Küçük işletme siber güvenlik kontrol listesi: 20 maddede temel önlemler

Hesaplar ve parolalar için hangi önlemler alınmalı?

• Her çalışanın kendine ait bir hesabı olsun; ortak parolayla paylaşılan hesap kullanmayın.
• Parolalar en az 12 karakter, tahmin edilemez ve her hizmet için farklı olsun; bir parola yöneticisi kullanın.
• Destekleyen her hizmette iki adımlı doğrulamayı açın; önce e-posta ve finans hesaplarından başlayın.
• Yönetici yetkilerini yalnızca gerçekten ihtiyaç duyan kişilere verin.
• İşten ayrılan çalışanın tüm hesaplarını aynı gün kapatın ve açık oturumlarını sonlandırın.

E-posta güvenliği için neler yapılmalı?

• Kurumsal alan adınız için SPF, DKIM ve DMARC kayıtlarını yapılandırın.
• Ödeme bilgisi değişikliği ve acil ödeme taleplerini her zaman telefonla doğrulayın.
• Makro çalıştırmanızı isteyen ya da beklenmeyen eklerin açılmamasını kural hâline getirin.
• Ortak adresleri (info@, muhasebe@) parola paylaşımıyla değil, kişi bazında yetkiyle kullanın.

Dosyalar ve veriler nasıl korunmalı?

• Dosyaları departman ya da proje bazında ayrı alanlarda tutun; herkesin her şeyi gördüğü tek bir ortak klasörden kaçının.
• Erişimi işe göre verin: okuyabilen, yükleyebilen ve silebilen kişiler ayrı olsun.
• Önemli belgelerin sürüm geçmişini tutun; yanlışlıkla değiştirilen ya da silinen dosya geri getirilebilsin.
• Kişisel veri içeren belgelerin nerede durduğunu ve ne kadar saklanacağını yazılı hâle getirin.

Cihazlar ve ağ için temel önlemler nelerdir?

• İşletim sistemlerini ve uygulamaları otomatik güncellemeye açık tutun.
• Dizüstü bilgisayarlarda disk şifrelemeyi açın; kaybolan cihaz veri kaybına dönüşmesin.
• Misafirler için ayrı bir kablosuz ağ kurun; kurum ağını paylaşmayın ve kablosuz ağ parolasını düzenli olarak değiştirin.

Yedekleme ve olay hazırlığı nasıl yapılır?

• Kritik verilerin yedeğini düzenli alın ve yedekten geri dönmeyi en az yılda bir deneyin.
• Bir güvenlik olayında kimin aranacağını, bankanın ve bilgi işlem desteğinin iletişim bilgilerini tek sayfada yazın.

Çalışan farkındalığı nasıl sağlanır?

• Üç ayda bir kısa, gerçek örneklere dayalı bir hatırlatma yapın.
• Şüpheli bir maili ya da olayı bildirmenin kolay ve suçlamasız bir yolunu açın.

Bu liste bir başlangıçtır; her maddeyi uyguladığınızda işaretleyin ve altı ayda bir gözden geçirin. İşletmeniz büyüdükçe bazı maddeler için ayrıntılı politikalar hazırlamak gerekecektir.

Kontrol listesine nereden başlanmalı?

Her maddeyi aynı anda uygulamak zorunda değilsiniz. En hızlı etkiyi üç madde sağlar: e-posta ve finans hesaplarında iki adımlı doğrulama, ödeme bilgisi değişikliklerinin telefonla doğrulanması ve ortak parola kullanımının kaldırılması. Bu üçü, küçük işletmelerde en sık görülen zararların önemli bir bölümünü doğrudan hedef alır.

İkinci aşamada alan adı kayıtları, dosya erişim yetkileri ve yedekleme ele alınır. Son aşamada politikalar yazılı hâle getirilir ve düzenli gözden geçirme takvimi kurulur. Her aşamanın sonunda hangi maddelerin tamamlandığını, hangilerinin ertelendiğini ve nedenini kısa bir notla kaydedin; bu not bir sonraki gözden geçirmenin başlangıç noktası olur.

Kontrol listesi 30 günde nasıl uygulanır?

1. 1. hafta: E-posta ve finans hesaplarında iki adımlı doğrulamayı açın; ödeme bilgisi değişikliği için telefonla doğrulama kuralını yazılı olarak duyurun.
2. 2. hafta: Ortak parolaları kaldırın; her çalışana kendi hesabını verin ve yönetici yetkilerini gözden geçirin.
3. 3. hafta: Alan adınızın SPF, DKIM ve DMARC kayıtlarını tamamlayın; dosya alanlarının erişim listelerini temizleyin.
4. 4. hafta: Yedekten geri dönmeyi deneyin, olay anında aranacak kişiler sayfasını hazırlayın ve ilk farkındalık oturumunu yapın.

