6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 1995 yılında Avrupa Birliği’nin uygulamaya koyduğu Kişisel Verilerin Korunması Direktifi (Direktif 95/46/EC) referans alınarak hazırlanmış ve 7 Nisan 2016 tarih ve 29677 sayılı Resmî Gazetede yayımlanarak yürürlüğe girmiştir.
Hem KVKK hem de Avrupa Birliği’nin 95/46/EC sayılı direktifinden sonra 25 Mayıs 2018’de yürürlüğe koyduğu Genel Veri Koruma Yönetmeliğinde (GDPR – General Data Protection Regulation) şifreleme, kişisel verilerin korunmasında başvurulması gereken önemli teknik tedbirler arasında sayılmaktadır.
KVKK’nın 12’nci maddesinin birinci fıkrası, veri sorumlularını “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda” bırakmış, teknik tedbir uygulamalarına açıklık getirmek amacıyla Kişisel Verileri Koruma Kurulu tarafından hazırlanan Kişisel Veri Güvenliği Rehberi’nde de kullanıcı hesap yönetimi, şifreleme ve anahtar yönetimi başlıkları altında şifre güvenliğine doğrudan atıflar yapılmıştır.
Son yıllarda büyük teknoloji şirketlerinin bile (sosyal medya platformları, e-posta sağlayıcıları ve pek çok kurumsal yazılım firması dahil) kullanıcı ve müşteri şifrelerini sızdırmış olması, büyük çaplı sistem şifrelerinden bireysel kullanıcı şifrelerine kadar şifre güvenliğinin her aşamada ciddiye alınması gerektiğini göstermektedir. Nitekim Verizon’un yıllık veri ihlali raporlarında da yetkisiz erişimle sonuçlanan olayların büyük bölümünde çalıntı, zayıf ya da tekrar kullanılan kimlik bilgilerinin rol oynadığı sıklıkla vurgulanmaktadır.
Türkiye’de özel şirketlerin ve kamu kurumlarının KVKK uyumluluğu kapsamında şifre güvenliği yükümlülüğünü yerine getirirken dikkate alması gereken temel unsurlar; merkezi hesap yönetimi, güçlü ve uzun parola kullanımı, parola saklama yönteminin (hashing/salting) doğru seçilmesi, çok faktörlü kimlik doğrulama ve anahtar yönetimi olarak sıralanabilir.
Merkezi Kullanıcı Hesap Yönetimi
Kullanıcı hesap yönetimi, kuruluş ağında yer alan tüm kullanıcı şifrelerinin güvenli ve tutarlı bir yapıda oluşturulmasını ve korunmasını sağlar. Merkezi kullanıcı hesap yönetimi sağlanırken Active Directory (AD), LDAP (Lightweight Directory Access Protocol), OpenLDAP ve Kerberos gibi merkezi uygulama ve protokoller kullanılmalıdır. Kuruluşun hangi yazılımla merkezi kullanıcı hesap yönetimi yapacağı, sistemin büyüklüğüne, niteliğine ve kullanılan platforma göre değişiklik gösterebilir.
Active Directory ortamlarında şifre güvenliği yalnızca parola karmaşıklık politikalarıyla sınırlı kalmamalıdır. Grup İlkesi Nesneleri (GPO) üzerinden fine-grained password policy (FGPP) tanımlanması, ayrıcalıklı hesapların (Domain Admin, Enterprise Admin) günlük kullanımdan ayrıştırılması, LAPS (Local Administrator Password Solution) ile yerel yönetici parolalarının otomatik ve tekil olarak rotasyona tabi tutulması, Kerberos biletlerine yönelik Kerberoasting ve AS-REP Roasting saldırılarına karşı servis hesaplarının gMSA (group Managed Service Account) ile yönetilmesi kurumsal ortamlarda göz ardı edilmemesi gereken teknik detaylardır.
Hangi yöntemle yapılıyor olursa olsun, kullanıcı hesap yönetimini sağlayan platforma ait ayrıcalıklı hesapların, kullanıcı bilgilerinin ve parolaların güvenli bir şekilde saklanması en önemli adımdır. Bu noktada kurumsal ortamlarda CyberArk, HashiCorp Vault ya da Microsoft’un PAM (Privileged Access Management) çözümleri gibi ayrıcalıklı erişim yönetimi araçlarının devreye alınması önerilir.
