KOBİ'ler İçin Siber Güvenlik Kontrol Listesi: 12 Kritik Adım

Siber saldırganlar yalnızca büyük şirketleri hedef almaz. Güvenlik ekibi olmayan ve güncellemeleri “nasılsa çalışıyor” diye ertelenen KOBİ'ler çoğu zaman daha kolay bir hedeftir. Fidye yazılımı, ele geçirilen bir e-posta hesabı ya da sahte bir ödeme talimatı; günlerce süren iş kaybına, doğrudan maddi zarara ve emekle kazanılmış müşteri güvenine mal olabilir. İyi haber şu: Pek çok saldırı, temel ve uygun maliyetli önlemlerle kapatılabilecek açıklardan faydalanır. Bu yazıda, işletmenizi bugünden itibaren değerlendirmeye başlayabileceğiniz 12 maddelik pratik bir kontrol listesi bulacaksınız. Her maddede önlemin neden önemli olduğunu ve neyi kontrol etmeniz gerektiğini kısaca anlatıyoruz.

Başlamadan önce: Neyi koruduğunuzu bilin

Göremediğiniz bir şeyi koruyamazsınız. İlk adım; tüm bilgisayarların, sunucuların, ağ cihazlarının, bulut hizmetlerinin ve kritik verilerin güncel bir envanterini çıkarmaktır. Ardından tek bir soru sorun: Yarın hangi sistem dursa işimiz durur? Bu sorunun cevabı, aşağıdaki listede nereden başlayacağınızı belirler.

12 adımda KOBİ siber güvenlik kontrol listesi

1. Çok faktörlü kimlik doğrulamayı (MFA) her yerde açın

Çalınan veya tahmin edilen parolalar, saldırganların en sevdiği giriş kapısıdır. MFA, parola ele geçirilse bile hesabı koruyan ikinci bir kilit ekler.

• E-posta, bulut ofis uygulamaları, VPN, uzak masaüstü ve yönetim panellerinde MFA'yı zorunlu kılın.
• SMS kodları yerine doğrulayıcı uygulamaları, mümkünse FIDO2 güvenlik anahtarlarını veya geçiş anahtarlarını (passkey) tercih edin.
• Yönetici hesaplarından ve finans ekibinden başlayın; istisnaları yazılı ve süreli tutun.

2. Yama yönetimini rutine bağlayın

Bilinen güvenlik açıkları, yamaları yayımlandıktan sonra bile uzun süre istismar edilmeye devam eder. Güncellemeleri “vakit olunca” yapmak, kapıyı aralık bırakmak demektir.

• İşletim sistemleri, tarayıcılar, ofis yazılımları ve iş uygulamaları için otomatik güncellemeleri açın.
• İnternete açık sistemlere (güvenlik duvarı, VPN, e-posta sunucusu) ve kritik açıklara öncelik verin.
• Ağ cihazlarının ve yazıcıların donanım yazılımlarını (firmware) unutmayın.
• Üretici desteği sona ermiş işletim sistemlerini ve cihazları tespit edip donanım yenileme planınıza ekleyin.

3. Yedeklemeyi 3-2-1 kuralıyla kurgulayın ve geri yüklemeyi test edin

Yedekler, fidye yazılımına karşı son savunma hattınızdır; ancak yalnızca saldırgan onlara ulaşamıyorsa. 3-2-1 kuralı basittir: Verinizin en az üç kopyası, iki farklı ortamda bulunmalı ve bunlardan biri farklı bir konumda tutulmalıdır.

• En az bir kopyayı çevrimdışı (offline) ya da değiştirilemez (immutable) bir depolamada saklayın; ağa sürekli bağlı bir yedek diskini fidye yazılımı da şifreleyebilir.
• Yedekleme sistemine ayrı ve MFA ile korunan yönetici hesaplarıyla erişin.
• E-posta ve dosya paylaşımı gibi bulut verilerini de kapsama alın; bir bulut hizmeti tek başına yedek değildir.
• Ne kadar veri kaybını (RPO) ve kesintiyi (RTO) kabul edebileceğinizi belirleyin, geri yüklemeyi düzenli olarak test edin ve bu hedeflere ulaşıp ulaşmadığınızı ölçün. Test edilmemiş bir yedek, yalnızca bir umuttur.

4. E-postayı güçlendirin, ekibinizi oltalamaya karşı uyanık tutun

Pek çok saldırı tek bir e-postayla başlar: sahte bir fatura, bir kargo bildirimi ya da “acil” bir ödeme talebi.

