Kurumsal parola politikası nasıl olmalı? Karmaşıklık kuralı yerine zayıf parola listesi

Birçok kurumun parola kuralı hâlâ aynıdır: en az bir büyük harf, bir rakam, bir sembol ve her 90 günde bir değiştirme. Sonuç da tahmin edilebilir: Parola1!, Parola2!, Parola3!. Kurallar karşılanır ama parola güçlenmez.

Karmaşıklık kuralları neden işe yaramaz?

Zorunlu karakter sınıfları insanları aynı kalıplara iter: baş harf büyük, sonda bir rakam ve ünlem. Saldırganlar bu kalıpları bilir ve önce onları dener. Sık değiştirme zorunluluğu da parolanın bir yere yazılmasına ya da sondaki rakamın bir artırılmasına yol açar. ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün (NIST) dijital kimlik rehberi SP 800-63B de bu bileşim kurallarını bırakıp parolayı bilinen zayıf parolalar listesiyle karşılaştırmayı önerir.

İyi bir parola politikasının maddeleri

• Asgari uzunluk: en az 8 karakter; uzun parola ve parola cümlesi serbest.
• Bilinen zayıf parolaları reddet: “123456”, “sifre123” gibi en çok denenen parolalar kabul edilmez.
• Kalıpları reddet: tek karakterin tekrarı (“aaaaaaaa”) ve ardışık diziler (“12345678”, “abcdefgh”).
• Zorunlu periyodik değişim yok: parola yalnız sızıntı şüphesinde değiştirilir.
• Deneme sınırı: art arda hatalı girişte hesap süreli kilitlenir.
• Paylaşım yok: ortak e-posta kutuları için ortak parola dağıtılmaz; herkes kendi kimliğiyle girer.

Politikayı adım adım uygulamak

1. Mevcut kuralı yazılı hâle getirin; hangi sistemlerde uygulandığını listeleyin.
2. Karmaşıklık ve periyodik değişim zorunluluklarını kaldırın, yerine zayıf parola eleme koyun.
3. Hatalı giriş kilidini açın.
4. Ortak parolaları tespit edin; her kişiye kendi erişimini verin.
5. Yeni çalışana parolayı yöneticinin belirlemesi yerine, kişinin kendi parolasını belirlediği bir davet bağlantısı gönderin.