Hukuk ve mali müşavirlik ofisleri için neler sunuyoruz?
- E-posta ve bulut hesaplarında MFA kurulumu
- E-posta güvenliği ve SPF, DKIM, DMARC yapılandırması
- Küçük ofis güvenlik duvarı kurulumu ve misafir ağ ayrımı
- Uzak masaüstü yerine MFA'lı VPN erişimi
- Dosya ve muhasebe verileri için ayrık yedekleme
- Müvekkil dosyaları için paylaşım kuralları ve DLP seçenekleri
- 30-60-90 günlük önceliklendirilmiş başlangıç planı
Hukuk ve mali müşavirlik ofislerinin tipik riskleri nelerdir?
Hukuk büroları ve mali müşavirlik ofisleri genellikle küçük ekiplerle, yoğun e-posta trafiğiyle ve çok sayıda müvekkil veya mükellef adına hassas bilgiyle çalışır. Bu yapı, saldırganlar için hem değerli veri hem de inandırıcı dolandırıcılık senaryoları sunar.
Sık karşılaşılan risk alanları:
- E-posta hesabının ele geçirilmesi: Parola tahmini veya oltalama ile ele geçirilen hesaptan müvekkillere sahte talimat gönderilmesi
- Sahte fatura ve IBAN değişikliği dolandırıcılığı: Gerçek bir yazışmanın arasına girilerek ödeme bilgilerinin değiştirilmesi
- Müvekkil ve mükellef verisinin sızması: Dava dosyaları, beyannameler, bordro ve kimlik belgelerinin kişisel e-posta, USB veya ortak paylaşım bağlantılarıyla dışarı çıkması
- Fidye yazılımı: Dosya sunucusu veya muhasebe programı verilerinin şifrelenmesi, beyanname ve süre takibi dönemlerinde işlerin durması
- Zayıf ofis ağı: Operatör modemine bağlı, misafirlerle aynı ağı kullanan bilgisayarlar ve internete açık uzak masaüstü
E-posta ve fatura dolandırıcılığı nasıl önlenir?
E-posta ve fatura dolandırıcılığına karşı en etkili önlem, teknik kontrollerle süreç kuralının birlikte uygulanmasıdır. Teknik tarafta e-posta hesaplarında MFA, alan adınız için SPF, DKIM ve DMARC kayıtları ve gelişmiş e-posta filtreleme kullanılır. Süreç tarafında ise IBAN veya ödeme bilgisi değişikliği içeren her talep, e-postadaki numaradan değil önceden bilinen bir telefon numarasından aranarak doğrulanır.
Öncelikli kontroller nelerdir?
| Risk | Kontrol | İlgili çözüm |
|---|---|---|
| E-posta hesabının ele geçirilmesi | E-posta ve bulut hesaplarında MFA, şüpheli giriş uyarıları | Kimlik ve erişim yönetimi |
| Sahte fatura ve oltalama | E-posta filtreleme, SPF/DKIM/DMARC, sahte alan adı tespiti | E-posta güvenliği |
| İnternete açık uzak masaüstü | Uzak masaüstünün kapatılması, MFA'lı VPN | Güvenli uzaktan erişim |
| Zayıf ofis ağı | Küçük ofis güvenlik duvarı, misafir ağın ayrılması, web filtreleme | FortiGate modelleri |
| Fidye yazılımı ile veri kaybı | Ağdan ayrık, test edilmiş yedek | Yedekleme ve felaket kurtarma |
| Müvekkil dosyalarının sızması | DLP ile e-posta, USB ve bulut çıkışının denetimi | DLP çözümleri |
Küçük bir ofise nasıl bir güvenlik duvarı yeter?
Birkaç ile birkaç düzine kişilik bir ofis için genellikle masaüstü sınıfı bir yeni nesil güvenlik duvarı yeterlidir. Önemli olan modelden çok yapılandırmadır: personel ve misafir ağlarının ayrılması, uzaktan erişimin MFA'lı VPN ile yapılması, web filtreleme ve saldırı önleme profillerinin açık olması ve lisansların güncel tutulması. Model seçiminde kullanıcı sayısı, internet hızı ve VPN kullanıcı sayısı dikkate alınır.
