guvenlik·
28 Haziran 2026
Devlet İhalesine Giren Firmalar İçin E-posta Güvenliği
Devlet ihalelerine giren firmalar için e-posta güvenliği artık teknik bir tercih değil, yasal ve rekabetsel bir zorunluluktur. İşte bilmeniz gerekenler.
Devlet ihalelerine giren firmalar için e-posta güvenliği artık teknik bir tercih değil, yasal ve rekabetsel bir zorunluluktur. İşte bilmeniz gerekenler.
Kamu ihalelerine teklif veren firmalar, e-posta altyapılarının güvenliğini artık opsiyonel bir teknik mesele olarak değil; KVKK uyumu, 4734 sayılı Kamu İhale Kanunu kapsamındaki belge bütünlüğü ve itibar yönetimi açısından stratejik bir öncelik olarak ele almak zorundadır.
Türkiye'de kamu alımları, Kamu İhale Kurumu (KİK) verilerine göre yıllık 500 milyar TL'yi aşan bir hacme ulaşmıştır. Bu süreçlerde firmalar; tekliflerini, sözleşme taslakları ve ihale dokümanlarını büyük ölçüde e-posta yoluyla iletmektedir. Ancak Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) 2024 Siber Tehdit Durum Raporu'na göre Türkiye'de kurumsal e-posta hesaplarını hedef alan kimlik avı (phishing) saldırıları bir önceki yıla kıyasla yüzde 43 artış göstermiştir.
Bu tehdit ortamında, kamu kurumuna gönderilen sahte bir teklif e-postası ya da manipüle edilmiş bir sözleşme belgesi; hem firmanın hukuki sorumluluğunu hem de ilgili kamu kurumunun kamu zararı riskini doğrudan etkiler. RFC 5321 standardına göre SMTP protokolü, varsayılan yapısında gönderen kimliğini doğrulama mekanizması içermez; bu boşluk sistematik biçimde istismar edilmektedir.
İhale süreçlerinde e-posta iletişiminin doğrulanabilirliğini sağlamak için üç temel DNS tabanlı protokolün doğru yapılandırılması zorunludur:
RFC 7208 ile standartlaştırılan SPF kaydı, alan adınız adına e-posta göndermeye yetkili IP adreslerini tanımlar. Örneğin v=spf1 include:spf.connect365.com.tr ~all şeklinde yapılandırılan bir kayıt, yetkisiz sunuculardan gelen sahte e-postaların spam olarak işaretlenmesini sağlar. SPF tek başına yeterli değildir; özellikle e-posta yönlendirmelerinde başarısız olabilir.
RFC 6376 ile tanımlanan DKIM, her giden e-postaya kriptografik imza ekler. Alıcı sunucu bu imzayı DNS'teki açık anahtarla doğrular. Böylece e-postanın iletim sırasında içeriğinin değiştirilmediği kanıtlanabilir. Kamu kurumlarına gönderilecek tekliflerde belge bütünlüğünü ispatlayan bu özellik, hukuki bir güvenceye dönüşür. 2048 bit anahtar uzunluğu 2026 itibarıyla minimum güvenlik standardı olarak kabul görmektedir.
RFC 7489 ile standartlaştırılan DMARC, SPF ve DKIM sonuçlarını birleştirerek alan adı sahibine politika uygulama yetkisi tanır. p=reject politikasıyla yapılandırılan bir DMARC kaydı, doğrulanamayan e-postaların alıcıya ulaşmasını tamamen engeller. Ayrıca DMARC raporlama mekanizması, kim adınıza sahte e-posta göndermeye çalıştığını görünür kılar.
| Protokol | Standart | Koruduğu Tehdit | İhale Sürecindeki Önemi |
|---|---|---|---|
| SPF | RFC 7208 | Sahte gönderen IP | Orta |
| DKIM | RFC 6376 | İçerik manipülasyonu | Yüksek |
| DMARC | RFC 7489 | Alan adı taklidi (spoofing) | Kritik |
KVKK'nın 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmek zorundadır. Kamu ihalelerinde müşteri, çalışan veya alt yüklenicilere ait kişisel veriler e-posta eklerinde sıkça dolaşır. Kişisel Verileri Koruma Kurulu'nun 2023/238 numaralı kararında da vurgulandığı üzere şifrelenmemiş e-posta iletişimi yoluyla gerçekleşen veri ihlalleri idari para cezasına konu olmaktadır.
