KOBİ'ler İçin Siber Güvenlik: Pahalı Ürün Değil, Doğru Sıra

"Bizim çalınacak neyimiz var" cümlesi, küçük işletmelerde en sık duyduğumuz ve en yanlış olan güvenlik değerlendirmesidir. Saldırıların büyük çoğunluğu hedefli değil, otomatiktir: taramalar internetteki açık sistemleri arar ve bulduğunu dener. Küçük olmak sizi görünmez yapmaz, yalnızca savunmasız yapar.

Bu yazıda pahalı ürünler değil, sıralama öneriyoruz. Aşağıdaki maddeler etki sırasına göre dizildi; ilk üçü çoğu işletmede risklerin büyük kısmını kapatıyor ve neredeyse hiçbir maliyeti yok.

1. İki faktörlü doğrulama, her yerde

Şifre çalınmasına karşı tek gerçek koruma budur ve ücretsizdir. E-posta, alan adı paneli, hosting yönetimi, sosyal medya hesapları ve banka erişimi için istisnasız açılmalı.

Öncelik sırası şaşırtıcı olabilir: en kritik hesap e-posta hesabıdır. Çünkü diğer tüm hesapların şifre sıfırlama bağlantısı oraya gider. E-postası ele geçirilen bir işletme, sırayla her şeyini kaybeder.

SMS tabanlı doğrulama, hiç yoktan iyidir ama numara taşıma saldırılarına açıktır. Mümkünse uygulama tabanlı doğrulayıcı kullanın.

2. Alan adı ve DNS kontrolü

Alan adınız, dijital varlığınızın tapusudur. Elden çıktığında site, e-posta ve marka aynı anda gider.

Kontrol edilmesi gerekenler: alan adı işletme adına mı kayıtlı yoksa eski bir ajansın hesabında mı, kayıt bilgilerindeki e-posta güncel mi, ve transfer kilidi açık mı. Süre dolumu için otomatik yenileme mutlaka aktif olmalı; unutulan bir yenileme, alan adının başkası tarafından alınmasıyla sonuçlanabilir.

Alan adınızın kayıt durumunu ve bitiş tarihini alan adı sorgulama aracımızdan kontrol edebilirsiniz.

3. Yedekleme: alınan değil, geri yüklenen

Yedek almak yeterli değildir; test edilmemiş yedek, yedek sayılmaz. Gördüğümüz en yaygın durum, yıllardır yedek alan ama hiç geri yükleme denemesi yapmamış işletmeler.

Pratik kural üç kopya, iki farklı ortam, bir kopya farklı fiziksel konumda. Bulut yedeklemede fazladan bir kontrol gerekir: yedek, ana sisteme bağlı bir hesapta duruyorsa, ana sistem ele geçirildiğinde yedek de gider.

Ayda bir, rastgele seçilmiş bir yedeği gerçekten geri yükleyin. Bu tek alışkanlık, fidye yazılımı senaryosunda işletmeyi kurtaran şeydir.

4. Güncellemeler ve eklenti hijyeni

Web sitelerine yapılan saldırıların çoğu sıfırıncı gün açığı değil, aylar önce yamalanmış bir açıktan geliyor. Güncellenmemiş bir eklenti, kapı açık bırakmak demektir.

WordPress gibi eklenti tabanlı sistemlerde ek bir kural: kullanmadığınız eklentiyi devre dışı bırakmak yetmez, silin. Devre dışı eklentinin kodu sunucuda durur ve bazı açıklar bu dosyalar üzerinden sömürülür.

Uygulama tarafında hangi risklerin öncelikli olduğunu görmek için OWASP Top 10 listesi, geliştirme ekibiyle konuşurken ortak bir dil sağlar.

5. HTTPS ve sertifika yönetimi

SSL sertifikası artık bir tercih değil, temel gereklilik. Tarayıcılar sertifikasız siteleri güvensiz olarak işaretliyor ve ziyaretçi form doldurmadan çıkıyor.

İki noktaya dikkat: sertifikanın otomatik yenilenmesi kurulu olmalı, ve HTTP'den HTTPS'e yönlendirme sunucu düzeyinde yapılmalı. Karışık içerik uyarısı (sayfa HTTPS ama içindeki bir görsel HTTP) tarayıcıda güvenlik ikonunu bozar. Konunun ayrıntısı için web güvenliği ve SSL sertifikası yazımıza bakabilirsiniz.

6. Erişim yetkileri: en az ayrıcalık

Herkesin her şeye erişebildiği sistemler, tek bir hesabın ele geçirilmesiyle tamamen düşer.

