Dijital dönüşüm sürecindeki kurumların kullandıkları e-posta güvenliği yöntemlerinin değerlendirilmesi ve sınıflandırılması
Evaluation and classification of e-mail security methods used by institutions in the digital transformation process
Yazar: CELALETTİN İRDEM
Danışman: DR. ÖĞR. ÜYESİ EMRE BAYSAN
Afyon Kocatepe Üniversitesi / Fen Bilimleri Enstitüsü / İnternet ve Bilişim Teknolojileri Yönetimi Ana Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Bilim ve Teknoloji = Science and Technology

Özet:
Dijital dönüşüm, modern iş dünyasında kurumların faaliyetlerini dijital platformlara taşıyarak operasyonel verimliliği artırdığı bir süreç olarak tanımlanır. Bu süreçte, e-posta, dijital iletişimin en kritik araçlarından biri haline gelmiştir. E-posta, hem iç hem de dış iletişimdeki rolüyle, dijital dönüşüm sürecinde kurumlar için vazgeçilmez bir araç olarak öne çıkmaktadır.
Dijital dönüşüm sürecinde e-posta güvenliği, siber tehditlerin giderek artan karmaşıklığı ve çeşitliliği karşısında büyük önem taşımaktadır. E-posta, dijital iletişimde kritik bir rol oynarken, aynı zamanda en yaygın saldırı vektörlerinden biri haline gelmiştir. Kurumlar, özellikle e-posta yoluyla gerçekleştirilen phishing ve malware gibi saldırılara karşı savunmasız kalabilmekte, bu da maddi kayıpların yanı sıra itibar kaybı, veri kaybı ve verilerin yetkisiz kişilere ele geçirilmesi gibi ciddi sonuçlara yol açabilmektedir. E-posta saldırıları, siber suçluların en sık başvurduğu yöntemlerden biri olup, dijital dönüşüm sürecindeki kurumlar için büyük bir tehdit oluşturmaktadır. Bu nedenle, e-posta güvenliği stratejilerinin geliştirilmesi, olası kayıpların önlenmesi açısından hayati önem taşımaktadır. Kurumlar, bu süreçte e-posta güvenliğini sağlamak için etkili stratejiler geliştirmek zorundadır. E-posta güvenliğinin sağlanamaması durumunda, kurumlar hem maddi hem de itibari kayıplarla karşı karşıya kalabilirler.
Bu araştırmada, dijital dönüşüm sürecindeki kurumların e-posta güvenliği yöntemlerinin değerlendirilmesi ve sınıflandırılması amaçlanmıştır. Araştırma, dijital dönüşüm sürecindeki kurumların karşılaştıkları e-posta güvenlik sorunlarının tespiti, bu sorunlara karşı kullandıkları yöntemlerin belirlenmesi, belirlenen yeni yöntemlerin literatüre kazandırılması, bulguların e-posta güvenliği stratejilerini geliştirmelerine yardımcı olması ve e-posta güvenliği konusundaki farkındalığın artırılması açısından önemlidir.
Bu araştırmada nitel bir araştırma modeli olan durum çalışması yöntemi kullanılmıştır. Araştırmanın ilk aşamasında, nitel veri toplama yöntemi olarak uzman görüşmeleri yapılmıştır. Görüşmelerde katılımcılara, "Dijital dönüşüm sürecindeki kurumların E-posta güvenliği konusunda karşılaştığı temel sorunlar nelerdir?", "Kurumların E-posta güvenliği konusunda kullandığı yöntemler ve çözümler nelerdir?" soruları ve bunlara bağlı alt sorular yöneltilmiştir. İkinci aşamada "Kurumun Phising saldırısı karşısında, e-posta güvenliği yöntem ve araçları yeterli midir?" sorusunu aydınlatmak için phising mail saldırı yöntemi kullanılmıştır.
Katılımcılar seçkisiz olmayan uygun örnekleme ve amaçsal yöntemi ile belirlenmiş, müracaat edilenler arasından gönüllü olan 5 firma ve 1 kurumun e-posta güvenliği konusunda uzman bir çalışanı, kuruluşun sahibi veya yetkilisi ile görüşmeler gerçekleştirilmiştir. Sonrasında katılımcıların kurumsal e-postalarına phising mail gönderilerek güvenlik düzeyleri hakkında veri toplanmıştır.