Pratik önlem olarak; ihale belgelerinin e-posta ile iletilmesinde S/MIME (Secure/Multipurpose Internet Mail Extensions) veya PGP (Pretty Good Privacy) şifreleme uygulanmalıdır. S/MIME, X.509 sertifikalarına dayandığı için kurumsal e-posta istemcileriyle entegre biçimde çalışır ve kullanıcıya ek yük yaratmaz.
Sophos'un 2024 State of Ransomware raporuna göre fidye yazılımı saldırılarının yüzde 66'sı e-posta yoluyla başlamaktadır. Kamu ihaleleri için hazırlanan firmalar özellikle BEC (Business Email Compromise — Kurumsal E-posta Ele Geçirme) saldırılarının hedefindedir. Bu saldırılarda ihale koordinatörünün veya yöneticinin hesabı ele geçirilir ya da taklit edilerek banka hesap değişikliği talep edilir.
FBI'ın IC3 2024 raporuna göre BEC saldırıları küresel ölçekte 2,9 milyar dolar kayba yol açmıştır. Türkiye'deki yerel örneklerde ise kamu ihaleleriyle ilgili sahte ödeme talimatları içeren e-postaların ortalama değeri 380.000 TL civarındadır.
"E-posta güvenliği yatırımı, ihale sürecindeki bir sigorta poliçesidir. Tek bir başarılı BEC saldırısı, yıllık IT güvenlik bütçenizin tamamını aşan bir zarar doğurabilir."
İhale süreçlerine katılan firmalar için kurumsal e-posta hizmeti seçiminde aşağıdaki kriterlerin değerlendirilmesi önerilir:
İhale hazırlığınızı tamamlamadan önce aşağıdaki teknik kontrol listesini uygulayın:
| # | Kontrol Maddesi | Öncelik | Doğrulama Aracı |
|---|---|---|---|
| 1 | SPF kaydı DNS'te tanımlı ve geçerli | Kritik | MXToolbox SPF Checker |
| 2 | DKIM imzası aktif ve 2048 bit | Kritik | DKIM Core Validator |
| 3 | DMARC politikası p=quarantine veya p=reject | Kritik | DMARC Analyzer |
| 4 | MFA tüm e-posta hesaplarında aktif | Yüksek | Manuel denetim |
| 5 | TLS 1.2+ ile şifreli iletim zorunlu | Yüksek | Hardenize / CheckTLS |
| 6 | E-posta arşivleme 5 yıl+ saklanıyor | Orta | Sağlayıcı SLA belgesi |
| 7 | Phishing simülasyonu son 6 ayda yapıldı | Orta | KnowBe4 / Proofpoint |
Kurumsal e-posta güvenliği yatırımını kamu ihalesi perspektifinden değerlendirirken rakamları somutlaştırmak gerekir. Connect365 kurumsal e-posta planları Haziran 2026 itibarıyla kullanıcı başına aylık 45–120 TL aralığında fiyatlandırılmaktadır (kur değişkendir, son güncelleme: Haziran 2026). Buna karşın Ponemon Institute'un 2024 veri ihlali maliyet raporuna göre Türkiye'deki ortalama veri ihlali maliyeti 3,2 milyon TL'dir. Tek bir ihale sürecinde yaşanacak BEC saldırısının olası zararı ise bu rakamı çok aşabilir.
Ayrıca kamu kurumları, tedarikçi seçiminde siber güvenlik olgunluğunu giderek daha fazla bir ön eleme kriteri olarak kullanmaktadır. BTK'nın Kamu Kurumları Siber Güvenlik Gereksinimleri Rehberi (2023), tedarikçilerin en az SPF, DKIM ve DMARC yapılandırmasına sahip olmasını tavsiye etmektedir. Bu tavsiye, önümüzdeki ihale dönemlerinde zorunlu koşul haline gelebilir.
Doğrudan e-posta güvenliğini emreden bir ihale mevzuatı henüz bulunmamaktadır; ancak KVKK'nın 12. maddesi kapsamındaki teknik ve idari tedbirler, e-posta güvenliğini dolaylı olarak zorunlu kılmaktadır. Bunun yanı sıra bazı kamu kurumları ihale şartnamelerinde ISO 27001 sertifikasyonunu şart koşmaktadır. Bu sertifikasyonun bir gereği olarak e-posta güvenliği kontrollerinin uygulanması beklenmektedir.
