Şirketler İçin Siber Güvenlik Kontrol Listesi

Siber güvenlik listeleri genellikle uzundur ve nereden başlanacağı belirsizdir. Aşağıdaki liste önem sırasına göre düzenlendi. Baştan başlayıp ilerlemek, hepsini aynı anda yapmaya çalışmaktan daha etkilidir. İlk üç madde tamamlandığında riskin büyük bölümü zaten azalmış olur.

Öncelikli maddeler

1. 01Çalışan bir yedeğiniz olsun ve geri dönüşü test edin.
2. 02E-posta ve yönetici hesaplarında çok adımlı doğrulamayı açın.
3. 03İşletim sistemi ve uygulama güncellemelerini düzenli hâle getirin.
4. 04Ayrılan personelin tüm erişimlerini aynı gün kapatın.
5. 05Herkesin yönetici yetkisiyle çalışmasını sonlandırın.

Yedeklemenin ilk sırada olması tesadüf değil. Diğer tüm önlemler saldırıyı engellemeye çalışır; yedek ise engelleme başarısız olduğunda işinizi kurtaran tek şeydir. Fidye yazılımı senaryosunda ödeme yapmadan çıkabilmenin tek yolu budur.

İkinci sıradaki çok adımlı doğrulama, tek bir ayarla en yüksek getiriyi sağlayan önlemdir. Parolalar er ya da geç sızar; çok adımlı doğrulama, sızan parolanın tek başına işe yaramamasını sağlar.

İkinci aşama

• Güvenlik duvarı kurallarını gözden geçirin; gereksiz açık portları kapatın.
• Misafir Wi-Fi ağını şirket ağından ayırın.
• Uzaktan erişimi VPN üzerinden zorunlu kılın.
• Sunucuya doğrudan internetten erişimi kısıtlayın.
• Uç nokta koruma yazılımının tüm cihazlarda kurulu ve güncel olduğunu doğrulayın.
• Disk şifrelemesini özellikle dizüstü bilgisayarlarda etkinleştirin.

Son madde sıklıkla atlanır. Çalınan veya kaybolan şifrelenmemiş bir dizüstü bilgisayar, üzerindeki tüm şirket verisinin üçüncü kişilerin eline geçmesi demektir. Disk şifrelemesi hem Windows hem macOS'ta yerleşik gelir ve ek maliyeti yoktur.

Üçüncü aşama: sürdürülebilir hâle getirme

İlk iki aşama riski belirgin biçimde düşürür. Üçüncü aşama ise bu seviyenin zamanla aşınmamasını sağlar. Buradaki maddeler tek seferlik ayarlar değil, kurulması gereken alışkanlıklardır:

• Cihaz envanteri tutun. Hangi bilgisayarın kimde olduğu bilinmiyorsa, kaybolan bir cihaz fark edilmez.
• Erişim listesini düzenli gözden geçirin; görev değiştiren personelin eski yetkileri genellikle üzerinde kalır.
• Kritik sistemlerin kayıtlarını merkezi bir yerde toplayın ve en azından başarısız giriş denemeleri için uyarı kurun.
• Telefonlardaki şirket verisi için uzaktan silme yeteneği tanımlayın.
• Yeni işe alım ve işten ayrılış için yazılı birer kontrol listesi oluşturun.

Son madde küçük görünür ama en çok işe yarayanıdır. Güvenlik açıklarının önemli bir bölümü karmaşık saldırılardan değil, unutulmuş bir hesaptan doğar. Yazılı bir ayrılış prosedürü, bu boşluğu tek başına kapatır.

Tedarikçilerinizin erişimi

Kendi güvenliğinizi sağlarken kolayca gözden kaçan bir alan var: dışarıdan sistemlerinize erişebilen firmalar. Muhasebe programınızın destek ekibi, ERP sağlayıcınız, web ajansınız ve bakım yapan teknik firmalar genellikle kalıcı bir uzaktan erişim yolu kullanır.

Bu erişimlerin envanteri çıkarılmalı ve iki soru sorulmalıdır: bu erişim hâlâ gerekli mi, ve gerekli olduğu anlarda mı açık? Sürekli açık duran bir uzaktan erişim yerine, talep geldiğinde açılıp iş bitince kapatılan bir yapı çok daha güvenlidir.