Uygulanacak ilke basit: her kullanıcı yalnızca işini yapmak için gereken yetkiye sahip olmalı. Sosyal medya hesabını yöneten kişinin hosting paneline erişmesi gerekmez.

Ayrılan çalışanların erişimlerinin kapatılması için bir kontrol listesi tutun. Bu, gördüğümüz en sık atlanan güvenlik adımı.

Çalışan farkındalığı: en ucuz savunma katmanı

Teknik önlemlerin çoğu, bir çalışanın yanlışlıkla açtığı bir bağlantıyla devre dışı kalabilir. Buna karşılık farkındalık eğitimi hiçbir ürün satın almayı gerektirmez.

Anlatılması gereken şey uzun bir teori değil, üç davranış: beklenmeyen ekleri açmadan önce göndereni doğrulamak, şifre isteyen bağlantılara tıklamak yerine adresi doğrudan yazmak, ve acele ettiren mesajlara karşı bir adım geri çekilmek. Aciliyet hissi, sosyal mühendisliğin en yaygın aracıdır.

Yılda bir kez yapılan bir saatlik oturum, çoğu KOBİ için yeterli. Önemli olan süreklilik değil, mesajın net olması.

Olay müdahale planı: bir sayfalık bile olsa

Bir sorun yaşandığında en büyük kayıp, ne yapılacağının bilinmemesinden doğan gecikmedir. Planın kapsamlı olması gerekmez; yazılı olması yeterlidir.

Bir sayfada şunlar olmalı: kim haberdar edilecek ve hangi numaradan, hangi sistemler öncelikli olarak kapatılacak, yedekler nerede ve kim erişebiliyor, ve hangi durumda hukuk desteği alınacak.

Bu belgeyi yalnızca dijital ortamda tutmayın. Sistemlere erişilemediği bir senaryoda, plana da erişemezsiniz.

Neyi yapmaya gerek yok

Küçük işletmelerde bütçe, gereksiz yerlere harcanabiliyor. Şunlar çoğu KOBİ için erken adımlardır: sürekli izleme merkezi hizmeti, pahalı uç nokta koruma paketleri, düzenli sızma testi.

Bunlar kötü ürünler değil; yalnızca temel adımlar tamamlanmadan alındıklarında koruma sağlamıyorlar. İki faktörlü doğrulaması olmayan bir işletmede sızma testi yaptırmak, kapısı açık evin alarmını yükseltmeye benzer.

7. Fatura ve ödeme dolandırıcılığı

Teknik saldırılardan daha yaygın olan bir risk var: sahte fatura ve yönlendirilmiş ödeme e-postaları. Saldırgan, tedarikçi kimliğine bürünüp banka bilgisi değişikliği bildiriyor.

Buna karşı teknik değil süreçsel önlem alınır: banka bilgisi değişikliği içeren hiçbir talep, e-postadaki numara aranarak değil, sistemde kayıtlı numara aranarak doğrulanmadan işleme alınmaz.

8. Sunucu tarafı temel önlemler

Kendi sunucunuzu yönetiyorsanız asgari kontrol listesi: gereksiz portların kapatılması, yönetim paneline erişimin IP kısıtlamasıyla sınırlanması, otomatik güvenlik güncellemelerinin açık olması ve günlük kayıtlarının tutulması.

Yönetilen barındırma kullanmak, KOBİ'lerin çoğu için doğru karardır. Bu işlerin uzman tarafından yapılması, kendi sunucunuzu yarım yamalak yönetmenizden hem daha güvenli hem daha ucuzdur. Bulut sunucu ve siber güvenlik tarafında hangi modelin size uyduğunu birlikte değerlendirebiliriz.

KVKK: veri sızıntısında yasal yükümlülük

Kişisel veri içeren bir sızıntı yaşandığında, işletmenin bildirim yükümlülüğü doğar. Bu, teknik bir mesele olmaktan çıkıp yasal bir sürece dönüşür.

Önceden yapılması gerekenler: hangi kişisel verileri işlediğinizin envanterinin çıkarılmış olması, saklama sürelerinin tanımlanması ve bir ihlal durumunda kimin ne yapacağının yazılı olması. KVKK kurumunun yayınladığı rehberler bu envanterin nasıl hazırlanacağını anlatıyor.

30 günlük başlangıç planı

Bu dört hafta, hiçbir ürün satın almadan tamamlanabilir ve risklerin büyük kısmını kapatır. Daha ileri adımlar (izleme, sızma testi, olay müdahale planı) ancak bu temel kurulduktan sonra anlamlıdır.

Mevcut durumunuzu değerlendirmemizi isterseniz bize yazın.