KOBİ’ler için Siber Güvenlik Bilgi Merkezi
Bu sayfa, Türkiye’deki KOBİ ve küçük işletmeler için hazırlanmış, “nereden başlamalıyım?” sorusuna sade cevaplar veren bir bilgi merkezidir. Teknik jargonu mümkün olduğunca azaltarak, fidye yazılımlarından yedekleme stratejisine, KVKK teknik tedbirlerden kurumsal antivirüs seçimlerine kadar temel konuları özetliyoruz.
KOBİ’ler için siber güvenlik, devasa bütçeler ve karmaşık ürünler anlamına gelmek zorunda değil. Aşağıdaki 6 madde, çoğu küçük işletmenin ilk etapta odaklanması gereken temel başlıkları özetler:
1. Yedekleme Stratejisi: Kritik dosyalarınızı ve veritabanlarınızı düzenli, otomatik ve mümkünse off-site (farklı lokasyon) yedeklemeden geçirmiyorsanız, diğer tüm önlemler eksik kalır.
2. Uç Nokta Güvenliği: Ofis PC’leri, dizüstüler ve sunucular üzerinde güncel ve merkezi yönetilen bir güvenlik (AV/EDR) katmanı şarttır.
3. Kullanıcı Farkındalığı: Çalışanların phishing mailleri, USB bellekler ve şifre kullanımı konusunda bilinçli olması, teknik önlemler kadar kritiktir.
4. Ağ ve VPN Güvenliği: Modem parolası, Wi‑Fi erişimi, şubeler arası VPN tünelleri ve uzaktan bağlantı politikaları net tanımlanmalıdır.
5. Yetki ve Hesap Yönetimi: Herkesin her şeye tam yetkili olduğu yapılar, hem iç hataya hem de kötü niyete davetiye çıkarır.
6. Basit Bir Olay Planı: Fidye virüsü, veri kaybı veya şüpheli olay durumunda ilk 24 saatte kim ne yapacak, çok net olmalıdır.
Ransomware, sisteminizdeki dosyaları şifreleyerek veya verilerinizi çalarak, karşılığında para (genellikle kripto para) talep eden zararlı yazılım ailesidir. Küçük işletmeler de en az büyük kurumlar kadar hedef haline gelmiş durumdadır; çünkü genelde koruma katmanı daha zayıftır.
Kendi ortamınızdaki ransomware riskini ölçmek için Ransomware Kontrol Listesi ve Fidye Maliyeti Hesaplayıcı araçlarını kullanabilirsiniz.
Yedekleme, sadece “bir disk alıp arada bir kopya almak” değildir. Kritik veriler için hem donanım arızası hem de siber saldırı senaryolarına dayanabilecek bir strateji gerekir.
Küçük işletmeler için pratik yaklaşım; yerel bir NAS veya yedek disk ile birlikte, bulut tabanlı bir yedekleme çözümünü (örneğin Narbulut) devrede tutmaktır. Böylece hem donanım arızasına hem de fidye saldırılarına karşı dayanıklılık artar.
KVKK, sadece aydınlatma metni ve sözleşmeden ibaret değildir; arka planda teknik tedbirlerin de alınmış ve sürdürülebilir olması gerekir. KOBİ ölçekte sık karşılaşılan teknik eksiklerden bazıları:
Loglama ve erişim kayıtları, KVKK açısından kritik bir konudur. Hangi kullanıcının hangi veriyi okuduğu/değiştirdiği, makul bir süre boyunca denetlenebilir olmalıdır. Bu amaçla log ve denetim çözümleri (örneğin Netwrix gibi) devreye alınabilir.
Kendi KVKK hazırlık seviyenizi hızlıca görmek için KVKK / Regülasyon Hazırlık Panosu aracımızı kullanabilirsiniz.
Çoğu fidye ve zararlı yazılım saldırısı, teknik zafiyetlerden çok, e-posta ve Office dosyaları üzerinden başlar. Bu nedenle küçük işletmelerde “mail ve ofis güvenliği”, antivirüs kadar önemli bir başlık hâline gelmiştir.