Kişisel verilerin tutulduğu ve kişisel veri işleyen personelin kullandığı sistemlerin şifre yönetimi merkezi kullanıcı hesap yönetim uygulamalarıyla yapılmalıdır. Böylece kullanıcı şifrelerinin yeterli uzunlukta olması, kullanılan karakter tipleri ve periyodik değişim gibi güvenlik şartları tek merkezden yönetilebilir.
Kullanıcı şifrelerinin en az 8 karakter uzunluğunda olması, büyük harf, küçük harf, rakam ve sembol içermesi, hatalı şifre denemelerinin kısıtlanması (account lockout policy) gerekmektedir. Bununla birlikte, ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün (NIST) SP 800-63B rehberinde önerilen güncel yaklaşım, kısa aralıklarla zorunlu parola değişiminden ziyade daha uzun parola/parola cümlesi (passphrase) kullanımını ve parolanın yalnızca bilinen bir sızıntı listesinde (ör. Have I Been Pwned veri setleri) tespit edilmesi durumunda değiştirilmesini önermektedir. Zorunlu ve sık periyodik değişim, kullanıcıları öngörülebilir artışlarla (Sifre2024! → Sifre2025!) parola üretmeye ittiği için pratikte güvenliği zayıflatabilmektedir. Şifre güvenliği politikası oluştururken bu iki yaklaşım (klasik karmaşıklık kuralları ve NIST’in entropi odaklı yaklaşımı) kurumun risk iştahına göre dengelenmelidir.
Zayıf şifre kullanımı ile ilgili örnekler bu yazının devamında ele alınmaktadır.
Parola Saklama: Hashing ve Salting
Şifre güvenliği yalnızca kullanıcının seçtiği parolanın gücüyle sınırlı değildir; sistemin bu parolayı nasıl sakladığı, veri sızıntısı yaşandığında ortaya çıkacak zararın boyutunu doğrudan belirler. Parolaların veritabanında düz metin (plaintext) olarak tutulması, KVKK’nın öngördüğü teknik tedbirlerle bağdaşmayan, kabul edilemez bir uygulamadır.
Parolalar, tek yönlü özet (hash) fonksiyonları ile saklanmalıdır. Ancak MD5 ve SHA-1 gibi genel amaçlı özet algoritmaları, hızlı hesaplanabilir olmaları nedeniyle GPU tabanlı kaba kuvvet saldırılarına karşı yetersiz kalmaktadır. Bunun yerine parola saklamaya özel olarak tasarlanmış, hesaplama maliyeti kasıtlı olarak yüksek tutulan algoritmalar tercih edilmelidir:
- bcrypt: Work factor (cost) parametresi ile hesaplama süresi ayarlanabilen, yaygın kullanılan bir algoritmadır.
- Argon2 (özellikle Argon2id): 2015 Password Hashing Competition’ın kazananı olup hem hesaplama hem bellek maliyetini artırarak ASIC/GPU saldırılarına karşı direnç sağlar; günümüzde yeni sistemler için önerilen birincil seçenektir.
- scrypt: Bellek yoğun (memory-hard) yapısıyla donanım tabanlı saldırıları zorlaştırır.
- PBKDF2: FIPS 140-2 uyumluluğu gereken ortamlarda hâlâ tercih edilebilir, ancak bellek maliyeti düşük olduğu için Argon2/scrypt’e göre daha az dirençlidir.
Bu algoritmaların tamamında salt (rastgele ve her kullanıcı için benzersiz üretilen ek veri) kullanımı zorunludur. Salt, aynı parolayı kullanan iki farklı hesabın veritabanında aynı özet değerine sahip olmasını engeller ve önceden hesaplanmış rainbow table saldırılarını etkisiz hale getirir. Yüksek güvenlik gerektiren sistemlerde ayrıca sunucu tarafında saklanan ve veritabanından ayrı tutulan bir “pepper” değeri de kullanılabilir; böylece veritabanı sızıntısı tek başına parolaların kırılmasına yetmez.
Çok Faktörlü Kimlik Doğrulama ve Parolasız Yaklaşımlar
Şifre güvenliği için alınacak tüm önlemler, parolanın tek başına ele geçirilmesi durumunda yetersiz kalabilir. Bu nedenle çok faktörlü kimlik doğrulama (MFA – Multi-Factor Authentication), günümüzde şifre güvenliğinin ayrılmaz bir parçası haline gelmiştir. SMS tabanlı doğrulama, SIM swap ve SS7 protokolü zafiyetleri nedeniyle en zayıf MFA yöntemi olarak kabul edilmekte; bunun yerine TOTP tabanlı kimlik doğrulayıcı uygulamaları (Google Authenticator, Microsoft Authenticator) ya da donanım güvenlik anahtarları (YubiKey gibi FIDO2/U2F uyumlu cihazlar) önerilmektedir.
