Kurumsal Belge Paylaşımında Güvenlik

Teklif, sözleşme, bordro, fatura ve kimlik fotokopisi. Bir işletmenin gün içinde paylaştığı belgelerin çoğu, üçüncü bir kişinin eline geçtiğinde ticari veya hukuki sonuç doğurur. Buna karşılık paylaşım yöntemi çoğu yerde alışkanlıkla seçilir: e-postaya eklenir ve gönderilir.

PDF'e şifre koymak yeterli mi?

Belgeye 256-bit şifreleme ile parola koymak, dosya yanlış kişiye ulaştığında açılmasını engeller ve bu ciddi bir korumadır. Ancak tek başına yeterli değildir, çünkü zincirin zayıf halkası şifreleme değil parolanın nasıl iletildiğidir. Parolayı belgeyle aynı e-postada göndermek, kapıyı kilitleyip anahtarı kilidin üstünde bırakmakla aynı şeydir.

Parola nasıl iletilmeli

Kural basit: belge ve parola farklı kanaldan gitmeli. Belge e-postayla gidiyorsa parola telefonla söylenmeli veya mesajla gönderilmeli. Aynı kanalın iki farklı mesajı bu koşulu sağlamaz; e-posta kutusuna erişen kişi ikisini de görür.

Parolanın kendisi de tahmin edilebilir olmamalı. Şirket adı, yıl, müşteri adı veya 1234 gibi diziler koruma sağlamaz. Her belge için ayrı ve rastgele bir parola üretmek en sağlıklısıdır.

E-posta eki yerine ne kullanılmalı

E-posta eki üç sebeple kötü bir taşıyıcıdır: iletildikçe kontrolünüzden çıkar, sunucularda süresiz kalır ve boyut sınırına takılır.

Alternatif, süreli ve erişimi kontrol edilebilen bir bağlantı paylaşmaktır. Böylece belgenin kimin tarafından ne zaman açıldığını görebilir, gerektiğinde erişimi iptal edebilirsiniz. Gönderilen bir e-posta ekini geri almanın yolu yoktur; paylaşılan bir bağlantının erişimini kapatmak ise saniyeler sürer.

Hangi belge hangi korumayı hak eder

Her belgeye aynı düzeyde koruma uygulamak pratikte sürdürülemez. Basit bir ayrım işi görür:

Sınıflandırmayı bir kez yapıp ekiple paylaşmak, her seferinde yeniden karar vermekten daha güvenilirdir.

İzin kısıtlamalarının gerçek değeri

PDF'lerde yazdırma, kopyalama ve düzenleme kısıtlaması uygulanabilir. Bunlar açılış parolasından farklıdır: belge zaten açılmıştır, yalnızca bazı işlemler engellenir.

Gerçekçi olmak gerekir — bu kısıtlamalar çoğu okuyucuda kolayca aşılır ve tek başına güvenlik önlemi sayılmamalıdır. İşlevleri, iyi niyetli kullanıcıyı yanlışlıkla yapacağı işlemden alıkoymaktır; kötü niyetli birini durdurmazlar.

Sık yapılan beş hata

1. Parolayı belgeyle aynı e-postada göndermek. En yaygın ve en kolay önlenebilir hata.
2. Aynı parolayı tüm belgelerde kullanmak. Bir kez sızdığında bütün arşiv açılır.
3. Eski paylaşımları temizlememek. İki yıl önceki bir teklifin bağlantısı hâlâ açıksa, o belge hâlâ dışarıdadır.
4. Kişisel bulut hesabından paylaşmak. Çalışan ayrıldığında şirket belgeleri onun hesabında kalır.
5. Belgeyi paylaşmadan önce içindekini kontrol etmemek. Teklif dosyasında başka müşterinin bilgisi kalmış olabilir; en sık yaşanan veri sızıntısı biçimlerinden biridir.

Ekip içinde düzen kurmak

Belge güvenliği kişisel dikkatle değil, düzenle sağlanır. Üç madde çoğu işletme için yeterlidir:

• Tek bir paylaşım yöntemi belirleyin ve herkes onu kullansın. Kimi e-posta, kimi kişisel bulut, kimi sohbet uygulaması kullandığında hiçbir belgenin nerede olduğu bilinmez.
• Erişimi role göre verin. Muhasebe belgelerine tasarımcının erişmesi gerekmiyor.
• Yılda bir temizlik yapın. Açık kalan paylaşım bağlantılarını kapatın, gereksiz arşivi silin.

