KOBİ'ler İçin Siber Güvenlik: Bütçeyi Zorlamayan 10 Adım

Küçük ve orta ölçekli işletmelerle güvenlik konuştuğumuzda sık duyduğumuz cümle şudur: "Bizden ne alacaklar ki?" Oysa otomatik saldırılar hedef seçmez. İnternete açık sistemleri araçlarla tarar, açık bulduğu yere girer. Fidye yazılımı için muhasebe dosyalarınız, e-posta dolandırıcılığı için müşteri yazışmalarınız, başka saldırılar için sunucunuz yeterince değerlidir.

İyi haber şu ki birçok risk, büyük yatırım gerektirmeyen önlemlerle ciddi ölçüde azaltılabilir. Aşağıdaki 10 adım bütçeden çok düzen ve süreklilik ister. Hepsini aynı hafta yapmanız gerekmiyor; yazının sonunda hangisinden başlayacağınızı gösteren bir öncelik tablosu var.

Önce ne koruduğunuzu bilin

1. Basit bir envanter çıkarın

Bilmediğiniz bir cihazı güncelleyemez, bilmediğiniz bir hesabı kapatamazsınız. Bir tablo yeterlidir: bilgisayarlar ve telefonlar, sunucular, ağ cihazları, kullanılan bulut servisleri, yönetici hesapları ve önemli verinin nerede durduğu. İnternete açık olan her şeyi (uzak masaüstü, VPN, kamera kayıt cihazı, web panelleri) ayrıca işaretleyin; ilk bakılacak yerler bunlardır.

Çalışanların iş dosyalarını kişisel bulut hesaplarında ya da mesajlaşma uygulamalarında tutması da envanterin parçasıdır. Şirket verisinin şirketin kontrolü dışında nerede durduğunu bilmek hem güvenlik hem de KVKK açısından önemlidir.

Hesapları sağlamlaştırın

2. Çok faktörlü kimlik doğrulamayı açın

Çalınan ya da tahmin edilen parolalar, saldırıların en yaygın başlangıç noktalarındandır. Çok faktörlü kimlik doğrulama (MFA), parola ele geçirilse bile hesabın açılmasını zorlaştırır. Öncelik sırası şöyle olabilir: e-posta hesapları, uzak erişim (VPN), yönetici hesapları, muhasebe ve bankacılık uygulamaları, bulut depolama. SMS kodu hiç yoktan iyidir; doğrulayıcı uygulama ya da donanım anahtarı ise daha güvenlidir.

3. Parola yöneticisi kullanın, varsayılan parolaları değiştirin

Aynı parolanın birden fazla yerde kullanılması, bir sitedeki sızıntının bütün hesaplara yayılması demektir. Kurumsal bir parola yöneticisi her hesap için ayrı ve uzun parola kullanmayı kolaylaştırır, ortak hesapları da kontrollü biçimde paylaşmayı sağlar. Modem, kamera kayıt cihazı, yazıcı ve ağ cihazlarındaki fabrika parolaları ise kurulumun ilk günü değiştirilmelidir.

Parola kuralında da güncel yaklaşım değişti: NIST SP 800-63B gibi güncel yönergeler, kısa ama karmaşık parolalar yerine uzun parola cümlelerini, belirli aralıklarla zorunlu değişim yerine sızıntı şüphesi olduğunda değişimi öne çıkarıyor. Çalışanlar için hem daha kolay hem daha güvenli bir düzen.

4. Yetkileri kısın, ayrılanların hesabını kapatın

Günlük işini yapan bir kullanıcının bilgisayarında yönetici yetkisi olması, açtığı zararlı bir ekin de o yetkiyle çalışması demektir. Yönetici hesaplarını ayrı tutun ve yalnızca gerektiğinde kullanın. İşten ayrılan personelin hesaplarını aynı gün kapatın; ortak klasör ve bulut paylaşımlarını da gözden geçirin. Bunun için kısa bir "işe giriş – işten çıkış" kontrol listesi yeterlidir.

Sistemleri güncel ve temiz tutun

5. Güncellemeleri düzenli uygulayın

Saldırganlar çoğunlukla yepyeni açıkları değil, yaması çıkmış ama uygulanmamış açıkları kullanır. İşletim sistemi ve ofis yazılımlarında otomatik güncellemeyi açın. Güvenlik duvarı, VPN cihazı, NAS ve kamera kayıt cihazı gibi internete açık cihazların yazılım güncellemelerini ise takvime bağlayın; çoğu zaman unutulan bu cihazlar, saldırganların özellikle aradığı hedeflerdir.

Desteği sona ermiş işletim sistemleri ve cihazlar artık güvenlik yaması almaz. Envanterde bunları işaretleyin ve bir değişim planı yapın; hemen değiştirilemiyorsa ağın geri kalanından ayırın ve internete erişimlerini sınırlayın.

6. Uç nokta koruması ve disk şifreleme

Her bilgisayarda güncel ve merkezden izlenebilen bir uç nokta koruma yazılımı bulunmalıdır. Yalnızca imzaya değil davranışa bakan çözümler (EDR), fidye yazılımının toplu şifreleme davranışını erken yakalamaya yardımcı olur. Dizüstü bilgisayarlarda disk şifrelemesini açın; böylece kaybolan ya da çalınan bir bilgisayar, veri sızıntısı değil yalnızca donanım kaybı olarak kalır.

