Microsoft 365 Secure Score Nedir? KOBİ Rehberi

Microsoft 365 Secure Score, Microsoft'un kurumsal güvenlik durumunuzu sayısal olarak ölçen ücretsiz bir araçtır. Microsoft 365 Defender portalından (security.microsoft.com) erişilebilir; ekstra bir kurulum gerektirmez.

Puan 0 ile 100 arasında değişir. Microsoft, M365 ortamınızı tarar ve belirli güvenlik aksiyonlarını gerçekleştirip gerçekleştirmediğinizi değerlendirir. Her aksiyonun ağırlıklı bir puan değeri var. MFA'yı etkinleştirmek, Conditional Access politikası oluşturmak, zararlı yazılım korumasını açmak gibi adımlar puana yansır.

Puanın hesaplanma mantığı şu şekilde çalışır: Uyguladığınız güvenlik aksiyonlarından kazanılan toplam puan, maksimum olası puanla oranlanır. Sonuç yüzde olarak gösterilir. Ortamınız büyüdükçe, daha fazla lisans ve hizmet eklendikçe maksimum puan da artar.

Secure Score'un değeri rakamın kendisinde değil, önceliklendirme aracı olarak işlev görmesinde. "Hangi aksiyonu yaparsam en çok güvenlik kazanımı sağlarım?" sorusunu somut verilerle yanıtlıyor. Her öneri için beklenen puan artışı, etkilenen kullanıcı sayısı ve uygulama rehberi sunuluyor.

Secure Score panelinde onlarca öneri göreceksiniz. Hepsini aynı anda uygulamak gerekmez ve çoğu zaman mümkün de değil. Yüksek puan katkısı ile düşük uygulama karmaşıklığının kesiştiği aksiyonlara öncelik vermek en verimli yaklaşım.

KOBİ'ler için en etkili ilk aksiyonlar tipik olarak şunlar:

• MFA zorunluluğu (yüksek etki): Tüm yönetici hesapları ve kullanıcılar için çok faktörlü kimlik doğrulama aktif edilmesi. Tek başına bu adım, kimlik tabanlı saldırıların büyük çoğunluğunu engeller. Secure Score'a katkısı genellikle 10-15 puan arasında.
• Conditional Access güvenlik varsayılanları veya politikaları: Entra ID üzerinden bağlama dayalı erişim kuralları. "Yeni cihazdan giriş varsa MFA iste", "riskli oturum tespit edilirse engelle" gibi politikalar. M365 Business Premium ve üzeri için mevcut.
• Microsoft Defender for Office 365: E-posta tabanlı tehditlere karşı koruma. Zararlı bağlantı taraması (Safe Links), kötü amaçlı ek tespiti (Safe Attachments) ve kimlik avı koruması. Pek çok M365 planında dahil — aktif etmek yeterli.
• Privileged account koruma: Yönetici hesaplarına ayrı koşullar uygulayın. Global Admin rolünü günlük işler için kullanmayın; ayrı bir yönetici hesabı tanımlayın.
• Eski kimlik doğrulama protokollerini devre dışı bırakmak: SMTP, IMAP, POP3 gibi eski protokoller MFA'yı by-pass edebilir. Kullanılmıyorsa kapatın.

Bu beş aksiyon çoğu KOBİ için Secure Score'u ciddi ölçüde artırır ve asıl önemlisi gerçek güvenlik riskini azaltır. Puan bir hedef değil, gösterge — iyileşen puan, azalan risk demek.

Secure Score'a ilk kez bakıyorsanız tablonun büyüklüğü bunaltıcı gelebilir. Onlarca öneri, çeşitli kategoriler, farklı puan ağırlıkları. Başlangıç noktasını bulmak için basit bir filtre işe yarıyor.

Şu iki kriteri aynı anda uygulayın: Puan etkisi yüksek (10 puan ve üzeri) ve uygulama karmaşıklığı düşük veya orta. Bu filtre, "bugün başlayabileceğim ve anlamlı etki yaratacak" listesini kısa tutar.

