Güvenli E-posta & KEP Kurulum Paketi

E-posta, klinik iletişiminin merkezindedir: hasta bildirimleri, laboratuvar sonuçları, tedarikçi siparişleri, personel koordinasyonu. Bu merkezi konum, e-postayı saldırganlar için de birincil hedef haline getirir. Sağlık sektörü, hasta verilerinin yüksek değeri nedeniyle siber suçluların öncelikli odak noktaları arasındadır.

Bu paket şu kliniklere öncelikli olarak uygundur:

• Ücretsiz veya kişisel e-posta hizmetleri kullanan klinikler: Gmail, Hotmail veya @klinik.com yerine @hotmail.com gibi kişisel adresler hem güvensiz hem profesyonelliğe aykırıdır. Kurumsal etki alanına geçiş ve güvenlik yapılandırması bu paketle tamamlanır. Ücretsiz servisler SPF/DKIM kaydı yapılandırmanıza izin vermez; bu nedenle herkes kliniğiniz adına e-posta gönderebilir.
• Hasta bildirimi ve randevu hatırlatması e-posta ile yapılan klinikler: Klinik adına gönderilen e-postalar taklit edilebilir; hastalarınız sahte randevu iptali veya ödeme talebi içeren e-postalarla kandırılabilir. SPF, DKIM ve DMARC protokolleri bu taklidi teknik olarak engeller ve kliniğinizin adının kötüye kullanılmasını önler.
• Resmi yazışma ve sözleşme süreçleri olan klinikler: Tedarikçi anlaşmaları, sigorta yazışmaları ve Sağlık Bakanlığı bildirimleri giderek elektronik ortama taşınmaktadır. KEP, e-postaya yasal delil değeri kazandırır; itiraz edilemez gönderim kanıtı sağlar ve noter onaylı tebligata eşdeğer hukuki geçerlilik taşır.
• İş ortakları, sigortacılar veya kamu kurumlarıyla yazışan klinikler: Pek çok kurum resmi yazışmalarda KEP kullanımını zorunlu tutmaktadır veya ilerleyen dönemde zorunlu hale getirecektir. Şimdiden hazırlıklı olmak, acele ve pahalı geçiş süreçlerini ortadan kaldırır.
• Geçmişte kimlik avı saldırısına maruz kalan klinikler: Personel sahte bir e-postaya tıkladıysa, banka havalesi veya şifre değişikliği içeren bir e-postaya yanıt verdiyse teknik filtreler ve personel eğitimi kombinasyonu tekrarı önler. Bir kez yaşanan güvenlik ihlali, filtre eksikliğinin somut kanıtıdır; bu boşluğu kapatmak için en iyi an şimdikidir.
• Büyüyen veya çok şubeli klinikler: Ekip büyüdükçe her ek personel hesabı yeni bir saldırı yüzeyi açar. Merkezi e-posta güvenlik politikası, tüm hesapları tek standartta korumanın tek yoludur.

KVKK kapsamında hasta iletişim kanallarının güvenli tutulması teknik tedbir yükümlülüğünün bir parçasıdır. Güvenli e-posta altyapısı bu yükümlülüğü karşılamaya doğrudan katkı sağlar ve olası denetim süreçlerinde belgeli teknik tedbir kanıtı sunar.

E-posta guvenligi tek basina teknik bir onlem degildir; ayni zamanda kurumsal kimlik korumasidir. Kliniginizin adina gonderilen sahte e-postalar hasta guvenini zedeler ve itibar kaybi yaratir. DMARC ile bu koruma hem teknik hem hukuki temele oturtulur; kliniginizin alan adi taklidi kurumsal guvenceyle engellenir. Randevu hatirlatlari veya hasta bilgilendirme e-postalari gonderiyor musunuz? Bu e-postalarin dogrulugunu kanitlayan kimlik dogrulama protokolleri olmadan hastalariniz sahte e-postalara maruz kalabilir.

Saglik turizmi yapan klinikler icin guvenli e-posta daha da kritiktir. Uluslararasi hastalar klinikle ilk iletisimi e-posta uzerinden kurar; sahte e-posta riski bu ilk temas noktasinda ozellikle tehlikelidir. Kurumsal e-posta guvenilirliginin saglanmasi hem hasta guveni hem yasal uyum acisindan temel bir gereklilik haline gelmistir.

E-posta güvenliği üç ayrı tehdide karşı koruma gerektirir: kimlik avı (phishing), e-posta sahteciliği (spoofing) ve iş e-postası ele geçirme (BEC — Business Email Compromise). Sağlık sektörü bu üç tehdidin de yoğun hedefidir; çünkü hasta verileri ve klinik finansal akışları, saldırganlar için yüksek değer taşır.

