Güvenlik, Gizlilik ve Veri Koruma

Kimlik avı, gerçek kişi veya kuruluş gibi görünerek şifre, finans bilgisi, dosya erişimi ya da hesap yetkisi elde etmeye çalışır. Saldırgan bağlantı tıklatabilir, sahte giriş sayfasına bilgi yazdırabilir, QR kodla telefonda oturum açtırabilir veya Gmail ve Drive erişimi isteyen bir uygulama kullanabilir. Aciliyet dili, görünen ad ile adres uyuşmazlığı, beklenmeyen ek veya bağlantı gibi işaretleri birlikte değerlendirin. QR kod da bir bağlantıdır; oturum açmanız isteniyorsa bilinen adresi kendiniz açın.

Nasıl yapılır?

Bir iletiyi değerlendirirken önce içerik güvenliğini koruyun.

1. Bağlantıya tıklamadan gönderenin görünen adını ve gerçek adresini kontrol edin. Gmail'de gönderen adının üzerine gelerek adresi inceleyin.
2. Konu satırındaki aciliyet, tehdit, olağan dışı ödeme veya parola talebini işaretleyin.
3. Bağlantının üzerine tıklamadan gelin. Tarayıcının alt kısmında görünen adres ile beklenen alan adını karşılaştırın. Benzer harf kullanan veya beklenmeyen bir alan adına dikkat edin.
4. Ek dosyayı açmadan önce mesajı beklediğiniz kanaldan doğrulayın. Örneğin Ayşe Demir gerçekten bir dosya gönderdiyse ona yeni bir Gmail iletisiyle değil, kurumun bilinen Chat alanından sorun.
5. QR kod varsa taramayın. Gerekiyorsa kodun yönlendirdiği adresi kurumun BT ekibine olay incelemesi için iletin; ekrandaki oturum açma formuna bilgi yazmayın.
6. Şüphe varsa iletiyi yanıtlamayın, ekini indirmeyin, gönderenin istediği numarayı aramayın ve Kimlik avı bildir seçeneğini kullanın.

Sahte oturum açma sayfasını ayırt etmek için tarayıcı adres çubuğunu kullanın.

1. Sayfanın adres çubuğuna bakın. Kilit simgesi tek başına sayfanın Google'a ait olduğunu kanıtlamaz.
2. Alan adının son bölümünü okuyun. Beklenen kurum veya hizmet alan adı yerine alakasız bir alan adı, uzun bir alt alan adı ya da yazım hatası varsa sayfayı kapatın.
3. Şifre yöneticisi beklenen site için otomatik doldurmuyorsa bunu bir uyarı olarak değerlendirin. Şifreyi elle yazıp denemeyin.
4. Bilgi girdiyseniz hemen kurumun olay kanalına bildirin, Google Hesabı şifrenizi güvenilir bir cihazdan değiştirin ve BT ekibinin yönlendirmesini izleyin.

Kötü niyetli uygulama izinlerini de aynı mantıkla inceleyin.

1. Uygulama Google ile oturum açma ekranı gösterdiğinde istenen ürünleri ve izinleri okuyun. Gmail, Drive, Takvim veya Kişiler erişimi iş ihtiyacıyla ilgili değilse devam etmeyin.
2. Uygulama sizden Google Hesabı şifrenizi doğrudan kendi formuna yazmanızı istiyorsa işlemi durdurun. Güvenilir bağlantı, Google'ın kendi yetkilendirme ekranına yönlendirir.
3. Uygulamanın geliştiricisini, kurum tarafından onaylanıp onaylanmadığını ve istediği erişimin kapsamını doğrulayın.

İpuçları ve sık yapılan hatalar

• Eski bir yazışma zinciri, yeni eki veya bağlantıyı güvenilir yapmaz.
• Yönetici adı, logo, kilit simgesi veya QR kod güven kanıtı değildir; isteği ikinci kanaldan doğrulayın.

Gmail bazı iletileri spam veya kimlik avı şüphesiyle işaretler, ancak uyarı olmaması güvenlik garantisi değildir. Kimlik avı bildir kandırma ve bilgi çalma girişimini, Spam bildir ise istenmeyen iletiyi sınıflandırır. Bcc alıcısı diğer kişiler tarafından görünmez. Alıcı veya Cc satırında olmayan kişi Tümünü yanıtla seçeneğine bastığında Gmail, dahil edildiğini herkese açıklayabileceğini bildiren bir uyarı gösterebilir.

