KOBİ'ler İçin Siber Güvenlik: Büyük Bütçe Gerektirmeyen 12 Önlem

KOBİ siber güvenlik denince akla genellikle büyük şirketlerin yatırdığı yüksek bütçeler ve karmaşık sistemler gelir; bu yüzden pek çok küçük ve orta ölçekli işletme konuyu kendine uzak görür. Oysa siber saldırganların büyük kısmı belirli bir şirketi hedef almaz; internetteki zayıf noktaları otomatik tarayan yazılımlarla rastgele kurban arar. Küçük bir işletme, tam da bu yüzden büyük bir işletme kadar risk altındadır.

Bu yazıda büyük bütçe gerektirmeyen, çoğu bir haftada uygulanabilecek on iki somut önlemi sıralıyoruz. Amaç mükemmel bir güvenlik duvarı kurmak değil; saldırganların çoğunun aradığı kolay hedef olmaktan çıkmaktır. Sıralama önem sırasına yakındır; ilk maddelerden başlamak en hızlı faydayı sağlar.

KOBİ'ler neden siber saldırıların hedefi oluyor?

KOBİ'ler, büyük şirketlere göre daha az korunmalı sistemlere sahip olduğu ve saldırganların çoğu otomatik araçlarla rastgele zayıf nokta aradığı için hedef oluyor. Saldırgan sizi kişisel olarak seçmez; interneti tarayan bir yazılım, güncellenmemiş bir sistem, zayıf bir parola ya da açık bir kapı bulduğunda oraya yönelir. Küçük ölçek, görünmezlik anlamına gelmez.

Bir diğer neden, KOBİ'lerin genellikle özel bir bilgi işlem güvenlik ekibi bulundurmamasıdır. Büyük şirketlerde güvenlik izleme sürekli yapılırken, küçük bir işletmede bu iş genellikle kimsenin tam sorumluluğunda değildir. Bu boşluk, saldırganlar için fark edilmeden içeri girme süresini uzatır.

Sonuç olarak KOBİ'lere yönelik saldırılar genellikle karmaşık değil, basittir: zayıf parolalarla hesap ele geçirme, güncellenmemiş yazılımdaki bilinen açıklardan yararlanma, sahte e-posta ile kimlik avı. Bu basitlik iyi bir haberdir; çünkü karşılığındaki önlemler de büyük bütçe değil, doğru alışkanlık gerektirir.

Parola ve erişim yönetiminde ne yapılmalı?

Parola ve erişim yönetiminde alınacak ilk üç önlem şunlardır: her hesap için farklı ve güçlü bir parola kullanmak, mümkün olan her yerde iki faktörlü doğrulamayı açmak ve ayrılan çalışanın tüm sistem erişimini aynı gün kapatmak. Bu üç adım, hesap ele geçirme saldırılarının büyük kısmını tek başına engeller.

Aynı parolanın birden fazla sistemde kullanılması, bir sistemde yaşanan sızıntının diğer tüm sistemlere de bulaşmasına yol açar. Bir parola yöneticisi kullanmak, her hesap için ayrı ve güçlü parola üretmeyi hem kolaylaştırır hem de çalışanların parolayı hatırlamak için basit ve tahmin edilebilir seçimler yapmasını engeller.

İki faktörlü doğrulama, parola çalınsa bile saldırganın hesaba girmesini önleyen ikinci bir kilittir. Bu konuyu ayrı bir yazıda ayrıntılı ele alıyoruz, ama kısaca şunu söylemek yeterli: mümkün olan her kritik sistemde açık tutulmalıdır. Ayrılan çalışanın erişiminin kapatılması ise sıkça ihmal edilen bir adımdır; unutulan bir hesap, aylar sonra bile bir güvenlik açığı olarak kalır.

Yazılım güncellemeleri ve yedekleme neden bu listede?

Yazılım güncellemeleri ve yedekleme, siber güvenlik listesinin en sık göz ardı edilen ama en etkili iki maddesidir; çünkü bilinen açıklardan yararlanan saldırıların büyük kısmı, güncellenmemiş yazılımları hedef alır ve bir saldırı başarılı olsa bile güncel bir yedek olduğunda kayıp geri döndürülebilir hale gelir. İkisi de tek seferlik bir iş değil, düzenli bir alışkanlıktır.

