KOBİ'ler için Siber Güvenlik Kontrol Listesi

"Bizim gibi küçük bir şirkete kim saldırır ki?" düşüncesi, küçük işletmeleri en savunmasız hâle getiren yanılgıdır. Saldırıların çoğu belirli bir hedef seçmez; zayıf şifreleri, güncellenmemiş yazılımları ve dikkatsiz bir tıklamayı otomatik araçlarla arar. Büyük bir güvenlik bütçesi olmadan da riskleri önemli ölçüde azaltmak mümkündür. Bu yazıda KOBİ'ler için uygulanabilir, önceliklendirilmiş bir siber güvenlik kontrol listesi paylaşıyoruz.

Kısa cevap: Küçük işletmeler için en etkili siber güvenlik önlemleri; kritik hesaplarda iki adımlı doğrulama, şifre yöneticisi ve benzersiz şifreler, otomatik güncellemeler, 3-2-1 kuralına uygun ve test edilmiş yedekler, SPF-DKIM-DMARC kayıtları, çalışan farkındalığı, sınırlı yetkiler ve tek sayfalık bir olay müdahale planıdır.

KOBİ'leri en çok etkileyen tehditler

• Oltalama (phishing): Banka, kargo firması veya bir tedarikçi gibi görünen e-postalar ve mesajlarla şifre veya ödeme bilgisi çalınması.
• Fidye yazılımı (ransomware): Dosyaların şifrelenip açılması için fidye istenmesi.
• Hesap ele geçirme: Zayıf veya başka yerde sızmış şifrelerle e-posta ve yönetim hesaplarına giriş.
• Sahte fatura / CEO dolandırıcılığı: Yönetici veya tedarikçi taklidiyle acil ödeme talep edilmesi.
• Web sitesi açıkları: Güncellenmemiş eklentiler, zayıf yönetici şifreleri, güvensiz dosya yükleme.

Öncelik sırasına göre kontrol listesi

1. Tüm kritik hesaplarda iki adımlı doğrulama (2FA)

E-posta, bulut depolama, muhasebe, banka, alan adı paneli, sosyal medya ve web sitesi yönetimi gibi hesaplarda iki adımlı doğrulamayı açın. Mümkünse SMS yerine doğrulama uygulaması veya donanım güvenlik anahtarı kullanın. Bu tek adım, şifre çalınması kaynaklı hesap ele geçirmelerin büyük kısmını engeller. Google Workspace kullanıyorsanız 2FA'yı yönetici konsolundan zorunlu hâle getirebilirsiniz (Google Workspace kurulum rehberimiz).

2. Şifre yöneticisi ve benzersiz şifreler

Her hesap için uzun ve benzersiz bir şifre kullanmanın tek pratik yolu bir şifre yöneticisidir. Ekip için paylaşımlı kasalar, ortak hesapların şifrelerini e-posta veya mesajla dolaştırmayı önler.

3. Güncellemeler

İşletim sistemleri, tarayıcılar, ofis yazılımları, router/modem yazılımı ve web sitesi bileşenleri (CMS, eklentiler, temalar) düzenli güncellenmelidir. Otomatik güncellemeleri mümkün olan her yerde açın; desteği bitmiş yazılım ve cihazları planlı şekilde değiştirin.

4. 3-2-1 yedekleme kuralı

Verilerinizin en az 3 kopyası olsun, 2 farklı ortamda saklansın, 1 kopyası ayrı bir konumda (ve mümkünse çevrimdışı veya değiştirilemez şekilde) tutulsun. Fidye yazılımı ağdaki yedeklere de ulaşabilir; bu yüzden ayrık bir kopya kritik önemdedir.

En önemli kısım: Yedekten geri dönmeyi düzenli olarak test edin. Test edilmemiş yedek, yedek değildir.

5. E-posta güvenliği: SPF, DKIM, DMARC

Bu üç DNS kaydı, alan adınız adına sahte e-posta gönderilmesini zorlaştırır ve e-postalarınızın spam'e düşmesini azaltır. DMARC'ı önce izleme modunda başlatıp raporları inceledikten sonra kademeli olarak sıkılaştırın.

6. Çalışan farkındalığı

• Beklenmedik ek ve bağlantılara karşı dikkatli olunmalı; gönderen adresi kontrol edilmelidir.
• Ödeme veya IBAN değişikliği talepleri, e-posta dışında bilinen bir kanaldan (telefon) teyit edilmelidir.
• Şüpheli bir durumu bildirmenin cezalandırılmadığı bir kültür oluşturun; hızlı bildirim hasarı azaltır.