• Alan adınız için SPF, DKIM ve DMARC kayıtlarını yapılandırın; DMARC politikasını izleme modundan önce karantinaya, ardından reddetmeye kademeli olarak taşıyın.
• Gelişmiş istenmeyen posta, zararlı ek ve bağlantı filtrelemesini etkinleştirin; dışarıdan gelen e-postaları belirgin biçimde etiketleyin.
• Banka hesabı değişikliklerini ve acil ödeme taleplerini, e-postadaki numarayı değil kayıtlı numarayı arayarak teyit etmeyi kural hâline getirin.
• Çalışanlarınıza şüpheli e-postaları tek tıkla bildirebilecekleri basit bir yöntem sunun.

5. Uç noktaları antivirüsün ötesinde koruyun (EDR)

Klasik antivirüs bilinen zararlıları yakalar; modern saldırılar ise çoğu zaman meşru araçları kötüye kullanır. EDR (uç nokta tespit ve müdahale) çözümleri şüpheli davranışları tespit eder, cihazı ağdan yalıtabilir ve olayın izini sürmenizi sağlar.

• Tüm bilgisayar ve sunuculara merkezi olarak yönetilen bir EDR çözümü kurun ve uyarıları gerçekten birinin takip ettiğinden emin olun.
• Dizüstü bilgisayarlarda disk şifrelemeyi (BitLocker, FileVault) etkinleştirin.
• Şirket verilerine erişen telefonları mobil cihaz yönetimi (MDM) ile yönetin.
• Kullanıcıların kendi başlarına yazılım kurmasını sınırlandırın.

6. Yetkileri en aza indirin, hesap hijyenini koruyun

Her kullanıcı yalnızca işini yapmasına yetecek erişime sahip olmalıdır. Böylece bir hesap ele geçirildiğinde ortaya çıkacak zarar, o hesabın yetkileriyle sınırlı kalır.

• Günlük işler için yönetici hesabı kullanılmamalı; yöneticilere ayrı ve MFA korumalı hesaplar açın.
• İşten ayrılan çalışanların ve tedarikçilerin hesaplarını son çalışma gününde kapatan bir süreç işletin.
• Ortak kullanılan hesapları ve parolaları kaldırın; bir parola yöneticisi kullanın.
• Klasör ve uygulama yetkilerini en az üç ayda bir gözden geçirin.

7. Güvenlik duvarı ve ağ segmentasyonuyla yayılmayı durdurun

Düz bir ağda tek bir virüslü bilgisayar tüm sunuculara ulaşabilir. Segmentasyon, saldırganın bir odadan diğerine geçmesini engelleyen yangın kapıları gibi çalışır.

• Güncel ve üretici desteği süren bir yeni nesil güvenlik duvarı (NGFW) kullanın; tüm varsayılan parolaları değiştirin.
• Uzak masaüstünü (RDP) ve yönetim arayüzlerini asla doğrudan internete açmayın; uzaktan erişimi MFA korumalı bir VPN üzerinden sağlayın.
• Sunucuları, çalışan bilgisayarlarını, IP kameraları, yazıcıları ve IoT cihazlarını ayrı VLAN'lara ayırın.
• Güvenlik duvarı kurallarını yılda en az bir kez gözden geçirin ve artık gerekmeyenleri kaldırın.

8. Wi-Fi ağınızı güvenceye alın, misafirleri ayırın

Kablosuz ağınız, ofis duvarlarının dışına taşan bir kapıdır.

• WPA3 (desteklenmiyorsa WPA2-AES) kullanın, WPS özelliğini kapatın ve erişim noktalarının varsayılan yönetici parolalarını değiştirin.
• Misafirlere, iç sistemlere hiçbir erişimi olmayan ayrı bir ağ sunun ve misafir parolasını düzenli olarak değiştirin.
• Daha büyük ofislerde kurumsal kimlik doğrulama (WPA2/WPA3-Enterprise) ile herkesin kendi kimliğiyle bağlanmasını sağlayın.
• Misafirlerinize internet erişimi sağlıyorsanız 5651 sayılı Kanun kapsamındaki kayıt (log) yükümlülüklerinizi de değerlendirin.

9. Kayıtları toplayın ve izleyin

Bir saldırıyı ne kadar erken fark ederseniz zarar o kadar küçük kalır. Bunun için kayıtların (log) hem toplanması hem de gerçekten incelenmesi gerekir.

