sektorel·
28 Haziran 2026
Muhasebe Firmaları İçin En İyi Kurumsal E-posta Çözümleri
Muhasebe firmalarının e-posta seçiminde göz ardı edemeyeceği KVKK uyumluluğu, uçtan uca şifreleme ve yasal arşivleme zorunlulukları — kapsamlı rehber.
Muhasebe firmalarının e-posta seçiminde göz ardı edemeyeceği KVKK uyumluluğu, uçtan uca şifreleme ve yasal arşivleme zorunlulukları — kapsamlı rehber.
Müşteri finansal verilerini, vergi beyannamelerini ve ticari sırları taşıyan e-postalar; muhasebe firmalarını siber saldırıların birincil hedefi hâline getiriyor. KVKK yükümlülükleri, SPK ve MASAK düzenlemeleri ile 213 sayılı Vergi Usul Kanunu'nun e-arşiv zorunlulukları göz önüne alındığında, doğru kurumsal e-posta seçimi artık yalnızca bir BT kararı değil, stratejik bir uyumluluk kararıdır.
Genel işletmelerden farklı olarak muhasebe ve mali müşavirlik firmaları, üçüncü taraf müşteri verilerini işlemekle yükümlüdür. KVKK'nın 12. maddesi uyarınca veri işleyen sıfatıyla bu firmalar, kişisel verilerin yetkisiz erişime karşı teknik ve idari tedbirlerle korunmasını sağlamak zorundadır. E-posta bu korumanın merkezinde yer alır; zira Verizon 2024 Data Breach Investigations Report'a göre veri ihlallerinin %68'i insan kaynaklı ve e-posta vektörüyle gerçekleşmektedir.
Öte yandan 213 sayılı Vergi Usul Kanunu'nun mükerrer 242. maddesi ile Gelir İdaresi Başkanlığı'nın e-Arşiv Fatura Genel Tebliği, mali kayıtların minimum 10 yıl saklanmasını zorunlu kılmaktadır. Bu saklama yükümlülüğü, e-posta arşivleme altyapısına doğrudan yansır.
Son güncelleme: Haziran 2026 · Fiyatlar USD bazındadır; kur değişkendir, güncel TL karşılığı için satıcıyla iletişime geçiniz.
| Platform | Başlangıç Fiyatı (kullanıcı/ay) | Depolama | Arşivleme | DLP | Veri Merkezi TR/AB |
|---|---|---|---|---|---|
| Microsoft 365 Business Basic | ~6 USD | 50 GB posta + 1 TB OneDrive | Ek lisans (Purview) | Ek lisans | AB (Hollanda/İrlanda) ✓ |
| Microsoft 365 Business Premium | ~22 USD | 100 GB posta + 1 TB OneDrive | Dahil (Purview) | Dahil | AB ✓ |
| Google Workspace Business Starter | ~6 USD | 30 GB | Vault (ek ücret) | Sınırlı | AB ✓ / TR ✗ |
| Connect365 Business | Türkiye fiyatlandırması | 50 GB+ | Dahil | Yapılandırılabilir | TR ✓ |
| Proton Mail for Business | ~6.99 EUR | 15 GB+ | Sınırlı | ✗ | AB (İsviçre) ✓ |
Microsoft 365, özellikle Business Premium katmanı, muhasebe firmaları için güçlü bir seçenek olmaya devam etmektedir. Microsoft Purview Compliance Portal; e-posta saklama ilkeleri (Retention Policies), denetim günlükleri (Audit Logs) ve hassas bilgi türleri (Sensitive Information Types) aracılığıyla KVKK uyumluluk süreçlerini destekler.
Microsoft'un resmi Uyumluluk Merkezi belgelerine göre Exchange Online, RFC 5322 uyumlu mesaj başlıklarını korurken Microsoft Defender for Office 365, kimlik avı (phishing) girişimlerine karşı gerçek zamanlı URL detonasyonu uygular. Muhasebe firmalarını hedef alan Business Email Compromise (BEC) saldırılarına — FBI IC3 2024 raporuna göre yılda 2,9 milyar dolar kayıp — karşı bu katman kritik önemdedir.
