Siber Güvenlik Nedir? İşletmeler İçin Temel Kavramlar

Kısa Tanım

Siber güvenlik; bilgisayarların, sunucuların, ağların, mobil cihazların ve bunlarda tutulan verilerin yetkisiz erişime, bozulmaya ve hizmet kesintisine karşı korunması için uygulanan teknik ve idari önlemlerin bütünüdür. Yalnızca bir antivirüs programı ya da güvenlik duvarı değildir; insanları, süreçleri ve teknolojiyi birlikte kapsayan sürekli bir çalışmadır.

Üç Temel İlke: Gizlilik, Bütünlük, Erişilebilirlik

Güvenlik dünyasında hedefler genellikle üç kavramla özetlenir:

• Gizlilik: Bilgiye yalnızca yetkisi olan kişilerin ulaşabilmesi. Personel maaş tablosunun herkesin açabildiği bir klasörde durması bu ilkenin ihlalidir.
• Bütünlük: Verinin izinsiz değiştirilmemesi. Bir saldırganın e-postadaki IBAN numarasını değiştirmesi bütünlüğe yönelik bir saldırıdır.
• Erişilebilirlik: Sistemlerin ihtiyaç duyulduğunda çalışır durumda olması. Fidye yazılımının sunucuyu kilitlemesi bu ilkeyi doğrudan hedef alır.

Herhangi bir güvenlik önlemini değerlendirirken bu üç ilkeden hangisini koruduğunu sormak, önceliklendirmeyi kolaylaştırır.

Siber Güvenliğin Alt Alanları

Ağ güvenliği

Kurum ağına giren ve çıkan trafiğin kontrol edilmesidir. Güvenlik duvarı kuralları, ağ segmentasyonu, misafir Wi-Fi ayrımı ve VPN bu alanın tipik bileşenleridir.

Uç nokta güvenliği

Dizüstü ve masaüstü bilgisayarlar, telefonlar ve tabletler saldırganların en sık giriş kapısıdır. Güncel işletim sistemi, uç nokta koruma yazılımı, disk şifreleme ve yerel yönetici yetkilerinin kısıtlanması temel önlemlerdir.

Kimlik ve erişim yönetimi

Kimin hangi sisteme hangi yetkiyle girebileceğinin belirlenmesidir. Çok faktörlü kimlik doğrulama, en az yetki prensibi ve işten ayrılan personelin hesaplarının hemen kapatılması burada öne çıkar.

Veri güvenliği ve yedekleme

Önemli verilerin sınıflandırılması, şifrelenmesi ve saldırı ya da arıza durumunda geri getirilebilecek şekilde yedeklenmesidir.

Bulut ve uygulama güvenliği

E-posta, dosya paylaşımı ve muhasebe gibi hizmetlerin buluta taşınmasıyla birlikte paylaşım ayarları ve hesap güvenliği ayrı bir dikkat alanı haline gelmiştir.

Farkındalık

Teknik önlemler ne kadar güçlü olursa olsun, sahte bir bağlantıya tıklayan ya da telefonda şifresini paylaşan bir çalışan tüm zinciri zayıflatabilir. Düzenli ve kısa eğitimler bu riski azaltır.

En Sık Karşılaşılan Tehditler

• Oltalama (phishing): Banka, kargo firması veya tedarikçi gibi görünen sahte e-posta ve mesajlar
• Fidye yazılımı: Dosyaları şifreleyip açmak için ödeme talep eden zararlı yazılımlar
• İş e-postası dolandırıcılığı: Ele geçirilen ya da taklit edilen hesaplar üzerinden sahte ödeme talimatı
• Zayıf veya tekrar kullanılan şifreler: Başka bir sitede sızdırılan şifrenin kurumsal hesapta denenmesi
• Güncellenmemiş yazılımlar: Bilinen açıkları kapatılmamış işletim sistemleri, modemler ve eklentiler