BEC saldırıları özellikle klinik ortamında tehlikelidir: saldırgan kliniğin genel yöneticisini veya başhekimini taklit ederek muhasebe personeline acil havale talebi gönderir. Sahte e-posta gerçekten gönderici adresine benzer bir alan adından geldiğinde personel ayırt edemez. Bu saldırı türü teknik filtresiz kliniklerde kolaylıkla gerçekleşebilir.

Kliniğinizin e-posta altyapısında şu eksiklikler varsa risk altındasınızdır:

• Alan adınız için SPF kaydı yok veya yanlış yapılandırılmış; herkes @kliniginiz.com adresini taklit edebilir. Bu teknik boşluk oluşturulması birkaç dakika süren bir saldırıya kapı açar.
• DMARC politikası yok veya yalnızca izleme modunda; sahte e-postalar tespit edilse bile otomatik olarak reddedilmiyor, kullanıcıya uyarı gitmiyor.
• Gelen kutusuna zararlı dosya ekleri herhangi bir tarama olmadan ulaşıyor; fidye yazılımı tek bir tıklamayla tüm sistemi şifreleyebilir.
• KEP hesabı yok; önemli yazışmalar mahkemede, sigorta süreçlerinde veya itiraz prosedürlerinde hukuki olarak kanıtlanamıyor.
• Personele sahte e-posta tanıma konusunda hiç eğitim verilmemiş; insan hatası teknik filtrelerden daha sık devreye girer.

Bu paket tüm bu boşlukları kapatır ve e-posta kanalını hem teknik olarak güvenli hem yasal açıdan sağlam hale getirir.

Is e-postasi ele gecirme saldirisi (BEC) ozellikle saglik sektorunde artis gostermektedir. Saldirgan, yonetici veya muhasebe personelinin e-postasini taklit ederek bankaya havale talimati gonderir. Bu saldiri tipi teknik degil sosyal muhendislik agirliklidir; teknik filtreler yanisira personel farkindaligi da sartdir. Bu paket her iki boyutu birlikte ele alir: teknik mimariden personel kisa rehberine kadar kapsamli bir koruma sunulur.

Kurulum dört aşamada tamamlanır. Mevcut e-posta sistemine (Microsoft 365, Google Workspace, barındırılan Exchange veya cPanel tabanlı kurumsal e-posta) uyumlu şekilde yapılandırılır. Her aşama sonunda kliniğe yazılı durum raporu sunulur.

1. Mevcut Durum Analizi — 3-5 gün: Kliniğin mevcut e-posta altyapısı, alan adı DNS kayıtları ve kullanılan e-posta istemcileri incelenir. SPF, DKIM ve DMARC kayıtlarının mevcut durumu dışarıdan test araçlarıyla tespit edilir; eksikler raporlanır. Gelen kutusu filtrelerinin etkinliği ve mevcut güvenlik politikaları değerlendirilir. Mevcut KEP hesabı varsa yapılandırması ve kullanım durumu ayrıca incelenir. Analiz sonucunda kişiselleştirilmiş güvenlik durumu raporu teslim edilir.
2. E-posta Kimlik Doğrulama Protokolleri — 1 hafta: SPF (Sender Policy Framework) kaydı oluşturulur veya güncellenir; yalnızca yetkili sunucuların kliniğin adına e-posta gönderebileceği DNS kaydıyla ilan edilir. DKIM (DomainKeys Identified Mail) imzalaması etkinleştirilir; gönderilen her e-postanın içeriğinin yolda değiştirilmediği kriptografik imzayla doğrulanır. DMARC politikası kademeli devreye alınır: önce izleme (none) modunda başlar, raporlar incelenerek meşru e-postaların etkilenmediği doğrulandıktan sonra karantina veya reddetme politikasına geçilir. Bu süreç meşru yazışmaların anlık kesilmesini önler.
3. Anti-Phishing ve İçerik Filtreleri — 1 hafta: Gelen e-postalarda zararlı bağlantı ve ek taraması yapılandırılır; bilinen zararlı URL veritabanlarıyla gerçek zamanlı karşılaştırma aktifleştirilir. Klinik dışından gelen tüm e-postalara görsel uyarı bandı eklenir; personel hangi mesajın dış kaynaklı olduğunu anlık ayırt edebilir. Şüpheli gönderici kalıplarına (acil havale, şifre sıfırlama, sahte kurum adı) otomatik karantina kuralları tanımlanır. Mevcut platform üzerinde (Microsoft 365 Defender, Google Workspace Security Center) kullanılmayan güvenlik özellikleri tam etkinleştirilir.
4. KEP Hesabı Kurulumu ve Entegrasyonu — 3-5 gün: BTK onaylı KEP hizmet sağlayıcısından (PTT KEP, TNB KEP, e-posta hizmet sağlayıcıları) klinik tüzel kişiliğine uygun hesap açılır veya mevcut hesap klinik iş akışına entegre edilir. Hangi yazışma kategorilerinin KEP ile yapılması gerektiği belirlenir: resmi bildirimler, sigorta yazışmaları, hasta onam iletişimi, kamu kurumu yazışmaları. Personele KEP kullanımı, yasal kanıt değeri ve hangi durumda KEP mi olağan e-posta mı kullanılacağına dair kısa eğitim verilir. KEP gönderim ve alım delillerinin arşivlenmesi için pratik protokol oluşturulur.

