Siber Güvenlik Nedir? KOBİ'ler İçin Önlemler

01Siber Güvenlik Neyi Korur?

Siber güvenlik üç temel hedefe dayanır: verinin gizliliği, yani yalnız yetkili kişilerce görülmesi; bütünlüğü, yani izinsiz değiştirilmemesi; ve erişilebilirliği, yani ihtiyaç duyulduğunda kullanılabilmesi. Bir saldırı bu üçünden en az birini bozar.

Küçük bir işletmede korunması gerekenler sanıldığından fazladır: müşteri listesi ve iletişim bilgileri, muhasebe kayıtları, banka ve ödeme bilgileri, e-posta yazışmaları, web sitesi ve rezervasyon ya da sipariş sistemi. Bunların her biri hem ticari değer hem de yasal sorumluluk taşır.

02KOBİ'ler Neden Hedefte?

Sık duyulan yanılgı, saldırganların yalnız büyük şirketleri hedeflediğidir. Gerçekte saldırıların büyük kısmı otomatikleştirilmiştir: internet sürekli taranır, güncellenmemiş bir site, zayıf parolalı bir hesap ya da açık bırakılmış bir uzak masaüstü bağlantısı bulunduğunda büyüklüğüne bakılmadan istismar edilir.

KOBİ siber güvenlik konusundaki asıl zorluk kaynaktır: ayrı bir güvenlik ekibi yoktur, BT işleri çoğu zaman bir çalışanın ek görevidir. İyi haber şu ki saldırıların önemli bir bölümü pahalı ürünlerle değil, birkaç temel alışkanlıkla önlenebilir.

03Siber Saldırı Türleri

Küçük işletmelerin en sık karşılaştığı siber saldırı türleri teknik olmaktan çok insan odaklıdır. Saldırgan çoğu zaman bir sistemi kırmaz; birini kandırarak kapıyı açtırır.

Oltalama (Phishing)

Banka, kargo firması ya da tanıdık bir tedarikçi gibi görünen e-posta veya mesajla kullanıcıyı sahte bir giriş sayfasına yönlendirip parolasını çalma yöntemidir. Ayırt edici işaretleri ve korunma yolları phishing nedir yazımızda ayrıntılı anlatılıyor.

Fidye Yazılımı

Bilgisayar ve sunucudaki dosyaları şifreleyip açmak için ödeme isteyen zararlı yazılımlardır. Ödeme yapmak dosyaların geri geleceğini garanti etmez; tek gerçek güvence ağdan ayrı tutulmuş yedeklerdir. Konuyu fidye yazılımı rehberinde ayrıca ele aldık.

Sahte Fatura ve CEO Dolandırıcılığı

Saldırgan, ele geçirdiği ya da taklit ettiği bir e-posta hesabıyla tedarikçi veya yönetici gibi yazar ve ödemenin yeni bir hesaba yapılmasını ister. Zararlı yazılım içermediği için filtrelerden kolayca geçer; en etkili önlem telefonla teyit kuralıdır.

Parola Saldırıları

Başka sitelerden sızdırılmış kullanıcı adı ve parola çiftleri, aynı parolayı kullanan hesaplarda otomatik olarak denenir. Bir sitede sızan parola, onu tekrar kullandığınız her hesabı tehlikeye atar.

Web Sitesi Açıkları ve DDoS

Güncellenmemiş yazılım bileşenleri, zayıf yönetim paneli parolaları ve hatalı form işleme web sitelerinin en yaygın zayıf noktalarıdır. DDoS saldırıları ise siteyi sahte trafikle boğarak erişilemez hale getirir.

04Düşük Bütçeli Temel Önlemler

Aşağıdaki şirket güvenlik önlemleri büyük yatırım gerektirmez ama saldırı yüzeyini ciddi biçimde daraltır. Hepsini aynı anda yapmak zorunda değilsiniz; ilk üç madde en yüksek getiriyi sağlar.

• İki adımlı doğrulama: e-posta, banka, muhasebe, sosyal medya ve site yönetim paneli hesaplarında zorunlu yapın.
• Benzersiz ve uzun parolalar: her hesap için ayrı parola kullanın ve bir parola yöneticisinde saklayın; nasıl oluşturulacağı güçlü şifre oluşturma yazısında anlatılıyor.
• Düzenli güncelleme: işletim sistemi, tarayıcı, ofis yazılımları, modem ve web sitesi bileşenlerinde otomatik güncellemeyi açın.
• Ayrı yedek: en az bir kopyası ağdan bağımsız ya da değiştirilemez biçimde saklanan otomatik yedekler alın.
• En az yetki: her çalışan yalnız işini yapmak için gereken hesaplara erişsin; yönetici hesapları günlük kullanımda kullanılmasın.
• Misafir ağı: müşterilere açık Wi-Fi'yi kasa, yazar kasa ve ofis bilgisayarlarının bulunduğu ağdan ayırın.
• Çıkış süreci: işten ayrılan çalışanın hesaplarını aynı gün kapatın, ortak parolaları değiştirin.