Yasal taraf da var

Kişisel veri içeren belgeler (kimlik, bordro, sağlık raporu) paylaşıldığında sorumluluk gönderende kalır. Bu belgelerin kime, hangi amaçla ve ne kadar süreyle gönderildiği kayıt altında olmalıdır.

Ayrıca saklama süresi dolan belgelerin silinmesi bir tercih değil yükümlülüktür. "Belki lazım olur" diye tutulan on yıllık özlük arşivi, bir sızıntı durumunda zararı katlar.

Gönderme öncesi kısa kontrol

Belgeyi göndermeden önce dört soruyu sorun: doğru kişiye mi gidiyor, içinde başka birine ait bilgi kaldı mı, korunması gerekiyor mu, parola farklı kanaldan mı gidecek. Bu dört soru otuz saniye sürer ve paylaşım kaynaklı sorunların çoğunu baştan keser.

Şifreleme türleri arasındaki fark

PDF'lerde iki tür parola vardır ve karıştırılır. Açılış parolası belgeyi görmek için gereklidir; olmadan dosya hiç açılmaz. İzin parolası ise belgeyi açmayı engellemez, yalnızca yazdırma veya kopyalama gibi işlemleri kısıtlar.

Gerçek koruma sağlayan açılış parolasıdır. Kullanılan şifreleme standardı da önemlidir: eski 40 ve 128 bit yöntemler bugün zayıf sayılır, 256-bit AES güncel standarttır. Araç seçerken hangi standardı uyguladığına bakın.

Şu noktayı da net söylemek gerekir: şifreleme ne kadar güçlü olursa olsun, parola kısa ve tahmin edilebilirse koruma yoktur. Firma2026 gibi bir parola, 256-bit şifrelemeyi anlamsız kılar.

Belge alan taraf için de kurallar var

Güvenlik yalnızca gönderenin sorumluluğu değildir. Size gelen belgeler de bir yerde birikir ve çoğu zaman hiç düşünülmeden e-posta kutusunda kalır.

Gelen hassas belgeler için üç alışkanlık işe yarar: belgeyi indirdikten sonra e-posta ekini silmek, indirilenler klasöründe biriktirmemek ve iş bittiğinde belgeyi arşivden çıkarmak. Bir taşeronun gönderdiği kimlik fotokopisi, iş bittikten iki yıl sonra sizin bilgisayarınızda durmamalı.

Sözleşme ve teklif paylaşımında pratik akış

Sık tekrarlanan bir işi düzene bağlamak, her seferinde karar vermekten güvenlidir. Teklif ve sözleşme için işe yarayan akış şudur:

1. Belgeyi hazırla, içinde başka müşteriye ait bilgi kalmadığını kontrol et.
2. Rastgele bir parola üret ve belgeye uygula.
3. Belgeyi gönder, parolayı telefonla veya mesajla ilet.
4. Karşı taraf onayladıktan sonra imzalı sürümü aynı düzenle sakla.
5. İş kapandığında paylaşım bağlantısı varsa kapat.

Bu beş adım ilk seferde uzun görünür; üçüncü kullanımda alışkanlık hâline gelir ve otuz saniye sürer.

Fiziksel belge de unutulmamalı

Dijital tarafı sıkı tutup yazıcı çıktısını masada bırakmak sık görülen bir çelişkidir. Ortak yazıcıdan alınmayan çıktılar, toplantı odasında kalan sözleşme kopyaları ve imha edilmeden çöpe atılan bordrolar, en kolay ele geçen belgelerdir.

İki basit önlem yeterli: hassas belgeleri yazdırırken yazıcıda bekletme özelliğini kullanmak (çıktı ancak siz yanına gidip onayladığınızda basılır) ve imha için evrak öğütücü bulundurmak.

Bulut hesabı mı, kendi sunucunuz mu

Belge paylaşımı için kurumsal bulut hizmeti kullanmak çoğu işletme için doğru tercihtir: erişim kaydı, süreli bağlantı ve yetki yönetimi hazır gelir. Kendi sunucunuzda çözüm kurmak ancak mevzuat gereği verinin belirli bir yerde durması gerektiğinde anlamlıdır.

Hangisini seçerseniz seçin belirleyici olan aynı şeydir: hesapların kime ait olduğu ve çalışan ayrıldığında erişimin kapatılıp kapatılmadığı. Kişisel hesaptan yürütülen bir paylaşım düzeni, en pahalı bulut aboneliğinden bile risklidir.

PDF belgelerinize parola eklemek veya bildiğiniz parolayı kaldırmak için PDF Şifreleme aracını kullanabilirsiniz; dosyalar işlem sonrası sunucudan silinir.