Siber güvenlik çoğu zaman büyük şirketlerin konusu gibi görülür: “Bizim gibi küçük bir firmayı kim ne yapsın?” Oysa saldırıların önemli bir kısmı hedef seçmez. Otomatik araçlar internetteki her siteyi, her açık sunucuyu, sızdırılmış parola listelerindeki her hesabı dener. Zayıf noktası olan sistem, büyüklüğüne bakılmadan ele geçirilir. Küçük işletmeler korumaları daha zayıf olduğu için çoğu zaman daha kolay hedeftir; zararı telafi edecek kaynakları da daha sınırlıdır.
İyi haber şu: Riskin büyük kısmı, pahalı ürünler gerektirmeyen ve düzenli uygulanan birkaç temel adımla azaltılabilir. Aşağıdaki on adım, bir işletmenin güvenlik çalışmasına nereden başlaması gerektiğini önem sırasına yakın bir düzende anlatıyor.
1. Neyi koruduğunuzu listeleyin
Korunacak şeyi bilmeden korumak mümkün değildir. İlk iş, işletmenin dijital varlıklarını tek bir listede toplamaktır: web sitesi ve alan adı, e-posta hesapları, sunucular ve bulut hesapları, muhasebe ve ERP programı, e-ticaret paneli, bilgisayarlar ve telefonlar, ağ cihazları. Her birinin yanına kimin yönettiğini, hangi verinin orada tutulduğunu ve durması hâlinde işin ne kadar etkileneceğini yazın. Bu liste, sonraki tüm adımların öncelik sırasını belirler.
Listeyi çıkarırken çoğu işletme unuttuğu şeyleri fark eder: yıllar önce kurulmuş ve unutulmuş bir test sitesi, eski bir çalışanın adına açılmış bulut hesabı, hâlâ internete açık duran eski bir uzaktan erişim servisi. Saldırganların ilk aradığı yerler de genellikle bunlardır; çünkü kimse onları güncellemez ve izlemez.
2. İki adımlı doğrulamayı açın
Parolalar sızar: başka bir sitedeki veri ihlalinden, sahte bir giriş sayfasından ya da bir bilgisayardaki zararlı yazılımdan. İki adımlı doğrulama, parola ele geçirilse bile hesaba girişi büyük ölçüde engeller. E-posta, muhasebe, banka, sunucu, alan adı ve web sitesi yönetim panelleri gibi kritik hesaplarla başlayın. Mümkün olan yerde SMS yerine doğrulama uygulaması ya da donanım anahtarı tercih edin.
3. Parola yöneticisi kullanın
Her hesapta farklı ve uzun parola kullanmak, ancak bir parola yöneticisiyle sürdürülebilir. Aynı parolanın birden çok yerde kullanılması, bir sızıntının bütün hesaplara yayılması demektir. Ortak kullanılan hesapların parolaları da kâğıtta, tabloda ya da mesajlaşma uygulamasında değil, yetkileri ayarlanabilen bir parola yöneticisinde paylaşılmalıdır.
4. Yedekleri sistemden ayrı tutun ve geri yüklemeyi deneyin
Fidye yazılımları erişebildikleri her şeyi şifreler; aynı ağdaki ya da sürekli bağlı duran yedek diskler de buna dahildir. Yedeğin en az bir kopyası sistemlerden ayrı, saldırganın erişemeyeceği bir yerde durmalıdır. Daha da önemlisi: Yedeğin işe yaradığını anlamanın tek yolu geri yükleme denemesidir. “Yedek alıyoruz” cümlesi, geri yükleme hiç denenmemişse bir varsayımdan ibarettir. Denemeyi belirli aralıklarla yapın ve sonucunu kayıt altına alın.
5. Güncellemeleri ertelemeyin
İşletim sistemi, tarayıcı, ofis yazılımları, web sitesinin altyapısı ve eklentileri, sunucu yazılımları ve ağ cihazlarının yazılımları güncel tutulmalıdır. Saldırıların önemli bir kısmı, güncellemesi zaten yayımlanmış açıklardan yararlanır. Desteği bitmiş, artık güncelleme almayan yazılım ve cihazları da listeleyin; bunlar ya yenilenmeli ya da ağdan ayrılmalıdır.
