Perakende ve e-ticaret için neler sunuyoruz?
- Mağaza ağlarında POS ayrıştırması ve güvenlik duvarı şablonu
- Merkezi yönetilen mağaza güvenlik duvarları
- WAF yapılandırması ve DDoS hazırlık planı
- Yönetim paneli, pazar yeri ve ERP hesaplarında MFA
- Müşteri verisi için erişim kontrolü ve loglama
- E-ticaret sitesi için zafiyet taraması ve sızma testi
- 30-60-90 günlük önceliklendirilmiş başlangıç planı
Perakende ve e-ticaret firmalarının tipik riskleri nelerdir?
Perakende ve e-ticaret işletmeleri, hem fiziksel mağazalarda hem çevrim içi kanalda müşteri ve ödeme verisi işler. Kampanya dönemlerinde trafik ve işlem hacmi yükselir; bu dönemler saldırganların da ilgisini çeker.
Sık karşılaşılan risk alanları:
- Mağaza ağları: POS cihazları, kasa bilgisayarları, kameralar, misafir Wi-Fi ve ofis cihazlarının aynı ağda olması
- Kart verisi: Ödeme akışının yanlış tasarlanması nedeniyle kart verisinin işletme sistemlerinden geçmesi veya saklanması
- Müşteri verisi: Üyelik, sipariş ve sadakat programı verilerinin sızması
- Web uygulaması saldırıları: E-ticaret sitesine yönelik enjeksiyon, hesap ele geçirme ve bot saldırıları
- Hizmet engelleme (DDoS): Kampanya dönemlerinde sitenin erişilemez hale getirilmesi
- Pazar yeri ve entegrasyon hesapları: ERP, kargo ve pazar yeri panellerindeki ortak veya MFA'sız hesaplar
Kart verisi ve PCI DSS neden önemlidir?
Kart verisi işleyen, ileten veya saklayan işletmeler, ödeme kartı sektörünün güvenlik standardı olan PCI DSS gereksinimleriyle karşılaşır. Uyum kapsamı ve gereksinimler, işletmenin ödeme akışına ve anlaşmalı olduğu ödeme kuruluşunun taleplerine göre değişir. Teknik açıdan en etkili yaklaşım, kart verisinin işletme sistemlerine hiç girmemesini sağlayacak şekilde ödeme akışını tasarlamak ve ödeme sistemlerini diğer ağlardan ayırmaktır. Kesin yükümlülükleriniz için ödeme kuruluşunuz ve uyum danışmanınızla birlikte değerlendirme yapılmalıdır.
Müşterilere ait ad, adres, telefon ve sipariş bilgileri ise KVKK kapsamında kişisel veridir ve 12. maddede öngörülen teknik ve idari tedbirlerle korunmalıdır. Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.
Öncelikli kontroller nelerdir?
| Risk | Kontrol | İlgili çözüm |
|---|---|---|
| Mağaza ağında POS sistemlerine erişim | POS ağının ayrı bölgeye alınması, yalnızca ödeme altyapısına izin | FortiGate firewall |
| Şubelerde tutarsız güvenlik ayarları | Merkezi yönetilen mağaza güvenlik duvarları, ortak şablon | Firewall kurulumu ve yapılandırma |
| Web uygulaması saldırıları | WAF, düzenli güncelleme, sızma testi | Sızma testi ve zafiyet analizi |
| Yönetim paneli ve pazar yeri hesabının ele geçirilmesi | MFA, kişiye özel hesaplar, yetki sınırlaması | Kimlik ve erişim yönetimi |
| Müşteri verisinin sızması | Erişim kontrolü, loglama, DLP | KVKK teknik tedbirler |
| Fidye yazılımı ile satışın durması | Ayrık yedek, geri dönüş planı | Yedekleme ve felaket kurtarma |
E-ticaret sitesi DDoS ve uygulama saldırılarına nasıl hazırlanır?
Web uygulama güvenlik duvarı (WAF), e-ticaret sitesine gelen istekleri inceleyerek enjeksiyon, oturum ele geçirme ve kötü niyetli bot trafiği gibi uygulama katmanı saldırılarını filtreler. DDoS hazırlığı ise tek bir üründen çok bir plandır: barındırma veya içerik dağıtım ağı (CDN) sağlayıcısının sunduğu koruma seçenekleri, kampanya öncesi kapasite kontrolü, saldırı anında kimin kimi arayacağı ve sitenin hangi bileşenlerinin önceliklendirileceği önceden belirlenir. Sitenin kendisi de düzenli olarak güncellenmeli ve büyük değişikliklerden sonra test edilmelidir.