30-60-90 günlük başlangıç planı
İlk 30 gün: hesaplar ve e-posta
- Tüm e-posta ve bulut hesaplarında MFA
- SPF, DKIM ve DMARC kayıtlarının kontrolü
- Ödeme bilgisi değişikliklerinde telefonla doğrulama kuralının yazılı hale getirilmesi
31-60 gün: ağ ve yedek
- Küçük ofis güvenlik duvarının kurulması veya mevcut cihazın gözden geçirilmesi
- İnternete açık uzak masaüstünün kapatılması, VPN'e geçiş
- Dosya sunucusu ve muhasebe verileri için ayrık yedek ve geri dönüş testi
61-90 gün: veri ve farkındalık
- Müvekkil ve mükellef dosyalarının nerede tutulduğunun belirlenmesi, paylaşım kuralları
- Personel için kısa oltalama farkındalık eğitimi
- KVKK teknik tedbirlerinin gözden geçirilmesi
Kimler için uygun?
Bu plan; avukatlık büroları, hukuk danışmanlığı ofisleri, serbest muhasebeci mali müşavirler, yeminli mali müşavirlik büroları ve benzer şekilde müşteri adına hassas belge işleyen küçük ve orta ölçekli profesyonel hizmet ofisleri için uygundur.
Süreç nasıl işler?
- Kısa keşif görüşmesi: Ofis ağı, e-posta altyapısı, kullanılan programlar ve yedekleme durumu konuşulur.
- Önceliklendirme: Dolandırıcılık ve veri kaybı riskleri öne alınır.
- Uygulama: MFA, e-posta güvenliği, güvenlik duvarı ve yedekleme adımları ofisin çalışma düzenini aksatmadan uygulanır.
- Teslim: Basit bir kullanım rehberi ve kontrol listesi bırakılır.
- Takip: İsteğe bağlı periyodik bakım ile ayarların güncel kalması sağlanır.
Ofisinize uygun ilk adımları belirlemek için siber güvenlik danışmanlığı sayfasına bakabilir veya doğrudan teklif isteyebilirsiniz.
Hukuk Büroları ve Mali Müşavirler İçin Siber Güvenlik: sık sorulanlar
Küçük bir hukuk bürosu neden hedef olsun?
Saldırganlar çoğu zaman belirli bir büroyu değil, korunması zayıf e-posta hesaplarını ve ödeme süreçlerini hedefler. Hukuk büroları ve mali müşavirler, müvekkil adına yazışma ve ödeme trafiği yürüttükleri için dolandırıcılık senaryolarına uygun bir ortam sunar. Küçük ekiplerde ayrı bir BT birimi olmaması da riski artırır.
Sahte IBAN e-postalarına karşı ne yapmalıyız?
Ödeme bilgisi değişikliği içeren her talep, e-postadaki iletişim bilgilerinden değil, önceden bilinen bir telefon numarasından aranarak doğrulanmalıdır. Teknik olarak e-posta hesaplarında MFA ve gelişmiş e-posta filtreleme kullanılmalıdır. Alan adınız için SPF, DKIM ve DMARC kayıtları da adınıza sahte e-posta gönderilmesini zorlaştırır.
Bulut e-posta kullanıyoruz, yine de güvenlik duvarı gerekir mi?
Evet. Bulut e-posta hesap güvenliğini kapsar, ancak ofis ağınızdaki bilgisayarları, yazıcıları ve dosya sunucusunu korumaz. Güvenlik duvarı misafir ağın ayrılması, web filtreleme, saldırı önleme ve güvenli uzaktan erişim sağlar.
Muhasebe programı verilerini nasıl yedeklemeliyiz?
Yedeklerden en az biri ağdan ayrık veya değiştirilemez olmalı, böylece fidye yazılımı yedeği de şifreleyemez. Yedeklerin gerçekten geri yüklenebildiği düzenli olarak test edilmelidir. Muhasebe programının üreticisinin yedekleme önerileri de dikkate alınmalıdır.
Müvekkil bilgileri KVKK kapsamında mı?
Müvekkil ve mükelleflere ait kimlik, iletişim, mali ve dava bilgileri kişisel veri niteliği taşıyabilir. Bu nedenle KVKK'nın 12. maddesindeki veri güvenliği yükümlülükleri bu bilgiler için de geçerlidir. Kurumunuza özgü hukuki değerlendirme için hukuk danışmanınıza başvurunuz; bu içerik genel bilgilendirmedir.