Nasıl yapılır?

Kimlik avı olarak bildirme adımları şöyledir.

1. Bilgisayarda Gmail'i açın ve şüpheli iletiyi açın.
2. Yanıtla simgesinin yanındaki Diğer simgesini tıklayın.
3. Kimlik avı bildir seçeneğini tıklayın.
4. Kurum prosedürü istiyorsa iletiyi ayrıca #guvenlik-olaylari alanına iletin veya bt-destek@anadoluteknoloji.example adresine olayın saatini ve kısa açıklamasını gönderin. İletiyi yeni kişilere yönlendirirken ek bilgi sızdırmamaya dikkat edin.

Yanlışlıkla kimlik avı bildirimi yaptıysanız düzeltme adımları şöyledir.

1. İletiyi Gmail'de açın.
2. Yanıtla simgesinin yanındaki Diğer simgesini tıklayın.
3. Kimlik avı olmadığını bildir seçeneğini tıklayın.
4. Kurum BT ekibine yanlış bildirimi ve nedenini haber verin. Şüpheli bir dosyayı güvenilir diye işaretlemeden önce yeniden doğrulayın.

Tümünü yanıtla öncesi alıcı kontrolü yapın.

1. İletiyi açın ve Tümünü yanıtla seçeneğine tıklamadan önce Alıcı, Cc ve varsa Bcc bilgisini inceleyin.
2. “Alıcı listesinde değilsiniz...” uyarısı görünürse gönderimin sizi görünür kılacağını varsayın.
3. Herkese yanıt vermek gerekmiyorsa Yanıtla seçeneğini kullanın veya yeni bir ileti oluşturun.
4. Alıcı listesini elle kontrol edin. Gizli bir alıcının adresini başkalarına açıklayabilecek bir yanıt göndermeyin.
5. Yanıt içeriğinde kişisel, finansal veya kurum içi bilgi varsa gönderimden önce alıcıları son kez doğrulayın.

İpuçları ve sık yapılan hatalar

• Kimlik avı bildiriminden önce iletiyi yanıtlamayın.
• Tümünü yanıtla uyarısı Bcc dışında yönlendirme veya yetki devriyle iletiyi alan kişilerde de görülebilir.

Hesap güvenliği katmanlıdır. 2 Adımlı Doğrulama şifreye ikinci bir adım ekler; geçiş anahtarı kişisel cihazın ekran kilidini kullanır. Üçüncü taraf erişimleri ve eski cihaz oturumları düzenli olarak incelenmelidir.

Nasıl yapılır?

2 Adımlı Doğrulama'yı kontrol etmek veya açmak için aşağıdaki yolu kullanın.

1. myaccount.google.com adresini açın ve doğru kurumsal hesabı seçin.
2. Güvenlik ve oturum açma bölümüne gidin.
3. Google'da oturum açma bölümünde 2 Adımlı Doğrulama'yı açın veya mevcut ayarı seçin.
4. Ekrandaki kimlik doğrulama adımlarını tamamlayın. Mümkünse kurumun onayladığı Google istemi, geçiş anahtarı veya güvenlik anahtarını tercih edin.
5. Yedek kodları oluşturduysanız bunları parola yöneticisi veya kurumun onaylı güvenli saklama yöntemi dışında bir yerde paylaşmayın.

İş, okul veya grup hesabında 2 Adımlı Doğrulama seçeneği görünmeyebilir. Kurum yöneticisi bu özelliği zorunlu kılabilir, yöntemleri sınırlandırabilir veya kurulumu kendi politikasıyla yönetebilir. Bu durumda ayarı değiştirmeye çalışmak yerine BT ekibine başvurun.

Geçiş anahtarı oluşturmak için:

1. myaccount.google.com/signinoptions/passkeys adresini açın.
2. Gerekirse kimliğinizi doğrulayın ve Geçiş anahtarı oluştur seçeneğini seçin.
3. Yalnızca size ait, ekran kilidi bulunan bir cihazda devam edin.
4. Parmak izi, yüz tanıma veya cihaz PIN'i ile onaylayın.
5. Paylaşılan bilgisayarda geçiş anahtarı oluşturmayın. Cihaz kaybolursa başka bir güvenilir cihazdan hesabınızdaki geçiş anahtarlarını inceleyip kayıp cihazdakini kaldırın.

