Microsoft 365 Güvenlik Ayarları: KOBİ İçin Kontrol Listesi

Microsoft 365 güvenlik ayarlarına nereden başlanmalı?

Microsoft 365 güvenlik ayarlarına lisansınızı netleştirerek başlayın; hangi kontrolü kullanabileceğinizi plan belirler. Microsoft 365 (eski adıyla Office 365) Business Basic, Standard ve Premium planlarının üçü de istenmeyen posta, kötü amaçlı yazılım ve kimlik avı korumasıyla gelir. Microsoft 365 for business security best practices sayfasına göre Koşullu Erişim, Intune Plan 1, Defender for Business ve Defender for Office 365 Plan 1 ise yalnız Business Premium'da yer alır.

Microsoft, Business Premium'u 300 kullanıcıya kadar olan işletmeler için tanımlar. Planların güvenlik dışındaki farkları Business Basic, Standard ve Premium karşılaştırmamızda, planın içeriği Business Premium ürün sayfamızda yer alır. Aşağıdaki tablo yalnız bu listedeki ayarların hangi planda kullanılabildiğini özetler.

Basic ya da Standard kullanan bir KOBİ de kimlik, e-posta, paylaşım ve izleme adımlarını uygulayabilir. Tüm ofisi ağ, telefon ve uç noktayla birlikte planlıyorsanız KOBİ ofis BT altyapısı kurulum rehberimiz bu listenin genel resimdeki yerini gösterir.

Kimlik güvenliği: güvenlik varsayılanları mı, Koşullu Erişim mi?

Lisansınızda Koşullu Erişim yoksa güvenlik varsayılanlarını açık tutun; Business Premium ya da Entra ID P1 varsa Koşullu Erişim ilkelerine geçin. Microsoft Learn'deki güvenlik varsayılanları belgesine göre bu ayar tüm kullanıcıların MFA'ya kaydolmasını, yöneticilerin her oturumda MFA yapmasını ve eski kimlik doğrulama protokollerinin engellenmesini zorunlu kılar. Aynı belge, MFA'nın kimlik tabanlı saldırıların %99,2'sinden fazlasını engelleyebildiğini belirtir.

İki yöntem birlikte çalışmaz; Koşullu Erişim'e geçen kuruluş güvenlik varsayılanlarını kapatır. Arada boşluk kalmaması için ilkeleri önce rapor modunda (report-only) kurun: ilke değerlendirilir ama uygulanmaz, sonucu oturum açma günlüğüne yazılır. Microsoft'un yönettiği hazır ilkeler de rapor modunda gelir ve kapatılmazsa, önceden bildirilerek genellikle en az 30 gün sonra Microsoft tarafından açılır.

1. İki acil durum (break-glass) hesabı oluşturun: Global Administrator rolünde, yalnız bulutta duran (*.onmicrosoft.com), oturum açmayı engelleyen ilkelerden dışlanmış, FIDO2 güvenlik anahtarıyla korunan ve en az 90 günde bir sınanan hesaplar.
2. Global Administrator sayısını azaltın: Microsoft beşten az kişi önerir; CISA SCuBA temel yapılandırmaları en az iki, en fazla sekiz kişi sınırı koyar. Günlük işlerde Exchange Administrator gibi dar roller ve ayrı yönetici hesapları kullanın.
3. Yöneticilere kimlik avına dayanıklı MFA tanımlayın: Koşullu Erişim'deki "Phishing-resistant MFA strength", FIDO2 anahtarı ve Windows Hello for Business gibi yöntemleri kabul eder.
4. Tüm kullanıcılara MFA'yı ve eski kimlik doğrulama engelini uygulayın: Microsoft Authenticator onayda kullanıcıdan bir sayı girmesini ister; bu, MFA yorgunluğu saldırılarını zorlaştırır.
5. Uygulama onayını sınırlayın: Microsoft, kullanıcı onayını doğrulanmış yayıncılarla sınırlamayı önerir.
6. Parola süresinin dolmasını kapatın: Microsoft yalnız bulut hesaplarında parolaların süresinin dolmamasını ve en az 14 karakteri önerir.

Exchange Online'da temel kimlik doğrulama POP, IMAP, EWS ve ActiveSync için kalıcı olarak kapatıldı; SMTP AUTH istisnası sürüyor. Exchange ekibinin Ocak 2026 duyurusuna göre SMTP AUTH için temel kimlik doğrulama mevcut kiracılarda Aralık 2026 sonunda varsayılan olarak kapanacak, yönetici gerekirse yeniden açabilecek. SMTP AUTH kullanan yazıcı ve uygulamaları şimdiden listeleyin; şirket içi Exchange'den buluta geçiyorsanız bu listeyi geçiş planınıza ekleyin, seçenekleri Exchange Server destek sonu ve Exchange Online geçişi yazımızda karşılaştırın.