Elde edilen bulgulara göre; e-posta güvenliği konusunda karşılaşılan temel sorunlar "phising", "e-posta şifrelerinin ele geçirilmesi", " e-posta adreslerinin toplu olarak elde edilmesi", "man in the middle saldırıları", "malware", "sistem updateleri ve yamaları", "spam mail göndermek/almak", "e-posta ile bulaşan virüsler", "veri hırsızlıkları", "e-posta güvenliği farkındalık eksikliği", "e-posta güvenliğine kaynak ayırmamak", "E-posta güvenliği eğitimi almama", "0. gün saldırısı" şeklinde sıralanmıştır. Katılımcıların belirttiği üzere; E-posta güvenliği konusunda kullanılan yöntemler, "spam filtrelerinin kullanılması","spf kaydı tutulması","güçlü şifrenin zorunlu tutulması", "mail gateways"," anti virüs programları", "penetrasyon testleri", "e-posta zıplatma", "zor tahmin edilen e-posta adresi", "ransomware yazılımı", "key list", "pegasus yazılımı", "sızma testi", " kara liste ", "web filtreleri", " bit defender", "çok faktörlü doğrulama", "içerik filtreleme" şeklinde sıralanmıştır. Yapılan phising saldırıları karşısında ilgili kurumun e-posta güvenliği yöntem ve araçlarının 6 katılımcının 2 tanesinde yeterli olduğu, 4 tanesinde yeterli olmadığı görülmüştür.
Kurumların, e-posta güvenliği stratejilerini sürekli olarak güncellemeleri ve gelişen tehditlere karşı proaktif tedbirler almaları büyük önem taşımaktadır.

Abstract:
Digital transformation is defined as the process in which organizations transfer their operations to digital platforms, thereby increasing operational efficiency in the modern business world. In this process, email has become one of the most critical tools of digital communication. Email emerges as an indispensable tool for organizations during the digital transformation process due to its role in both internal and external communication.
During digital transformation, email security is of great importance in the face of the increasing complexity and variety of cyber threats. While email plays a crucial role in digital communication, it has also become one of the most common attack vectors. Organizations are particularly vulnerable to phishing and malware attacks conducted via email, which can lead to not only financial losses but also reputational damage, data loss, and unauthorized access to sensitive information. Email attacks are one of the most frequently used methods by cybercriminals, posing a significant threat to organizations undergoing digital transformation. Therefore, developing effective email security strategies is vital for preventing potential losses. Organizations must develop effective strategies to ensure email security throughout this process. Failure to secure emails can result in both financial and reputational damage.
This research aims to evaluate and classify the email security methods used by organizations during the digital transformation process. The research is important in identifying the email security issues faced by organizations during digital transformation, determining the methods they use to address these issues, introducing new methods to the literature, assisting in the development of email security strategies, and raising awareness about email security.
In this research, the case study method, a qualitative research model, was used. In the first stage of the study, expert interviews were conducted as a qualitative data collection method. Participants were asked questions such as "What are the main issues faced by organizations during the digital transformation process concerning email security?" and "What methods and solutions are used by organizations for email security?" In the second stage, a phishing email attack method was employed to investigate "Are the email security methods and tools sufficient against a phishing attack?"
Participants were selected using a non-random purposive sampling method, and interviews were conducted with experts in email security from five volunteer companies and one institution, including the organization's owner or authorized personnel. Subsequently, phishing emails were sent to the participants' corporate email accounts to collect data on their security levels.
According to the findings, the primary issues encountered in email security were listed as "phishing," "email password compromise," "bulk acquisition of email addresses," "man-in-the-middle attacks," "malware," "system updates and patches," "spam emails," "email-borne viruses," "data theft," "lack of email security awareness," "failure to allocate resources for email security," "lack of email security training," and "zero-day attacks." The methods used for email security, as stated by the participants, included "spam filters," "keeping SPF records," "mandatory strong passwords," "mail gateways," "antivirus programs," "penetration tests," "email bounce," "hard-to-guess email addresses," "ransomware software," "key lists," "Pegasus software," "penetration tests," "blacklists," "web filters," "Bitdefender," "multi-factor authentication," and "content filtering." The phishing attacks revealed that the email security methods and tools of 2 out of 6 participants were sufficient, while 4 were found to be insufficient.
It is crucial for organizations to continually update their email security strategies and take proactive measures against evolving threats.