Şirketlerde Siber Güvenlik Nasıl Sağlanır?

Şirketlerde siber güvenlik; bilgisayarları, sunucuları, şirket ağını, bulut hesaplarını ve kurumsal verileri koruyan teknik önlemlerin, çalışan farkındalığının ve yönetim süreçlerinin birlikte uygulanmasıyla sağlanır. Güvenlik duvarı, kurumsal uç nokta koruması, çok faktörlü kimlik doğrulama, düzenli güncelleme, güvenli yedekleme ve olay müdahale planı bu yapının temel bileşenleridir.

Ancak bir güvenlik ürünü satın almak, şirketin bütün risklerini ortadan kaldırmaz. Kurulan sistemlerin doğru yapılandırılması, düzenli izlenmesi ve değişen ihtiyaçlara göre güncellenmesi gerekir. Kullanılmayan bir yönetici hesabı, internete açık bırakılmış bir sunucu veya kontrol edilmeyen bir yedekleme sistemi, güçlü bir altyapıda bile ciddi bir güvenlik açığı oluşturabilir.

İster birkaç çalışanı bulunan bir işletme ister çok şubeli bir kuruluş olsun, her şirketin korunması gereken bilgileri ve kesintiye uğramaması gereken iş süreçleri vardır. Müşteri kayıtları, muhasebe verileri, üretim dosyaları, ticari teklifler ve çalışan bilgileri bu varlıklar arasındadır.

Bu nedenle kurumsal siber güvenlik, yalnızca bilgi işlem departmanının teknik işi olarak görülmemelidir. İş sürekliliğini, müşteri güvenini ve şirketin mali dayanıklılığını doğrudan ilgilendiren bir yönetim sorumluluğudur.

Şirketlerde Siber Güvenlik Neden Önemlidir?

Bir siber saldırının etkisi, birkaç bilgisayarın çalışmamasıyla sınırlı kalmayabilir. Muhasebe sistemine erişilememesi tahsilatları geciktirebilir, üretim sunucusunun devre dışı kalması teslimatları aksatabilir, kurumsal e-posta hesabının ele geçirilmesi ise müşterilere şirket adına sahte ödeme talepleri gönderilmesine yol açabilir.

Şirketlerin siber güvenliğe yatırım yapmasının başlıca nedenleri şunlardır:

• İş sürekliliğini korumak: Satış, üretim, lojistik ve müşteri hizmetlerinin kesintiye uğrama riskini azaltmak.
• Ticari bilgileri güvence altına almak: Fiyat listelerinin, projelerin, sözleşmelerin ve müşteri portföyünün yetkisiz kişilere ulaşmasını önlemek.
• Maddi kayıpları azaltmak: Dolandırıcılık, sistem onarımı, veri kurtarma ve iş durması kaynaklı maliyetleri sınırlamak.
• Müşteri güvenini sürdürmek: Şirkete emanet edilen bilgileri korumak ve olayları sorumlu biçimde yönetmek.
• Tedarik zincirini korumak: Şirket hesaplarının veya bağlantılarının iş ortaklarına yönelik saldırılarda kullanılmasını engellemek.

Örneğin bir muhasebe çalışanının e-posta hesabı ele geçirildiğinde saldırgan hemen zararlı yazılım çalıştırmayabilir. Önce yazışmaları takip edebilir, ödeme zamanlarını öğrenebilir ve doğru anda banka hesap bilgilerini değiştiren bir mesaj gönderebilir. Bu senaryoda korunması gereken unsur yalnızca bilgisayar değil, ödeme onay sürecinin tamamıdır.

Şirketleri Hedef Alan Siber Tehditler Nelerdir?

Güvenlik önlemlerini doğru planlamak için saldırıların hangi yollarla gerçekleşebileceğini anlamak gerekir.

