KOBİ'ler İçin Olmazsa Olmaz Siber Güvenlik Önlemleri

Saldırganların büyük kurumları hedef aldığı, küçük işletmelerin ise "kimsenin ilgisini çekmeyeceği" fikri hâlâ çok yaygın. Oysa saha tam tersini gösteriyor. Küçük ve orta ölçekli işletmeler, savunması zayıf olduğu için değil; savunmasının zayıf olacağı varsayıldığı için hedef oluyor. Bir saldırgan için 10 kişilik bir muhasebe ofisiyle 40 kişilik bir üretim firması arasında büyük fark yok. İkisinde de para akışı, müşteri verisi ve büyük ihtimalle güncellenmemiş bir sunucu var.

Bu yazıda amacımız korkutmak değil. Aksine, sınırlı bütçe ve tek kişilik (bazen sıfır kişilik) BT ekibiyle çalışan işletmelerin gerçekten uygulayabileceği bir öncelik listesi çıkarmak. Danışmanlık verdiğimiz firmalarda gördüğümüz şu: doğru sıralamayla yapılan birkaç temel önlem, pahalı ama yanlış sırayla kurulan bir yığın üründen çok daha fazla koruma sağlıyor.

Önce Neyi Koruduğunuzu Bilin

Güvenlik yatırımına ürün seçerek başlamak yaygın bir hata. Önce cevaplanması gereken soru şu: bu işletme yarın sabah hangi verilere ve sistemlere erişemezse durur? Çoğu KOBİ'de bu liste sanılandan kısadır. Genellikle muhasebe/ön muhasebe yazılımı, müşteri veritabanı, e-posta hesapları ve bir-iki paylaşımlı dosya klasörü işin kalbini oluşturur.

Bir öğleden sonra ayırıp bu kritik varlıkları tek bir tabloya yazmanızı öneriyorum: nerede duruyor, kimler erişiyor, kaybolursa ne olur. Bu basit envanter, bundan sonraki her kararın zeminini oluşturur. Neyi koruduğunuzu bilmeden ne kadar koruma alacağınıza karar veremezsiniz.

Kimlik Doğrulama: En Ucuz, En Etkili Adım

Eğer bütçeniz tek bir önleme yetecekse, o önlem çok faktörlü kimlik doğrulama (MFA) olmalı. E-posta, muhasebe yazılımı, bulut panelleri ve uzak masaüstü bağlantılarında MFA açmak çoğu zaman ücretsizdir ve ele geçirilmiş bir parolanın tek başına işe yaramamasını sağlar. Saldırıların büyük kısmı çalınmış ya da tahmin edilmiş parolalarla başladığı için, bu adım tek başına risk tablosunu ciddi biçimde değiştirir.

Parola alışkanlıklarını gerçekçi biçimde düzeltin

"Herkes 16 karakterlik karmaşık parola kullansın" demek kulağa hoş gelir ama sahada tutmaz; insanlar bunları bir deftere yazar. Bunun yerine bir parola yöneticisi kurun ve ekibin tüm iş parolalarını oraya taşımasını sağlayın. Böylece her hesap için farklı ve uzun parola üretmek, tek bir ana parolayı hatırlamak kadar kolaylaşır. Aynı parolanın hem şirket e-postasında hem de dışarıdaki bir foruma kayıtta kullanılması, en sık gördüğümüz açık kapılardan biridir.

Projelerimizde MFA'yı yalnızca yöneticiler için değil, tüm çalışanlar için zorunlu hale getirmenin, tek bir güvenlik ürünü almaktan daha fazla saldırıyı durdurduğunu defalarca gördük.

Yedekleme Olmadan Güvenlik Yoktur

Fidye yazılımı çağında yedekleme artık bir "iyi olur" maddesi değil, savunmanın son hattı. Buradaki kritik nokta, yedeğin varlığı değil; geri dönebilirliği. Çok sayıda işletme düzenli yedek aldığını sanır, gün gelir yedeğin aylardır çalışmadığı ya da fidye yazılımının yedek diskini de şifrelediği ortaya çıkar.

