KOBİ'ler İçin Siber Güvenlik Kontrol Listesi: İlk 12 Adım

Küçük ve orta ölçekli işletmeler (KOBİ'ler) için en etkili başlangıç; neye sahip olduğunuzu bilmek, tüm kritik hesaplarda MFA'yı açmak, sistemleri güncel tutmak, yedekleri çevrimdışı saklayıp test etmek, e-posta alan adınızı SPF/DKIM/DMARC ile korumak ve basit bir olay müdahale planı hazırlamaktır. Bu adımların çoğu büyük bütçe değil, düzenli uygulama gerektirir.

Neden KOBİ'ler için ayrı bir liste?

KOBİ'lerin çoğunda tam zamanlı bir güvenlik ekibi yoktur; BT işleri genellikle tek bir kişi veya dış hizmet sağlayıcı tarafından yürütülür. Bu nedenle uzun ve karmaşık standartlar yerine, sınırlı kaynakla en çok riski azaltan kontrollere öncelik vermek gerekir. Aşağıdaki liste CISA Cyber Essentials ve NIST'in küçük işletme rehberleri temel alınarak hazırlanmıştır ve NIST CSF 2.0 işlevleriyle eşleştirilmiştir.

12 adımlık kontrol listesi

1. Sorumlu kişiyi belirleyin

Güvenliğin "herkesin işi" olması kimsenin işi olmaması anlamına gelebilir. Bir kişiyi (veya dış hizmet sağlayıcıyı) güvenlikten sorumlu olarak atayın ve yönetimin bu listeyi yılda en az bir kez gözden geçirmesini sağlayın.

2. Varlık envanteri çıkarın

Bilgisayarlar, telefonlar, sunucular, ağ cihazları, bulut hizmetleri, alan adları ve önemli veri kümelerinin bir listesini tutun. Bilmediğiniz bir sistemi koruyamazsınız. Basit bir tablo yeterlidir: varlık, sahibi, konumu, kritiklik düzeyi.

3. MFA'yı zorunlu kılın

Öncelik sırası: e-posta, yönetici hesapları, VPN ve uzak erişim, muhasebe ve banka hesapları, bulut depolama. Mümkünse kimlik doğrulama uygulaması veya FIDO2 güvenlik anahtarı kullanın.

4. Parola yöneticisi kullanın

Çalışanlara kurumsal bir parola yöneticisi sağlayın; ortak hesap parolalarını e-posta veya mesajla değil, yöneticinin paylaşım özelliğiyle iletin.

5. Güncellemeleri otomatikleştirin

İşletim sistemi, tarayıcı, ofis yazılımları, web sitesi (CMS ve eklentiler), modem ve güvenlik duvarı yazılımları için otomatik güncellemeyi açın. Desteği bitmiş sistemleri yenileme planına alın.

6. Yedekleme: 3-2-1 kuralı

Verilerinizin en az 3 kopyası, 2 farklı ortamda ve 1 kopyası çevrimdışı veya değiştirilemez (immutable) olsun. Yedekten gerçek bir geri yükleme testi yapmadan yedeği hazır saymayın.

7. E-posta kimlik doğrulaması

Alan adınız için SPF, DKIM ve DMARC yapılandırın; DMARC politikasını izleme modundan p=reject hedefine doğru ilerletin. Bu, müşterilerinize sizin adınızla sahte e-posta gönderilmesini zorlaştırır.

8. En az yetki ilkesi

Çalışanlar günlük işlerini yönetici olmayan hesaplarla yapmalıdır. İşten ayrılan personelin hesaplarını aynı gün kapatın; erişimleri yılda en az bir kez gözden geçirin.

9. Uç nokta koruması ve disk şifreleme

Tüm cihazlarda güncel güvenlik yazılımı ve disk şifreleme (BitLocker, FileVault veya mobil cihaz şifrelemesi) etkin olsun. Kaybolan dizüstü bilgisayar bir veri ihlaline dönüşmesin.

10. Web sitesi ve uzak erişim güvenliği

Web sitenizde geçerli TLS sertifikası, HTTPS yönlendirmesi ve temel güvenlik başlıkları olsun. Uzak masaüstü (RDP) hizmetini doğrudan internete açmayın; VPN ve MFA arkasına alın.

11. Günlük kaydı ve uyarılar

E-posta ve bulut hizmetlerinizde şüpheli oturum açma uyarılarını etkinleştirin. Günlüklerin en azından belirli bir süre saklandığından emin olun.

12. Olay müdahale planı ve farkındalık

Bir sayfalık bir plan bile işe yarar: kimi arayacaksınız, sistemleri nasıl yalıtacaksınız, KVKK bildirim yükümlülüğünü kim değerlendirecek? Çalışanlara oltalama konusunda düzenli kısa eğitimler verin ve şüpheli iletileri bildirmenin kolay olmasını sağlayın.

Sık yapılan hatalar

• Güvenliği tek seferlik bir proje olarak görmek.
• Yönetici parolalarını birden çok kişinin paylaşması.
• Yedekleri hiç geri yükleme testi yapmadan saklamak.
• Web sitesi eklentilerini ve modem yazılımını güncellemeyi unutmak.
• Olay anında kimin ne yapacağının belirsiz olması.

Nasıl kontrol ederim?

Dışarıdan görünen yapılandırmanızı ücretsiz araçlarımızla hızlıca ölçebilirsiniz: web sitesi güvenlik testi, SSL kontrol, e-posta güvenlik analizi ve DMARC kontrol. Alan adınızın kara listelerde olup olmadığını kara liste sorgulama ile görebilirsiniz.

Sık sorulan sorular

Küçük bir işletme gerçekten hedef olur mu?

Evet. Saldırıların önemli bir kısmı belirli bir şirketi değil, zayıf yapılandırılmış sistemleri otomatik olarak hedefler. Oltalama ve fidye yazılımı kampanyaları işletmenin büyüklüğüne bakmaz.

Bu adımlar için büyük bütçe gerekir mi?

Gerekmez. MFA, otomatik güncellemeler, DMARC ve parola yöneticisi gibi önlemlerin çoğu mevcut hizmetlerin ücretsiz veya düşük maliyetli özellikleridir. En büyük yatırım, düzenli uygulama için ayrılan zamandır.

İlk olarak hangi adımdan başlamalıyım?

E-posta ve uzak erişim hesaplarında MFA'yı açmak ve yedeklerinizin çevrimdışı bir kopyasını oluşturup geri yüklemeyi test etmek, en kısa sürede en fazla riski azaltan iki adımdır.

Sık sorulan sorular

Kaynaklar

1. CISA — Cyber Essentials
2. NIST — Small Business Cybersecurity Corner
3. NIST Cybersecurity Framework (CSF) 2.0

#kobi #kontrol-listesi #mfa #yedekleme #nist-csf