Tehdit	Nasıl ortaya çıkar?	Şirket üzerindeki olası etkisi
Oltalama saldırıları	Sahte e-posta, mesaj, QR kod veya giriş ekranları	Parola hırsızlığı, hesap ele geçirme
Fidye yazılımı	Zararlı dosyalar, çalınmış hesaplar veya güvenlik açıkları	Dosyaların şifrelenmesi, faaliyetlerin durması
Kurumsal e-posta dolandırıcılığı	Yönetici veya tedarikçi kimliğinin taklit edilmesi	Yanlış hesaba ödeme yapılması
Veri sızıntısı	Hatalı paylaşım, ele geçirilmiş hesap veya kötüye kullanılan yetki	Gizli bilgilerin açığa çıkması
Güvenlik açığı istismarı	Güncellenmeyen uygulamalar ve ağ cihazları	Sistemlere yetkisiz erişim
İç kaynaklı riskler	Hatalı işlem, aşırı yetki veya kasıtlı kötüye kullanım	Veri kaybı ve yetkisiz değişiklik
Hizmet engelleme saldırıları	İnternet hizmetlerinin aşırı trafikle hedef alınması	Web sitesi veya uygulamanın erişilemez olması
Tedarikçi kaynaklı saldırılar	Üçüncü taraf hesaplarının veya bağlantılarının ele geçirilmesi	Şirket ağına dolaylı erişim

Bu tehditler birbirinden bağımsız değildir. Bir oltalama mesajıyla başlayan olay, hesap ele geçirme, veri hırsızlığı ve fidye yazılımı saldırısıyla devam edebilir.

1. Önce Dijital Varlıkları ve Riskleri Belirleyin

Şirketlerde siber güvenliğin ilk adımı, hangi sistemlerin ve bilgilerin korunacağını belirlemektir. Varlığı bilinmeyen bir cihazın güncellemesini takip etmek veya sahibinin belli olmadığı bir bulut hesabını güvenli biçimde yönetmek zordur.

Bu nedenle şirketin güncel bir teknoloji envanteri bulunmalıdır. Envanter yalnızca masaüstü bilgisayarları kapsamamalıdır:

• Dizüstü bilgisayarlar ve mobil cihazlar.
• Fiziksel ve sanal sunucular.
• Güvenlik duvarları, switch’ler ve kablosuz erişim noktaları.
• NAS cihazları ve yedekleme sistemleri.
• Kurumsal e-posta ve bulut depolama hesapları.
• ERP, CRM, muhasebe ve insan kaynakları uygulamaları.
• Web siteleri, alan adları ve yönetim panelleri.
• Kameralar, yazıcılar ve internete bağlanan diğer cihazlar.
• Dış hizmet sağlayıcılarının erişim hesapları.

Her varlık için sorumlu kişi, kullanım amacı, destek durumu ve iş açısından önemi belirlenmelidir.

Örneğin şirketin teklif hazırlama bilgisayarı ile bütün siparişlerin işlendiği ERP sunucusunun kesintiye uğraması aynı etkiyi yaratmaz. Koruma öncelikleri bu fark dikkate alınarak oluşturulmalıdır.

NIST Siber Güvenlik Çerçevesi 2.0, bu süreci yönetişim, tanımlama, koruma, tespit, müdahale ve kurtarma işlevleriyle ele alır. Bu yaklaşım, güvenliği yalnızca saldırıyı engelleme çabası olmaktan çıkarıp bütün bir risk yönetimi sürecine dönüştürür. NIST

2. Güvenlik Duvarını Doğru Yapılandırın

Güvenlik duvarı, şirket ağına gelen ve ağdan çıkan bağlantıları tanımlanan kurallara göre denetler. Uygun özelliklere ve lisanslara sahip kurumsal çözümler; uygulama kontrolü, saldırı önleme, web filtreleme ve uzaktan erişim güvenliği gibi ek işlevler de sağlayabilir.

Ancak cihazın kurulmuş olması, güvenliğin sağlandığı anlamına gelmez. Gereğinden geniş izinler ve kontrol edilmeyen eski kurallar, güvenlik duvarının koruyucu etkisini azaltabilir.