6. Yetkileri gerektiği kadar verin
Her çalışan yalnız işi için gereken sistemlere ve verilere erişmelidir. Herkesin yönetici olduğu bir sistemde tek bir ele geçirilmiş hesap bütün sistemi açar. Yetki düzeninde dikkat edilecek üç nokta:
- İşten ayrılan çalışanların ve iş birliği biten tedarikçilerin erişimleri aynı gün kapatılmalı.
- Ortak kullanılan “admin” hesapları kişiye özel hesaplara dönüştürülmeli; kimin ne yaptığı izlenebilmeli.
- Kullanılmayan hesaplar düzenli aralıklarla bulunup kapatılmalı.
7. E-postayı güvenli hâle getirin ve ekibi bilgilendirin
Alan adınız için SPF, DKIM ve DMARC kayıtları, başkalarının sizin adınıza sahte e-posta göndermesini zorlaştırır. Gelen kutusunda ek ve bağlantı filtreleri sahte e-postaların bir kısmını yakalar. Ama hiçbir filtre her şeyi yakalamaz; son savunma hattı çalışanlardır.
Acil ödeme talepleri, değişen banka hesabı bildirimleri, parola sıfırlama bağlantıları ve tanıdık birinin adıyla gelen olağan dışı istekler en sık kullanılan oltalama yöntemleridir. “Para ya da parola içeren her olağan dışı talep telefonla doğrulanır” gibi basit bir kural, ciddi kayıpları önler. Ekibe şüpheli bir e-postayı kime bildireceğini ve bir bağlantıya yanlışlıkla tıkladığında ne yapacağını da öğretin; erken bildirilen hata küçük kalır.
8. Ağı ve cihazları ayırın
Misafir Wi-Fi’ı şirket ağından ayırın. Kameralar, yazıcılar ve diğer akıllı cihazlar mümkünse kendi ağ bölümlerinde dursun; bunlar çoğu zaman en az güncellenen cihazlardır. Varsayılan cihaz parolalarını mutlaka değiştirin ve dışarıdan erişime açık olması gerekmeyen servisleri kapatın. Uzaktan erişim gerekiyorsa bunu güvenli bir bağlantı ve iki adımlı doğrulama ile sağlayın. Çalışanların kişisel cihazlarından şirket sistemlerine bağlanıp bağlanmayacağını ve hangi koşullarla bağlanacağını da yazılı bir kurala bağlayın; kaybolan ya da çalınan bir telefon, üzerinde açık duran oturumlarla birlikte bir güvenlik olayıdır.
9. Kayıtları tutun, kişisel veriyi bilin
Kim, ne zaman, nereye giriş yaptı? Sunucu, güvenlik duvarı ve uygulama kayıtları tutulmalı, olağan dışı durumlar için uyarı kurulmalıdır. Bir olay yaşandığında ne olduğunu anlamanın tek yolu bu kayıtlardır.
Kişisel veri işleyen her işletme için bu konunun bir de hukuki boyutu vardır. 6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusunun kişisel verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almasını öngörür. Hangi kişisel veriyi nerede tuttuğunuzu bilmek, erişimi sınırlamak ve kayıt tutmak bu tedbirlerin temelidir. Yükümlülüklerinizin ayrıntısı için Kişisel Verileri Koruma Kurumu’nun güncel rehberlerine ve hukuk danışmanınıza başvurun.
10. Bir olay planı hazırlayın
Bir saldırı fark edildiğinde paniğin içinde karar vermek yerine önceden yazılmış bir plana bakmak, zararı belirgin biçimde sınırlar. Planda en az şunlar olmalı:
- Olayı ilk fark eden kişi kime haber verir?
- Etkilenen sistemler ağdan nasıl ayrılır, hangi erişimler hemen kapatılır?
- Kanıtlar nasıl korunur (sistem silinip yeniden kurulmadan önce)?
- Yedekten dönüş hangi sırayla yapılır?
