Küçük ve Orta Ölçekli İşletmeler İçin Bilgi Güvenliği
Saldırıların çoğu otomatik yayılır ve birkaç temel önlemle engellenebilir. Küçük ve orta ölçekli işletmeler, dernekler ve okullar için nereden başlayacağınızı gösteren sade bir yol haritası.
Küçük ve orta ölçekli bir işletme için bilgi güvenliği↗, büyük şirketlerinki kadar karmaşık olmak zorunda değil. Saldırıların çoğu belirli bir işletmeyi hedeflemez, otomatik yayılır ve birkaç temel önlemle engellenebilir. Bu sayfa; sınırlı zaman ve bütçeyle en çok fark yaratan adımları, çalışanlı bir işletmeye özgü riskleri ve nereden başlayacağınızı konu konu bir araya getirir. Kapsam, yaklaşık 250 çalışana kadar olan işletmelerin yanı sıra dernek, vakıf ve okullar gibi benzer ölçekteki kuruluşları da içerir.
Nasıl okunmalı?
Rehberler birbirinden bağımsız okunabilir; her biri kaynaklarını ve “son gözden geçirme” tarihini sayfa sonunda gösterir. Aşağıdaki tablo, işletmenizin durumuna göre makul bir başlangıç sırası önerir. Her durumda önce “beş ilke” bölümünü okuyun.
| Durumunuz | Önce | Sonra |
|---|---|---|
| Henüz hiçbir şey yapmadınız | Temel Siber Hijyen↗ Kontrol Listesi | Parola, iki adımlı doğrulama↗, güncelleme, yedek |
| Çalışanınız var | Çalışanlarınızı Siber Güvenliğin Parçası Yapın | Erişim Yetkileri ve Ayrılan Çalışanlar; Şirket ve Kişisel Cihaz Kullanımı |
| Para ve fatura işleri yürütüyorsunuz | Sahte Fatura ve Ödeme Dolandırıcılığı | İşletme E-postanızı ve Alan Adınızı Koruyun |
| Müşteri verisi tutuyorsunuz | Müşteri ve İş Verilerinizi Koruyun (KVKK↗) | İhlal ve Siber Olay Bildirimleri; Mevzuat |
| Bulut, e-posta ve web sitesi kullanıyorsunuz | Bulut Hesaplarınızı Güvene Alın | Sosyal Medya ve Web Sitesi Hesapları |
| Bir şey ters gitti | Fidye Yazılımına Karşı 5 Adım | Olay Müdahale↗ ve İş Sürekliliği↗ Planı |
KOBİ’ler için beş ilke
- Temelden başlayın: Güçlü ve benzersiz parola, iki adımlı doğrulama, güncelleme ve yedek riskin büyük bölümünü ortadan kaldırır.
- Hesapları ve yetkiyi yönetin: Herkese yalnızca işi için gereken erişimi verin; ayrılanın erişimini aynı gün kapatın.
- Ekibi eğitin: Olayların çoğu bir çalışanın tıkladığı mesajla başlar; kısa ve düzenli hatırlatma uzun bir eğitimden etkilidir.
- Parayı ikinci kanaldan doğrulayın: Hesap değişikliği ve acil ödeme taleplerini bağımsız bir kanaldan teyit edin.
- Önceden planlayın: Kim ne yapacak, kimi arayacak, yedekten nasıl dönülecek; bir sayfa yeter.
İşletmenizin temelleri
Parola, ikinci doğrulama adımı, güncelleme ve yedek; bu dört alışkanlık en sık görülen saldırı yollarının çoğunu kapatır. Hiçbiri tek başına yeterli değildir, ama birlikte uygulandığında işletmenizi “kolay hedef” olmaktan çıkarır. Önce e-posta hesabınızdan başlayın: diğer hesapların parola sıfırlama anahtarı oradadır.
Nereden başlamalı? Kısa kontrol listesi
Hangi rehberle başlayacağınızı bilmiyorsanız buradan başlayın. Bu liste altı başlıkta asgari önlemleri toplar: kimlik doğrulama↗, güncelleme, yedek, oltalama↗, erişim ve olay hazırlığı. Maddeleri sırayla işaretleyin, her birinin yanındaki ayrıntılı rehbere ihtiyaç duydukça geçin.