Son yıllarda W3C ve FIDO Alliance öncülüğünde geliştirilen FIDO2/WebAuthn standardı ve buna bağlı passkey uygulamaları, parola kavramını tamamen ortadan kaldırarak public-key kriptografisi tabanlı, phishing’e dirençli bir kimlik doğrulama modeli sunmaktadır. Kurumsal sistemlerde geçiş süreci tamamlanana kadar parola tabanlı kimlik doğrulamanın MFA ile desteklenmesi, şifre güvenliği açısından asgari gereklilik olarak değerlendirilmelidir.
Kurumsal ortamlarda kullanıcıların çok sayıda benzersiz ve karmaşık parolayı ezberlemesi pratikte mümkün olmadığından, kurumsal parola yöneticisi (password manager) çözümlerinin (1Password Business, Bitwarden, KeePass gibi) devreye alınması hem kullanıcı deneyimini hem de parola güvenliğini iyileştiren tamamlayıcı bir tedbirdir.
Kablosuz Yerel Alan Ağlarının (WLAN) Şifre Güvenliği
Çoğu kuruluşta kullanılan kablosuz yerel alan ağları WPA2 ile şifrelenmektedir. WEP ve WPA yöntemleriyle güvenlik hiçbir şekilde sağlanmamalıdır. Ancak bazı kuruluşların ya da küçük işletmelerin farkında olmadan WPA ya da WEP ile kablosuz ağ güvenliği sağlamaya çalıştığı görülebilmektedir. WPA ve WEP, uzun süredir kırılması en kolay şifreleme yöntemleri arasındadır. WPA2 ise mevcut kablosuz ağ protokolleri arasında görece güvenli kabul edilse de barındırdığı birtakım açıklar nedeniyle şifreleri ele geçirilebilmekte ve kırılabilmektedir.
2018 yılında duyurulan WPA3 standardı, WPA2’nin en önemli zafiyetlerinden biri olan handshake yakalama saldırılarına karşı SAE (Simultaneous Authentication of Equals) protokolünü devreye sokarak çevrimdışı sözlük saldırılarını büyük ölçüde etkisiz hale getirmektedir. Yeni donanım alımlarında ve mümkün olan ortamlarda WPA2’den WPA3’e geçiş, kurumsal şifre güvenliği stratejisinin bir parçası olarak değerlendirilmelidir.
Bir kablosuz ağ, SSID olarak bilinen kablosuz ağ adını yayınlar. Kullanıcılar bağlanmak istedikleri ağı bu SSID adına göre tanıyarak seçer ve bağlanır.
SSID bilgisini gizlemek bazı durumlarda bir güvenlik yöntemi olarak tercih edilmektedir. Ancak Linux işletim sisteminde kullanılan bazı araçlarla (Airodump-ng, Aircrack-ng) ağa bağlanmak isteyen istemcilerin yayınladığı paketler üzerinden gizlenmiş SSID bilgisi kolaylıkla tespit edilebilmektedir.
SSID gizleme haricinde tercih edilen ikincil bir yöntem, MAC filtreleme yapılmasıdır. Tüm ağ cihazlarının benzersiz birer MAC adresi (telefonlardaki IMEI numarası gibi) vardır. Ağa bağlanmak isteyen cihazlar MAC adreslerini de ağ cihazına gönderir; listede bulunmayan bir MAC adresiyle bağlantı isteği gönderildiğinde, ağ cihazı bu isteği reddeder. Ancak MAC adresleri taklit edilebilmektedir. Airodump-ng gibi bir araçla ağa bağlı cihazların MAC adresleri tespit edilip Macchanger gibi bir araçla ya da işletim sistemi üzerinden MAC adresi değiştirilerek ağa dahil olunabilmesi mümkündür.
Kullanılan protokole göre yalnızca şifre girilmesi, kullanıcı adı ve şifre girilmesi ya da WPS (Wi-Fi Protected Setup) yöntemiyle şifre girmeden bağlantı sağlanabilir.
