KOBİ'ler İçin Siber Güvenlik: 10 Adımda Katmanlı Koruma

Küçük ve orta ölçekli işletmelerde siber güvenlik çoğu zaman bir antivirüs ve modemin içindeki temel güvenlik duvarından ibaret kalır. Oysa bugün saldırıların büyük kısmı hedef seçmeden, otomatik araçlarla internete açık her sistemi tarar ve açık bulduğu yerde işletmenin büyüklüğüne bakmaz. Bu rehberde, Ümraniye Bilişim olarak KOBİ'lerde sahada en sık karşılaştığımız eksikleri, bunları kapatmak için uygulanabilir 10 adımlık bir kontrol listesini ve bütçe ile danışman seçimine ilişkin karar kriterlerini bir araya getirdik.

KOBİ'ler Neden Hedefte? Güncel Tehdit Tablosu

KOBİ'lerin hedef olmasının nedeni çoğunlukla değerli olmaları değil, kolay olmalarıdır. Saldırgan için bir KOBİ'nin e-posta hesabı, muhasebe klasörü ya da müşteri veritabanı; fidye talebi, fatura dolandırıcılığı veya daha büyük bir iş ortağına sızmak için yeterli bir kaldıraçtır. Özellikle büyük firmalara hizmet veren tedarikçiler, tedarik zinciri saldırılarında giriş kapısı olarak kullanılabilir.

Sahada en sık gördüğümüz tehditler şunlardır:

• Fidye yazılımı: Dosyaları ve çoğu zaman yedekleri şifreleyerek operasyonu durdurur; güncel türleri veriyi şifrelemeden önce dışarı da çıkarır.
• E-posta hesabı ele geçirme ve fatura dolandırıcılığı: Çalınan bir parolayla hesaba giren saldırgan yazışmaları izler ve doğru zamanda sahte IBAN içeren bir fatura gönderir.
• Kimlik avı (phishing): Kargo, e-fatura veya ortak doküman bildirimi görünümlü e-postalar ve sahte oturum açma sayfaları.
• İnternete açık servisler: Parolası zayıf uzak masaüstü (RDP), güncellenmemiş VPN cihazları, yönetim paneli dışarı açık firewall ve NAS cihazları.
• İç kaynaklı riskler: İşten ayrılan personelin kapatılmayan hesapları, gereğinden geniş dosya paylaşım yetkileri, kişisel cihazlarda tutulan şirket verisi.

Bu tablodaki ortak nokta şudur: Saldırıların çok büyük bölümü sofistike, bilinmeyen açıklarla değil; bilinen ve kapatılabilir zayıflıklarla başlar. Yani doğru önceliklendirmeyle makul bir bütçede ciddi bir risk azaltımı mümkündür.

Katmanlı Savunma Modeli: İnsan, Süreç ve Teknoloji

Tek bir ürünün işletmeyi koruyacağı varsayımı en pahalı hatadır. Katmanlı savunma (defense in depth), bir katman aşıldığında bir sonrakinin saldırıyı durdurması ya da en azından fark etmesi ilkesine dayanır. Kimi kaynaklarda siber hiyerarşi olarak da anılan bu model, güvenliği birbirini tamamlayan dört seviyede ele alır: tehditleri ve zayıf noktaları belirleyen tespit, saldırıyı engelleyen koruma, olay anında devreye giren müdahale ve sistemleri normale döndüren kurtarma. Her seviyenin sorumlusu, aracı ve süreci ayrı ayrı tanımlanmalıdır.

Pratikte modeli üç eksende düşünmek işe yarar:

• İnsan: Çalışanların şüpheli e-postayı tanıması, parola alışkanlıkları ve olağan dışı bir durumu hemen bildirme refleksi. En iyi teknoloji bile bir çalışanın sahte sayfaya parolasını yazmasıyla aşılabilir.
• Süreç: İşe giriş ve işten ayrılmada hesap açma ve kapatma adımları, yama takvimi, yedekten geri dönüş testleri, yetki gözden geçirmeleri ve olay müdahale planı.
• Teknoloji: Güvenlik duvarı, uç nokta koruması (EDR), e-posta filtreleme, çok faktörlü kimlik doğrulama, yedekleme ve izleme araçları.

Bu üç eksenden biri zayıfsa diğerleri de beklenen faydayı vermez. Yedekleme yazılımı kurulu ama geri dönüş hiç test edilmemişse ya da MFA açık ama işten ayrılan kişinin hesabı kapatılmamışsa, teknoloji yatırımı kâğıt üzerinde kalır.

