmalı, bildiği paylaşılan şifreler değiştirilmeli, kayıtlı cihazları ve MFA yöntemleri kaldırılmalı, şirket verisine erişen kişisel uygulama izinleri iptal edilmelidir. Bu adımları bir kontrol listesine bağlamak, unutulan bir hesabın aylarca açık kalmasını önler.
Eğitim
Microsoft'un önerilerinden biri de çalışanlara iş şifrelerini kişisel hesaplarda kullanmamalarını öğretmektir. Kısa, düzenli bir farkındalık eğitimi; oltalama e-postalarını tanıma, doğrulama kodunu paylaşmama ve şüpheli durumu hemen bildirme alışkanlığını kazandırır. Örnek senaryolar için sosyal mühendislik ve oltalama yazısını ekibinizle paylaşabilirsiniz.
Windows ve Active Directory şifre politikası ayarları
Windows etki alanında klasik parola ve kilitleme ayarları Grup İlkesi'nde şu konumdadır: Computer Configuration\Windows Settings\Security Settings\Account Policies. Microsoft Learn'deki ayar belgelerine göre öne çıkanlar:
- Minimum password length: Bu klasik ayarda 0 ile 14 arasında bir değer verilebilir; 0 şifre gerektirmemek anlamına gelir. Politikanız 15 karakter istiyorsa ve sisteminiz 14 ile sınırlıysa, ayarı 14'e çekip uzunluğu kullanıcı eğitimi, şifre yöneticisi ve çok faktörlü doğrulamayla destekleyin.
- Maximum password age: 0 değeri şifrelerin süresinin hiç dolmaması anlamına gelir. Microsoft'un önerdiği güvenlik temel yapılandırması (security baseline) şifre süresi politikası içermez; ancak Entra Password Protection, MFA gibi modern önlemleri uygulamamış kurumlara bu ayarı yerinde tutmalarını önerir.
- Password must meet complexity requirements: Karakter türü karışımını zorunlu kılan ayardır; NIST yaklaşımına geçerken uzunluk şartı ve yasaklı şifre listesiyle birlikte değerlendirin.
- Account lockout threshold: Account Lockout Policy altında yer alır. Windows güvenlik temel yapılandırması 10 başarısız deneme eşiğini önerir. Microsoft, eşiğin saldırganlarca hesapları kasıtlı kilitlemek için kötüye kullanılabileceğini de hatırlatır.
Microsoft Entra ID kullanan kurumlarda Microsoft Entra Password Protection, Microsoft'un küresel yasaklı şifre listesini her kullanıcıya otomatik uygular; şirket adı, ürün adları ve şehir gibi kuruma özgü terimler için en fazla 1.000 terimlik özel bir liste eklenebilir. Özel liste için Entra ID P1 veya P2 lisansı gerekir; bileşenler kurum içi Active Directory'ye de genişletilebilir. Ayar değişikliklerini canlıya almadan önce test ortamında denemenizi öneririz.
Örnek şifre politikası metni
Aşağıdaki metin, küçük veya orta ölçekli bir işletmenin kendine göre uyarlayabileceği kısa bir örnektir. Hukuki bir belge değildir; sektörünüzün mevzuatına ve ISO/IEC 27001 gibi hedeflediğiniz standartlara uygunluğunu danışmanınızla birlikte kontrol edin.
- Kapsam: Bu politika, şirketin tüm çalışanları, stajyerleri ve şirket sistemlerine erişen dış hizmet sağlayıcıları için geçerlidir.
- Uzunluk: Şirket hesaplarının şifresi en az 15 karakter olur (teknik olarak daha kısa sınırı olan sistemlerde o sistemin izin verdiği en yüksek değer uygulanır). Sistemler en az 64 karakterlik şifreleri kabul eder. Karakter türü karışımı zorunlu değildir; uzun parola cümleleri tercih edilir.
- Yasaklı şifreler: Şirket adı, ürün adları, yaygın şifreler ve bilinen sızıntılarda yer alan şifreler kullanılamaz; sistem bunları otomatik olarak reddeder.
- Benzersizlik: İş şifresi başka hiçbir hesapta, özellikle kişisel hesaplarda kullanılmaz.
- Değişim: Şifreler takvime göre değiştirilmez. Sızıntı, oltalama şüphesi, cihaz kaybı veya şifrenin başkasıyla paylaşılması durumunda derhâl değiştirilir ve BT birimine bildirilir.