WPS yönteminde kullanıcı bağlanmak istediği ağı seçer ve bağlantı aşamasında herhangi bir şifre girmesine gerek kalmadan, ağ cihazı üzerindeki WPS butonuna basarak ya da 8 haneli WPS PIN’i (fiilen 7 hanesi anlamlı olacak şekilde) girerek bağlantı gerçekleşir. Kuruluşlar tarafından pek tercih edilmeyen bir bağlantı yöntemi olsa da küçük işletmelerde ve ev ağlarında hâlâ kullanılmaktadır.
WPS PIN’in yapısı nedeniyle kırılması mümkündür; Linux işletim sistemlerinde kullanılan Reaver ya da Windows işletim sistemlerinde kullanılabilen Dumpper/JumpStart uygulamaları ile WPS PIN kolaylıkla kırılabilmekte ve ağa bağlanılabilmektedir. Dolayısıyla WPS bir güvenlik önlemi olarak kullanılmamalıdır.
WPA2 yönteminde WPA2-Personal (Kullanıcı) ve WPA2-Enterprise (Kuruluş) olarak iki bağlantı şekli karşımıza çıkmaktadır.
WPA2-Personal bağlantıda, kablosuz ağa bağlanmak isteyen tüm kullanıcılar için tek bir şifre kullanılmakta ve tüm istemciler bu şifreyi girerek ağa dahil olmaktadır. WPA2-Enterprise bağlantıda ise her kullanıcı için ayrı kimlik bilgileri kullanılmakta ve bu kimlik bilgilerinin doğrulanmasında Active Directory ya da LDAP entegrasyonu yapılabilmektedir. Böylece kullanıcılar bilgisayarlarında kullandıkları kullanıcı adı ve şifreyle kablosuz ağa bağlanabilmekte, şifre değişimlerinde tüm ağ kullanıcılarına yeni şifre paylaşımı yapılması gerekmemektedir.
WPA2-Personal kullanımında tüm kullanıcılar için tek bir şifre kullanılmaktadır. WPA2 şifresi bazı zafiyetlerinden dolayı Airodump-ng ve Aircrack-ng gibi araçlar kullanılarak doğrulama paketleri (4-way handshake) ele geçirilmekte ve ağ şifresi çeşitli yöntemlerle (bruteforce, wordlist attack gibi) çevrimdışı olarak bulunmaya çalışılmaktadır. Kullanılan ağ şifresi SSID bilgisini içeriyorsa ya da yeterince karmaşık değilse, bulunması çok uzun sürmemektedir. Ortak kablosuz ağ şifresinin kırıldığı tespit edildiğinde acilen şifre değiştirme yoluna gidilir; bu durum hem zaman hem de operasyonel kayba neden olur.
WPA2/WPA3-Enterprise yönteminde her kullanıcı için benzersiz kullanıcı adı ve şifre kullanılmaktadır. Bu yöntemde erişim noktası bir kimlik doğrulama sunucusuna bağlıdır. Bir kullanıcı kablosuz ağa bağlanmaya çalıştığında, sunucu üzerinden her defasında kimlik doğrulama yapılır. Bu işlemler genellikle RADIUS Server (802.1X) üzerinden gerçekleştirilir. Bağlanılan kimlik doğrulama altyapısı, kuruluş bünyesinde kullanılan Active Directory ya da LDAP gibi bir sisteme dayanabilir. Böylece kullanıcının her bağlantı isteği, merkezi kullanıcı hesap yönetimindeki durumuna göre kontrol edilmiş olur; işten ayrılan bir personelin ya da çalıntı bir cihazın şirket ağına dahil olması, ilgili hesap merkezi dizinde devre dışı bırakılarak anında engellenebilir. Bu yöntem, tüm ağ için tek bir şifreyi periyodik olarak değiştirmekten çok daha kolay ve etkin bir yaklaşımdır.
Anahtar Yönetimi
Bir şifreleme sisteminde şifreleme anahtarlarının yönetimine anahtar yönetimi (key management) denir. Anahtarların üretimi, dağıtımı, kullanımı, depolanması, değiş tokuşu ve yaşam döngüsü sonunda kullanım dışı bırakılması, anahtar yönetiminin temel aşamalarıdır. Sistemin tasarımında anahtar sunucuları, kullanıcı prosedürleri ve ilgili protokoller yer alır.