Basit ve sınanmış bir kural izleyin: verinin en az iki farklı kopyası, bunlardan biri fiziksel olarak ayrı bir yerde (örneğin bulutta), ve mümkünse çevrimdışı ya da değiştirilemez (immutable) bir kopya bulunsun. Ayda bir kez, gerçekten bir dosyayı yedekten geri getirin. Test edilmemiş yedek, yedek sayılmaz.

Sistemleri Güncel Tutun

Saldırıların önemli bir bölümü sıfırıncı gün açıklarıyla değil, aylar önce yaması çıkmış bilinen zafiyetlerle gerçekleşir. İşletim sistemi, tarayıcı, muhasebe yazılımı ve özellikle internete açık her cihazın güncellemelerini geciktirmemek, bedava bir güvenlik katmanıdır.

• İşletim sistemi ve tarayıcı güncellemelerini otomatik moda alın.
• Artık güncelleme almayan (destek dışı) işletim sistemlerini üretimden çıkarın; bir Windows 7 makine tüm ağın zayıf halkası olabilir.
• Modem, router, NAS ve güvenlik kamerası gibi cihazların yazılımını da unutmayın; bunlar en çok ihmal edilen ve en kolay ele geçirilen noktalardır.

İnsan Faktörü: Ekibinizi Eğitin

En pahalı güvenlik duvarı bile, gelen sahte bir faturaya tıklayan bir çalışanı durdurmaz. KOBİ'lerde en sık başarıya ulaşan saldırı türü teknik değil, sosyal: sahte e-posta, sahte tedarikçi IBAN'ı, "acil ödeme" baskısı. Bu yüzden farkındalık eğitimi, satın alınan herhangi bir yazılımdan daha yüksek getiri sağlar.

Küçük ekipler için pratik yaklaşım

Uzun sunumlar yerine kısa ve düzenli hatırlatmalar işe yarıyor. Ayda bir gerçek bir örnek üzerinden konuşun: "Geçen hafta muhasebeye şöyle bir e-posta geldi, nereden şüphelenmeliydik?" Ödeme talimatı değişikliklerini her zaman ikinci bir kanaldan (telefonla) doğrulama kuralını yerleştirin. Bu tek alışkanlık, dolandırıcılık kaynaklı para kayıplarının çoğunu engeller.

Ağ ve Erişim Yetkilerini Sadeleştirin

Herkesin her şeye eriştiği bir ağ, tek bir ele geçirilmiş hesabın tüm şirkete yayılması demektir. En az yetki ilkesini benimseyin: bir çalışan işini yapmak için hangi klasöre ihtiyaç duyuyorsa yalnızca ona erişsin. İşten ayrılanların hesaplarını aynı gün kapatın; yıllarca açık kalan eski çalışan hesapları, denetimlerimizde en sık rastladığımız açıklardan biri.

Misafir Wi-Fi'yi şirket ağından ayırın, uzak masaüstünü (RDP) doğrudan internete açık bırakmayın ve mümkünse VPN arkasına alın. Bu düzenlemeler ek maliyet gerektirmez, yalnızca doğru yapılandırma ister.

Cihaz Güvenliği ve Uç Nokta Koruması

Çalışanların dizüstü bilgisayarları, telefonları ve tabletleri işin sınırını dışarı taşır. Bir çalışan kafede halka açık Wi-Fi'ye bağlanıp şirket dosyalarına eriştiğinde, güvenlik çemberi de oraya uzanır. Bu yüzden uç nokta koruması, yalnızca ofisteki masaüstlerini değil, işin yapıldığı her cihazı kapsamalı.

• Tüm iş cihazlarında güncel bir uç nokta güvenlik (antivirüs/EDR) çözümü çalışsın.
• Dizüstü bilgisayarların diskini şifreleyin; çalınan ya da kaybolan bir cihazdaki veri, şifreliyse işe yaramaz hale gelir.
• Kişisel cihazlardan şirket verisine erişime kural koyun; en azından ekran kilidi ve güncel işletim sistemi şart olsun.
• Kaybolan cihazları uzaktan kilitleme ya da silme yeteneğini önceden kurun.