Üçüncü taraf uygulamaları incelemek için:

1. myaccount.google.com/linkedapps adresini açın.
2. Bağlı uygulamalarınızı görüntüleyin bağlantısına gidin ve listelenen uygulamayı seçin.
3. Uygulamanın hangi Google ürünlerine ve hangi izin düzeyinde eriştiğini okuyun.
4. Artık kullanılmayan veya kurum tarafından onaylanmamış uygulamada Erişimi kaldır ya da arayüzde görünen eşdeğer kaldırma seçeneğini kullanın.
5. Uygulama iş için gerekliyse kaldırmadan önce BT ekibine sorun. Erişimi kaldırmak uygulamadaki verileri veya uygulama hesabını mutlaka silmez.

Cihaz oturumlarını incelemek için:

1. myaccount.google.com adresini açın.
2. Güvenlik ve oturum açma bölümünde Cihazlarınız panelini bulun.
3. Tüm cihazları yönet seçeneğini tıklayın.
4. Cihaz veya oturum ayrıntılarını açın. Aynı cihaz adı altında birden fazla oturum olabileceğini dikkate alın.
5. Kayıp, artık kullanılmayan veya size ait olmayan cihazı seçin ve Oturumu kapat seçeneğini kullanın.
6. Tanımadığınız bir oturum varsa önce oturumu kapatın, ardından şifreyi güvenilir bir cihazdan değiştirin ve BT ekibine olay bildirimi yapın.

İpuçları ve sık yapılan hatalar

• Geçiş anahtarı diğer giriş faktörlerini otomatik olarak silmez; hesap yöntemlerini ayrıca kontrol edin.
• Oturum kapatma, cihazın fiziksel olarak kilitlenmesi veya uzaktan silinmesi değildir.

En az yetki ilkesi, gereken en düşük erişimi, gerektiği süre boyunca vermektir. Görüntüleyen veya Yorumcu yeterliyse Düzenleyen vermeyin. Bağlantıya sahip olan herkes seçeneği bağlantıyı alan kişilerin dosyayı açabilmesine yol açabilir. Drive izinleri klasörden dosyaya devredilir; DLP ve sınıflandırma etiketleri yönetici politikalarına bağlıdır.

Nasıl yapılır?

Bir dosyanın paylaşımını denetlemek için:

1. Google Drive'da dosyayı bulun. Örnek dosya 2026-11-03_Lansman_Plan_v01 olsun.
2. Dosyayı seçin ve Paylaş seçeneğini açın.
3. Her kişi için rolü inceleyin. Gerekmiyorsa Düzenleyen'i Yorumcu veya Görüntüleyen'e indirin.
4. Genel erişim bölümünü kontrol edin. Gerekli değilse Kısıtlanmış seçin.
5. Kurum dışı bir kişi gerekiyorsa yalnızca o kişinin kurumsal veya onaylı dış adresini ekleyin. Pusula Ajans'tan Selin Koç gibi dış ortaklarda kurum politikasını kontrol edin.
6. İzin geçici ise kişinin yanındaki aşağı oku açın ve Geçerlilik bitiş tarihi ekle seçeneğini kullanın. Bu seçenek iş veya okul hesaplarında yönetici ve lisans ayarlarına bağlı olabilir.
7. Gerekirse Ayarlar bölümünde Düzenleyenlerin paylaşmasına ve izinleri değiştirmesine izin ver seçeneğini kapatın. Üst klasör izinlerinin bu ayarı geçersiz kılabileceğini unutmayın.
8. Bitti seçeneğini tıklayın ve dosyanın bağlantısını yalnızca gerekli kişilere gönderin.

“Bağlantıya sahip olan herkes” erişimini Kısıtlanmış yapmak için:

1. Dosyayı seçin ve Paylaş seçeneğini tıklayın.
2. Genel erişim bölümündeki aşağı oku açın.
3. Kısıtlanmış seçeneğini seçin.
4. Erişmesi gereken kişilerin tek tek listede bulunduğunu kontrol edin.
5. Bitti seçeneğini tıklayın.