En sık yapılan hatalar nelerdir?

• Önlemleri bir kez kurup gözden geçirmemek; işten ayrılanların hesapları ve eski yetkiler zamanla birikir.
• Yalnızca teknik önlemlere güvenmek; ödeme dolandırıcılığı gibi saldırılar süreçteki boşluğu hedef alır.
• Güvenlik kurallarını yöneticiler için esnetmek; saldırganlar en çok yönetici kimliğini taklit eder.
• Yedeği alıp geri dönmeyi hiç denememek; bozuk ya da eksik yedek ancak ihtiyaç anında fark edilir.
• Olayı bildiren çalışanı suçlamak; bu tutum bir sonraki olayın gizlenmesine yol açar.

Bu başlıklar neden bu sırayla ele alınır?

Küçük işletmelere yönelik saldırıların büyük bölümü teknik bir açıktan değil, bir hesabın ele geçirilmesinden ya da bir çalışanın ikna edilmesinden başlar. Bu yüzden liste hesaplar ve e-postayla açılır: parolası çalınan tek bir e-posta hesabı, saldırgana hem kurumun yazışmalarını hem de o hesaba bağlı diğer hizmetlerin parola sıfırlama bağlantılarını verir.

Dosyalar ikinci sıradadır; çünkü bir hesap ele geçirildiğinde zararın büyüklüğünü o hesabın erişebildiği veri belirler. Herkesin her şeyi gördüğü bir düzende tek bir hesap bütün kurumu açığa çıkarır; işe göre bölünmüş erişimde zarar tek bir alanla sınırlı kalır.

Cihazlar, yedekleme ve farkındalık ise önlemlerin kalıcı olmasını sağlar. Güncel olmayan bir cihaz açık kapı bırakır, denenmemiş bir yedek kötü bir günde işe yaramaz, bilgilendirilmeyen bir ekip de en iyi kurulmuş süreci farkında olmadan atlayabilir.

Smart360 bu listenin hangi maddelerini karşılar?

Smart360 ailesi bu listenin e-posta, dosya ve hesap maddelerini ürünün kendisinde karşılar. Çalışanlar tüm ürünlere tek kimlikle girer; giriş ekranları Smart360 Security ile otomatik bot trafiğine karşı korunur. Kurumdan çıkarılan kişinin tüm ürünlerdeki erişimi tek işlemle kaldırılır.

SmartMail'de ortak adresler parola paylaşılmadan, kutu başına dokuz ayrı izinle kullanılır; alan adınızın SPF, DKIM ve DMARC kayıtları kurulum sihirbazıyla hazırlanır. SmartFiles'ta dosyalar departman bazlı alanlarda durur, her alanda sekiz ayrı yetki verilir, her dosyanın sürüm geçmişi tutulur ve silinen öğeler çöp kutusunda bekler. Ayrıntılar: Smart360 Security ve Smart360 ekosistemi.

Sık sorulan sorular

Küçük bir işletme için siber güvenlik pahalı mıdır?

Listenin önemli bir bölümü ek maliyet gerektirmez: iki adımlı doğrulama, parola kuralları, ödeme doğrulama süreci ve erişim düzeni çoğunlukla alışkanlık değişikliğidir.

İki adımlı doğrulamayı nereden başlatmalıyım?

En yüksek risk taşıyan hesaplardan: e-posta, banka ve muhasebe hesapları.

Bu listeyi ne sıklıkla gözden geçirmeliyim?

Altı ayda bir ve her önemli değişiklikten sonra; yeni bir hizmete geçiş, çalışan değişikliği ya da bir güvenlik olayı gibi.

Bulut hizmeti kullanıyorsak yedeklemeye yine gerek var mı?

Evet. Bulut hizmeti altyapının sürekliliğini sağlar; ancak bir çalışanın yanlışlıkla sildiği ya da üzerine yazdığı dosyayı geri getirmek için sürüm geçmişi, çöp kutusu ve kurumun kendi yedek düzeni ayrıca planlanmalıdır. Hangi verinin ne kadar süre geri getirilebileceğini hizmet sağlayıcınızın belgelerinden kontrol edin.

Bilgi işlem personelimiz yok; nereden başlamalıyım?

Önce hesaplar ve e-posta başlıklarındaki maddeleri uygulayın; bunlar en sık görülen saldırıları doğrudan hedef alır.