E-Posta İmzalama Sertifikası (S/MIME)

Kısa cevap: E-posta imzalama sertifikası, gönderdiğiniz e-postanın gerçekten sizden geldiğini doğrular ve isteğe bağlı olarak içeriği uçtan uca şifreler. Web sitesi sertifikasından bağımsız bir üründür.

Ne sağlar?

1. Gönderen doğrulama

Alıcı, e-postanın gerçekten sizin adresinizden geldiğini teknik olarak doğrulayabilir. Taklit edilmiş bir e-posta bu imzayı taşıyamaz.

2. İçerik bütünlüğü

Mesaj yolda değiştirilmişse bu anlaşılır.

3. Uçtan uca şifreleme

İsteğe bağlı olarak içerik şifrelenir. Bu durumda sağlayıcı bile mesajı okuyamaz.

Kurumsal e-posta güvenliğindeki yeri

Bu sertifika, kurumsal e-posta güvenliğinin tek çözümü değildir; belirli bir katmanı doldurur.

Önemli: İlk üç satır her şirket için gereklidir ve genelde ek maliyet doğurmaz. Dördüncü satır, ancak belirli bir ihtiyaç varsa gündeme gelmelidir.

Kimler için değerli?

• Yüksek tutarlı ödeme talimatı yazışması yapan birimler
• Hukuki bağlayıcılığı olan yazışmalar
• Hassas veri paylaşan sektörler
• Sektörel bir düzenlemeye tabi kuruluşlar
• Yönetici taklidi saldırılarına özellikle maruz kalan yapılar

En büyük engel: karşılıklılık

Uçtan uca şifreleme için her iki tarafın da aynı sistemi kullanması gerekir. Alıcınızda sertifika yoksa şifreli gönderim yapamazsınız.

İmzalama bu kısıttan görece muaftır: Alıcı sertifikaya sahip olmasa da imzalı mesaj gönderilebilir; ancak imzayı doğrulayamayan istemcilerde ek bir ek dosya gibi görünebilir ve kafa karışıklığı yaratabilir.

Pratik sonuç: Bu çözüm, kapalı bir muhatap grubu içinde (kendi çalışanlarınız, belirli iş ortakları) anlamlıdır. Genel müşteri iletişiminde uygulanabilirliği düşüktür.

Yönetim yükü

• ☐ Her kullanıcı için ayrı sertifika gerekir
• ☐ Kullanıcı bazlı doğrulama yapılır
• ☐ Her cihaza kurulması gerekir
• ☐ Mobil cihazlarda kurulum ek adım ister
• ☐ Süre dolduğunda hepsi yenilenmelidir
• ☐ Ayrılan çalışanlarda iptal gerekir
• ☐ Anahtarların yedeklenmesi gerekir

Yedinci madde kritiktir: Şifreli e-postaların anahtarı kaybolursa, o mesajlar bir daha okunamaz. Kurumsal arşiv açısından ciddi bir risktir.

Arşiv ve uyum sorunu

Uçtan uca şifreli e-postalar, kurumsal arşivleme ve denetim süreçleriyle çatışabilir:

• Arşiv sistemi içeriği okuyamaz
• Güvenlik taraması yapılamaz
• Hukuki bir talepte içerik çözülemeyebilir
• Ayrılan çalışanın yazışmaları erişilemez kalabilir

Bu yüzden kurumsal kullanımda anahtar yedekleme ve kurtarma mekanizması planlanmadan uygulamaya geçilmemelidir.

Alternatifler

Amacınıza göre daha az yük getiren çözümler olabilir:

Bu alternatiflerin çoğu daha düşük maliyetli ve daha kolay uygulanabilirdir. E-posta sertifikasına geçmeden önce bunları değerlendirin.

Karar için sorular

1. Temel önlemleri (DMARC, iki adımlı doğrulama) tamamladık mı?
2. Muhataplarımız da bu sistemi kullanabilir mi?
3. Kaç kullanıcı için gerekli?
4. Arşiv ve denetim gereksinimlerimizle çelişir mi?
5. Anahtar kurtarma planımız var mı?
6. Daha basit bir alternatif ihtiyacı karşılar mı?

Birinci soruya "hayır" diyorsanız, önce temel önlemleri tamamlayın. Onlar hem ücretsiz hem daha etkilidir.

Uygulamaya karar verdiyseniz

• ☐ Pilot bir grupla başlandı
• ☐ Kullanıcı eğitimi planlandı
• ☐ Cihaz kurulum kılavuzu hazırlandı
• ☐ Anahtar yedekleme çözümü kuruldu
• ☐ Kurtarma denendi
• ☐ Arşiv uyumu doğrulandı
• ☐ Ayrılış sürecine iptal adımı eklendi
• ☐ Yenileme takvimi kuruldu
• ☐ Muhataplarla koordinasyon sağlandı

Beşinci madde atlanmamalıdır: Anahtar kurtarmanın denenmediği bir yapıda, bir cihaz arızası kalıcı veri kaybına dönüşür.