Pratik bir başlangıç planı:

• 1. Hafta: security.microsoft.com'a girin, mevcut puanınızı görün. Üst 5 öneriyi not alın.
• 2. Hafta: MFA'yı tüm yönetici hesaplarına zorunlu kılın. Kullanıcılara önceden bilgilendirme yapın.
• 3-4. Hafta: Tüm kullanıcılara MFA'yı yayın. Microsoft Authenticator kılavuzunu ekiple paylaşın.
• 2. Ay: Conditional Access politikalarını devreye alın. Önce report-only (sadece raporlama) modunda test edin, ardından enforce edin.
• 3. Ay: Defender for Office 365 ayarlarını gözden geçirin. Safe Links ve Safe Attachments aktif mi? Anti-phishing politikaları yapılandırıldı mı?

Bu zaman diliminde uygulanabilir, gerçekçi bir plan. Her adım sonrasında Secure Score'u kontrol edin — puan artışını görmek ekip için motive edici olabiliyor.

Gibibyte olarak müşterilerimizin Secure Score değerlendirmelerini yaptığımızda karşılaştığımız tablo tutarlı: Ortalama başlangıç puanı 30-40 civarında, yani M365 ortamının güvenlik potansiyelinin yalnızca üçte biri kullanılıyor.

Bunun nedeni teknik bilgi eksikliğinden çok önceliklendirme ve zaman sorunu. IT yöneticisi veya kurumsal sistem sorumlusu günlük operasyonel yükle uğraşırken güvenlik iyileştirmeleri erteleniyor. Araçlar zaten lisansta mevcut; aktif etmek için zaman ve rehberlik eksik.

Müşterilerimizle yürüttüğümüz 60-90 günlük iyileştirme sürecinde somut puan artışları sağlıyoruz. Bu süreçte yaptıklarımız:

• Mevcut Secure Score ve açık aksiyonların önceliklendirilmesi
• MFA, Conditional Access ve Defender yapılandırmaları
• Eski protokollerin ve gereksiz yönetici yetkilerinin temizlenmesi
• IT ekibine aktarım: Sonraki aksiyonları nasıl sürdürecekler

Secure Score bir kez yükseltip bırakılan bir şey değil. Microsoft yeni öneriler eklediğinde, ortamınız büyüdüğünde, yeni lisanslar eklendiğinde puanınız yeniden güncellenir. Sürdürülebilir bir güvenlik yaklaşımı için düzenli gözden geçirme alışkanlığı önemli.

MFA'nın güvenlik ötesinde Copilot erişimine etkisini ve Copilot dağıtımı öncesi yapılması gerekenleri de okuyabilirsiniz.

Önemli bir uyarıyla bitirelim: Secure Score yüksek bir güvenlik puanı, saldırıya uğramayacağınız anlamına gelmiyor. Araç, Microsoft ekosistemi içindeki konfigürasyon güvenliğini ölçüyor — üçüncü taraf uygulamalar, fiziksel güvenlik, insan faktörü gibi boyutları kapsam dışında bırakıyor.

Bununla birlikte Secure Score, güvenlik yatırımlarını önceliklendirmek için pratik ve nesnel bir başlangıç noktası. "Neyi yapacağız?" sorusuna veri destekli bir cevap sunuyor.

Secure Score'u daha geniş bir güvenlik çerçevesine oturtmak istiyorsanız, Zero Trust modelinin KOBİ'ler için nasıl uygulandığını inceleyin. Secure Score aksiyonlarının büyük çoğunluğu, Zero Trust yolculuğunun somut adımlarıyla örtüşüyor.

Kendi Secure Score'unuzu görmek ve hangi aksiyonların önceliğiniz olması gerektiğini değerlendirmek için ekibimizle ücretsiz bir ön değerlendirme yapabilirsiniz. M365 ortamınıza bakarak 3-5 öncelikli aksiyon listesini 1 hafta içinde sunuyoruz.

Gibibyte olarak her müşteride Secure Score analizi ve kişiye özel iyileştirme yol haritası sunuyoruz. Artışın büyük bölümü ilk 30 günde MFA, Conditional Access ve temel Defender yapılandırmalarıyla gerçekleşiyor. Cihaz yönetimi için Intune başlangıç kılavuzumuzu da inceleyebilirsiniz — Intune uyumluluk politikaları Secure Score'a doğrudan katkı sağlıyor.