10 Adımlık Temel Siber Güvenlik Kontrol Listesi

Aşağıdaki liste, KOBİ ölçeğinde en yüksek risk azaltımını sağlayan adımları öncelik sırasına yakın biçimde sıralar. Her adımı yapıldı, kısmen yapıldı veya yapılmadı olarak işaretlemek, ilk yol haritanızı çıkarmanın en hızlı yoludur.

1. Varlık envanteri çıkarın. Bilgisayar, sunucu, ağ cihazı, bulut hizmeti ve kullanıcı hesaplarının güncel listesini tutun. Bilmediğiniz bir cihazı koruyamazsınız.
2. Tüm hesaplarda çok faktörlü kimlik doğrulamayı zorunlu kılın. Öncelik e-posta, uzaktan erişim (VPN), yönetici hesapları ve bulut panelleridir. Yöntemlerin karşılaştırması için MFA ve şifre güvenliği rehberimize göz atabilirsiniz.
3. Yönetici yetkilerini ayırın. Günlük işler standart kullanıcıyla, yönetim işleri ise ayrı ve MFA korumalı bir yönetici hesabıyla yapılmalı.
4. Yama yönetimini takvime bağlayın. İşletim sistemi, tarayıcı ve ofis yazılımlarının yanında özellikle firewall, VPN ve NAS gibi internete açık cihazların yazılımları düzenli güncellenmeli.
5. Klasik antivirüs yerine EDR kullanın. Davranış tabanlı tespit ve cihazı uzaktan izole edebilme imkânı, fidye yazılımını yayılmadan durdurmada belirleyicidir.
6. E-posta güvenliğini güçlendirin. Spam ve zararlı ek filtrelemesi, tıklama anında bağlantı kontrolü ve alan adınız için SPF, DKIM ve DMARC kayıtları.
7. 3-2-1 kuralına uygun, değiştirilemez yedek alın ve geri dönüşü test edin. Yedeklerden en az biri ağdan ve etki alanı kimlik bilgilerinden bağımsız olmalı; ayrıntıları 3-2-1 yedekleme rehberimizde bulabilirsiniz.
8. Ağı segmentlere ayırın. Misafir Wi-Fi, kamera ve IoT cihazları, sunucular ve kullanıcılar aynı ağda olmamalı; firewall kuralları varsayılan olarak reddetmeli.
9. Düzenli farkındalık eğitimi ve oltalama simülasyonu uygulayın. Yılda bir kez yapılan uzun bir sunum yerine kısa ve periyodik içerikler çok daha kalıcıdır.
10. Yazılı bir olay müdahale planı hazırlayın. Kim kimi arar, hangi cihaz ağdan ayrılır, hangi yedekten dönülür, müşterilere ve gerekiyorsa KVKK kapsamında Kurul'a nasıl bilgi verilir; bunlar kriz anında değil, önceden kararlaştırılmalıdır.

Bu on adım doğru yapılandırıldığında birbirini besler. MFA çalınan parolanın değerini düşürür, EDR bir şekilde içeri giren saldırganın cihazdaki hareketlerini yakalar, değiştirilemez yedek ise her şey ters giderse işletmeyi ayakta tutar. Fidye yazılımına özel önlemleri fidye yazılımı korunma rehberimizde ayrıntılı ele aldık.

Veri Güvenliği: Şifreleme, Erişim Yetkileri ve Yama Yönetimi

Kontrol listesinin arkasında, verinin kendisini korumaya yönelik birkaç temel uygulama vardır.

Şifreleme

Dizüstü bilgisayarlarda disk şifreleme (Windows ortamında örneğin BitLocker), kaybolan veya çalınan bir cihazın veri ihlaline dönüşmesini engeller. Sunucular, yedek diskleri ve taşınabilir medya için de aynı yaklaşım geçerlidir. Şirket e-postasına ve dosyalarına erişilen telefon ve tabletler de mobil cihaz yönetimiyle (MDM) kayıt altına alınmalı; ekran kilidi ve cihaz şifrelemesi zorunlu tutulmalı, kaybolan bir cihazdaki şirket verisi uzaktan silinebilmelidir. Ayrıntıları mobil cihaz yönetimi yazımızda bulabilirsiniz. Aktarım sırasında ise web uygulamaları, e-posta ve uzaktan erişim bağlantıları güncel TLS ile şifrelenmelidir. Şifreleme anahtarlarının ve kurtarma anahtarlarının nerede saklandığı da şifrelemenin kendisi kadar önemlidir; kurtarma anahtarı kayıt altında olmayan bir disk, arıza anında şirket verisini sizin için de erişilemez kılar.

