KOBİ'ler İçin Siber Güvenlik Kontrol Listesi (25 Madde)
Kısa Cevap
KOBİ siber güvenliği; güncel bir firewall, kritik hesaplarda çok faktörlü doğrulama, güncel sistemler ve uç nokta koruması, ağdan ayrı ve test edilen yedekler, e-posta güvenliği, veri envanteri, çalışan farkındalığı ve basit bir olay müdahale planı gibi temel kontrollerle başlar. Bu yazıdaki 25 maddelik kontrol listesi sekiz başlıkta gruplanmıştır ve mevcut durumunuzu birkaç dakikada değerlendirmenizi sağlar. İlk öncelik genellikle MFA, yedekleme ve firewall/güncelleme maddeleridir.
KOBİ'ler siber güvenliğe nereden başlamalı?
KOBİ'ler için siber güvenliğin başlangıç noktası pahalı ürünler değil, temel kontrollerin eksiksiz uygulanmasıdır: güncel ve yapılandırılmış bir firewall, tüm kritik hesaplarda çok faktörlü doğrulama, güncel işletim sistemleri ve uç nokta koruması, düzenli test edilen ve ağdan ayrı tutulan yedekler, e-posta güvenliği ve bilinçli çalışanlar. Bu temeller, saldırıların büyük kısmının dayandığı kolay giriş noktalarını kapatır.
Aşağıdaki 25 maddelik kontrol listesi sekiz başlık altında gruplanmıştır. Her maddeyi "var / kısmen / yok" olarak işaretleyerek mevcut durumunuzu birkaç dakikada görebilirsiniz. Listeyi yazdırıp BT sorumlunuzla veya hizmet aldığınız firmayla birlikte gözden geçirmenizi öneririz.
Ağ güvenliği için hangi kontroller gerekli?
Ağ katmanı, internetten gelen trafiğin ilk karşılandığı yerdir ve kurumsal bir firewall ile doğru bölümlendirme gerektirir.
- Kurumsal bir firewall var ve güvenlik abonelikleri güncel. Modem üzerindeki temel filtre yerine IPS ve web filtreleme gibi servisleri olan bir firewall kullanılmalı, lisans bitiş tarihleri takip edilmelidir.
- Firewall ve ağ cihazlarının yazılımı güncel. Güvenlik cihazlarının kendisi de zafiyet barındırabilir; üretici güncellemeleri planlı olarak uygulanmalıdır.
- Misafir Wi-Fi kurumsal ağdan ayrı. Ziyaretçi ve kişisel cihazlar, sunucuların bulunduğu ağa erişememelidir.
- Yönetim arayüzleri internete kapalı. Firewall, modem, kamera kayıt cihazı gibi sistemlerin yönetim ekranlarına yalnızca iç ağdan veya güvenli bağlantı üzerinden erişilmelidir.
Kimlik ve erişim için hangi kontroller gerekli?
Çalınan parolalar, saldırganların en sık kullandığı giriş yollarından biridir; bu nedenle kimlik katmanı en hızlı fayda sağlayan alanlardandır.
- E-posta, VPN ve yönetici hesaplarında çok faktörlü doğrulama (MFA) açık. Ayrıntılar için kimlik ve erişim yönetimi sayfamıza bakabilirsiniz.
- Herkes kendi hesabını kullanıyor. Ortak kullanıcı adları ve paylaşılan parolalar kaldırılmalıdır.
- Yönetici yetkisi yalnızca gereken kişilerde. Günlük işler yönetici olmayan hesaplarla yapılmalıdır.
- İşten ayrılan personelin erişimleri aynı gün kapatılıyor. E-posta, VPN, bulut uygulamaları ve ortak klasörler bir kontrol listesiyle kapatılmalıdır.
Uç nokta güvenliği için hangi kontroller gerekli?
Bilgisayar ve sunucular, saldırının çoğu zaman gerçekleştiği yerdir.
- Tüm bilgisayar ve sunucularda güncel uç nokta koruması var. Klasik antivirüsün ötesinde davranış analizi yapan EDR/XDR çözümleri değerlendirilmelidir.
- İşletim sistemi ve uygulama güncellemeleri düzenli yapılıyor. Desteği bitmiş işletim sistemleri envanterden çıkarılmalı veya izole edilmelidir.
- Diskler şifreli, özellikle dizüstü bilgisayarlarda. Kaybolan veya çalınan bir cihazdaki veri okunamaz hale gelir.
E-posta güvenliği için hangi kontroller gerekli?
Oltalama ve sahte fatura e-postaları KOBİ'lerin en sık karşılaştığı tehditlerdendir.
- E-posta filtrelemesi aktif. Zararlı ekler ve bağlantılar kullanıcıya ulaşmadan yakalanmalıdır; seçenekler için kurumsal e-posta güvenliği sayfamıza göz atın.
- SPF, DKIM ve DMARC kayıtları yapılandırılmış. Alan adınız adına sahte e-posta gönderilmesi zorlaşır.