7. Yetkileri sınırlayın

Herkesin her şeye erişmesi gerekmez. Yönetici yetkisini sadece ihtiyacı olanlara verin, günlük işler için yönetici olmayan hesaplar kullanın. İşten ayrılan çalışanların erişimlerini aynı gün kapatın; bunun için bir çıkış kontrol listesi tutun.

8. Cihaz güvenliği

• Dizüstü bilgisayarlarda disk şifrelemeyi (BitLocker, FileVault) açın.
• Ekran kilidi ve otomatik kilitlenme süresi ayarlayın.
• Güncel bir koruma yazılımı ve işletim sisteminin yerleşik güvenlik duvarını etkin tutun.
• Kayıp/çalıntı durumunda uzaktan silme imkânını değerlendirin.

9. Ağ güvenliği

• Modem/router yönetici şifresini değiştirin, yazılımını güncelleyin.
• Misafirler için ayrı bir Wi-Fi ağı kullanın; ofis cihazlarıyla aynı ağda olmasın.
• Kameralar ve IoT cihazları için de varsayılan şifreleri değiştirin ve mümkünse ayrı ağa alın.
• Uzaktan erişim hizmetlerini doğrudan internete açmayın; VPN veya güvenli erişim çözümleri kullanın.

10. Web sitesi güvenliği

• HTTPS zorunlu olsun; yönetim paneli güçlü şifre ve 2FA ile korunsun.
• Kullanılmayan eklenti ve temaları kaldırın.
• Siteyi ve veritabanını düzenli yedekleyin.
• Bir WAF/CDN katmanı ekleyin; ücretsiz başlangıç için Cloudflare rehberimize bakın.

11. Olay müdahale planı

Bir saldırı olduğunda panikle yanlış adım atmamak için tek sayfalık bir plan hazırlayın:

1. Kim aranacak? (IT sorumlusu, hizmet sağlayıcı, yönetici)
2. Etkilenen cihaz ağdan nasıl ayrılacak?
3. Hangi şifreler hemen değiştirilecek?
4. Yedekten geri dönüş nasıl yapılacak?
5. Kişisel veri etkilendiyse KVKK kapsamında bildirim yükümlülükleri nasıl yerine getirilecek? (KVKK kontrol listemiz)

Türkiye'de siber olaylarla ilgili ulusal koordinasyon USOM (Ulusal Siber Olaylara Müdahale Merkezi) tarafından yürütülür; USOM'un duyuruları ve uyarıları takip edilmeye değerdir.

Özet tablo: önce neyi yapmalı?

Oltalama e-postalarını tanımak

Oltalama saldırıları teknik bir açıktan çok insan psikolojisini hedefler. Ekibinizle şu işaretleri paylaşın:

Kural basittir: Şüpheli bir mesajdaki bağlantıya tıklamak yerine, ilgili siteye kendiniz tarayıcıdan gidin veya gönderen kişiyi bildiğiniz bir numaradan arayın.

Bulut hesaplarının güvenliği

Bugün pek çok KOBİ'nin en değerli verileri bulut servislerinde durur: e-posta, dosya paylaşımı, muhasebe ve CRM. Bu hesaplar için ek önlemler:

• Yönetici hesaplarını ayırın: Günlük kullanılan hesap ile yönetici hesabı farklı olsun.
• Paylaşım ayarlarını denetleyin: "Bağlantıya sahip herkes görebilir" şeklinde paylaşılmış dosyaları düzenli tarayın.
• Uygulama izinleri: Hesabınıza erişim izni verilmiş üçüncü taraf uygulamaları gözden geçirin, kullanılmayanları kaldırın.
• Giriş uyarıları: Yeni cihazdan giriş ve şüpheli etkinlik bildirimlerini açık tutun.
• Kurumsal e-posta: Ücretsiz kişisel e-posta adresleri yerine alan adınıza bağlı, merkezi yönetilen kurumsal hesaplar kullanın (Google Workspace kurulumu).

Tedarikçi ve hizmet sağlayıcı riski

Güvenliğiniz, sistemlerinize erişimi olan dış firmalar kadar güçlüdür. Web ajansı, muhasebe bürosu, IT firması veya yazılım sağlayıcısıyla çalışırken:

1. Her firmaya ayrı ve sadece gerekli yetkiye sahip hesap açın; ortak şifre paylaşmayın.
2. İş bittiğinde veya sözleşme sona erdiğinde erişimleri kapatın.
3. Alan adı, hosting ve kritik servis hesaplarının şirketiniz adına kayıtlı olduğundan emin olun.
4. Veri işleyen tedarikçilerle KVKK kapsamındaki yükümlülükleri sözleşmeye yansıtın.