Sağlıklı bir yapılandırmada:

• Yalnızca iş için gerekli bağlantılara izin verilir.
• Kullanılmayan port yönlendirmeleri kaldırılır.
• Yönetim arayüzlerine erişim sınırlandırılır.
• Uzaktan erişim hesapları kişiye özel oluşturulur.
• Güvenlik güncellemeleri ve lisans durumu takip edilir.
• Kural değişiklikleri kayıt altına alınır.
• Yapılandırma yedekleri güvenli bir yerde tutulur.

Cihaz seçiminde yalnızca kullanıcı sayısına bakılmamalıdır. İnternet hızı, şubeler arası bağlantılar, eşzamanlı oturumlar ve etkinleştirilecek güvenlik özellikleri birlikte değerlendirilmelidir.

Güvenlik duvarının gerçek kullanım koşullarındaki kapasitesi, şirketin ihtiyaçlarını karşılamalıdır. Güvenlik denetimleri etkinleştirildiğinde yetersiz kalan bir cihaz, performans sorunlarına ve koruma özelliklerinin kapatılmasına yol açabilir.

3. Bilgisayarları ve Sunucuları Uç Nokta Güvenliğiyle Koruyun

Şirket çalışanlarının bilgisayarları, saldırganların hedef alabileceği başlıca giriş noktalarındandır. E-posta ekleri, tarayıcı üzerinden indirilen dosyalar, taşınabilir bellekler ve izinsiz yazılımlar bu cihazlarda risk oluşturabilir.

Kurumsal uç nokta güvenliği, cihazların merkezi olarak izlenmesini ve güvenlik politikalarının tutarlı biçimde uygulanmasını sağlar. Antivirüs korumasına ek olarak kullanılan EDR çözümleri, şüpheli davranışların incelenmesine ve olaylara müdahale edilmesine yardımcı olabilir.

Burada sık karşılaşılan kavramları ayırmak yararlıdır:

Çözüm	Temel işlevi
Kurumsal antivirüs / uç nokta koruması	Zararlı yazılımları ve çeşitli tehditleri önlemeye yardımcı olur
EDR	Uç nokta etkinliklerinden yararlanarak şüpheli olayları tespit ve inceleme olanağı sağlar
XDR	Ürün kapsamına göre uç nokta, kimlik, e-posta ve ağ gibi farklı kaynaklardan gelen verileri ilişkilendirir
MDR	Tanımlı hizmet kapsamı içinde uzmanlar tarafından izleme, inceleme ve müdahale desteği sunar

Bu çözümlerin özellikleri ürüne ve hizmet sözleşmesine göre değişir. Özellikle MDR hizmetlerinde hangi olaylara müdahale edildiği, hizmet saatleri ve sağlayıcının işlem yetkileri açıkça belirlenmelidir.

Koruma yazılımının yüklenmesi kadar, çalıştığının doğrulanması da önemlidir. Güncellenmeyen, yönetim paneline bağlanmayan veya koruması kapatılmış cihazlar düzenli olarak tespit edilmelidir.

4. Şifre Güvenliğini Çok Faktörlü Kimlik Doğrulamayla Destekleyin

Şirket hesaplarını yalnızca parolayla korumak yeterli değildir. Parolalar sahte giriş sayfaları, veri sızıntıları veya zararlı yazılımlar yoluyla ele geçirilebilir.

Çok faktörlü kimlik doğrulama, hesaba giriş sırasında ek doğrulama gerektirerek çalınmış parolanın tek başına kullanılmasını zorlaştırır. Öncelik verilmesi gereken hesaplar şunlardır:

• Kurumsal e-posta hesapları.
• Sistem yöneticisi hesapları.
• VPN ve uzaktan erişim hesapları.
• Bulut yönetim panelleri.
• Yedekleme platformları.
• Alan adı ve web barındırma hesapları.

Mümkün olan sistemlerde FIDO2/WebAuthn tabanlı güvenlik anahtarları veya uygun geçiş anahtarı çözümleri gibi oltalamaya dayanıklı yöntemler tercih edilmelidir. SMS ve tek kullanımlık kod tabanlı yöntemler ek koruma sağlasa da sahte siteler üzerinden kandırılmaya karşı aynı dayanıklılığı sunmaz. NIST

Parola yönetiminde ise her hesap için farklı ve uzun parolalar kullanılmalı, ortak hesaplar azaltılmalı ve kurumsal parola yöneticisi değerlendirilmelidir. Hesap kurtarma yöntemleri de giriş süreci kadar dikkatle korunmalıdır.

