Resmî Yazışma ve Kurumsal E-posta Güvenliği
Kurumsal e-posta ve resmî yazışma, kamu işinin omurgasıdır. Ele geçirilen bir hesap, sizin adınıza sahte talimatlara dönüşebilir.
Kurumsal e-posta ve resmî yazışma, kamu işinin omurgasıdır: talimatlar, onaylar ve hassas bilgiler buradan akar. Ele geçirilen bir Kurum hesabı, saldırganın sizin adınıza sahte talimat göndermesi ya da gizli bilgilere ulaşması demektir. Bu rehber, resmî yazışmada hangi kanalın ne için kullanıldığını ve e-posta hesabınızı nasıl koruyacağınızı anlatır. Sahte talimat ve oltalama↗ konusunun ayrıntısı ayrı bir rehberdedir.
Resmî yazışmada kanallar
Resmî Yazışma Yönetmeliği; güvenli elektronik imza kullanılarak elektronik ortamda veya el yazısıyla atılan imza ile fiziksel ortamda yapılan resmî yazışmaları düzenler ve bütün kamu kurum ve kuruluşlarını kapsar (m.1). Pratikte kanallar şöyle ayrışır:
| Kanal | Ne için? | Dikkat edilecek nokta |
|---|---|---|
| EBYS ve güvenli elektronik imza | Resmî yazışma. İdare dışına giden güvenli elektronik imzalı belgeler gerekli hâllerde şifrelenir (Yönetmelik m.30/5). | Elektronik iletim mümkün değilse, yetkilendirilmiş görevlilerce alınan çıktı elektronik aslına erişim amacıyla fiziksel ortamda gönderilir (m.31). |
| KEP (kayıtlı elektronik posta) | Yönetmeliğe göre belgenin iletişim bilgileri arasında idarenin KEP adresi de yer alır (m.24). | Karşı tarafın KEP adresini resmî kaynaktan doğrulayın; e-postayla gelen “yeni adresimiz” bildirimlerine güvenmeyin. |
| Kurumsal e-posta | Gündelik iş iletişimi, koordinasyon. | Resmî belge yerine geçmez. Kurumsal e-posta özel amaçlarla kullanılmaz (2019/12 Genelgesi m.19). |
| Kişisel e-posta | Kurumsal iletişimde kullanılmaz (Genelge m.19). | Resmî yazışmanın, belgenin ya da bir kurumsal e-postanın kişisel adrese yönlendirilmesi, Genelge’nin önlemek istediği durumdur. |
Gizlilik dereceli belgelerde kurallar farklıdır: gizlilik derecesine göre hazırlama ve gönderme ortamı değişir. Ayrıntısı bilgi sınıflandırma rehberindedir.
Kurumsal e-posta hesabınızı koruyun
- Güçlü, benzersiz parola ve iki adımlı doğrulama↗ kullanın; parolayı başka hiçbir yerde kullanmayın.
- Kurumsal ve kişisel iletişimi ayırın: Genelge, kurumsal olmayan kişisel e-posta adreslerinin kurumsal iletişimde kullanılmamasını ve kurumsal e-postaların özel amaçlarla kullanılmamasını ister (m.19).
- Otomatik yönlendirme kurmayın: Kurum e-postasını kişisel adrese yönlendirmek, Kurumun kontrolündeki sunucularda tutulması beklenen iletişimi kontrol dışına taşır. Genelge, kamu e-posta sistemlerinin güvenli yapılandırılmasını, sunucuların Türkiye’de ve Kurumun kontrolünde bulunmasını ve sunucular arası iletişimin şifrelenmesini öngörür (m.18); bunlar Kurumun yükümlülüğüdür, sizin payınız bu düzeni delmemektir.
- Oturumu kapatın: Paylaşılan cihazlarda oturum açık bırakmayın.
Göndermeden önce: Sık yapılan hatalar
| Hata | Neye yol açar? | Önlem |
|---|---|---|
| Yanlış alıcı (otomatik tamamlama, benzer isimler) | Belge yetkisiz kişiye ulaşır; kişisel veri↗ varsa veri ihlali↗ olabilir. | Hassas içerikte alıcıyı adresiyle tek tek doğrulayın. |
| Yanlış ya da fazla ek | İstenmeyen belge ya da taslak dışarı çıkar. | Göndermeden eki açıp kontrol edin. |
| “Tümünü yanıtla” | Tüm listeye yanıt gider. | Hassas yazışmada yanıtı yalnızca ilgili kişiye verin. |
| Toplu gönderimde adresleri açık bırakmak | Alıcıların e-posta adresleri birbirine ifşa↗ olur. | Toplu gönderimde adresleri gizli (BCC) alana koyun ya da kurum içi dağıtım listesi kullanın. |
Yanlış alıcıya giden bir belge kişisel veri içeriyorsa ne yapılacağı ve hukuki boyutu şu rehberde ele alınır:
Sahte talimat ve gönderen taklidi
“Acilen gönderin”, “bu dosyayı onaylayın” diyen, bir üst makamdan ya da başka bir kurumdan geliyormuş gibi görünen mesajlar, gönderen adını taklit ederek gelir. Şu işaretlere bakın:
- Görünen ad tanıdık, ama e-posta adresi ya da alan adı farklı (harf oyunlarıyla kurum adına benzetilmiş).
- Olağandışı aciliyet ve gizlilik baskısı; olağan sürece uymayan talep.
- Beklenmedik ek ya da giriş sayfası bağlantısı.
Doğrulama kuralı basittir: talebi, gelen mesajın kanalından değil, bilinen bağımsız bir kanaldan (telefon rehberiniz, yüz yüze) teyit edin. Saldırı senaryoları ve doğrulama yolları ayrıntılı olarak şu rehberde:
Kontrol listesi
- Resmî yazışmayı EBYS’den, kurumsal e-postayı gündelik iletişim için kullanıyorum.
- Kurum e-postamı kişisel adrese yönlendirmedim.
- Hassas içerikte alıcıyı ve eki göndermeden doğruladım.
- Beklenmedik talepleri bağımsız bir kanaldan teyit ediyorum.
- Şüpheli mesajı silmeden Kurumun bilgi işlem/SOME birimine ilettim.
Kaynaklar ve son gözden geçirme
- Resmî Yazışmalarda Uygulanacak Usul ve Esaslar Hakkında Yönetmelik (Cumhurbaşkanı Kararı 2646, 10 Haziran 2020, Resmî Gazete 31151): m.1, 24, 25, 30, 31.
- 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi (6 Temmuz 2019, Resmî Gazete 30823): m.18, 19.
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; bağlayıcı yorum için Kurumunuzun bilgi işlem ve hukuk birimlerine başvurun.