Etiket uygulamak için:

1. Drive'da dosyayı seçin ve sağ tıklayın.
2. Etiketler› > Etiketleri uygula seçeneğini tıklayın.
3. Kurumun yayımladığı sınıflandırma etiketini seçin.
4. Alan varsa uygun değeri seçin, örneğin Kurum içi veya Gizli.
5. Uygula ya da arayüzde görünen kaydetme seçeneğini tıklayın. Etiketler görünmüyorsa yönetici henüz etiket yayımlamamış veya size erişim vermemiş olabilir.

İpuçları ve sık yapılan hatalar

• Klasör veya paylaşılan drive izni dosya ayarını geçersiz kılabilir.
• Etiket tek başına şifreleme veya erişim değişikliği değildir; DLP ilişkisini BT ekibinden öğrenin.

6698 sayılı Kanun bakımından kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgidir. Ad, kurumsal e-posta, telefon, müşteri kaydı, ses kaydı ve toplantı transkripti bağlama göre kişisel veri olabilir. Sağlık, biyometrik ve genetik veriler; ceza mahkûmiyeti; siyasi veya dini inanç ve sendika üyeliği gibi veriler özel nitelikli kişisel veri kapsamındadır. Aydınlatma bilgi vermeyi; kayıt ve transkript erişim ve saklama kontrolünü gerektirir.

Nasıl yapılır?

Bir dosyayı veya iletiyi Workspace'e koymadan önce veri minimizasyonu kontrolü yapın.

1. İşlem amacını tek cümleyle yazın: örneğin “Lansman kayıt formundan teslimat planı yapmak”.
2. Amaç için zorunlu olmayan alanları kaldırın veya anonimleştirin. T.C. kimlik numarası, sağlık bilgisi veya tam doğum tarihi gerekmiyorsa toplamayıp paylaşmayın.
3. Kurumun aydınlatma metninin ilgili kişiye sunulup sunulmadığını kontrol edin. Bu metin yoksa veri toplamayı durdurup KVKK sorumlusuna sorun.
4. Dosyayı yalnızca işi olan kişilerle paylaşın ve sınıflandırma etiketi uygulayın.
5. Saklama süresini ve silme sorumlusunu kayda geçirin. “Sonsuza kadar Drive'da dursun” bir saklama politikası değildir.
6. Dış hizmet, uygulama veya yapay zekâ aracı kullanılacaksa kurumun onaylı araç listesinde olup olmadığını kontrol edin.

Meet kaydı veya transkripti için:

1. Toplantı davetinde kaydın veya transkriptin gerekip gerekmediğini belirtin.
2. Katılımcılara kayıt başladığında ekrandaki bildirimi ve kurum politikasını açıklayın.
3. Kayıt dosyasının kimde oluştuğunu, kimlerin erişeceğini ve hangi klasöre gideceğini kontrol edin.
4. Görüşmede gereksiz kişisel veya özel nitelikli veri paylaşılmasını önleyin. Bir katılımcı sağlık veya disiplin bilgisi açıklarsa bunu yeniden paylaşmayın.
5. Toplantı sonrasında dosyayı Kısıtlanmış erişimde tutun, gerekli kişileri ekleyin ve saklama süresi dolduğunda kurum prosedürüne göre silin veya arşivleyin.

Bir veri olayı fark ettiğinizde:

1. Dosyayı daha fazla kişiye iletmeyin ve kanıtı değiştirmeyin.
2. Yanlış alıcıya gönderilen iletiyse hemen BT ve kurumun KVKK olay kanalına haber verin.
3. Olayın zamanını, dosya veya ileti adını, alıcıları ve yaptığınız ilk işlemi yazın.
4. Kendi başınıza ilgili kişiye hukuki bildirim yapmayın. Kurumun veri sorumlusu veya olay müdahale ekibinin talimatını bekleyin.

İpuçları ve sık yapılan hatalar

• “Kurumsal hesapta duruyor” ifadesi tek başına KVKK uyumu anlamına gelmez.
• Meet transkripti, konuşmadaki kişisel verileri aranabilir yeni bir dosya biçiminde çoğaltır.