30-60-90 günlük başlangıç planı
İlk 30 gün: hesaplar ve görünürlük
- E-ticaret yönetim paneli, pazar yeri, ERP ve e-posta hesaplarında MFA
- Ödeme akışının ve kart verisinin nereden geçtiğinin belgelenmesi
- Mağaza ağlarının ve cihazlarının envanteri
31-60 gün: mağaza ve site
- POS ağının ayrıştırılması ve mağaza güvenlik duvarı şablonu
- WAF yapılandırması ve DDoS iletişim planı
- E-ticaret sitesi için zafiyet taraması
61-90 gün: veri ve süreklilik
- Müşteri verisine erişim yetkilerinin gözden geçirilmesi ve loglama
- Ayrık yedek ve geri dönüş testi
- Kampanya dönemleri için olay müdahale kontrol listesi
Kimler için uygun?
Bu plan; çok şubeli mağaza zincirleri, kendi e-ticaret sitesini işleten markalar, pazar yerlerinde satış yapan işletmeler ve hem fiziksel hem çevrim içi satış kanalı bulunan perakendeciler için uygundur.
Süreç nasıl işler?
- Keşif: Mağaza ağları, ödeme akışı, e-ticaret altyapısı ve entegrasyonlar incelenir.
- Önceliklendirme: Ödeme ve müşteri verisi riskleri öne alınır.
- Plan: Adımlar, kampanya dönemlerinden kaçınılarak takvime bağlanır.
- Uygulama: Ağ ayrıştırma, WAF, MFA ve yedekleme adımları uygulanır.
- Takip: Periyodik test, bakım ve raporlama ile kalıcılık sağlanır.
İşletmenize özel bir plan için teklif isteyin.
Perakende ve E-Ticaret İçin Siber Güvenlik: sık sorulanlar
Mağazalarda POS ağı neden ayrılmalı?
POS cihazları ödeme verisi işlediği için misafir Wi-Fi, kamera ve ofis cihazlarıyla aynı ağda bulunmamalıdır. Ayrı bir ağ bölgesinde yalnızca ödeme altyapısına erişmelerine izin verildiğinde, başka bir cihazdaki sorunun ödeme sistemlerine ulaşması zorlaşır. Bu ayrıştırma, PCI DSS kapsamının daraltılmasına da yardımcı olabilir.
E-ticaret sitemiz için PCI DSS gerekli mi?
Kart verisi işleyen, ileten veya saklayan işletmeler PCI DSS gereksinimleriyle karşılaşır; kapsam, ödeme akışınıza göre değişir. Ödeme sayfası tamamen ödeme kuruluşu tarafından barındırılıyorsa kapsam daralabilir, ancak tamamen ortadan kalkmayabilir. Kesin yükümlülükleriniz için ödeme kuruluşunuzla birlikte değerlendirme yapılmalıdır.
WAF nedir, e-ticaret sitesini nasıl korur?
WAF (Web Application Firewall, web uygulama güvenlik duvarı), siteye gelen istekleri inceleyerek enjeksiyon, oturum ele geçirme ve kötü niyetli bot trafiği gibi uygulama saldırılarını filtreler. Sitenin kendi güvenlik açıklarını kapatmanın yerini tutmaz, ancak önemli bir koruma katmanı sağlar. Düzenli güncelleme ve sızma testiyle birlikte kullanılmalıdır.
Kampanya dönemlerinde DDoS saldırısına nasıl hazırlanılır?
Barındırma veya CDN sağlayıcınızın DDoS koruma seçenekleri önceden gözden geçirilmeli ve gerekiyorsa etkinleştirilmelidir. Kampanya öncesinde kapasite kontrol edilmeli ve saldırı anında izlenecek iletişim planı hazırlanmalıdır. Sitenin hangi bileşenlerinin öncelikli korunacağı da önceden belirlenmelidir.
Müşteri verilerini korumak için KVKK kapsamında ne yapmalıyız?
KVKK'nın 12. maddesi, kişisel verilerin güvenliği için uygun teknik ve idari tedbirlerin alınmasını öngörür. Teknik tarafta erişim kontrolü, MFA, loglama, şifreleme ve yedekleme öne çıkar. Bu içerik genel bilgilendirmedir; hukuki yükümlülükleriniz için hukuk danışmanınıza başvurunuz.