Paket 15.000 TL'den başlamaktadır. Fiyat, personel sayısına, mevcut platforma, KEP hesabı gereksinimine ve ek filtre özelleştirmelerine göre belirlenir. Kesin fiyat ücretsiz ön analiz görüşmesiyle netleştirilir.

Kurulum tamamlandiktan sonra ilk ay boyunca DMARC raporlari izlenir ve herhangi bir yanlis pozitif durumunda ayarlama yapilir. Bu izleme sureci klinik e-postalarinin mesru bicimde iletilmeye devam ettigini dogrular ve guvenin yerlesimesini saglar. Ilk ayin ardindan sistem stabil hale gelir; aylik izleme istege bagli bakim anlasmasiyla surdurulebilir. Yil icerisinde klinige eklenen yeni servisler veya yeni yazilimlar e-posta gonderici olarak tanimlanmak isterse bu islem DNS guncellemeyle hizla yapilabilir.

DMARC politikasinin olgunlastirilmasi kademeli bir suractir. Ilk hafta "none" (izleme) modunda baslar; raporlar incelenerek meşru gondericiler tanimlanir. Ikinci asamada "quarantine" (karantina) moduna gecilir; bilinmeyen gonderici e-postalar spam klasorune duser. Son asamada "reject" (reddetme) politikasi aktive edilir; yetkisiz gonderimler tamamen engellenir. Bu kademeli yaklasim meşru is e-postalarinin hicbir zaman bloke olmadigini garantiler ve klinik guvenle en yuksek koruma seviyesine ulas.

Güvenli e-posta altyapısı, KVKK'nın teknik tedbir yükümlülüklerini doğrudan destekler. Hasta iletişim kanalının korunması hem kişisel veri güvenliği hem de yasal uyumluluk açısından kritiktir. Bu paket yalnızca teknik bir yapılandırma değil; aynı zamanda kliniğin KVKK denetiminde belge olarak sunabileceği kanıtlanmış güvenlik tedbirlerini teslim eder.

• DMARC raporlama: Alanınız adına yapılan yetkisiz gönderim girişimleri otomatik olarak raporlanır. Haftalık özetlerde hangi IP adreslerinin kliniğinizin adını kötüye kullandığı görünür hale gelir; saldırılar pasif izleme yerine erken tespitle yanıtlanabilir.
• Şifreli iletişim (TLS): Sunucular arası e-posta iletimi, TLS şifreli aktarım zorunluluğuyla yapılandırılır. Bu yapılandırma olmadan e-posta, ağ katmanında okunabilir halde iletilebilir.
• KEP'in hukuki gücü: KEP, e-İmza Kanunu (5070) kapsamında yasal delil değeri taşır; gönderme zamanı, alıcı bilgisi ve içerik değişmezliği kayıt altındadır. İtiraz durumunda mahkemede sunulabilir. Hasta onam bildirimleri, tedarikçi sözleşme iletimi, sigorta yazışmaları ve resmi tebligatlarda kullanılabilir.
• KVKK uyumu (Madde 12 — Teknik Tedbirler): Hasta iletişim kanalının güvenli tutulması, kişisel verilerin korunmasına yönelik teknik tedbir yükümlülüğüne doğrudan katkı sağlar. Yapılandırma belgesi, denetim süreçlerinde teknik tedbir kanıtı olarak kullanılabilir.
• Personel farkındalığı: Teknik filtrelerin yanı sıra personele sahte e-posta tanıma, şüpheli bağlantı davranışı ve acil ödeme talebi gibi BEC sinyallerini fark etme konularında kısa yazılı rehber teslim edilir. Teknik ve insani katmanın birlikte çalışması riski en alt düzeye indirir.
• Olay müdahale prosedürü: E-posta kaynaklı güvenlik olayında hangi adımların atılacağını, kimin bilgilendirileceğini ve gerektiğinde KVKK'ya ihlal bildirimi yapılıp yapılmayacağını belirleyen basit bir acil protokol teslim edilir.

KEP sistemi Turk hukukunda tebligat icin resmi kanal olarak taninmaktadir. Vergi dairesi, mahkeme ve kamu kurumlariyla yazismalarda KEP kullanimi giderek yayginlasmakta; bazi durumlarda zorunlu hale gelmektedir. Klinigin simdiden KEP altyapisina sahip olmasi hem yasal uyum hem hizli kurumsal iletisim acisindan guclu bir avantaj saglar. KEP hesabinin aktif tutulmasi ve duzenli kontrol edilmesi de kritiktir; unutulan bir KEP kutusunda onemli resmi bildirimler bekliyor olabilir.