Şifreleme anahtarı oluşturma, anahtarların taşınması ve paylaşılması, kullanımının izlenip kontrol edilmesi, yaşam döngüsü boyunca yetkili kişiler tarafından güvenli biçimde saklanması, erişim ve kullanım kayıtlarının (log) tutulması ve yaşam döngüsü sonunda anahtarın iptal edilmesi (revocation) süreçleri anahtar yönetiminde mutlaka planlanmalıdır.
Kurumsal ölçekte anahtar yönetimi için donanım güvenlik modülleri (HSM – Hardware Security Module) ya da bulut tabanlı anahtar yönetim servisleri (AWS KMS, Azure Key Vault, HashiCorp Vault) kullanılması, özel anahtarların işletim sistemi seviyesinde açığa çıkma riskini önemli ölçüde azaltır. Anahtar yönetim sisteminin FIPS 140-2/140-3 gibi bağımsız sertifikasyon standartlarına uygunluğu, özellikle kritik altyapı ve kamu projelerinde tercih sebebi olmalıdır.
Anahtar yönetiminde tescilli ya da açık kaynak kodlu pek çok şifreleme anahtarı yönetim sistemi kullanılmaktadır. Örneğin OpenSSH, RSA, DSA, ECDSA ve Ed25519 gibi şifreleme tekniklerini destekleyen bir sistemdir. SSH prensibine göre çalışan bu sistemde iki anahtar bulunur: biri private (gizli) anahtar, diğeri public (açık) anahtardır. Public anahtarın yüklendiği sunucu, ilgili private anahtara sahip kişilere erişim yetkisi verir. Dolayısıyla public anahtar herkesle paylaşılabilir; ancak private anahtar olmadan yalnızca public anahtarla erişim sağlanamaz. Günümüzde RSA’ya kıyasla daha kısa anahtar uzunluğuyla eşdeğer güvenlik seviyesi sunan Ed25519 (eliptik eğri kriptografisi) gibi algoritmalar, performans ve güvenlik dengesi açısından giderek daha fazla tercih edilmektedir.
Bu nedenle anahtar yönetiminde anahtar çiftleri oluşturulmalı, erişim en az ayrıcalık (least privilege) prensibiyle sınırlandırılmalı ve yaşam döngüsü düzenli olarak denetlenmelidir.
Güvensiz Şifre Kullanımının İçerdiği Riskler ve Şifre Kırma Yöntemleri
Şifre güvenliğinin önemli bir adımı, kullanılan anahtarın kolayca elde edilmesini engellemek ve şifrenin kırılmasını zorlaştırmaktır. “Şifrenin kırılmasını engellemek” gibi bir ifade kullanılmamasının nedeni, kırılamayacak bir şifrenin bulunmamasıdır. Yeterli süre ve hesaplama gücüyle her türlü şifre kırılabilir. Ancak şifreleme algoritmasının zorluğu (örneğin 4096 bit’lik bir RSA anahtarı ya da 256 bit’lik bir eliptik eğri anahtarı) şifrenin kırılma süresini pratikte imkansız denecek kadar uzatır; bu süre zarfında anahtarın periyodik olarak değiştirilmesi de ek bir güvenlik katmanı sağlar.
Pek çok sistemde karmaşık şifreleme algoritmaları kullanılması sistem güvenliği açısından önemlidir. Ancak kullanıcıların Active Directory, WinRAR, MS Office, Wi-Fi ya da benzeri uygulamalar için seçeceği parolaların da yeterli uzunlukta ve karmaşıklıkta olması, sistem yöneticisinin de kullanıcıları bu yönde politika ile zorlaması, şifre güvenliği açısından belirleyici bir etkendir.
Şifre kırmak için kullanılan yazılımlar çeşitli teknikler kullanmaktadır. Bunlara Bruteforce (kaba kuvvet), Wordlist (sözlük), Word/Mask, Combination ve Hybrid saldırıları örnek verilebilir. Hashcat ve John the Ripper gibi araçlar, GPU hızlandırmalı donanımlarla saniyede milyarlarca deneme yapabilmekte; bu da özet algoritmasının seçiminin (bkz. yukarıdaki bcrypt/Argon2/scrypt karşılaştırması) neden bu denli kritik olduğunu göstermektedir.