- Çok faktörlü doğrulama: E-posta, uzaktan erişim, yönetici ve finans hesaplarında çok faktörlü doğrulama zorunludur. Doğrulama kodları hiç kimseyle, BT personeliyle de paylaşılmaz.
- Saklama: Şifreler yalnızca şirketin onayladığı şifre yöneticisinde saklanır. Kâğıda, tabloya veya e-postaya yazılmaz.
- Paylaşılan hesaplar: Ortak hesaplar yalnızca şifre yöneticisinin paylaşım özelliğiyle paylaşılır, erişim listesi tutulur ve ekip değiştiğinde şifre yenilenir.
- İşe giriş ve ayrılma: İlk şifreler tek kullanımlıktır. Ayrılan çalışanın hesapları ayrıldığı gün kapatılır, bildiği ortak şifreler değiştirilir.
- Bildirim: Şifresinin ele geçirildiğinden şüphelenen çalışan, durumu gecikmeden BT birimine bildirir; bildirim yapan çalışan bu nedenle yaptırımla karşılaşmaz.
Politikayı yazmak yetmez; ayarların sistemlerde gerçekten uygulandığını yılda en az bir kez kontrol edin ve çalışanlara neden bu kuralların seçildiğini kısaca anlatın. Gerekçesini bilen ekip kurallara daha kolay uyar.
Güçlü şifrelerin nasıl oluşturulduğunu ekibinize göstermek için şifre üreticimizi ve saldırıların mantığını anlatan brute force ve şifre kırma yöntemleri yazısını kullanabilirsiniz.
Kaynaklar (İngilizce): NIST SP 800-63B-4, Microsoft 365 şifre politikası önerileri, Microsoft Entra Password Protection, Account lockout threshold.
Sık sorulan sorular
Şifre politikası nedir?
Şifre politikası, bir kurumda şifrelerin nasıl oluşturulacağını, saklanacağını, paylaşılacağını ve ne zaman değiştirileceğini belirleyen yazılı kurallar bütünüdür. İyi bir politika hem teknik ayarları (en kısa uzunluk, deneme sınırı, çok faktörlü doğrulama) hem de çalışanların uyması gereken davranışları (şifre paylaşmamak, şifre yöneticisi kullanmak) kapsar.
Şirket şifre politikasında şifre kaç karakter olmalı?
NIST SP 800-63B-4, tek başına kullanılan şifreler için en az 15 karakteri zorunlu tutar; şifre yalnızca çok faktörlü doğrulamanın bir parçasıysa en az 8 karaktere izin verir. Microsoft da Microsoft 365 yöneticilerine en az 14 karakter önerir. Pratikte en az 14-15 karakter hedeflemek ve en az 64 karaktere kadar uzun şifrelere izin vermek iyi bir başlangıçtır.
Şirkette şifreler kaç günde bir değiştirilmeli?
Güncel öneri, belirli aralıklarla zorunlu değişikliği kaldırmak ve şifreyi yalnızca ele geçirildiğine dair bir işaret olduğunda değiştirtmektir. NIST periyodik değişim istemeyi yasaklar, Microsoft da yalnızca bulutta yönetilen hesaplarda şifrelerin süresinin dolmamasını önerir. Sözleşme, sigorta veya mevzuat gereği süre zorunluysa bu şart ayrıca uygulanabilir.
Active Directory şifre politikası nereden ayarlanır?
Klasik etki alanı parola ayarları Grup İlkesi'nde Computer Configuration, Windows Settings, Security Settings, Account Policies altındaki Password Policy ve Account Lockout Policy bölümlerindedir. Minimum password length ayarı bu klasik yerde en fazla 14 karakter olarak belirlenebilir. Değişiklik yapmadan önce mevcut ilkeleri ve uygulamalarınızı test ortamında denemeniz önerilir.
Karmaşık şifre zorunluluğu kaldırılmalı mı?
NIST, doğrulayıcıların farklı karakter türlerinin karışımını zorunlu kılan kurallar koymasını yasaklar; bunun yerine uzunluğu ve yaygın ya da sızmış şifrelerin engellenmesini ister. Microsoft da bu tür kuralların şifreleri öngörülebilir kalıplara ittiğini belirtir. Karmaşıklık kuralını kaldırırken mutlaka uzunluk şartını artırın ve yasaklı şifre listesi uygulayın.
