Neden KOBİ'ler?
Küçük ve orta ölçekli işletmeler, saldırganlar için cazip bir hedeftir: değerli veriye sahiptirler ama çoğunlukla tam zamanlı BT güvenlik ekipleri yoktur. Müşteri listeleri, teklif dosyaları, banka bilgileri ve personel kayıtları hem doğrudan dolandırıcılıkta hem de şantajda kullanılabilir. İyi haber şu ki, temel kuralları disiplinle uygulamak saldırıların büyük kısmını sonuçsuz bırakır. Aşağıdaki on kuralı bir kontrol listesi olarak kullanabilirsiniz.
1. Her Hesapta Çok Faktörlü Doğrulama
E-posta, bulut depolama, muhasebe yazılımı, bankacılık ve uzaktan erişim hesaplarında şifre tek başına yeterli değildir. Mümkün olan her yerde uygulama tabanlı doğrulama veya donanım anahtarı kullanın. SMS ile doğrulama hiç olmamasından iyidir, ancak daha güçlü yöntemler tercih edilmelidir.
2. Uzun ve Benzersiz Şifreler
Güncel öneriler, karmaşık ama kısa şifreleri sık sık değiştirmek yerine uzun parolalar kullanmayı ve her hizmet için farklı şifre belirlemeyi öne çıkarıyor. Şifreler yalnızca sızıntı şüphesi olduğunda değiştirilmelidir. Bunu sürdürülebilir kılmanın yolu, çalışanlara kurumsal bir şifre yöneticisi sağlamaktır.
3. Test Edilmiş Yedekler
Kritik verilerin birden fazla kopyası olmalı, kopyalardan biri farklı bir konumda ve saldırganın silemeyeceği şekilde tutulmalıdır. Yedeklemenin değeri geri yüklendiğinde ortaya çıkar; bu nedenle belirli aralıklarla örnek dosya ve sistem geri yüklemesi yapın.
4. Güncellemeleri Erteleme
İşletim sistemleri, tarayıcılar, ofis yazılımları, güvenlik duvarları, NAS cihazları ve yazıcılar düzenli güncellenmelidir. Desteği bitmiş yazılım ve cihazlar planlı olarak değiştirilmelidir. Windows 10 gibi desteği sona ermiş sistemler hâlâ kullanılıyorsa önceliklendirin.
5. En Az Yetki Prensibi
Her çalışan yalnızca işini yapmak için ihtiyaç duyduğu klasörlere ve uygulamalara erişebilmeli. Günlük kullanımda yönetici yetkisi verilmemeli, yönetici hesapları ayrı tutulmalıdır. Paylaşımlı klasör izinlerini yılda en az bir kez gözden geçirin.
6. Giriş ve Çıkış Süreçleri
Yeni başlayan personelin hesapları standart bir listeye göre açılmalı, ayrılan personelin tüm erişimleri ise ayrıldığı gün kapatılmalıdır. Ortak kullanılan şifreler varsa değiştirilmeli, şirkete ait cihazlar teslim alınmalıdır. Unutulmuş aktif hesaplar en sık görülen güvenlik açıklarındandır.
7. Cihazları Koruma Altına Alın
- Dizüstü bilgisayarlarda disk şifrelemeyi etkinleştirin ve kurtarma anahtarlarını güvenli şekilde saklayın.
- Güncel bir uç nokta koruma çözümü kullanın ve uyarılarını takip edin.
- Şirket verisine erişen telefonlarda ekran kilidi ve uzaktan silme imkânı olsun.
- Tanımadığınız USB belleklerin kullanımını sınırlayın.
8. Ağınızı Ayırın
Misafirlerin kullandığı Wi-Fi, ofis bilgisayarlarının bulunduğu ağdan ayrı olmalıdır. IP kameralar, akıllı cihazlar ve üretim makineleri de mümkünse kendi ağ bölümlerinde çalışmalıdır. Modem ve güvenlik duvarının yönetim arayüzleri internete açık bırakılmamalı, varsayılan şifreler mutlaka değiştirilmelidir.