Bruteforce saldırısında her bir şifre karakteri için tek tek deneme yapılır ve istenilen haneye kadar tüm olasılıklar sırayla denenir. Örneğin “12345” şeklindeki bir şifre için yalnızca rakam denemesi yapılarak “00001, 00002, … 12344, 12345” sırasıyla ilerlenir ve şifre bulunmuş olur. Bruteforce saldırısında deneme hızı işlemcinin (özellikle GPU’nun) hesaplama gücüne bağlı olarak değişir; paralel çalışan birden fazla işlemci ile şifre çok daha hızlı kırılabilir.
Wordlist saldırısında, önceden hazırlanmış kelime, sayı ya da karmaşık karakter dizilerinden oluşan bir metin dosyasındaki (sözlük gibi) tüm olası şifreler, kırılmak istenen şifre için tek tek denenir. Sözlükte yer alan bir değer hedef özet ile eşleşince şifre kırılmış olur. Çeşitli platformlarda belirli bir dile, ülkeye, en çok kullanılan şifrelere, isimlere ya da şehirlere ait wordlist dosyaları bulmak oldukça kolaydır (RockYou listesi bu konuda en bilinen örneklerden biridir).
Word ve Mask saldırısında ise şifrenin içerebileceği olası bir kelime seçilerek bu kelimeden türetmeler yapılır. Örneğin Wi-Fi SSID bilgisi “elite” kelimesini içeren bir işletme için şifrenin “Elite06” olduğu varsayılsın. Word saldırısında kullanılan yazılıma “elite” kelimesi girdi olarak verilir; yazılım bu kelimeden türeteceği rakam, harf ve simge kombinasyonlarıyla şifre kırma işlemine başlar ve “Elite06” şifresi kısa sürede bulunur. Mask saldırısında da benzer şekilde anahtarın nasıl türetileceğine ilişkin kalıp (örneğin büyük harfle başlayıp iki haneli sayıyla bitmesi) saldırgan tarafından önceden belirlenebilmektedir.
Combination saldırısında birden fazla kelime ve sayı öbeği belirlenerek ya da iki farklı sözlük dosyası karşılaştırılarak şifre kırma çalışması yapılır. Örneğin birinci sözlükte “elite, pizza, burger”, ikinci sözlükte “ankara, 06, 312” kelimelerinin yer aldığı varsayılsın. Bu saldırı türünde “eliteankara, elite06, elite312, pizzaankara, … burger312” şeklindeki tüm kombinasyonlar denenerek şifre kırılmaya çalışılır.
Hybrid saldırısı aslında bir Combination saldırısı türüdür; ancak bu saldırıda çok sayıda sözlük dosyası ve kural dosyası birlikte kullanılır. Kural dosyası; büyük/küçük harf değişimi, sayı ya da harf yer değiştirme, harfe karşılık gelen sayıyı deneme, sayı ya da harfe benzeyen sembolleri deneme gibi dönüşümleri içerir. Örneğin “3L!T3” şeklinde belirlenmiş bir şifre için “e” yerine “3”, “i” yerine ünlem işareti kullanılması kuralını barındıran bir saldırıyla şifre kolaylıkla bulunabilmektedir.
Yukarıda yer alan şifre kırma yöntemlerinden görülebileceği gibi, az karakter içeren, kolay tahmin edilen kelime ya da şahıs/kuruluş ismini barındıran şifreler, sosyal mühendislik çalışmaları ve deneme yanılma yoluyla kolaylıkla kırılabilmektedir. Şifre güvenliği açısından kullanılan şifrelerde kişinin adı, soyadı, memleketi, yaşadığı yer, sosyal medya hesaplarında yer alan bilgiler, çocuklarının adı gibi kişisel veriler asla kullanılmamalıdır. Bu kural; domain yapısındaki kullanıcı şifreleri, Wi-Fi şifreleri ve dosya şifreleri dahil her türlü alan için geçerlidir ve düzenli olarak gözden geçirilmesi gereken bir şifre güvenliği politikası ile desteklenmelidir.
Sonuç olarak, KVKK kapsamında şifre güvenliği; yalnızca güçlü bir parola seçmekle sınırlı bir konu değil, merkezi hesap yönetiminden parola saklama yöntemine, çok faktörlü kimlik doğrulamadan anahtar yönetimine kadar uzanan bütüncül bir teknik ve idari tedbirler bütünüdür. Veri sorumlularının bu unsurları birlikte ele alması, hem yasal yükümlülüklerin karşılanması hem de veri ihlali risklerinin azaltılması açısından kritik önem taşımaktadır.