• Güvenlik duvarı, sunucu, e-posta ve bulut hizmeti kayıtlarını merkezi bir sistemde toplayın; tüm cihazların saatlerini senkronize edin.
• Olağan dışı oturum açma, yetki değişikliği ve toplu dosya şifreleme gibi olaylar için otomatik uyarılar tanımlayın.
• Kayıtların saklama sürelerini yasal yükümlülüklerinize ve ihtiyaçlarınıza göre belirleyin.
• Kesintisiz izleme için iç kaynağınız yoksa yönetilen izleme ve teknik destek hizmetinden yararlanın.

10. Olay müdahale planınızı ihtiyaç duymadan önce yazın

Kriz anındaki doğru kararlar, önceden alınmış kararlardır. Tek sayfalık bir plan bile panik içinde kaybedilecek saatleri kurtarır.

• Kimin karar vereceğini, kimlerin aranacağını (BT ortağı, yönetim, hukuk danışmanı, sigorta şirketi) ve bu kişilere nasıl ulaşılacağını yazın.
• İlk adımları netleştirin: Etkilenen cihazı kapatmadan ağdan ayırın, parolaları sıfırlayın, kanıtları koruyun ve temiz yedeklerden geri dönün.
• Planın basılı ya da çevrimdışı bir kopyasını saklayın; sistemler şifrelendiğinde dosya sunucusundaki kopyaya ulaşamazsınız.
• Planı yılda en az bir kez masa başı tatbikatıyla sınayın.

11. Çalışanlarınızı en güçlü savunma hattına dönüştürün

Teknoloji ne kadar güçlü olursa olsun, tek bir tıklama her şeyi değiştirebilir. Eğitimin amacı korku yaratmak değil, doğru refleksler kazandırmaktır.

• Yılda bir kez yapılan uzun sunumlar yerine kısa ve düzenli eğitimler planlayın.
• Gerçekçi oltalama simülasyonları yapın; sonuçları suçlamak için değil, eğitimi iyileştirmek için kullanın.
• Telefonla yapılan sosyal mühendislik, USB bellekler, temiz masa ve ekran kilidi gibi konuları da kapsayın.
• İşe yeni başlayan herkese ilk gün kısa bir güvenlik oryantasyonu verin.
• Hataların hemen bildirilmesini teşvik eden, suçlamayan bir kültür oluşturun.

12. KVKK kapsamındaki veri güvenliği yükümlülüklerinizi bilin

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri sorumlusu olarak işletmenizin; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almasını öngörür. Bu listedeki önlemlerin birçoğu, söz konusu tedbirlerle doğrudan örtüşür.

• Hangi kişisel verileri, nerede ve kimlerin erişimiyle işlediğinizi bilin.
• Erişim yetkilerini, şifrelemeyi, kayıt tutmayı ve yedeklemeyi belgeleyin.
• Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirim yapılması gerektiğini olay müdahale planınıza ekleyin. Kurul kararına göre Kurula yapılacak bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması beklenir.
• Kişisel Verileri Koruma Kurumunun resmî internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberi, teknik ve idari tedbirler için iyi bir başlangıç noktasıdır.

Bu bölüm genel bilgilendirme amacı taşır ve hukuki danışmanlık yerine geçmez; yükümlülüklerinizi hukuk danışmanınızla birlikte değerlendirin. AB'de yerleşik kişilerin verilerini de işliyorsanız GDPR kapsamındaki yükümlülükler de gündeme gelebilir.

Nereden başlamalı? Özet kontrol tablosu

Tüm maddeleri aynı anda hayata geçirmek zorunda değilsiniz. Aşağıdaki tablo, mevcut durumunuzu hızla değerlendirip önceliklerinizi belirlemeniz için hazırlandı. Kaynaklarınız kısıtlıysa ilk üç maddeyle, yani MFA, yama yönetimi ve yedeklemeyle başlamanızı öneririz; bu üçlü, yaygın saldırı senaryolarının pek çoğunun önünü keser.

Sonuç

Siber güvenlik tek seferlik bir satın alma değil, işletmenizle birlikte büyüyen bir alışkanlıktır. Bu listedeki adımların çoğu, doğru yapılandırma ve disiplinli takip sayesinde makul bütçelerle hayata geçirilebilir. Önemli olan, bugün bir yerden başlamak ve ilerlemenizi düzenli olarak ölçmektir.

Mevcut durumunuzu birlikte değerlendirelim. TanerTech; güvenlik duvarından yedekleme mimarisine, ağ segmentasyonundan proaktif izlemeye kadar ihtiyaç duyduğunuz altyapıyı tasarlıyor, kuruyor ve yönetiyor. Teknoloji altyapısı hizmetlerimizi inceleyin ya da bu kontrol listesini işletmenizde birlikte hayata geçirmek için bizimle iletişime geçin.