İşletim sistemi, tarayıcı ve kullanılan iş yazılımlarının güncellemelerini geciktirmemek, saldırganların en çok kullandığı bilinen açıkları kapatır. Otomatik güncelleme özelliğinin açık tutulması, bu konuyu kimsenin unutmasına gerek kalmadan çözer. Eskiyen, artık güncelleme almayan yazılımların ise mümkün olan en kısa sürede yenisiyle değiştirilmesi gerekir.

Yedekleme konusunu ayrı bir yazıda derinlemesine ele aldık; burada şunu vurgulamak yeterli: düzenli ve test edilmiş bir yedek, fidye yazılımı gibi en yıkıcı saldırılara karşı bile en güvenilir sigortadır. Verisi güncel biçimde yedeklenen bir şirket, fidye ödemeden sistemini yeniden kurabilir; bu tek başına saldırganın elindeki en büyük koz olan aciliyeti ortadan kaldırır.

Çalışan farkındalığı neden teknik önlemler kadar önemli?

Çalışan farkındalığı, teknik önlemler kadar önemlidir; çünkü çoğu saldırı bir güvenlik duvarını aşmaz, doğrudan bir çalışanı hedef alan sahte bir e-posta ya da mesajla başlar. En güçlü şifreleme ve en sıkı erişim kontrolü, bir çalışan şüpheli bir bağlantıya tıklayıp parolasını girdiğinde tek hamlede etkisiz kalabilir.

Kimlik avı, yani sahte e-posta ya da mesajla parola veya bilgi çalma girişimi, KOBİ'lere yönelik saldırıların en yaygın yöntemidir. Gerçekçi görünen bir fatura e-postası, bir kargo bildirimi ya da yöneticiden gelmiş gibi görünen bir talep, dikkatli olmayan bir çalışanı kolayca kandırabilir. Bu saldırılar teknik olarak sofistike değildir; insan güvenini hedef alır.

Basit bir farkındalık eğitimi, örneğin şüpheli bir bağlantıya tıklamadan önce göndereni doğrulamak, acil ve baskı yaratan taleplere karşı bir adım geriye çekilmek, bilinmeyen eklerin açılmaması gerektiğini bilmek, çoğu saldırıyı önlemeye yeter. Bu eğitim yılda bir kez, kısa bir toplantı ya da kısa bir yazılı rehberle bile ciddi fark yaratır; maliyeti neredeyse sıfırdır.

Ağ ve cihaz güvenliğinde alınacak önlemler

Ağ ve cihaz güvenliğinde alınacak temel önlemler şunlardır: ofis Wi-Fi ağının güçlü bir parolayla korunması ve misafir ağının ayrı tutulması, şirket cihazlarında güncel bir antivirüs yazılımının çalışması, kişisel cihazlarda şirket verisine erişime izin verilecekse bu cihazların da minimum güvenlik standardına uyması ve kullanılmayan hesap ile hizmetlerin kapatılması.

Misafir Wi-Fi ağının şirketin iç ağından ayrı tutulması özellikle önemlidir. Bir ziyaretçi ya da müşterinin cihazı, farkında olmadan zararlı bir yazılım taşıyor olabilir; bu cihaz iç ağa değil yalnızca ayrı bir misafir ağına bağlanırsa, olası bir bulaşma şirketin asıl sistemlerine sıçramaz. Bu ayrım, çoğu yönlendiricide birkaç dakikada kurulabilir.

Kişisel cihazların iş amaçlı kullanımı, yani çalışanların kendi telefon ya da bilgisayarlarından şirket sistemlerine erişmesi, esneklik sağlar ama denetimi zorlaştırır. Bu kullanıma izin veriliyorsa, en azından ekran kilidi, güncel işletim sistemi ve uzaktan erişimin kapatılabilmesi gibi asgari koşullar aranmalıdır. Aksi halde şirket verisi, şirketin hiç görmediği bir cihazda dolaşır.