- Müşteriler, iş ortakları ve gerektiğinde ilgili kurumlar kim tarafından, nasıl bilgilendirilir?
Web sitesi ve online mağaza için ek önlemler
Siteniz ya da mağazanız durduğunda doğrudan gelir ve itibar kaybedersiniz; ele geçirilen bir site ise ziyaretçilerinize zarar verebilir. Bu yüzden internete açık sistemler için yukarıdaki adımlara ek olarak şunlar önemlidir:
- Altyapı ve eklentiler güncel olmalı: İçerik yönetim sistemlerinde açıkların büyük kısmı güncellenmemiş eklentilerden gelir. Kullanılmayan eklentiler kaldırılmalıdır.
- Yönetim paneli korunmalı: panel girişinde iki adımlı doğrulama, başarısız denemelerde kilitleme ve mümkünse erişimin belirli adreslerle sınırlanması.
- Formlar kötüye kullanıma karşı korunmalı: iletişim, kayıt ve parola sıfırlama formlarında istek sınırı ve otomatik gönderim koruması.
- Güvenlik başlıkları ve HTTPS: sitenin yalnız HTTPS ile açılması ve tarayıcıya güvenlik kurallarını bildiren başlıkların ayarlanması.
- Kart bilgisi sizde tutulmamalı: Ödeme, bankanın ya da ödeme kuruluşunun güvenli altyapısında tamamlanmalı; kart verisiyle ilgili kurallar PCI DSS standardıyla tanımlanır.
- Sitenin de yedeği alınmalı: hem dosyaların hem veritabanının yedeği, sunucudan ayrı bir yerde ve geri yüklemesi denenmiş olarak.
Bütçe sınırlıysa hangi sırayla?
Her şeyi aynı anda yapmak mümkün olmayabilir. Kaynağınız sınırlıysa önce saldırıların en sık kullandığı kapıları kapatın: kritik hesaplarda iki adımlı doğrulama, sistemden ayrı ve denenmiş yedek, internete açık sistemlerin güncellenmesi ve eski hesapların temizlenmesi. Bu dört adım, maliyetine göre en yüksek etkiyi verir. Ardından e-posta güvenliği ve çalışan bilgilendirmesi, sonra ağ ayrımı, kayıt tutma ve olay planı gelir. Önemli olan, listeyi bir kez uygulayıp bırakmamak; düzenli aralıklarla gözden geçirmektir.
Bunny Soft güvenlik çalışmasını nasıl yürütüyor?
Önlemleri hazır bir paket olarak değil, sisteminizin gerçek risklerine göre belirliyoruz. Önce hangi site, sunucu, uygulama ve verinin korunması gerektiğini sizinle listeliyoruz. Ardından sistemlerinizi inceleyip açıkları ve yanlış yapılandırmaları bulguların önem sırasına göre, teknik olmayan yöneticinin de okuyabileceği bir raporla sunuyoruz. Bulunan sorunları raporda bırakmıyor, öncelik sırasına göre kapatıyor; her düzeltmeden sonra açığın gerçekten kapandığını yeniden kontrol ediyoruz.
Erişim yönetimini, sistemlerden ayrı tutulan ve geri yüklemesi düzenli denenen yedekleri kuruyor; güvenlik duvarı ve izleme gibi ihtiyaçlarda yurt içi ve yurt dışı çözüm ortaklarımızın ürünlerini sisteminize uygun yapılandırıyoruz. Geliştirdiğimiz her yazılımda güvenlik, kodun ilk satırından itibaren düşünülür. Bilgi güvenliği, kişisel veri ve iş sürekliliği yönetim sistemlerimiz uluslararası standartlara göre belgelendirilmiştir. Hiçbir sistem için “artık saldırı riski yok” denemez; yaptığımız, bilinen açıkları kapatmak, saldırı yüzeyini küçültmek ve bir sorun yaşandığında denenmiş yedeklerle hızla geri dönebilmenizi sağlamaktır.
Sistemlerinizi değerlendirmek ve açıkları kapatmak için siber güvenlik sayfamızda kapsamı ve süreci bulabilirsiniz.