9. İnsan Faktörü
Oltalama e-postaları, sahte fatura talepleri ve telefonla yapılan sosyal mühendislik girişimleri teknik önlemleri atlatmanın en kolay yoludur. Kısa ve düzenli farkındalık oturumları düzenleyin, şüpheli durumları bildirmeyi kolay ve cezasız hale getirin. Ödeme ve hesap numarası değişikliği taleplerini her zaman bilinen bir numaradan arayarak doğrulama kuralı koyun.
10. Plan ve Uyum
6698 sayılı KVKK, kişisel veri işleyen işletmelerin uygun teknik ve idari tedbirleri almasını, ihlal durumunda da Kurul'a ve ilgili kişilere bildirim yapmasını öngörür. Hangi kişisel verileri nerede tuttuğunuzu bilmek, aydınlatma metinlerinizi güncel tutmak ve bir ihlal durumunda kimin ne yapacağını yazılı hale getirmek bu kuralın parçasıdır. Olay müdahale planının telefon numaraları ve sorumlularla birlikte kâğıt üzerinde de bulunması, sistemlerin çalışmadığı bir anda işe yarar.
Kontrol Listesini Nasıl Kullanmalısınız?
Her kural için işletmenizde “uygulanıyor”, “kısmen” veya “uygulanmıyor” notu düşün. Uygulanmayanları etkisi ve maliyetine göre sıralayın. Genellikle çok faktörlü doğrulama, yedekleme ve güncelleme ilk üç sırayı alır ve çoğu işletme bu üç adımı birkaç hafta içinde tamamlayabilir.
Sık Yapılan Hatalar
- Güvenliği tek seferlik bir proje gibi görmek
- Tüm sorumluluğu teknik bilgisi sınırlı tek bir çalışana bırakmak
- Pahalı bir ürün alıp temel ayarları yapılandırmadan kullanmak
- Olay yaşandıktan sonra ne yapılacağını o anda düşünmeye çalışmak
Kurallara Uyumu Nasıl Takip Edersiniz?
Kuralları yazmak kolay, sürdürmek zordur. Takibi kolaylaştırmak için birkaç somut gösterge belirleyin:
- MFA etkin olan hesapların toplam hesaplara oranı
- Son otuz günde güncelleme almamış cihaz sayısı
- En son başarılı geri yükleme testinin tarihi
- Yönetici yetkisine sahip hesap sayısı
- Çalışanların bildirdiği şüpheli e-posta sayısı
Bu göstergeleri üç ayda bir tek sayfalık bir özet halinde yönetime sunmak, güvenliğin görünür kalmasını ve bütçe kararlarının veriye dayanmasını sağlar. Bildirilen şüpheli e-posta sayısının artması kötü bir işaret değildir; çoğu zaman farkındalığın yükseldiğini gösterir.
Tedarikçilerinizi de unutmayın. Muhasebe büronuz, yazılım firmanız veya uzaktan destek sağlayıcınız sisteminize erişebiliyorsa, onların da benzer önlemleri aldığından emin olun ve verdiğiniz erişimleri düzenli olarak gözden geçirin.
Grimax Bilişim, Darıca, Çayırova, Gebze, Tuzla ve Dilovası'ndaki KOBİ'lerin bu on kurala göre mevcut durumunu inceliyor ve eksikleri önceliklendirerek gideriyor. Veri güvenliğinizi birlikte değerlendirmek için bizimle iletişime geçin.
Bu konuda profesyonel destek mi gerekiyor?
Silinen, formatlanan veya arızalanan disk, SSD, hafıza kartı ve RAID yapılarından verilerinizi geri kazanmak için önce durumu inceliyor, sonra en güvenli yolu öneriyoruz.