KOBİ’ler İçin Siber Güvenlik Rehberi: 12 Adımda Temel Koruma

Siber güvenlik, çoğu KOBİ’nin “sıra gelince bakarız” dediği konudur. Sıra genelde bir sabah, tüm dosyaların şifrelendiği ve ekrana fidye notu düştüğü anda gelir. Bu rehber teknik jargon yerine uygulanabilir 12 adım sunuyor; hepsi küçük bir işletmenin bütçesiyle ve iç kaynağıyla hayata geçirilebilir.

Küçük işletmeler neden hedef oluyor?

Yaygın inanışın aksine saldırganların çoğu sizi kişisel olarak seçmez. İnternete açık sistemleri sürekli tarayan otomatik araçlar, güncellenmemiş bir eklenti, zayıf bir parola ya da açık bırakılmış bir yönetim paneli bulduğunda içeri girer. İşletmenin büyüklüğü bu taramanın umurunda değildir.

Üstelik küçük işletmeler saldırgan için üç açıdan caziptir: savunmaları zayıftır, büyük firmalara tedarikçi oldukları için zincirin giriş kapısı olabilirler ve bir kesintiye dayanma güçleri düşük olduğu için fidye ödemeye daha yatkındırlar.

En sık karşılaşılan dört tehdit

1. Oltalama (phishing)

Bankadan, kargo firmasından ya da “muhasebeciden” geliyormuş gibi görünen sahte e-postalar. Amaç ya parola çalmak ya da zararlı bir dosya açtırmaktır. Vakaların çoğunda ilk temas noktası budur.

2. Fidye yazılımı (ransomware)

Dosyalarınızı şifreler, karşılığında ödeme ister. En yıkıcı tarafı: modern fidye yazılımları ağdaki yedekleri de arar ve siler. Çevrimdışı yedeği olmayan işletme için sonuç, işin tamamen durmasıdır.

3. Hesap ele geçirme

Başka bir sitede sızdırılmış parolanızın burada da denenmesi (credential stuffing). Aynı parolayı birden çok yerde kullanan her hesap risk altındadır.

4. Yönetici dolandırıcılığı (BEC)

Patronun ya da bir tedarikçinin e-posta adresini taklit eden mesajla acil havale talebi. Teknik bir açık gerektirmez; tamamen güven ve aceleyi hedefler.

12 adımda temel koruma

Adım 1 — Tüm kritik hesaplarda MFA açın

E-posta, banka, alan adı paneli, hosting, sosyal medya ve muhasebe yazılımı. Çok faktörlü doğrulama, parolanız çalınsa bile girişi engeller. Mümkünse SMS yerine doğrulayıcı uygulama (Authenticator) kullanın.

Adım 2 — Parola yöneticisi kullanın

Her hesap için farklı ve uzun parola, ancak bir parola yöneticisiyle sürdürülebilir. Ortak hesapların parolası WhatsApp grubunda dolaşmamalı.

Adım 3 — 3-2-1 kuralıyla yedekleyin

En az 3 kopya, 2 farklı ortam, 1 tanesi işletme dışında/çevrimdışı. En önemlisi: yedeği ayda bir geri dönerek test edin. Test edilmemiş yedek, yedek sayılmaz.

Adım 4 — Güncellemeleri otomatikleştirin

İşletim sistemi, tarayıcı, site altyapısı ve eklentiler. Saldırıların büyük kısmı, yaması aylar önce yayımlanmış bilinen açıklardan yararlanır.

Adım 5 — Yetkileri daraltın

Herkes yönetici olmasın. Çalışan işini yapmak için hangi erişime ihtiyaç duyuyorsa yalnızca onu alsın. İşten ayrılan personelin erişimi aynı gün kapatılsın.

Adım 6 — E-posta güvenliğini yapılandırın

Alan adınız için SPF, DKIM ve DMARC kayıtlarını tanımlayın. Bu üçü, başkalarının sizin adınıza sahte e-posta göndermesini büyük ölçüde engeller ve gönderdiğiniz maillerin spam’e düşmesini azaltır.

Adım 7 — Ekibi oltalamaya karşı eğitin

Basit üç kural yeterlidir: gönderen adresini tam olarak oku, beklemediğin eki açma, para/parola isteyen her talebi ikinci bir kanaldan (telefonla) doğrula. Yılda iki kez tazeleyin.