Microsoft 365 yönetim merkezindeki Baseline security mode (Ayarlar > Kuruluş ayarları > Güvenlik ve gizlilik) bu tür ayarları tek sayfada toplar; Microsoft her ayar için önce etki raporunu çalıştırmayı, etkisi sıfır görünen ayarı açmayı önerir.

Cihazlar Intune ve Defender for Business ile nasıl korunur?

Şirket verisine erişen her cihazı Intune yönetimine ve Defender for Business korumasına alın, Koşullu Erişim'de yalnız uyumlu cihazlara izin verin. Microsoft'un tanımıyla Defender for Business, Defender for Endpoint tabanlı ve 300 kullanıcıya kadar işletmeler için tasarlanmış bir uç nokta güvenlik çözümüdür.

• Uyumluluk ilkesi: En düşük işletim sistemi sürümü, root/jailbreak yapılmamış olma ve tehdit düzeyi gibi kurallar tanımlayın. "İlkesi atanmamış cihazları şöyle işaretle" ayarı varsayılan olarak "Uyumlu"dur; Microsoft, Koşullu Erişim ile kullanırken bunu "Uyumlu değil" yapmayı önerir.
• Kişisel cihazlar: Intune Plan 1, cihaz yönetiminin yanında mobil uygulama yönetimi (MAM) de sunar; kişisel telefonlarda koruma uygulama düzeyinde kurulabilir.
• Defender for Business kurulumu: Sihirbaz portal erişimini ve e-posta bildirimlerini ayarlar, Windows cihazları kaydeder, yeni nesil koruma ve güvenlik duvarı için varsayılan ilkeleri uygular. Sunucu koruması ek lisans gerektirir.

Bitdefender GravityZone gibi Microsoft dışı bir uç nokta ürünü kullanıyorsanız iki ürünün rolünü baştan planlayın: Microsoft Defender Antivirus bu durumda etkin, pasif ya da devre dışı modda çalışır; mod, cihazın Defender for Endpoint'e alınıp alınmadığına bağlıdır. Seçim için GravityZone paketleri karşılaştırmamıza, sıkılaştırma için saldırı yüzeyini azaltma rehberimize bakın.

E-posta güvenliği için hangi ayarlar açılmalı?

E-postada üç iş yapın: hazır güvenlik ilkelerini açın, SPF, DKIM ve DMARC'ı tamamlayın, dış adreslere otomatik iletmeyi kapatın. Microsoft'un Standard ve Strict hazır ilkeleri istenmeyen posta, kötü amaçlı yazılım ve kimlik avı korumasını önerilen ayarlarla tek seferde uygular; Business Premium'da Safe Links, Safe Attachments ve taklit koruması da eklenir.

Kayıtları yayımladıktan sonra alan adınızı e-posta güvenlik kontrol aracımızla tarayabilirsiniz; kademeli geçişin ayrıntısı Microsoft'un DMARC belgesindedir. Giden istenmeyen posta ilkesinde otomatik iletmeyi "Otomatik - Sistem denetimli" yerine açıkça "Kapalı" yapın: Microsoft bu varsayılanın kuruluşa göre farklı davrandığını, dışarıya iletme kurallarının ele geçirilmiş hesaplarca da kurulabildiğini belirtir. Ayrıntı için Defender for Office 365 yazımıza ve Defender for Office 365 ürün sayfamıza bakın.

Dosya paylaşımı ve veri koruması nasıl sınırlandırılır?

SharePoint ve OneDrive'da dış paylaşımı ihtiyacınız olan en dar seviyeye çekin ve varsayılan bağlantı türünü "Belirli kişiler" yapın. Microsoft'un paylaşım belgesine göre OneDrive ayarı SharePoint'ten daha kısıtlayıcı olabilir ama daha serbest olamaz; siteler de kuruluş ayarını aşamaz.

CISA SCuBA SharePoint temel yapılandırması daha sıkıdır: dış paylaşım "Mevcut konuklar" ya da daha dar, varsayılan izin yalnız görüntüleme, "Herkes" bağlantıları en geç 30 günde sona erer. ABD federal kurumları için yazılan bu ölçüt KOBİ'ler için zorunlu değil, karşılaştırma için yararlıdır. Business Premium'daki hassasiyet etiketleri ve DLP ilkeleri hassas içeriği denetlemeye yardımcı olur. Paylaşım ayarları silinen ya da şifrelenen veriyi geri getirmez; yedek için Microsoft 365 yedekleme yazımıza bakın.

Denetim günlüğü ve Secure Score ile nasıl izlenir?