Mevcut DNS yönetim erişimine sahip ve yetkin bir IT yöneticisi için SPF ve DKIM kaydı oluşturma işlemi 30–60 dakika sürer. DMARC politikasının aşamalı olarak p=none'dan p=reject'e geçirilmesi ise raporları analiz etmek için 2–4 haftalık izleme sürecini kapsar. Connect365 gibi yönetilen e-posta hizmetleri bu yapılandırmaları otomatik olarak gerçekleştirebilir.
4734 sayılı Kamu İhale Kanunu, tekliflerin Elektronik Kamu Alımları Platformu (EKAP) üzerinden iletilmesini esas almaktadır. Bununla birlikte ihale öncesi yazışmalar ve sözleşme süreçlerinde e-posta yaygın biçimde kullanılmaktadır. Bu yazışmalarda S/MIME ile içerik şifreleme; hem KVKK uyumu hem de belge bütünlüğünün ispatı açısından tavsiye edilmektedir. Kişisel veri içeren eklerin şifresiz gönderimi KVKK ihlali riski taşır.
EKAP sistemine kayıt için alan adına bağlı kurumsal e-posta adresi zorunludur. @gmail.com veya @hotmail.com gibi ücretsiz adreslerle EKAP kaydı tamamlanamaz. Dolayısıyla ihaleye girecek her firmanın kendi alan adı üzerinden kurumsal e-posta altyapısını kurması gerekmektedir.
4734 sayılı Kanun'un 17. maddesi, ihalelerde yasak fiil ve davranışları düzenlemekte; bunlar arasında sahte belge kullanımı açıkça sayılmaktadır. Bir firmanın e-posta altyapısının ele geçirilmesi sonucu sahte belgeler iletilmişse bu durum hem ihale sürecini hem de firmanın iki yıla kadar kamu ihalelerinden yasaklanmasını gündeme getirebilir. Bu nedenle e-posta güvenliği, hukuki bir risk yönetimi meselesidir.
Doğrudan e-posta güvenliğini emreden bir ihale mevzuatı henüz bulunmamaktadır; ancak KVKK'nın 12. maddesi kapsamındaki teknik ve idari tedbirler, e-posta güvenliğini dolaylı olarak zorunlu kılmaktadır. Bazı kamu kurumları ihale şartnamelerinde ISO 27001 sertifikasyonunu şart koşmakta olup bu sertifikasyonun bir gereği olarak e-posta güvenliği kontrollerinin uygulanması beklenmektedir.
Yetkin bir IT yöneticisi için SPF ve DKIM kaydı oluşturma işlemi 30–60 dakika sürer. DMARC politikasının aşamalı olarak p=none'dan p=reject'e geçirilmesi ise raporları analiz etmek için 2–4 haftalık izleme sürecini kapsar. Yönetilen e-posta hizmetleri bu yapılandırmaları otomatik olarak gerçekleştirebilir.
4734 sayılı Kamu İhale Kanunu tekliflerin EKAP üzerinden iletilmesini esas almaktadır. Bununla birlikte ihale öncesi yazışmalarda S/MIME ile içerik şifreleme; hem KVKK uyumu hem de belge bütünlüğünün ispatı açısından tavsiye edilmektedir. Kişisel veri içeren eklerin şifresiz gönderimi KVKK ihlali riski taşır.
EKAP sistemine kayıt için alan adına bağlı kurumsal e-posta adresi zorunludur. @gmail.com veya @hotmail.com gibi ücretsiz adreslerle EKAP kaydı tamamlanamaz. Dolayısıyla ihaleye girecek her firmanın kendi alan adı üzerinden kurumsal e-posta altyapısını kurması gerekmektedir.
4734 sayılı Kanun'un 17. maddesi sahte belge kullanımını yasaklamaktadır. Firmanın e-posta altyapısının ele geçirilmesi sonucu sahte belgeler iletilmişse bu durum hem ihale sürecini hem de iki yıla kadar kamu ihalelerinden yasaklamayı gündeme getirebilir.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.