Küçük İşletmeler İçin İlk Adımlar

1. Tüm bilgisayar, sunucu ve ağ cihazlarının listesini çıkarın; bilmediğiniz şeyi koruyamazsınız.
2. E-posta ve uzaktan erişim hesaplarında çok faktörlü doğrulamayı açın.
3. Otomatik güncellemeleri etkinleştirin, desteği bitmiş işletim sistemlerini planlı olarak değiştirin.
4. Önemli verileri en az bir kopyası ağdan ayrı tutulan bir düzenle yedekleyin ve geri yüklemeyi deneyin.
5. Kullanıcıların günlük işlerini yönetici olmayan hesaplarla yapmasını sağlayın.
6. Modem ve güvenlik duvarındaki varsayılan şifreleri değiştirin, misafir ağını ayırın.
7. Bir olay yaşandığında kimi arayacağınızı ve ilk ne yapacağınızı yazılı hale getirin.

Yasal Boyut: KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen her işletmeye bu verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Bir veri ihlali yaşandığında Kişisel Verileri Koruma Kurulu'na kısa süre içinde bildirim yapılması gerekir. Dolayısıyla siber güvenlik yalnızca bir teknik tercih değil, aynı zamanda yasal bir sorumluluktur.

Sık Yapılan Yanlışlar

“Bizim gibi küçük bir firmayla kimse uğraşmaz” düşüncesi en tehlikeli varsayımdır; otomatik saldırı araçları hedef ayırt etmez, açık bulduğu her sisteme girer. Bir diğer yanlış, tek seferlik bir kurulumla işin bittiğini düşünmektir. Tehditler değiştikçe ayarların da gözden geçirilmesi gerekir.

Uzman Desteği Ne Zaman Gerekir?

Birden fazla kullanıcının ortak dosyalarla çalıştığı, müşteri verisi tutan ya da uzaktan erişim kullanan her işletme, yılda en az bir kez dışarıdan bir göz tarafından değerlendirilmelidir. Şüpheli bir e-posta, açıklanamayan yavaşlık veya tanımadığınız bir oturum açma bildirimi gördüğünüzde de beklemeden destek almak hasarı sınırlar.

Siber Güvenlik Bir Ürün Değil, Bir Süreçtir

Güvenlik çalışmalarını dört aşamalı bir döngü olarak düşünmek faydalıdır:

1. Tanımlama: Hangi varlıklarınız, verileriniz ve hesaplarınız var; hangisi iş için kritik?
2. Koruma: Bu varlıklar için şifreleme, yetkilendirme, güncelleme ve yedekleme gibi önlemleri uygulama
3. Tespit: Şüpheli oturum açma, olağan dışı dosya değişikliği veya beklenmeyen ağ trafiği gibi işaretleri fark edebilme
4. Müdahale ve kurtarma: Bir olay yaşandığında etkiyi sınırlama, sistemleri yedekten geri getirme ve dersler çıkarma

Birçok küçük işletme yalnızca koruma aşamasına yatırım yapar, tespit ve kurtarma kısmını ihmal eder. Oysa hiçbir önlem yüzde yüz koruma sağlamaz; asıl farkı, bir sorunun ne kadar çabuk fark edildiği ve işin ne kadar sürede normale döndüğü belirler. Kayıtların tutulması, uyarıların birinin e-postasına düşmesi ve yedekten geri dönüşün önceden denenmiş olması bu yüzden en az güvenlik duvarı kadar önemlidir.

Bu döngüyü yılda bir kez baştan sona gözden geçirmek, yeni eklenen cihazları, değişen çalışma düzenini ve ortaya çıkan yeni tehditleri plana dahil etmenizi sağlar.

Grimax Bilişim, Kocaeli ve İstanbul Anadolu yakasındaki işletmelerin mevcut güvenlik durumunu inceliyor ve önceliklendirilmiş bir iyileştirme planı hazırlıyor. Nereden başlayacağınızı birlikte belirlemek için bizimle iletişime geçin.