Uzaktan ve hibrit çalışma

• Şirket verilerine kişisel cihazlardan erişiliyorsa asgari güvenlik koşullarını (güncel işletim sistemi, ekran kilidi, disk şifreleme) yazılı hâle getirin.
• Halka açık Wi-Fi ağlarında şirket sistemlerine bağlanırken güvenli bağlantı kullanın.
• Ev ağlarında da modem şifresinin değiştirilmesini ve yazılımının güncel tutulmasını önerin.
• Görüntülü toplantılarda ekran paylaşımı sırasında hassas bilgilerin görünmemesine dikkat edin.

Yıllık güvenlik takvimi

Güvenliği sürdürülebilir kılmak için önlemleri bir takvime bağlayın:

• Her ay: Yedeklerin alındığını kontrol edin, güncellemelerin uygulandığını doğrulayın.
• Her üç ayda: Kullanıcı hesaplarını ve yetkileri gözden geçirin, bir yedekten geri dönüş testi yapın.
• Her altı ayda: Çalışanlarla kısa bir oltalama farkındalık oturumu düzenleyin.
• Her yıl: Olay müdahale planını güncelleyin, desteği biten cihaz ve yazılımları listeleyin, dış bir gözle güvenlik değerlendirmesi yaptırın.

Endüstriyel cihazlar ve sahadaki bağlı sistemler için ek riskleri IoT ve endüstriyel otomasyon yazımızda ele almıştık.

Şifre politikası: güncel yaklaşım

Eski şifre kuralları, her üç ayda bir zorunlu değişiklik ve karmaşık karakter kombinasyonları üzerine kuruluydu. Güncel öneriler ise farklı bir yöne işaret eder:

• Uzunluk önemlidir: Birkaç kelimeden oluşan uzun bir parola, kısa ve karmaşık bir şifreden hem daha güvenli hem de daha kolay hatırlanır.
• Benzersizlik şarttır: Aynı şifrenin birden fazla serviste kullanılması, bir sızıntının tüm hesaplara yayılması demektir.
• Sızdırılmış şifre kontrolü: Şifre yöneticilerinin ve bazı servislerin sunduğu sızıntı kontrolleri, bilinen ihlallerde yer alan şifreleri tespit eder.
• Gereksiz zorunlu değişikliklerden kaçının: Şifreyi sık değiştirmeye zorlamak, insanların tahmin edilebilir varyasyonlar kullanmasına yol açabilir. Sızıntı şüphesi olduğunda ise hemen değiştirin.
• Geçiş anahtarları (passkey): Destekleyen servislerde passkey kullanmak, şifre ve oltalama riskini önemli ölçüde azaltır.

Web sitesi ve sunucu tarafında izleme

Pek çok saldırı, aylarca fark edilmeden sürer. Basit izleme önlemleri erken uyarı sağlar:

1. Erişilebilirlik izleme: Siteniz kapandığında size bildirim gönderen bir izleme servisi kurun.
2. Dosya değişikliği kontrolü: Sunucudaki kritik dosyalarda beklenmeyen değişiklikleri tespit eden araçlar kullanın.
3. Giriş kayıtları: Yönetim paneline başarısız giriş denemelerini kaydedin ve belirli bir eşiği aşınca uyarı alın.
4. Alan adı ve SSL süresi: Süresi dolmak üzere olan alan adı ve sertifikalar için hatırlatma kurun.
5. E-posta raporları: DMARC raporları, alan adınız adına kimin e-posta göndermeye çalıştığını gösterir.

Bu izleme adımlarını kurmak için büyük bir güvenlik ekibine gerek yoktur; çoğu, birkaç saatlik bir yapılandırma ile hayata geçirilebilir ve sonrasında arka planda çalışır.

Bütçe kısıtlıysa nereden başlamalı?

Her şeyi aynı anda yapmak mümkün değilse, önlemleri maliyet ve etki açısından önceliklendirin. İki adımlı doğrulama, otomatik güncellemeler ve misafir Wi-Fi ayrımı neredeyse hiç maliyet gerektirmez ve hemen uygulanabilir. Şifre yöneticisi ve harici yedekleme küçük bir aylık bütçeyle çözülebilir. Çalışan farkındalığı için ücretsiz kamu kaynakları ve kısa iç toplantılar yeterli bir başlangıçtır. Daha kapsamlı ağ güvenliği, merkezi cihaz yönetimi veya dış güvenlik testi gibi adımlar ise işletme büyüdükçe planlanabilir. Önemli olan, listenin en üstündeki basit adımları ertelememektir; çünkü saldırıların büyük kısmı bu temel önlemlerin eksikliğinden faydalanır.