- Ödeme ve IBAN değişikliği talepleri telefonla teyit ediliyor. E-postayla gelen banka bilgisi değişikliği, bilinen bir numaradan aranarak doğrulanmalıdır.
Yedekleme için hangi kontroller gerekli?
Yedek, diğer tüm önlemler başarısız olduğunda işi kurtaran son katmandır.
- Kritik veriler otomatik olarak yedekleniyor. Muhasebe, ERP, dosya sunucusu ve e-posta kapsamda olmalıdır.
- En az bir yedek kopya ağdan ayrı veya değiştirilemez (immutable). Fidye yazılımı, ağa bağlı yedekleri de şifreleyebilir.
- Geri dönüş düzenli test ediliyor. Hiç geri yüklenmemiş bir yedeğin çalıştığından emin olunamaz. Ayrıntılar için yedekleme ve felaket kurtarma sayfamıza bakın.
Veri koruma için hangi kontroller gerekli?
Hangi verinin nerede durduğunu bilmeden onu korumak mümkün değildir.
- Kişisel ve kritik verilerin nerede tutulduğu biliniyor. Basit bir veri envanteri, KVKK yükümlülükleri açısından da temel oluşturur.
- Ortak klasör yetkileri "gerektiği kadar" prensibine göre ayarlı. Herkesin her klasöre eriştiği yapılar daraltılmalıdır.
- Veri dışarı çıkış kanalları kontrol ediliyor. USB, kişisel bulut depolama ve kişisel e-posta kullanımı için kural belirlenmeli, gerekiyorsa DLP (veri sızıntısı önleme) çözümleri değerlendirilmelidir.
Farkındalık için hangi kontroller gerekli?
Teknoloji ne kadar iyi olursa olsun, son kararı çoğu zaman bir çalışan verir.
- Çalışanlar yılda en az bir kez kısa bir güvenlik bilgilendirmesi alıyor. Oltalama örnekleri, parola kuralları ve şüpheli durumu bildirme yolu anlatılmalıdır.
- Şüpheli e-posta veya olayı bildirmek için tek ve basit bir kanal var. Çalışanlar "kime söyleyeceğim?" sorusunun cevabını bilmelidir.
Olay müdahalesi için hangi kontroller gerekli?
Bir olay yaşandığında ilk saatlerde ne yapılacağının önceden bilinmesi, zararı belirgin şekilde azaltır.
- Basit bir olay müdahale planı yazılı. Kim aranacak, hangi sistemler ağdan ayrılacak, yönetime ve gerekirse ilgili kurumlara nasıl bilgi verilecek belirlenmelidir.
- Önemli sistemlerin logları tutuluyor ve belirli bir süre saklanıyor. Kayıt olmadan olayın nasıl gerçekleştiği anlaşılamaz.
- Kişisel veri ihlali bildirim süreci biliniyor. KVKK kapsamında Kurul'un 2019/10 sayılı kararına göre ihlaller en kısa sürede ve en geç 72 saat içinde bildirilmelidir. Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.
Yazdırılabilir kontrol tablosu
Aşağıdaki tabloyu yazdırıp her madde için durumu işaretleyebilirsiniz:
| No | Alan | Kontrol | Var | Kısmen | Yok |
|---|---|---|---|---|---|
| 1 | Ağ | Kurumsal firewall ve güncel abonelikler | ☐ | ☐ | ☐ |
| 2 | Ağ | Ağ cihazı yazılımları güncel | ☐ | ☐ | ☐ |
| 3 | Ağ | Misafir Wi-Fi ayrı | ☐ | ☐ | ☐ |
| 4 | Ağ | Yönetim arayüzleri internete kapalı | ☐ | ☐ | ☐ |
| 5 | Kimlik | Kritik hesaplarda MFA | ☐ | ☐ | ☐ |
| 6 | Kimlik | Kişiye özel hesaplar | ☐ | ☐ | ☐ |
| 7 | Kimlik | Sınırlı yönetici yetkisi | ☐ | ☐ | ☐ |
| 8 | Kimlik | Ayrılan personelin erişimi kapatılıyor | ☐ | ☐ | ☐ |
| 9 | Uç nokta | Güncel uç nokta koruması | ☐ | ☐ | ☐ |
| 10 | Uç nokta | Düzenli güncellemeler | ☐ | ☐ | ☐ |
| 11 | Uç nokta | Disk şifreleme | ☐ | ☐ | ☐ |
| 12 | E-posta | E-posta filtreleme | ☐ | ☐ | ☐ |
| 13 | E-posta | SPF, DKIM, DMARC | ☐ | ☐ | ☐ |
| 14 | E-posta | Ödeme değişikliklerinde telefon teyidi | ☐ | ☐ | ☐ |
| 15 | Yedek | Otomatik yedekleme | ☐ | ☐ | ☐ |
| 16 | Yedek | Ağdan ayrı / değiştirilemez kopya | ☐ | ☐ | ☐ |
| 17 | Yedek | Geri dönüş testi | ☐ | ☐ | ☐ |
| 18 | Veri | Veri envanteri | ☐ | ☐ | ☐ |
| 19 | Veri | Klasör yetkileri daraltılmış | ☐ | ☐ | ☐ |
| 20 | Veri | Çıkış kanalları kontrol ediliyor | ☐ | ☐ | ☐ |
| 21 | Farkındalık | Yıllık bilgilendirme | ☐ | ☐ | ☐ |
| 22 | Farkındalık | Bildirim kanalı | ☐ | ☐ | ☐ |
| 23 | Olay müdahale | Yazılı müdahale planı | ☐ | ☐ | ☐ |
| 24 | Olay müdahale | Log kaydı ve saklama | ☐ | ☐ | ☐ |
| 25 | Olay müdahale | İhlal bildirim süreci | ☐ | ☐ | ☐ |
Sonuçları nasıl önceliklendirmeli?