Microsoft Purview'un In-Place Hold özelliği, belirli anahtar kelimeler veya gönderici/alıcı koşullarına göre e-postaları değiştirilemez biçimde saklar. VUK 242. madde kapsamındaki 10 yıllık saklama zorunluluğu için şu yapılandırma önerilmektedir:
Kişisel Verileri Koruma Kurulu'nun yayımladığı "Kişisel Veri Güvenliği Rehberi" (2018, güncelleme 2022) teknik tedbirler bölümünde e-posta güvenliğine ilişkin doğrudan yönlendirmeler yer almaktadır. Aşağıdaki kontrol listesi bu rehber esas alınarak hazırlanmıştır:
| Kontrol Maddesi | Yasal Dayanak | Uygulama |
|---|---|---|
| Aktarım şifrelemesi (TLS 1.2+) | KVKK Md. 12, RFC 8314 | Exchange Transport Rule ile zorunlu TLS |
| MFA zorunluluğu | KVKK Md. 12, NIST SP 800-63B | Azure AD Conditional Access |
| Erişim günlükleri (audit log) | KVKK Md. 12/2-ç | Unified Audit Log (min. 90 gün) |
| Hassas veri tespiti (DLP) | KVKK Md. 12, Güvenlik Rehberi | Purview DLP — TC kimlik, IBAN kalıpları |
| Veri silme politikası | KVKK Md. 7, VUK Md. 253 | Retention + disposition review |
| Yurt dışı transfer kontrolü | KVKK Md. 9 | Veri merkezi lokasyonu AB/TR seçimi |
Muhasebe firmalarının isim ve marka değeri, sahte fatura ve ödeme talebi içeren e-postalarda kötüye kullanılmaktadır. Bu tehdide karşı e-posta kimlik doğrulama protokollerinin eksiksiz yapılandırılması zorunludur:
v=spf1 include:spf.protection.outlook.com -all kaydı örnek Microsoft 365 yapılandırmasıdır.p=reject politikası, yetkisiz e-postaların tamamen reddedilmesini sağlar. Verizon DBIR verilerine göre DMARC reject politikası, domain spoofing saldırılarını %99'un üzerinde engeller.Muhasebe firmaları için S/MIME, OpenPGP'ye kıyasla pratik üstünlük sunar: Microsoft 365 ve Outlook, S/MIME sertifikalarını yerel olarak destekler; ek yazılım gerektirmez. RFC 5751 standardındaki S/MIME, dijital imzayla birlikte içerik şifrelemesi sağlar. Kurumsal düzeyde S/MIME sertifikaları, GlobalSign veya Sectigo gibi güvenilen CA'lardan yıllık 50–200 USD aralığında temin edilebilmektedir.
Sophos resmi teknik belgelerine göre e-posta ağ geçidi düzeyinde TLS şifrelemesi, aktarım sırasındaki saldırılara karşı koruma sağlarken S/MIME uçtan uca koruma sunar; ikisi birbirini tamamlar ve birbirinin yerine geçemez.
| Firma Profili | Önerilen Platform | Gerekçe |
|---|---|---|
| 1–5 kişi, serbest MM | Microsoft 365 Business Basic + Connect365 | Düşük maliyet, Türkiye desteği |
| 5–25 kişi, orta ölçek | Microsoft 365 Business Standard | Teams entegrasyonu, SharePoint |
| 25+ kişi, SPK/MASAK denetimi | Microsoft 365 Business Premium | Purview DLP + Defender dahil, tam uyumluluk |
| Maksimum gizlilik gerektiren | Proton Mail + Connect365 (hibrit) | Sıfır bilgi şifrelemesi, İsviçre hukuku |
E-posta platform geçişleri, özellikle arşiv verileri göz önüne alındığında titiz bir planlama gerektirir. Microsoft'un resmi IMAP Geçiş aracı veya üçüncü taraf araçlar (BitTitan MigrationWiz, SkyKick) kullanılarak geçiş aşamalandırılmalıdır:
Evet, önemli riskler barındırır. KVKK'nın 12. maddesi uyarınca veri işleyenler teknik güvenlik tedbirlerini almakla yükümlüdür; ücretsiz tüketici platformları bu yükümlülüğü karşılamak için yeterli yapılandırma imkânı sunmaz. Ek olarak 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu kapsamında meslek sırrı yükümlülüğü, müşteri verilerinin uygun güvenlikle korunmasını gerektirmektedir. Kurumsal alan adlı e-posta kullanımı hem hukuki hem de mesleki açıdan zorunlu sayılmalıdır.