Önce denetim günlüğünün açık olduğunu doğrulayın, sonra Secure Score önerilerini ayda bir gözden geçirin. Microsoft Learn'e göre denetim Business Basic, Standard ve Premium gibi KOBİ lisanslarında varsayılan olarak açık gelmez. Exchange Online PowerShell'de Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled komutu True dönmelidir; Audit (Standard) kayıtları 180 gün saklanır.

Microsoft Secure Score'da her öneri en fazla 10 puandır ve bazıları kısmi puan verir: 100 kullanıcının 50'si MFA ile korunuyorsa ilgili eylemin yarı puanı alınır. Güvenlik varsayılanlarını açmak üç öneriye tam puan getirir: tüm kullanıcılar için MFA (9), yönetici rolleri için MFA (10), eski kimlik doğrulama engeli (7). Puanı hedef değil yapılacaklar listesi sayın; aylık kontrolde yeni önerilere ve acil durum hesaplarındaki oturum açmalara bakın.

Microsoft 365 güvenlik kontrol listesi: hangi sırayla uygulanmalı?

Ayarları, etkisi geniş ve geri alınması kolay olandan başlayarak uygulayın; kullanıcı akışını kesebilecekleri önce rapor modunda sınayın. "Nasıl doğrulanır?" sütunu, ayarın gerçekten uygulandığını görmeniz için hazırlandı.

1. Hazırlık: Lisansları, yönetici rollerini ve eski protokol kullanan cihazları listeleyin; acil durum hesaplarını kurun, denetim günlüğünü açın.
2. Kimlik: Güvenlik varsayılanlarını açın ya da Koşullu Erişim ilkelerini rapor modunda kurup sonuçları inceledikten sonra etkinleştirin.
3. E-posta ve paylaşım: Hazır ilkeleri, DKIM'i ve p=none DMARC kaydını devreye alın; otomatik iletmeyi kapatın, paylaşımı daraltın.
4. Cihaz ve sıkılaştırma: Cihazları Intune ve Defender for Business'a alın, uyumlu cihaz koşulunu ekleyin, DMARC'ı p=reject'e taşıyın.

Ölçüt basittir: acil durum hesabı Koşullu Erişim'den önce kurulur; uyumlu cihaz koşulu ise cihazlar kaydedilmeden açılırsa kullanıcı erişimini keser.

Sık sorulan sorular

Güvenlik varsayılanları ile Koşullu Erişim aynı anda açık olabilir mi?

Hayır. Microsoft Learn'e göre Koşullu Erişim ilkelerini kullanmaya başlayan kuruluş güvenlik varsayılanlarını kapatmalıdır. Koruma boşluğu oluşmaması için yeni ilkeleri önce rapor modunda kurun, oturum açma günlüğündeki sonuçları inceleyin, ardından ilkeleri açıp güvenlik varsayılanlarını kapatın. Microsoft'un yönettiği hazır ilkeler bu geçişi kolaylaştırır.

Business Standard kullanıyoruz; MFA için Business Premium şart mı?

Hayır. Güvenlik varsayılanları tüm planlarda ek ücret olmadan kullanılabilir ve tüm kullanıcılar için MFA'yı zorunlu kılar. Business Premium ya da Entra ID P1; konuma, cihaz uyumluluğuna veya kullanıcı grubuna göre farklı kural yazmak ve yöneticilere kimlik avına dayanıklı MFA tanımlamak gerektiğinde anlam kazanır. Plan seçimini birlikte değerlendirmek isterseniz: Bize ulaşın.

E-posta gönderen yazıcılar ve uygulamalar ne olacak?

Exchange ekibinin Ocak 2026 duyurusuna göre SMTP AUTH için temel kimlik doğrulama mevcut kiracılarda Aralık 2026 sonunda varsayılan olarak kapanacak, yöneticiler gerekirse yeniden açabilecek; bu tarihten sonra açılan kiracılarda varsayılan olarak sunulmayacak. Kesin kaldırma tarihi 2027'nin ikinci yarısında duyurulacak. Cihazları listeleyin, üreticinin OAuth desteğini kontrol edin ve gerekirse Microsoft Graph gibi alternatif yolları planlayın.

Bitdefender kullanıyorsak Defender for Business'a da ihtiyacımız var mı?

Uç noktada tek bir birincil koruma ürünü belirlemek yönetimi sadeleştirir. Microsoft Defender Antivirus, Microsoft dışı bir antivirüs varken etkin, pasif ya da devre dışı modda çalışır; mod, cihazın Defender for Endpoint'e alınıp alınmadığına bağlıdır. Hangi ürünü seçerseniz seçin, MFA, Koşullu Erişim ve e-posta ayarlarının Microsoft 365 tarafında ayrıca yapılması gerekir.

Acil durum (break-glass) hesabı nedir, nasıl korunur?