Workspace içindeki Gemini ile kişisel hesapta kullanılan Gemini uygulamasının veri koşulları aynı olmayabilir. Workspace'te Gemini mevcut erişim denetimlerini izler; bu, yanlış paylaşımı veya kişisel hesaba kopyala-yapıştır riskini ortadan kaldırmaz. Hesap türünü, kurumun onaylı aracı ve verinin sınıflandırmasını her istemden önce kontrol edin.

Nasıl yapılır?

Gemini'a istem göndermeden önce “veri sınıfı, amaç, hesap, çıktı” kontrolü yapın.

1. Sağ üst profil menüsünden kurumsal @anadoluteknoloji.example hesabını ve isteme gireceğiniz verinin sınıflandırmasını kontrol edin. “Gizli” veya özel nitelikli içeriği açık izin yoksa yapıştırmayın.
2. Veriyi en aza indirin; gerçek ad, e-posta, müşteri numarası veya sözleşme ayrıntısı yerine anonimleştirilmiş örnek kullanın.
3. İstemi, “Lansman Planı” gibi kullanıcının erişebildiği onaylı Workspace özelliğinde gönderin; harici Gemini veya üçüncü taraf eklenti kullanmayın.
4. Yanıtı gerçek kabul etmeyin. Dosyaya eklemeden önce paylaşım izinlerini, etiketi ve DLP uyarısını kontrol edin.
5. Gereksiz kişisel bilgi görünüyorsa çıktıyı paylaşmayın; istemi ve yanıtı kurumun gizlilik kanalına sorun.

Üçüncü taraf yapay zekâ aracı için:

1. Uygulamanın kurum tarafından onaylandığını, hangi hesapla oturum açtığınızı ve Gmail, Drive, Takvim veya Kişiler izinlerini kontrol edin.
2. Gizli dosya yüklemeden önce BT veya KVKK ekibine danışın; gerekli değilse erişim vermeyin ve verilen izni Bağlı uygulamalar sayfasından gözden geçirin.

İpuçları ve sık yapılan hatalar

• Gemini'ın bir dosyayı görebilmesi, dosyanın herkese açık olması gerektiği anlamına gelmez.
• Özellik görünürlüğü hesap, lisans, yönetici ayarı ve kademeli dağıtıma bağlı olabilir.

Telefon ve tabletler Gmail, Drive, Chat, Meet ve 2 Adımlı Doğrulama bildirimlerine erişebilir. Kayıp cihazda önce hesabı ve açık oturumları koruyun; ardından BT'nin uzaktan kilitleme veya silme prosedürünü uygulayın.

Nasıl yapılır?

Kayıp veya çalınmış cihaz için ilk dakikalarda şu sırayı izleyin.

1. Başka bir güvenilir cihazda myaccount.google.com adresini açın; başkasının cihazında gizli tarama kullanın.
2. Güvenlik› > Cihazlarınız› > Tüm cihazları yönet yoluyla kayıp cihazı seçin ve Oturumu kapat seçeneğini kullanın.
3. Google Hesabı şifresini değiştirin; geçiş anahtarlarını, 2 Adımlı Doğrulama yöntemlerini ve üçüncü taraf erişimlerini kontrol edin.
4. Cihazın son görüldüğü zamanı ve yaptığınız işlemleri BT'ye bildirin; kurumun uzaktan kilitleme veya silme talebini açın.
5. Cihaz bulunursa BT kontrolü tamamlanmadan yeniden kullanmayın.

Önleyici ayarlar için:

1. Güçlü ekran kilidi ve otomatik kilit kullanın; işletim sistemi ile Workspace uygulamalarını güncel tutun.
2. Kilit ekranında Gmail, Chat ve doğrulama bildirimlerinin içeriğini göstermemeyi, ortak cihazlarda oturum açık bırakmamayı değerlendirin.
3. Cihazı devretmeden önce kurumun çıkış ve uzaktan silme prosedürünü uygulayın.

İpuçları ve sık yapılan hatalar

• Kayıp cihazı bulmayı beklemek hesabı koruma işlemini geciktirir.
• Google Hesabı oturum kapatma ile işletim sisteminin uzaktan silinmesi farklı işlemlerdir.