05Web Sitesi ve Sunucu Güvenliği

Web siteniz çoğu zaman işletmenizin internete açık tek kapısıdır. Sitenin HTTPS ile sunulması, yönetim panelinin güçlü kimlik doğrulamayla korunması, kullanılmayan bileşenlerin kaldırılması ve sunucu yazılımlarının güncel tutulması temel gerekliliklerdir. Yeni bir kurumsal web sitesi yaptırırken bu maddeleri teklif aşamasında sormak, sonradan yama yapmaktan çok daha kolaydır.

Güvenlik ile performans çoğu zaman aynı katmanlarda çalışır: güncel sunucu yazılımı, doğru yapılandırılmış önbellek ve CDN, saldırı trafiğini sitenize ulaşmadan süzen bir ağ katmanı. Bu ayarları hız ve performans yönetimi çalışmalarında birlikte ele alıyoruz.

Online satış yapıyorsanız ödeme sayfalarının güvenliği ayrıca önemlidir. Kart verisinin doğrudan sizin sunucunuzdan geçmediği, ödeme kuruluşunun güvenli altyapısını kullanan bir e-ticaret altyapısı bu riski büyük ölçüde azaltır. Rezervasyon ve sipariş sistemleri gibi sektörel yazılım çözümlerinde de kullanıcı yetkileri ve işlem kayıtları güvenliğin temel parçasıdır.

06Çalışan Farkındalığı

Teknik önlemler ne kadar güçlü olursa olsun, bir çalışanın sahte bir bağlantıya parolasını girmesi tüm yapıyı aşabilir. Bu yüzden farkındalık, güvenliğin en ucuz ve en etkili katmanıdır.

Uzun eğitimler yerine kısa ve düzenli hatırlatmalar daha iyi sonuç verir. Ekip toplantılarında gerçek bir oltalama örneği göstermek, şüpheli bir postanın kime bildirileceğini netleştirmek ve hata yapanı suçlamayan bir kültür kurmak, sorunların erken fark edilmesini sağlar.

• Beklenmedik ek ve bağlantılara tıklamadan önce göndereni farklı bir kanaldan doğrulayın.
• Ödeme ve banka bilgisi değişikliklerini her zaman telefonla teyit edin.
• USB bellekleri ve kişisel cihazları iş bilgisayarlarına kontrolsüz takmayın.
• Şüpheli durumu saklamak yerine hemen bildirin; erken bildirim zararı küçültür.

07Saldırı Anında Ne Yapmalı?

Önceden yazılmış kısa bir olay müdahale planı, panik anında doğru adımları atmanızı sağlar. Plan tek sayfa olabilir; önemli olan kimin ne yapacağının ve kimin aranacağının belli olmasıdır.

1. Etkilenen cihazı ağdan ayırın ama kapatmayın; inceleme için iz kalması önemlidir.
2. Ele geçirildiğinden şüphelenilen hesapların parolalarını başka bir cihazdan değiştirin ve açık oturumları kapatın.
3. Bankanızı ve ödeme sağlayıcınızı arayın; şüpheli işlemleri durdurun.
4. Ne olduğunu, ne zaman fark edildiğini ve hangi verilerin etkilendiğini kayıt altına alın.
5. Temiz yedekten geri dönmeden önce saldırının giriş noktasını kapatın.
6. Ulusal Siber Olaylara Müdahale Merkezi USOM duyurularını takip edin ve gerekiyorsa bildirim yapın.

08KVKK ve Veri Güvenliği

Müşteri adı, telefonu, adresi gibi bilgileri işleyen her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bu verilerin güvenliğini sağlamakla yükümlüdür. Kanun, veri sorumlusunun uygun teknik ve idari tedbirleri almasını ister.

Veri ihlali yaşandığında ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir; Kurul kararlarında bu bildirim için 72 saatlik bir süre öngörülmüştür. Bu yazı genel bilgi niteliğindedir; yükümlülüklerinizin ayrıntısı için güncel mevzuatı ve hukuk danışmanınızı kontrol edin.