Özellikle dışarıdan gelen Excel/Word dosyalarının içindeki makrolar, zararlı kod barındırabilir. Çalışanların, tanımadıkları kaynaktan gelen dosyalarda “Makroları Etkinleştir” tuşuna basmamayı öğrenmesi, basit ama etkili bir savunmadır.
Zayıf veya tekrar kullanılan şifreler, saldırganların en kolay faydalandığı açıklardan biridir. Yönetici hesapları, e-posta kutuları ve uzaktan erişim (RDP/VPN) noktaları için güçlü bir parola politikası ve mümkünse MFA zorunlu olmalıdır.
Geleneksel antivirüsler, bilinen zararlı imzalarına odaklanırken; EDR (Endpoint Detection and Response) çözümleri davranışsal analiz, olay izleme ve olay müdahale (response) yetenekleri sunar.
Küçük işletmeler için pratik yaklaşım, güçlü bir kurumsal antivirüs/EDR çözümünü, temel politika setleriyle birlikte devreye almak ve bunu yedekleme / loglama ile bir üçgen hâline getirmektir.
Eskişehir ve çevresindeki KOBİ’lerle çalışırken, benzer cümleleri sıkça duyuyoruz: “Sunucumuzun yedeği tam mı?”, “KVKK denetimi gelirse ne olur?”, “Uzaktan çalışanlar için güvenli bağlantı nasıl yapılır?” Aşağıdaki mini başlıklar, bu tip talepleri özetler:
Aşağıdaki maddelere içtenlikle “Evet” diyebiliyorsanız, çoğu KOBİ’den daha iyi durumdasınız demektir. Ne kadar çok “Hayır / Emin değilim” çıkarsa, o kadar fazla gelişim alanı var demektir.
Test edilmiş bir yedekleme yapısı, merkezi yönetilen uç nokta güvenliği ve temel kullanıcı farkındalığı (phishing, şifre kullanımı, USB gibi konularda) genelde ilk üç adımı oluşturur. Bu üçü olmadan yapılan diğer yatırımlar, beklenen faydayı vermez.
Güvenlik otoriteleri, genellikle fidye ödenmesini önermemektedir; çünkü ödeme, verilerin geri geleceğini garanti etmez ve saldırganları teşvik eder. En sağlıklı yaklaşım, güçlü bir yedekleme stratejisiyle saldırı öncesi hâle geri dönebilmektir.
KVKK rehberlerinde, erişim kayıtlarının tutulması ve denetlenebilirliğin sağlanması teknik tedbirler arasında sayılır. Özellikle kişisel verilerin tutulduğu sistemlerde, kimlerin ne yaptığının kayıt altında olması hem mevzuat hem de olay incelemesi için zorunlu hâle gelmiştir.
Kritik veriler için günlük veya daha sık (örneğin her saat) yedekleme idealdir; en azından gün sonunda alınan sağlam bir yedek, birçok KOBİ için kabul edilebilir seviyeyi temsil eder. Daha seyrek yedeklemelerde, olası bir olayda kaybedeceğiniz veri miktarı ciddi biçimde artar.
Doğru tasarlanmış bir bulut yedekleme yapısı; şifreleme, erişim kontrolü ve versiyonlama özellikleriyle, yerel disklere göre çoğu zaman daha yüksek güvenlik seviyesi sunar. Önemli olan, verinin kim tarafından, nasıl şifrelendiği ve hangi ülke / veri merkezinde tutulduğudur.
Bütçe elveriyorsa, EDR çözümleri özellikle uzaktan erişim, sunucu ve kritik kullanıcı bilgisayarlarında önemli avantaj sağlar; ancak başlangıç aşamasında, güçlü bir kurumsal antivirüs ve sağlam yedekleme yapısı da ciddi bir güvenlik katmanı oluşturur. Zamanla olgunlaştıkça, EDR ve merkezi loglama gibi bileşenler eklenebilir.