"Yok" işaretlenen maddeler arasında önce kimlik (MFA), yedekleme ve firewall/güncelleme maddelerine odaklanmanızı öneririz; bu üç alan, en yaygın saldırı senaryolarının çoğunu doğrudan etkiler. Ardından e-posta güvenliği ve uç nokta koruması gelir. Veri koruma ve farkındalık maddeleri ise süreç ve politika gerektirdiği için paralel olarak planlanabilir.
Önceliklendirmede şu iki soruyu sormak da yol gösterir: "Bu madde eksikse, bir saldırgan içeri girmek için ne kadar az çaba harcar?" ve "Bu sistem bir gün durursa iş ne kadar etkilenir?" İlk sorunun cevabı kolaysa ve ikinci sorunun cevabı büyükse, o madde listenin başına taşınmalıdır. "Kısmen" işaretlenen maddeler de göz ardı edilmemelidir; örneğin MFA'nın yalnızca e-postada açık olup VPN'de kapalı olması, saldırgana hâlâ bir kapı bırakır.
Her şeyi aynı anda yapmak gerekmez. Üç aylık dönemler halinde birkaç maddeyi tamamlamak, bütçeyi de yönetilebilir tutar. Listeyi tamamladıktan sonra hangi maddelerin öncelikli olduğunu bağımsız bir gözle değerlendirmek isterseniz siber güvenlik danışmanlığı hizmetimiz bu amaçla tasarlanmıştır.
Sonuç
KOBİ siber güvenliği, birkaç temel kontrolün eksiksiz ve sürdürülebilir şekilde uygulanmasıyla başlar. Bu 25 maddelik liste, nerede durduğunuzu görmenize ve ilk adımları önceliklendirmenize yardımcı olur.
Kontrol listesini birlikte gözden geçirmek ve eksik maddeler için bir yol haritası çıkarmak isterseniz teklif formunu doldurabilirsiniz.
Bu konuda kurumunuz için bir değerlendirme mi gerekiyor?
Mevcut yapınızı ve kullanıcı sayınızı yazın; uygulanabilir seçenekleri kalem kalem anlatalım.
Sıkça Sorulan Sorular
KOBİ'ler için en önemli siber güvenlik önlemi hangisi?
Tek bir önlem yeterli değildir, ancak kritik hesaplarda çok faktörlü doğrulama, ağdan ayrı tutulan ve test edilen yedekler ile güncel bir firewall ve işletim sistemleri en yüksek etkiyi sağlayan üç temel önlemdir. Bunlar, yaygın saldırı senaryolarının büyük kısmında belirleyici rol oynar.
Küçük bir işletme gerçekten hedef olur mu?
Evet. Saldırıların önemli bir kısmı belirli bir firmayı değil, açık bırakılmış sistemleri ve zayıf parolaları otomatik olarak tarar. Bu nedenle işletmenin büyüklüğünden çok temel kontrollerin uygulanıp uygulanmadığı önemlidir.
Bu kontrol listesini kim doldurmalı?
İdeal olarak BT sorumlusu veya hizmet alınan BT firmasıyla birlikte, bir yönetici de katılarak doldurulmalıdır. Bazı maddeler (ör. ödeme teyidi, işten ayrılma süreci) teknik değil süreçle ilgilidir ve ilgili departmanların katkısını gerektirir.
Kontrol listesini ne sıklıkla gözden geçirmeliyiz?
En az yılda bir kez ve önemli değişikliklerden sonra (yeni şube, yeni sistem, uzaktan çalışmaya geçiş gibi) gözden geçirilmesi önerilir. Düzenli gözden geçirme, zamanla gevşeyen kontrollerin fark edilmesini sağlar.
KVKK açısından bu liste yeterli mi?
Liste, KVKK kapsamındaki teknik tedbirlerin önemli bir kısmına temel oluşturur, ancak tek başına uyum anlamına gelmez. İdari tedbirler, aydınlatma metinleri, VERBİS kaydı ve politika belgeleri gibi konular ayrıca ele alınmalıdır. Bu bilgi genel niteliktedir, hukuki danışmanlık yerine geçmez.