Terimler sözlüğü

• 2FA / MFA: Şifreye ek olarak ikinci bir doğrulama adımı isteyen giriş yöntemi.
• Phishing (oltalama): Sahte e-posta, mesaj veya sayfalarla bilgi çalma girişimi.
• Ransomware (fidye yazılımı): Dosyaları şifreleyip açmak için fidye isteyen zararlı yazılım.
• SPF / DKIM / DMARC: Alan adınız adına gönderilen e-postaların doğruluğunu kanıtlayan DNS kayıtları.
• Passkey (geçiş anahtarı): Şifre yerine cihazınızdaki kriptografik anahtarla giriş yapmayı sağlayan yöntem.
• En az yetki ilkesi: Kullanıcılara yalnızca işlerini yapmaları için gereken yetkilerin verilmesi.
• Olay müdahale planı: Bir güvenlik olayı yaşandığında atılacak adımları ve sorumluları tanımlayan plan.
• USOM: Türkiye'de siber olaylara ulusal düzeyde müdahaleyi koordine eden merkez.

Özetle: akılda kalması gerekenler

• İlk iş: kritik hesaplarda iki adımlı doğrulamayı açın.
• Şifre yöneticisiyle her hesap için benzersiz ve uzun parolalar kullanın.
• Güncellemeleri otomatikleştirin; desteği biten yazılımları değiştirin.
• 3-2-1 kuralıyla yedek alın ve geri dönüşü düzenli test edin.
• Ekibinize oltalama işaretlerini ve ödeme teyit kuralını öğretin.
• Tek sayfalık bir olay müdahale planı hazırlayın.

Sık Sorulan Sorular

Küçük bir işletme için antivirüs yeterli mi?

Hayır. Koruma yazılımı önemli bir katmandır, ancak oltalama, zayıf şifre ve yedeksizlik gibi riskleri tek başına çözmez. Bu listedeki önlemler birlikte çalıştığında etkilidir.

Fidye yazılımına yakalanırsak fidyeyi ödemeli miyiz?

Ödeme, verilerin geri verileceğini garanti etmez ve yeni saldırıları teşvik edebilir. En iyi savunma, test edilmiş ve ayrık tutulan yedeklerdir. Olay anında uzman desteği alın.

Bulutta tuttuğumuz dosyaların yedeğine gerek var mı?

Evet. Bulut servisleri altyapıyı korur, ancak yanlışlıkla silme, ele geçirilen hesap veya senkronize edilen şifreli dosyalar gibi durumlarda ayrı bir yedek hayat kurtarır.

Bu önlemleri kim uygulamalı?

Şirket içinde bir sorumlu belirleyin. Teknik ekibiniz yoksa kurulum ve düzenli kontroller için bir IT hizmet sağlayıcısıyla çalışabilirsiniz.

Siber sigorta yaptırmalı mıyız?

Siber sigorta bazı olayların mali etkisini azaltabilir, ancak temel önlemlerin yerini tutmaz. Poliçe kapsamını ve sigortacının şart koştuğu güvenlik önlemlerini dikkatle inceleyin.

Çalışanlar kendi telefonlarından şirket e-postasına erişebilir mi?

Erişebilir, ancak ekran kilidi, güncel işletim sistemi ve kayıp durumunda şirket verisinin uzaktan silinebilmesi gibi asgari koşullar belirlenmelidir.

Bir saldırıya uğradığımızı nasıl anlarız?

Beklenmedik şifre sıfırlama e-postaları, tanımadığınız giriş uyarıları, açılmayan dosyalar, yavaşlayan sistemler veya müşterilerin sizden garip e-postalar aldığını söylemesi önemli işaretlerdir. Böyle bir durumda olay müdahale planınızı başlatın.

Sonuç

Siber güvenlik, tek seferlik bir ürün alımı değil, düzenli tekrarlanan basit alışkanlıkların toplamıdır. İki adımlı doğrulama, test edilmiş yedekler, güncellemeler ve farkında bir ekip; küçük işletmeleri saldırıların büyük kısmına karşı korur. Ofis ağınızı, e-posta güvenliğinizi ve yedekleme altyapınızı birlikte kurmak isterseniz IT hizmetlerimizi inceleyebilir, bizimle iletişime geçebilirsiniz.

Kaynaklar

• USOM – Ulusal Siber Olaylara Müdahale Merkezi
• CISA – Secure Our World
• NCSC – Small Business Guide
• NIST – Small Business Cybersecurity Corner
• Kişisel Verileri Koruma Kurumu