En güçlü savunmanız: çalışanlarınız
Fidye yazılımı↗ ve ödeme dolandırıcılığının çoğu bir çalışanın tıkladığı mesajla başlar; bu, ekibinizi suçlamak için değil, onlara doğru alışkanlığı kazandırmak için bir nedendir. Kısa ve düzenli hatırlatmalar, yılda bir yapılan uzun bir eğitimden daha etkilidir. Kritik nokta, yanlış bir tıklamanın cezasız ve hemen bildirilebilir olmasıdır.
Erişim, cihazlar ve ağ
Her çalışan yalnızca işi için gereken sisteme erişsin; ayrılanın erişimi aynı gün kapansın. İş için kullanılan her cihazda, kişisel olsun ya da şirketin olsun, ekran kilidi ve güncel yazılım bulunsun. Ofis ağınızın giriş kapısı olan yönlendiriciyi ve misafir Wi-Fi’yi de bu düzene dahil edin.
Paranızı ve verinizi hedef alan saldırılar
Küçük bir işletmede tek bir yanlış ödeme, bir ayın gelirini götürebilir. Sahte fatura, değiştirilmiş IBAN ve “acil ödeme” baskısı bu yüzden en pahalı risklerden biridir; çözümü teknik değil, doğrulama alışkanlığıdır. Müşteri verisi ise KVKK uyarınca yasal sorumluluğunuzdur: hangi veriyi neden tuttuğunuzu bilmek ve korumak zorundasınız.
Tedarikçi ve iş ortağı riski
Muhasebeciniz, yazılım sağlayıcınız, barındırma firmanız ve kargo ortağınız verinize ve sistemlerinize erişiyor olabilir. Onların biri ele geçirilirse sorun size de yansır. Kimin neye eriştiğini bilin, yeni bir sağlayıcıyla çalışmadan önce temel güvenlik sorularını sorun.
Dijital varlıklarınız
İşletme e-postanız, bulut araçlarınız, sosyal medya sayfalarınız ve web siteniz çoğu zaman işinizin vitrini ve çalışma alanıdır. Bunlardan biri ele geçirilirse hem itibarınız hem de müşterilerinizle ilişkiniz zarar görür. Hesapları korumanın yanında, alan adınızın süresinin dolmaması ve adınıza sahte e-posta gönderilmesinin zorlaştırılması da önemlidir.
Yapay zeka kullanıyorsanız
Yapay zeka araçları zaman kazandırır; ama çalışanlar bu araçlara müşteri listesi, sözleşme ya da iç yazışma yapıştırdığında, veri işletmenizin dışına çıkar ve bunun sorumluluğu sizdedir. Yasaklamak yerine kısa bir kural yazın: hangi araç, hangi veri. Yapay zeka aynı zamanda sahte ses ve video tuzaklarını da güçlendirdiği için “ikinci kanaldan doğrulama” alışkanlığı daha da önem kazanır.
Bir şeyler ters giderse
Bir olayda en pahalı şey, ne yapacağını bilememektir. Fidye yazılımı, ele geçirilmiş hesap ya da çalınan cihaz için önceden yazılmış kısa bir plan, panik yerine sıra getirir. Planın özü: etkilenen cihazı ağdan ayır, parolaları temiz bir cihazdan değiştir, yedeği kontrol et, gerekli yerlere bildir.
Bildirim ve mevzuat
Dolandırıcılık, siber suç ve kişisel veri↗ ihlali farklı kurumlara bildirilir ve her birinin süresi ve kanalı farklıdır. Müşteri verisi etkilenmişse KVKK uyarınca Kuruma ve ilgili kişilere en kısa sürede bildirim gerekebilir (6698 sayılı Kanun m.12/5). Bu adresleri olay anında aramak yerine önceden öğrenin, mevzuatın genel çerçevesini de buradan izleyin.
Terimlerin çoğu, üzerine geldiğinizde kısa tanımlarıyla açılır; daha fazlası için Sözlük bölümüne göz atabilirsiniz.