5. Çalışan Yetkilerini Görevleriyle Sınırlayın

Bir çalışanın işini yapabilmesi için bütün şirket dosyalarına erişmesi gerekmez. Gereksiz yetkiler, hem yanlışlıkla yapılan işlemlerin hem de ele geçirilen hesapların etkisini büyütür.

En az ayrıcalık ilkesi, kullanıcılara yalnızca görevleri için ihtiyaç duydukları erişimlerin verilmesidir.

Örneğin:

• Satış personeli, görev kapsamı gerektirmiyorsa personel özlük dosyalarına erişmemelidir.
• Günlük e-posta kullanımı için sistem yöneticisi hesabı kullanılmamalıdır.
• Teknik destek sağlayıcısına verilen erişim süre ve kapsam açısından sınırlandırılmalıdır.
• Görevi değişen çalışanın eski yetkileri gözden geçirilmelidir.
• İşten ayrılan kişinin hesapları ve aktif oturumları zamanında kapatılmalıdır.

Yetki yönetimi, işe giriş ve işten ayrılış süreçlerine bağlanmalıdır. İnsan kaynakları ile bilgi işlem arasındaki iletişim eksikliği, kullanılmayan hesapların aylarca açık kalmasına neden olabilir.

6. Şirket Ağını Bölümlere Ayırın

Personel bilgisayarlarının, misafir Wi-Fi ağının, kameraların ve kritik sunucuların aynı erişim alanında bulunması saldırının yayılmasını kolaylaştırabilir.

Ağ segmentasyonu, farklı cihaz gruplarını ayrı bölümlerde tutmayı ve aralarındaki iletişimi sınırlandırmayı amaçlar.

Bir şirkette aşağıdaki ayrım uygulanabilir:

Ağ bölümü	Örnek erişim yaklaşımı
Personel ağı	İş uygulamalarına görev gereksinimine göre erişim
Sunucu ağı	Yalnızca gerekli uygulama ve yönetim bağlantıları
Misafir ağı	İnternet erişimi; iç sistemlere erişim kapalı
Kamera ve IoT ağı	İlgili kayıt veya yönetim sistemleriyle sınırlı iletişim
Yedekleme ağı	Yetkili sistemler ve yöneticilerle sınırlandırılmış erişim
Yönetim ağı	Ağ cihazları ve altyapı yönetimi için kontrollü bağlantı

Yalnızca VLAN oluşturmak yeterli değildir. Ağlar arasında hangi trafiğin geçebileceği de güvenlik kurallarıyla belirlenmelidir. Bütün bölümlerin birbirine sınırsız erişebildiği bir yapıda, ayrımın güvenlik katkısı sınırlı kalır.

7. E-posta Güvenliğini ve Ödeme Süreçlerini Güçlendirin

E-posta güvenliği, şirketlerde siber saldırılardan korunmanın önemli parçalarından biridir. Çalışanlar günlük iş akışında teklif, fatura, kargo bildirimi ve sözleşme gibi çok sayıda belgeyle karşılaşır.

Saldırganlar bu alışkanlıkları kullanarak gerçek bir iş talebine benzeyen mesajlar hazırlayabilir. Tehlike yalnızca dosya eklerinde değildir; sahte giriş bağlantıları ve zararlı sitelere yönlendiren QR kodlar da kullanılabilir.

NIST, çalışanların oltalama girişimlerini tanıması ve bildirmesi yanında, e-posta filtrelerinin ve gönderen doğrulama teknolojilerinin kullanılmasını önerir. Oltalamanın telefon, kısa mesaj ve sosyal medya üzerinden de gerçekleşebileceğine dikkat çeker. NIST

Kurumsal e-posta güvenliğinde SPF, DKIM ve DMARC kayıtları da değerlendirilmelidir. Bu mekanizmalar alan adının e-posta sahteciliğinde kullanılmasını zorlaştırmaya yardımcı olur; ancak benzer alan adlarından gönderilen mesajları veya ele geçirilmiş gerçek hesapları tek başına engellemez.