Normal yönetici hesaplarına erişilemediğinde kiracıya girmek için tutulan, kişiye atanmamış Global Administrator hesaplarıdır. Microsoft en az iki adet, yalnız bulutta duran (*.onmicrosoft.com) hesap önerir. Bu hesaplar oturum açmayı engelleyen Koşullu Erişim ilkelerinden dışlanır, FIDO2 güvenlik anahtarı gibi kimlik avına dayanıklı bir yöntemle korunur, kullanımları izlenir ve en az 90 günde bir sınanır.

Sonuç

• Lisans kontrolleri belirler: güvenlik varsayılanları her planda, Koşullu Erişim Business Premium ya da Entra ID P1 ile.
• Acil durum hesabı, MFA, eski kimlik doğrulama engeli ve rol azaltma en hızlı getirili adımlardır.
• Hazır e-posta ilkeleri, DKIM, kademeli DMARC ve otomatik iletmenin kapatılması kimlik adımlarını tamamlar.
• Denetim günlüğü KOBİ planlarında elle açılmalı, Secure Score aylık izlenmelidir.

Sora Yazılım Teknolojileri, İstanbul Ataşehir merkezli bir teknoloji firması olarak Microsoft 365 için lisans seçimi, tedarik, kurulum ve destek hizmeti sunar; uygulama kapsamı sözleşmede belirlenir. Planları Microsoft 365 çözümlerimiz sayfasında inceleyebilirsiniz.

Ücretsiz keşif görüşmesi · WhatsApp: WhatsApp Destek · Telefon: +90 544 785 21 87 · E-posta: talep@sorayazilim.com

Kaynaklar

1. Security defaults in Microsoft Entra ID — Microsoft Learn, 16.10.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
2. Conditional Access overview ve Microsoft-managed policies — Microsoft Learn, 2026. learn.microsoft.com (erişim: 19 Ekim 2026)
3. Manage emergency access admin accounts (05.06.2026) ve Best practices for Microsoft Entra roles — Microsoft Learn, 01.06.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
4. Microsoft 365 for business security best practices — Microsoft Learn, 28.05.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
5. Baseline security mode settings — Microsoft Learn, 30.09.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
6. What is Microsoft Defender for Business? — Microsoft Learn, 2026. learn.microsoft.com (erişim: 19 Ekim 2026)
7. Device compliance policies in Microsoft Intune — Microsoft Learn, 02.07.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
8. Microsoft Defender Antivirus compatibility with other security products — Microsoft Learn, 21.08.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
9. DKIM, DMARC ve otomatik iletme belgeleri (Defender for Office 365) — Microsoft Learn, 2026. learn.microsoft.com (erişim: 19 Ekim 2026)
10. Manage sharing settings for SharePoint and OneDrive — Microsoft Learn, 30.06.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
11. Turn auditing on or off — Microsoft Learn, 19.06.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
12. Microsoft Secure Score — Microsoft Learn, 07.03.2026. learn.microsoft.com (erişim: 19 Ekim 2026)
13. Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline — Microsoft Exchange Team, 27.01.2026. techcommunity.microsoft.com (erişim: 19 Ekim 2026)
14. CISA SCuBA M365 Secure Configuration Baselines — CISA, ScubaGear 2.0.0. github.com (erişim: 19 Ekim 2026)

Bu içerik nasıl hazırlandı?

Hazırlayan: Sora Yazılım Ekibi. Bu içerik yapay zekâ desteğiyle hazırlandı; teknik bilgiler yazıda bağlantısı verilen üretici ve resmî kaynaklarla 19 Ekim 2026 itibarıyla karşılaştırıldı.

İlgili yazılar

• KOBİ Ofis BT Altyapısı Kurulum Rehberi — Ağ, telefon, e-posta ve uç noktayı tek planda ele alır.
• Microsoft 365 Business Basic, Standard ve Premium Farkı — Planları ekip ihtiyacına göre karşılaştırır.
• Exchange Server 2016/2019 Destek Sonu — Exchange Online ve Exchange SE seçeneklerini anlatır.
• Bitdefender GravityZone Paketleri Karşılaştırması — Business Security, Premium ve Enterprise farkları.
• Uç Noktada Saldırı Yüzeyini Azaltmak — GravityZone ile sıkılaştırma adımları.
• Ruijie Reyee mi, RG Kurumsal Seri mi? — Ofis ağı için ürün ailesi seçimi.
• Wi-Fi 7 Kurumsal Ağlarda Ne Zaman Mantıklı? — Kablosuz ağ yenilemesinin zamanlaması.
• 3CX Santral Kurulum Seçenekleri — Bulut, şirket içi ve SIP trunk karşılaştırması.
• 3CX ve Microsoft Teams Entegrasyonu — Teams'ten santral üzerinden arama.