Ayrıca tedarikçinin kendisi ele geçirilirse bunun size de yansıyacağını hesaba katın. Bu yüzden dışarıdan verilen erişimlerin yetkisi mümkün olduğunca dar tutulmalı; tüm sisteme yönetici yetkisi vermek yerine yalnızca ilgili uygulamaya erişim tanımlanmalıdır.

Personel farkındalığı

Saldırıların önemli bir bölümü bir e-postaya tıklanarak başlar. Teknik önlemler bu noktada sınırlı kalır; hiçbir güvenlik duvarı, kullanıcının kendi rızasıyla girdiği bilgiyi geri alamaz.

Ekibe anlatılması gereken mesaj sade tutulmalı: beklenmedik bir ödeme talebi, aciliyet baskısı veya tanıdık birinden gelen alışılmadık bir istek geldiğinde, o kişiyi bilinen numarasından arayıp teyit edin. Uzun eğitimlerden çok, bu tek alışkanlık işe yarar.

Bir de şu kültürel nokta önemli: yanlışlıkla bir bağlantıya tıklayan personelin bunu korkmadan bildirebilmesi gerekir. Cezalandırılacağını düşünen çalışan olayı gizler ve müdahale için geçen her saat zararı büyütür.

KVKK ve yasal yükümlülük

Kişisel veri işleyen her işletme, bu veriyi korumakla yükümlüdür. Bir veri ihlali yaşandığında bunun ilgili kuruma bildirilmesi gerekir. Bu yüzden güvenlik, yalnızca teknik değil aynı zamanda hukuki bir konudur.

Pratik olarak yapılması gereken en temel şey, hangi kişisel verinin nerede tutulduğunun envanterini çıkarmaktır. Bu envanter olmadan ne korunacağı da bilinemez.

Bir olay yaşandığında ilk saat

Önlemler ne kadar iyi olursa olsun, bir gün bir şey olabilir. O anda ne yapılacağının önceden kararlaştırılmış olması, olayın büyüklüğünü doğrudan etkiler. İlk saatte yapılması gerekenler kısa ve nettir.

1. 01Etkilenen cihazı ağdan ayırın. Kabloyu çekmek veya Wi-Fi'yi kapatmak, yayılmayı durduran en hızlı adımdır.
2. 02Cihazı kapatmadan önce destek alın; kapatmak bazı durumlarda incelemeye yarayacak izleri siler.
3. 03Yedeklerin bulunduğu sistemi ağdan ayırın. Fidye yazılımı senaryosunda korunması gereken ilk şey yedeklerdir.
4. 04Etkilenen hesapların parolalarını başka ve temiz bir cihazdan değiştirin.
5. 05Kimin haberdar edileceğini belirleyin: yönetim, hukuk desteği ve gerekiyorsa ilgili kurum.

Bu listenin kâğıda dökülmüş ve ofiste erişilebilir olması gerekir. Kriz anında bilgisayarların açılmadığı bir durumda, yalnızca dosya sunucusunda duran bir müdahale planı işe yaramaz.

Fidye taleplerine gelince: ödeme yapmak verinin geri geleceğini garanti etmez ve genellikle işletmeyi yeniden hedef hâline getirir. Karar verilmeden önce mutlaka teknik ve hukuki destek alınmalıdır.

Düzenli kontrol

Bir kez yapılan güvenlik ayarı zamanla bozulur: yeni personel gelir, yeni cihaz eklenir, bir ayar geçici olarak açılıp kapatılması unutulur. Bu yüzden listenin düzenli aralıklarla tekrar gözden geçirilmesi gerekir.

Pratik bir yöntem, üç ayda bir yarım saatlik bir kontrol yapmaktır: erişim listesi güncel mi, yedek testi yapıldı mı, güncellemeler geçti mi, ayrılan personelin hesapları kapandı mı. Bu dört soru düzenli sorulduğunda çoğu sorun büyümeden yakalanır.

Nereden başlayacağınızdan emin değilseniz mevcut durumun değerlendirilmesiyle başlayın. Hangi maddenin sizin için gerçekten kritik olduğu, altyapınıza bakmadan söylenemez.