Adım 8 — Cihazları koruyun

Güncel bir güvenlik yazılımı, disk şifreleme (BitLocker/FileVault) ve ekran kilidi. Kaybolan bir dizüstü bilgisayar, şifreli değilse doğrudan veri ihlalidir.

Adım 9 — Ağınızı ayırın

Müşteri Wi-Fi’si ile işletme ağı aynı olmasın. Kasa, sunucu ve kamera sistemleri misafir ağından erişilebilir olmamalı. Router’ın varsayılan parolasını mutlaka değiştirin.

Adım 10 — Web sitenizi sıkılaştırın

HTTPS, güvenlik başlıkları, güncel altyapı, güçlü yönetici parolası ve gereksiz eklentilerin kaldırılması. Bu konuyu web sitesi güvenliği rehberimizde adım adım ele aldık.

Adım 11 — Ödeme ve finans süreçlerini kurala bağlayın

IBAN değişikliği talebi asla yalnızca e-postayla kabul edilmesin; belirli tutarın üzerindeki her transfer telefonla doğrulansın. Online tahsilat yapıyorsanız 3D Secure ve PCI DSS kurallarına uyun.

Adım 12 — Bir olay planı yazın

Tek sayfa yeterli: Kim aranacak? Hangi sistem önce kapatılacak? Yedek nerede ve nasıl dönülecek? Müşterilere ne söylenecek? Bu kâğıt, olay anında saatler kazandırır.

Saldırıya uğrarsanız ilk 60 dakika

1. İzole edin. Etkilenen cihazları ağdan ayırın (kabloyu çekin, Wi-Fi’yi kapatın). Cihazı kapatmayın; bellekteki kanıt kaybolabilir.
2. Yayılmayı durdurun. Paylaşılan sürücüleri ve yedek bağlantılarını geçici olarak kesin.
3. Parolaları değiştirin. Temiz bir cihazdan başlayarak e-posta, banka ve yönetim panellerini önceliklendirin.
4. Kanıt toplayın. Ekran görüntüleri, fidye notu, olay saatleri ve etkilenen sistem listesi.
5. Yedekten dönüşü değerlendirin. Fidye ödemek, verinin geri geleceğini garanti etmez ve sizi tekrar hedef hâline getirir.
6. Bildirim yapın. Kişisel veri etkilendiyse KVKK bildirimi; ayrıca USOM’a ihbar ve gerekiyorsa savcılığa suç duyurusu.

KVKK açısından sorumluluğunuz

Müşteri adı, telefonu, adresi ve kimlik bilgisi tutan her işletme 6698 sayılı KVKK kapsamında veri sorumlusudur. Bu, üç somut yükümlülük getirir:

• Teknik ve idari tedbirler: Erişim yetkilendirmesi, şifreleme, log tutma, yedekleme ve personel gizlilik taahhütleri.
• Aydınlatma ve rıza: Hangi veriyi neden topladığınızı açıkça bildirmek; pazarlama izinlerini ayrı almak.
• İhlal bildirimi: Bir veri ihlalini öğrendiğinizde en kısa sürede — Kurul kararına göre 72 saat içinde — Kişisel Verileri Koruma Kurulu’na, ayrıca etkilenen kişilere bildirim yapmak.

Belirli kriterleri aşan veri sorumlularının VERBİS kaydı da gerekir; kapsamda olup olmadığınızı mali müşavirinizle teyit edin.

Aylık 15 dakikalık kontrol listesi

• Yedek başarıyla alındı mı? Bir dosyayı geri döndürüp test ettim mi?
• Bekleyen güncelleme var mı?
• Bu ay işten ayrılan/başlayan personelin erişimleri düzenlendi mi?
• Yönetim panellerinde tanımadığım kullanıcı var mı?
• Alan adı ve SSL sertifikasının süresi ne zaman doluyor?
• Şüpheli giriş bildirimi geldi mi?

Sonuç

Siber güvenlik, pahalı ürünler almak değil; birkaç doğru alışkanlığı kurumsallaştırmaktır. Yukarıdaki 12 adımın tamamı, harici bir danışman olmadan birkaç hafta içinde uygulanabilir ve işletmenizin karşılaştığı riskin büyük bölümünü ortadan kaldırır.

Sistemlerinizin mevcut durumunu birlikte gözden geçirmemizi ister misiniz? Bize yazın; kurduğumuz her sistemde güvenlik ve yedekleme yapılandırmasını standart olarak dahil ediyoruz.