KOBİ’ler için siber güvenlik: Bugün uygulayabileceğiniz 12 önlem

“Bizim gibi küçük bir firmayı kim hedef alsın ki?” Siber güvenlik konuşmalarında en sık duyduğumuz cümle bu. Oysa saldırıların büyük bölümü belirli bir firmayı hedef almaz; internet üzerinde zayıf noktası olan herkesi otomatik araçlarla tarar. Güncellenmemiş bir web sitesi, zayıf bir şifre ya da dikkatsizce açılan bir e-posta eki, firmanın büyüklüğünden bağımsız olarak kapıyı aralar. Üstelik küçük ve orta ölçekli işletmeler, büyük şirketlerin sahip olduğu güvenlik ekiplerinden ve bütçelerinden yoksun oldukları için saldırganlar açısından çoğu zaman daha kolay hedeflerdir.

İyi haber şu: KOBİ’lerin karşılaştığı risklerin büyük kısmı, pahalı ürünler satın almadan, birkaç temel alışkanlıkla önemli ölçüde azaltılabilir. Bu yazıda bugünden uygulayabileceğiniz 12 önlemi, öncelik sırasıyla anlatıyoruz.

KOBİ’leri bekleyen başlıca tehditler

Önlemlere geçmeden önce, karşı karşıya olduğunuz risklerin neler olduğunu kısaca bilmek faydalı:

• Oltalama (phishing): Banka, kargo firması, e-devlet ya da bir tedarikçi gibi görünen sahte e-postalar ve mesajlarla şifre veya ödeme bilgisi çalınması.
• Fidye yazılımı: Bilgisayarlardaki ve sunuculardaki dosyaların şifrelenip açılması için fidye istenmesi. Yedek yoksa, işletme günlerce, hatta haftalarca durabilir.
• İş e-postası dolandırıcılığı: Ele geçirilmiş ya da taklit edilmiş bir e-posta hesabından, “IBAN bilgimiz değişti” gibi mesajlarla ödemelerin yanlış hesaba yönlendirilmesi.
• Web sitesi saldırıları: Güncel olmayan içerik yönetim sistemleri ve eklentiler üzerinden sitenin ele geçirilmesi, zararlı kod yerleştirilmesi ya da müşteri verilerinin çalınması.
• Hesap ele geçirme: Başka bir sitede sızdırılmış şifrelerin, aynı şifrenin kullanıldığı iş hesaplarında denenmesi.

Yapay zeka araçlarının yaygınlaşmasıyla birlikte oltalama e-postaları da daha ikna edici hâle geldi. Yazım hataları ve bozuk Türkçe artık sahte bir e-postayı tanımak için güvenilir bir işaret değil.

Bugünden uygulayabileceğiniz 12 önlem

1. Tüm kritik hesaplarda iki adımlı doğrulamayı açın

Tek başına en etkili önlem budur. E-posta, muhasebe programı, bankacılık, alan adı yönetimi, web sitesi yönetim paneli ve sosyal medya hesaplarında iki adımlı doğrulama (2FA) mutlaka açık olmalı. SMS kodu hiç yoktan iyidir; ancak mümkünse doğrulayıcı uygulama ya da daha da güvenli olan geçiş anahtarı (passkey) tercih edin. Geçiş anahtarları, sahte sitelerde çalışmadıkları için oltalamaya karşı doğal bir koruma sağlar.

2. Şifre yöneticisi kullanın

İnsanların aynı şifreyi birden fazla yerde kullanmasının nedeni kötü niyet değil, unutma korkusudur. Şifre yöneticisi, her hesap için uzun ve benzersiz şifreler üretip saklar; çalışanlarınızın yalnızca tek bir ana şifreyi hatırlaması gerekir. Ekip planları sayesinde ortak hesap şifrelerini de güvenli şekilde paylaşabilirsiniz; şifrelerin Excel dosyasında ya da WhatsApp grubunda dolaşmasına son verirsiniz.

3. Yedekleme için 3-2-1 kuralını uygulayın

Verilerinizin en az 3 kopyası olsun, bu kopyalar en az 2 farklı ortamda dursun ve en az 1 tanesi şirket dışında (örneğin bulutta) saklansın. Fidye yazılımları bağlı diskleri ve ağ paylaşımlarını da şifreleyebildiği için, yedeklerden en az birinin ana sistemden ayrık ya da değiştirilemez olması önemlidir.

4. Yedekten geri dönmeyi test edin

Hiç denenmemiş bir yedek, bir varsayımdan ibarettir. Üç ayda bir, rastgele seçtiğiniz bir dosyayı ya da tüm sistemi yedekten geri yüklemeyi deneyin. Kriz anında yedeğin bozuk çıktığını ya da geri yüklemenin günler sürdüğünü öğrenmek istemezsiniz.

5. Yazılımları güncel tutun

Saldırıların önemli bir bölümü, yaması çoktan yayınlanmış bilinen açıkları kullanır. İşletim sistemleri, tarayıcılar, ofis programları ve özellikle web sitenizdeki içerik yönetim sistemi ile eklentiler için otomatik güncellemeleri açın. Artık desteklenmeyen işletim sistemlerini ve yazılımları kullanmayı bırakın.