Yazılım tedarikçinizin güvenliğini nasıl denetlersiniz?

Yazılım tedarikçinizin güvenliğini denetlemek için üç soru yeterlidir: hassas verileri nasıl şifreliyorlar, kimin hangi veriye erişebildiğini nasıl sınırlıyorlar ve bir güvenlik olayında nasıl bir bildirim süreci işletiyorlar. Kullandığınız CRM, muhasebe ya da randevu yazılımı, şirketinizin veri güvenliği zincirinin bir halkasıdır; zincir, en zayıf halkası kadar güçlüdür.

Bu soruları sormaktan çekinmemek gerekir. Ciddi bir tedarikçi bu sorulara net cevap verir, bazen bir güvenlik dökümanı ya da sertifika paylaşır. Belirsiz ya da savunmacı bir cevap alıyorsanız, bu kendi başına bir uyarı işaretidir. Yazılımın fiyatı ne kadar uygun olursa olsun, güvenlik açığı olan bir sistem her zaman daha pahalıya patlar.

Sözleşme aşamasında veri sahipliği, yedekleme sorumluluğu ve bir ihlal durumunda bildirim süresi gibi maddelerin açıkça yazılı olması da bu denetimin parçasıdır. Bu maddeler ekte kaybolmamalı, taraflar arasında net anlaşılmış olmalıdır. İyi bir tedarikçi bu netliği kendisi de ister; çünkü belirsizlik her iki taraf için de risk demektir.

On iki önlemi hayata geçirme sırası nasıl olmalı?

On iki önlemi hayata geçirirken en hızlı faydayı sağlayan sıra şudur: önce parola ve iki faktörlü doğrulama, sonra düzenli yedekleme ve güncelleme alışkanlığı, ardından çalışan farkındalık eğitimi, en sonda ağ ayrımı ve tedarikçi denetimi gibi yapısal adımlar. Bu sıra, en düşük eforla en yüksek riski azaltan adımları öne alır.

İlk hafta içinde parola yöneticisi kurulumu ve kritik sistemlerde iki faktörlü doğrulamanın açılması tamamlanabilir. İkinci hafta yedekleme durumu gözden geçirilir ve eksikse kurulur, otomatik güncellemeler kontrol edilir. Üçüncü hafta kısa bir çalışan bilgilendirmesi yapılır. Bu üç haftalık plan, çoğu KOBİ için siber güvenlik açısından ciddi bir sıçrama yaratır.

Kalan adımlar, örneğin ağ ayrımı ve tedarikçi sözleşmelerinin gözden geçirilmesi, bir sonraki ay içinde planlanabilir. Önemli olan hepsini bir günde bitirmeye çalışmak değil, listeyi elden bırakmamak ve düzenli aralıklarla gözden geçirmektir. Siber güvenlik bir proje değil, sürekli bakım gerektiren bir alışkanlıktır.

Güvenliği mimarinin parçası yapan bir ortakla çalışmak

KOBİ siber güvenlik önlemlerinin çoğu, doğru alışkanlık ve doğru sistem tercihiyle büyük bütçe gerektirmeden hayata geçirilebilir. Asıl fark yaratan şey, bu önlemlerin bir kerelik proje değil, sürekli bir disiplin olarak benimsenmesidir. Kullandığınız yazılımların bu disiplini mimarisinde taşıması, işinizi kolaylaştırır.

Rezon, şirketlere özel CRM, ERP ve bayi portalı sistemleri kuran, kendi SaaS ürünlerini canlıda işleten İstanbul merkezli bir yazılım çözümleri şirketidir. Sunduğumuz sistemlerde AES-256 şifreleme, rol bazlı erişim ve denetim kaydı mimarinin doğal parçasıdır; kaba kuvvet girişimlerine karşı hesap kilitleme ve şüpheli IP engelleme gibi önlemler de baştan kuruludur. Şirketinizin siber güvenlik durumunu birlikte değerlendirmek için İletişim sayfamızdan ücretsiz keşif görüşmesi talep edebilir, yaklaşımımızı Çözümler sayfamızdaki Özel Yazılım bölümünde inceleyebilirsiniz.