Ağın kapılarını kapatın

7. Güvenlik duvarı, ağ ayrımı ve güvenli uzak erişim

Ev tipi bir modemin arkasında çalışan işletme ağı, trafiği neredeyse hiç denetlemez. Ölçeğe uygun bir güvenlik duvarı gelen ve giden trafiği kurallarla sınırlar, saldırı önleme ve web filtreleme sağlar. Kuralların en az yetki ilkesine göre yazılması şarttır; her şeye izin veren tek bir kural, cihazı süs eşyasına çevirir. Ayrıntıları firewall hizmeti sayfamızda bulabilirsiniz.

• Uzak masaüstünü (RDP) internete açmayın. Uzaktan erişim gerekiyorsa çok faktörlü doğrulamalı bir VPN kullanın. Seçenekleri VPN ve uzak erişim sayfamızda anlattık.
• Misafir ağını ayırın. Misafirlerin ve kişisel telefonların bağlandığı Wi-Fi, şirket bilgisayarları ve sunucularıyla aynı ağda olmamalı.
• Kameraları ve akıllı cihazları ayırın. Kamera kayıt cihazı gibi cihazları ayrı bir VLAN'a alın ve internete doğrudan açmayın.

E-posta ve insan faktörü

8. E-posta güvenliğini kurun

Sahte fatura, değiştirilmiş IBAN ve "acil ödeme" talepleri, işletmelerin sık karşılaştığı dolandırıcılık türlerindendir. Alan adınız için SPF, DKIM ve DMARC kayıtlarını doğru yapılandırmak, adınıza sahte e-posta gönderilmesini zorlaştırır; nasıl yapılacağını SPF, DKIM ve DMARC yazımızda anlattık. Gelen e-postada zararlı ek ve bağlantı filtresi kullanın, dışarıdan gelen e-postalara "dış gönderen" uyarısı ekleyin. Ödeme bilgisi değişikliklerini e-postayla değil, önceden bilinen bir telefon numarasını arayarak doğrulamayı kural hâline getirin.

9. Çalışanları kısa ve düzenli bilgilendirin

Yılda bir kez yapılan uzun bir sunum yerine kısa ve düzenli hatırlatmalar daha kalıcıdır: Şüpheli e-posta nasıl anlaşılır? Şüphelenince kime haber verilir? Parola neden kimseyle paylaşılmaz? En önemli mesaj ise şudur: "Yanlış bir bağlantıya tıkladıysanız hemen söyleyin." Hatasını saklamak zorunda hisseden bir çalışan, küçük bir olayı büyük bir krize çevirebilir.

Önceden duyurulmuş bir program dahilinde, kimseyi suçlamadan yapılan kısa oltalama tatbikatları da farkındalığın nerede olduğunu ölçmeye yardımcı olur. Amaç tıklayanı bulmak değil, şüpheli e-postayı bildiren çalışan sayısını artırmaktır.

Kötü günü önceden planlayın

10. Test edilen yedek ve yazılı bir olay planı

Bütün önlemlere rağmen bir gün bir şey ters gidebilir. O gün sizi kurtaracak olan, yedekten geri dönebilmek ve ne yapacağınızı önceden bilmektir. Yedeklerde 3-2-1 kuralını uygulayın, en az bir kopyayı değişmez ya da çevrimdışı tutun ve geri yüklemeyi düzenli olarak deneyin. Ayrıntıları 3-2-1 yedekleme kuralı yazımızda bulabilirsiniz.

Olay müdahale planı tek sayfa olabilir. İçinde en azından şunlar bulunsun:

• Bir olaydan şüphelenildiğinde ilk aranacak kişi ve teknik destek iletişim bilgileri,
• Etkilenen bilgisayarın ağdan nasıl ayrılacağı (ağ kablosunu çekmek, Wi-Fi'yi kapatmak),
• Hangi parolaların hemen değiştirileceği,
• Müşterilere, bankaya ve gerekiyorsa resmî kurumlara kimin, nasıl haber vereceği.

Kişisel verileri etkileyen bir ihlalde, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü doğabilir; bu bildirim için tanınan süre kısadır. Ayrıntıları olay yaşanmadan önce hukuk danışmanınızla netleştirin.

Nereden başlamalı? Öncelik tablosu

Aşağıdaki tablo, adımları maliyet ve etkiye göre sıralamak için bir başlangıç noktasıdır. İşletmenizin durumuna göre sıralama değişebilir; örneğin internete açık bir uzak masaüstü bağlantınız varsa onu kapatmak listenin en başına geçer.

Bu adımlar oturduktan sonraki seviye, açıkları dışarıdan bakan bir gözle bulmaktır. Bunu siber güvenlik danışmanlığı kapsamında zafiyet taraması ve sızma testiyle yapıyor, bulguları önem sırasına göre bir düzeltme planına çeviriyoruz.

Sık sorulan sorular