Yedekleme (backup), olası kayıplara karşı anlık kopyalama işlemidir; üzerine yazılabilir ve silinebilir. Arşivleme ise değiştirilemez (WORM — Write Once Read Many) depolama üzerinde, içerik bütünlüğü korunarak uzun süreli saklama anlamına gelir. VUK'un 253. maddesi kapsamındaki yasal saklama yükümlülüğünü karşılamak için yalnızca arşivleme yeterlidir; yedekleme tek başına hukuki gereklilikleri karşılamaz.
Hayır, bu ciddi bir güvenlik ve uyumluluk sorunudur. Kişisel e-posta hesapları üzerinde şirketin DLP, arşivleme veya erişim kontrolü yoktur. Sophos Endpoint Security teknik belgelerinde belirtildiği üzere, shadow IT kapsamına giren bu kullanım hem veri sızıntısı riskini artırır hem de bir ihlal durumunda KVKK kapsamında kurumun sorumluluğunu doğurabilir. Çalışanlar için kurumsal alan adlı posta kutusu zorunlu tutulmalı, MDM (Mobile Device Management) politikasıyla kişisel cihazlardaki posta uygulamalarına da kurumsal hesap bağlanmalıdır.
Microsoft'un resmi Veri Merkezi Haritası'na göre (Haziran 2026 itibarıyla) Microsoft, Türkiye'de yerel veri merkezi işletmemektedir; veriler AB bölgesinde (ağırlıklı olarak Hollanda ve İrlanda) işlenmektedir. KVKK'nın 9. maddesi kapsamında yurt dışına veri aktarımı, açık rıza veya yeterli koruma kararı gerektirmektedir. Microsoft, AB bölgesi için GDPR uyumlu Standart Sözleşme Maddeleri (SCC) sunmaktadır; Türkiye'de bu durum için KVK Kurulu'nun ilgili kararları ve Data Processing Agreement şartları dikkatle değerlendirilmelidir.
5 kullanıcılı bir muhasebe firması için Microsoft 365 Business Basic bazında aylık yaklaşık 30 USD (5×6 USD) temel maliyet oluşur. Buna ek olarak DLP ve arşivleme için Business Premium katmanına geçilmesi önerilir; bu durumda maliyet 5×22 USD = 110 USD/ay olur. Türkiye fiyatlandırması ve yerli destek için Connect365 iş ortaklığı, kur riskini azaltır ve yerel teknik destek sağlar. Son güncelleme: Haziran 2026 · Kur değişkendir.
Evet, önemli riskler barındırır. KVKK'nın 12. maddesi uyarınca veri işleyenler teknik güvenlik tedbirlerini almakla yükümlüdür; ücretsiz tüketici platformları bu yükümlülüğü karşılamak için yeterli yapılandırma imkânı sunmaz. 3568 sayılı SMMM Kanunu kapsamında meslek sırrı yükümlülüğü de müşteri verilerinin uygun güvenlikle korunmasını gerektirmektedir.
Yedekleme anlık kopyalama işlemidir; üzerine yazılabilir. Arşivleme ise değiştirilemez (WORM) depolama üzerinde içerik bütünlüğü korunarak uzun süreli saklamadır. VUK'un 253. maddesi kapsamındaki yasal saklama yükümlülüğünü karşılamak için yalnızca arşivleme geçerlidir.
Hayır. Kişisel e-posta hesapları üzerinde şirketin DLP, arşivleme veya erişim kontrolü yoktur. Bu kullanım hem veri sızıntısı riskini artırır hem de KVKK kapsamında kurumun sorumluluğunu doğurabilir. Çalışanlar için kurumsal alan adlı posta kutusu zorunlu tutulmalıdır.
Haziran 2026 itibarıyla Microsoft, Türkiye'de yerel veri merkezi işletmemektedir; veriler AB bölgesinde işlenmektedir. KVKK'nın 9. maddesi kapsamında yurt dışına veri aktarımı için KVK Kurulu kararları ve Data Processing Agreement şartları dikkatle değerlendirilmelidir.
5 kullanıcılı bir firma için Microsoft 365 Business Premium ile aylık yaklaşık 110 USD (5×22 USD) maliyet oluşur. Türkiye fiyatlandırması ve yerli destek için Connect365 iş ortaklığı kur riskini azaltır. Son güncelleme: Haziran 2026 · Kur değişkendir.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.
Kurulum + migrasyon ücretsiz. KVKK uyumlu, Türkiye'de barındırma. 7/24 Türkçe destek.
Kampanya 30 Haziran'a kadar geçerlidir.