Erişim yetkileri

Rol tabanlı erişim kontrolü (RBAC), her çalışanın yalnızca işi için gereken klasör ve uygulamalara erişmesini sağlar. Sahada en sık gördüğümüz sorun, yıllar içinde birikmiş ve herkesin her yere erişebildiği paylaşımlardır. Paylaşım izinlerini ve grup üyeliklerini en az yılda bir kez departman yöneticileriyle birlikte gözden geçirmek, fidye yazılımının etki alanını da doğrudan küçültür; çünkü saldırgan ele geçirdiği kullanıcının erişebildiği her şeyi şifreleyebilir.

Yama yönetimi

Yama yönetimi yalnızca Windows güncellemesinden ibaret değildir. Firewall, VPN, NAS, yazıcı, sanallaştırma platformu ve iş uygulamaları da envanterde yer almalı ve her birinin güncelleme sorumlusu belli olmalıdır. Kritik güvenlik açıkları için kısa, diğerleri için daha uzun bir uygulama süresi tanımlamak ve güncellemeleri önce küçük bir pilot grupta denemek, güvenliği ve operasyonel istikrarı birlikte gözetir.

Bulut verisi ve düzenli güvenlik testleri

Verinin önemli bir kısmı artık Microsoft 365 gibi bulut hizmetlerinde tutuluyor. Paylaşılan sorumluluk modeli gereği altyapının güvenliği sağlayıcıya, hesapların, paylaşım ayarlarının ve yedeklerin güvenliği ise işletmeye aittir; bu nedenle bulut verisi için de ayrı bir erişim ve yedekleme politikası tanımlanmalıdır. Ayrıntıları bulut güvenliği yazımızda ele aldık. Alınan önlemlerin sahada gerçekten işe yarayıp yaramadığını görmenin yolu ise düzenli zafiyet taramaları ve periyodik sızma testleridir; bu testler kâğıt üzerindeki önlemlerle gerçek durum arasındaki farkı ortaya çıkarır.

Sık Yapılan Hatalar ve Gerçek Hayattan Senaryolar

Aşağıdaki senaryolar, KOBİ'lerde tipik olarak karşılaştığımız durumları temsil eder:

• Yedek var ama aynı ağda: Yedekler ağa bağlı bir NAS üzerinde ve aynı yönetici hesabıyla erişilebilir durumdadır. Fidye yazılımı sunucularla birlikte yedekleri de şifreler. Çözüm; ağdan ayrılmış, değiştirilemez ve ayrı kimlik bilgileriyle korunan bir yedek kopyasıdır.
• Uzak masaüstü internete açık: Pratiklik için açılan RDP portu, otomatik parola deneme saldırılarıyla aşılır. Çözüm; uzaktan erişimi MFA korumalı VPN veya sıfır güven tabanlı erişim çözümlerinin arkasına almaktır.
• Muhasebeye gelen sahte IBAN: Bir tedarikçinin ele geçirilmiş e-posta hesabından banka hesabının değiştiğini bildiren bir ileti gelir. Çözüm; hesap değişikliklerinin mutlaka önceden bilinen bir telefon numarasından sözlü olarak teyit edilmesini zorunlu kılan bir süreçtir.
• Ortak yerel yönetici parolası: Tüm bilgisayarlarda aynı yerel yönetici parolası kullanılır ve tek bir cihazın ele geçirilmesi tüm ağı açar. Çözüm; Microsoft LAPS gibi araçlarla her cihaza benzersiz ve otomatik değişen parola atamaktır.
• İşten ayrılan kullanıcı: E-posta hesabı ve bulut paylaşımları aylarca açık kalır. Çözüm; İK süreciyle entegre, aynı gün uygulanan bir hesap kapatma kontrol listesidir.

Bu hataların ortak noktası, pahalı bir ürün eksikliğinden değil, süreç ve yapılandırma eksikliğinden kaynaklanmalarıdır.