Yasal Yükümlülükleri Gözden Kaçırmayın

Siber güvenlik yalnızca teknik bir konu değil; müşteri ve çalışan verisi işleyen her işletmenin KVKK kapsamında yükümlülükleri var. Bir veri sızıntısı, itibar kaybının ötesinde idari yaptırım riski de taşır. İyi haber şu ki, bu yazıda saydığımız temel önlemlerin çoğu (erişim sınırlama, şifreleme, yedekleme, farkındalık) aynı zamanda yasal uyumun da temelini oluşturur. Hangi kişisel veriyi neden sakladığınızı bilmek ve gereksiz veriyi tutmamak, hem güvenlik hem uyum açısından işinizi kolaylaştırır.

Bir Olay Planınız Olsun

"Bize bir şey olursa ne yaparız?" sorusunun cevabı saldırı anında değil, öncesinde verilmelidir. Tek sayfalık bir plan bile yeterli: sistemler kilitlenirse kimi ararsınız, yedekten dönüşü kim başlatır, müşterilere ne söylersiniz, hangi cihazı fişten çekersiniz. Panik anında hazırlıklı olmak, kaybı saatler yerine dakikalarla ölçmenizi sağlar.

Bütçeyi Doğru Yere Ayırın

Kısıtlı bir güvenlik bütçesinin en verimli kullanımı, çoğu kişinin sandığının aksine, en pahalı ürünü almak değil. Sahada gördüğümüz en iyi getiri sırası genellikle şöyle: önce ücretsiz ya da düşük maliyetli temel önlemler (MFA, güncellemeler, erişim düzenlemesi, farkındalık), sonra sınanmış bir yedekleme çözümü, ardından uç nokta koruması ve e-posta filtresi gibi katmanlar. Gelişmiş izleme ve olay müdahale hizmetleri ise işletme büyüdükçe ve riski arttıkça devreye alınmalı.

Bu sıralamayı tersine çevirip temeli atlayan işletmeler, pahalı bir güvenlik ürünü alıp yanında MFA'yı açmayı unutuyor ve sonuçta parasını verdikleri korumanın çok altında bir güvenlik seviyesinde kalıyor. Katmanların doğru sırası, harcanan her liradan daha fazla değer çıkarmanın anahtarı.

Sonuçları Ölçün, Bir Kereye Mahsus Görmeyin

Siber güvenlik bir proje değil, süreklilik gerektiren bir alışkanlıktır. Yılda en az iki kez envanterinizi, yedeklerinizi ve erişim yetkilerinizi gözden geçirin. Firma büyüdükçe tehdit yüzeyi de büyür; iki yıl önce yeterli olan yapı bugün açık verebilir.

Şunu da unutmamak gerekir: en iyi güvenlik yatırımı bile, kimse takip etmezse zamanla erir. Kurulan bir MFA kapatılabilir, bir yedek sessizce bozulabilir, yeni bir çalışanla birlikte eski alışkanlıklar geri gelebilir. Bu yüzden güvenliği bir kişinin sorumluluğuna bağlamak yerine, işletmenin rutinine yerleştirmek; kısa aralıklarla "her şey hâlâ yerinde mi" diye bakmak, uzun vadede en çok işe yarayan yaklaşımdır.

Bu adımların çoğunu kendi imkânlarınızla atabilirsiniz. Ancak hangi önlemin işletmenize gerçekten değer katacağını netleştirmek, doğru sırayı kurmak ve yapılandırmayı sağlamlaştırmak için bir uzman gözü işleri hızlandırır. İşletmenize özel bir güvenlik yol haritası çıkarmak isterseniz ücretsiz bir değerlendirme talebi oluşturabilirsiniz; mevcut durumunuza bakıp önceliklerinizi birlikte belirleyelim.