6. Çalışanlarınızı oltalamaya karşı eğitin

Teknik önlemler ne kadar güçlü olursa olsun, son karar çoğu zaman bir insanın bir bağlantıya tıklayıp tıklamamasıdır. Kısa, düzenli ve gerçek örneklere dayalı eğitimler, yıllık uzun sunumlardan çok daha etkilidir. Çalışanlarınıza şunu net olarak söyleyin: Şüpheli bir e-postayı bildirmek her zaman doğru davranıştır; yanlışlıkla tıkladıklarında bunu hemen söylemeleri, saklamalarından çok daha iyidir.

7. Ödeme değişikliklerini ikinci bir kanaldan doğrulayın

Bir tedarikçiden “banka hesabımız değişti” diye bir e-posta geldiğinde, bu bilgiyi e-postadaki numarayı değil, daha önceden kayıtlı olan telefon numarasını arayarak doğrulayın. Bu basit kural, iş e-postası dolandırıcılığının neredeyse tamamını önler. Aynı şey, yöneticiden geliyormuş gibi görünen acil ödeme talepleri için de geçerlidir.

8. En az yetki ilkesini uygulayın

Her çalışan yalnızca işini yapmak için gereken sistem ve dosyalara erişebilmeli. Herkesin yönetici yetkisiyle çalıştığı bir ortamda, tek bir ele geçirilmiş hesap tüm şirketi riske atar. İşten ayrılan çalışanların hesaplarını aynı gün kapatmayı bir prosedür hâline getirin.

9. Web sitenizi koruyun

Web siteniz, internete açık en görünür varlığınızdır. Şunlara dikkat edin:

• SSL sertifikası ile tüm trafiğin HTTPS üzerinden gitmesini sağlayın.
• Yönetim paneline iki adımlı doğrulama ekleyin ve mümkünse erişimi kısıtlayın.
• Kullanmadığınız eklenti ve temaları yalnızca devre dışı bırakmayın, tamamen silin.
• Formlarda istenmeyen gönderilere karşı koruma (CAPTCHA ya da benzeri) kullanın.
• Sitenizin ve veritabanınızın düzenli, sunucu dışında saklanan yedeklerini alın.

10. E-posta alan adınızı doğrulayın

SPF, DKIM ve DMARC kayıtları, başkalarının sizin alan adınızı kullanarak sahte e-posta göndermesini zorlaştırır. Bu kayıtlar aynı zamanda kendi e-postalarınızın spam klasörüne düşme ihtimalini de azaltır. Büyük e-posta sağlayıcıları, toplu gönderim yapan alan adları için bu kayıtları artık zorunlu tutuyor.

11. Cihazları şifreleyin ve kaybolmaya hazırlıklı olun

Dizüstü bilgisayarlarda disk şifrelemeyi (Windows’ta BitLocker, macOS’ta FileVault) açın. Telefonlarda ekran kilidi zorunlu olsun. Şirket verisine erişilen bir cihaz kaybolduğunda veya çalındığında, uzaktan kilitleme ve silme imkânınızın olması gerekir.

12. Bir olay müdahale planı hazırlayın

Bir saldırı yaşandığında ilk saatlerde ne yapılacağı, sonucu büyük ölçüde belirler. Kısa bir doküman hazırlayın: Kim aranacak? Hangi sistemler ağdan ayrılacak? Yedekler nerede ve nasıl geri yüklenecek? Müşterilere ve iş ortaklarına nasıl bilgi verilecek? Kişisel veri ihlallerinde KVKK, Kişisel Verileri Koruma Kurulu’na en kısa sürede ve 72 saat içinde bildirim yapılmasını öngörüyor; bu süreyi bir kriz anında ilk kez öğrenmek istemezsiniz.

Önceliklendirme: Nereden başlamalı?

On iki maddenin hepsini bir haftada uygulamak gerçekçi olmayabilir. Kaynaklarınız sınırlıysa şu sırayı öneriyoruz:

1. E-posta ve banka hesaplarında iki adımlı doğrulama
2. Şirket dışında saklanan, test edilmiş yedekler
3. Otomatik güncellemeler
4. Ödeme değişikliklerinin telefonla doğrulanması
5. Şifre yöneticisi ve kısa bir çalışan eğitimi

Bu beş adım, KOBİ’lerin en sık yaşadığı olayların büyük çoğunluğuna karşı güçlü bir temel oluşturur.

Siber güvenlik bir ürün değil, bir alışkanlıktır. En pahalı güvenlik duvarı bile, herkesin “123456” şifresini kullandığı bir ofisi koruyamaz.

Sonuç

Siber güvenlik, büyük şirketlere özgü karmaşık bir konu değil; her işletmenin temel bir sorumluluğu. Burada anlattığımız önlemlerin çoğu düşük maliyetli ve bir kez kurulduktan sonra az bakım gerektiren adımlar. Önemli olan, bir olay yaşanmadan önce başlamak.

Espada Bilişim olarak geliştirdiğimiz web sitelerinde ve yazılımlarda güvenliği baştan tasarlıyor; mevcut siteleriniz için güvenlik denetimi, güncelleme ve yedekleme hizmeti sunuyoruz. Sitenizin güvenlik durumunu değerlendirmemizi isterseniz bize yazın.