Siber Güvenlik Bütçesini Belirleyen Faktörler

Siber güvenlik bütçesi, işletmenin büyüklüğünden çok risk profiline göre şekillenmelidir. Bütçeyi belirleyen başlıca faktörler şunlardır:

• Kullanıcı ve cihaz sayısı: EDR, e-posta güvenliği ve MFA gibi çözümler çoğunlukla kullanıcı veya cihaz başına lisanslanır.
• Mevcut altyapının durumu: Desteği bitmiş işletim sistemleri, eski bir firewall veya yapılandırması belgelenmemiş bir ağ, önce toparlama çalışması gerektirir.
• Veri hassasiyeti ve yasal yükümlülükler: Sağlık, finans veya yoğun kişisel veri işleyen işletmelerde KVKK ve sektörel gereklilikler kapsamı genişletir.
• İzleme ihtiyacı: Mesai saatleri içindeki izleme ile 7/24 izleme ve müdahale arasında maliyet açısından belirgin fark vardır.
• Şube ve uzaktan çalışma yapısı: Birden fazla lokasyon ve uzaktan çalışan kullanıcılar, firewall, VPN ve cihaz yönetimi kapsamını büyütür.
• İç IT ekibinin kapasitesi: İç ekibin üstlenebildiği işler arttıkça dış hizmet kapsamı daralabilir.

Doğru yaklaşım, önce risk analizi yapıp en yüksek riski en düşük maliyetle azaltan adımlardan başlamaktır. Çoğu KOBİ'de MFA, yedekleme düzeni ve yama disiplini gibi temel adımlar, yeni bir ürün satın almaktan önce gelir ve çoğu zaman mevcut lisansların doğru yapılandırılmasıyla hayata geçirilebilir.

Doğru Siber Güvenlik Danışmanı Nasıl Seçilir?

Danışman seçerken ürün satışından çok süreç ve sorumluluk netliğine odaklanın. Görüşmelerde şu sorulara açık yanıt alabilmelisiniz:

• Çalışma, mevcut durum analizi ve yazılı bir risk raporuyla mı başlıyor?
• Önerilen çözümler belirli bir üreticiye mi bağlı, yoksa ihtiyaca göre mi seçiliyor?
• Kurulum sonrasında izleme, güncelleme ve raporlama kimin sorumluluğunda?
• Bir olay yaşandığında müdahale süresi ve iletişim kanalı nedir?
• Yapılandırmalar, yönetici parolaları ve dokümantasyon işletmeye teslim ediliyor mu?
• Sözleşmede gizlilik ve KVKK kapsamındaki veri işleyen yükümlülükleri tanımlı mı?

İlk görüşmede analiz yapmadan paket ürün öneren, sorumluluk sınırlarını muğlak bırakan ya da dokümantasyon teslimi konusunda isteksiz davranan bir tedarikçi, uzun vadede işletmeyi kendisine bağımlı hale getirebilir.

Ne Zaman Profesyonel Destek Almalısınız?

Aşağıdaki durumlardan biri sizin için geçerliyse dış destek almayı ciddi biçimde değerlendirmelisiniz:

• IT işleri, asıl görevi başka olan bir çalışanın yan işi olarak yürüyorsa.
• Yedekten son geri dönüş testinin ne zaman yapıldığını kimse bilmiyorsa.
• Müşterileriniz veya iş ortaklarınız güvenlik anketi, sızma testi raporu ya da ISO 27001 gibi belgeler talep etmeye başladıysa.
• Yakın zamanda şüpheli bir e-posta, hesap ele geçirme veya açıklanamayan bir sistem davranışı yaşadıysanız.
• Yeni şube, uzaktan çalışma veya buluta geçiş gibi bir değişiklik planlıyorsanız.

Siber güvenlik hizmetlerimiz kapsamında mevcut durum analizinden firewall ve EDR yönetimine, yedekleme düzeninden çalışan farkındalığına kadar uçtan uca destek sunuyoruz. Ümraniye, Ataşehir ve genel olarak Anadolu Yakası'ndaki işletmelere yerinde destek verebilmemiz, özellikle bir olay anında fark yaratır.

Bu adımların düzenli takibi için küçük işletmeler için bakım ve destek anlaşması da bir seçenektir.

Sonuç

KOBİ'ler için siber güvenlik, büyük bütçeli projelerden önce doğru önceliklendirme meselesidir. Varlık envanteri, MFA, yama disiplini, EDR, test edilmiş yedekler, segmentlere ayrılmış bir ağ ve bilinçli çalışanlar birlikte çalıştığında saldırganın işi ciddi biçimde zorlaşır. İlk adımı atmak için mevcut durumunuzu birlikte değerlendirelim: ücretsiz ön görüşme talep edin, işletmenize özel bir öncelik listesi çıkaralım.