Finansal işlemlerde teknik korumayı tamamlayan açık kurallar bulunmalıdır:

• Banka hesap değişiklikleri, daha önce doğrulanmış iletişim kanalıyla teyit edilmelidir.
• Yüksek tutarlı ödemelerde ikinci bir onay uygulanmalıdır.
• “Acil ve gizli ödeme” talepleri kontrol adımlarını atlamamalıdır.
• Mesaj içindeki telefon numarası, tek başına doğrulama kaynağı kabul edilmemelidir.

8. Güvenli Yedekleme ve Geri Dönüş Planı Oluşturun

Yedekleme sisteminin başarılı görünmesi, şirketin verilerini geri getirebileceği anlamına gelmez. Gerçek güvence, ihtiyaç duyulan verilerin ve uygulamaların test edilmiş bir süreçle geri yüklenebilmesidir.

Yedekleme planı hazırlanırken şu sorular yanıtlanmalıdır:

• Hangi veriler ve sistemler yedekleniyor?
• Yedekler ne sıklıkla alınıyor?
• Kaç farklı yerde saklanıyor?
• Kimler yedekleri değiştirebiliyor veya silebiliyor?
• Son başarılı geri yükleme testi ne zaman yapıldı?
• Ana sistemler kullanılamazsa kurtarma nerede gerçekleştirilecek?

CISA, kritik verilerin çevrimdışı ve şifreli yedeklerinin tutulmasını, yedeklerin kullanılabilirliğinin ve bütünlüğünün düzenli olarak test edilmesini önerir. Bunun nedeni, fidye yazılımlarının erişebildikleri yedekleri de silmeye veya şifrelemeye çalışabilmesidir. cisa.gov

Yedekleme tasarımında çevrimdışı veya uygun şekilde yapılandırılmış değiştirilemez kopyalar değerlendirilebilir. Yedekleme yönetimi için ayrı hesaplar kullanılmalı ve silme yetkileri sınırlandırılmalıdır.

Ayrıca iki iş hedefi belirlenmelidir:

• RPO: Şirketin kabul edebileceği veri kaybı süresi.
• RTO: Sistemin yeniden çalışır duruma getirilmesi için hedeflenen süre.

Örneğin bir işletme en fazla bir saatlik sipariş kaybını kabul ediyorsa, yalnızca gece alınan yedekler ihtiyacını karşılamayabilir.

RAID yapısı ve bulut dosya eşitlemesi de tek başına bağımsız yedekleme yerine geçmez. Silme işlemleri veya hatalı değişiklikler eşitlenen kopyalara yansıyabilir.

9. Güncellemeleri ve Güvenlik Açıklarını Yönetin

İşletim sistemi güncellemeleri kadar güvenlik duvarı, VPN cihazı, NAS, sanallaştırma platformu ve web uygulaması güncellemeleri de takip edilmelidir.

Güncelleme yönetimi gelişigüzel yapılmamalıdır. İşletmenin kritik uygulamalarını dikkate alan bir bakım planı oluşturulmalıdır.

Bu plan kapsamında:

• İnternete açık sistemler belirlenir.
• Güvenlik açıkları iş etkisine ve istismar riskine göre önceliklendirilir.
• Kritik değişiklikler için yedek ve geri dönüş hazırlığı yapılır.
• Uygun durumlarda güncellemeler test ortamında denenir.
• Güncelleme sonrasında temel işlevler doğrulanır.
• Üretici desteği sona ermiş sistemler için geçiş planı hazırlanır.

Bir uygulamanın çalışıyor olması, güvenli olduğu anlamına gelmez. Destek almayan sistemleri uzun süre kullanmak, zamanla yönetilmesi zor bir risk oluşturabilir.

10. Uzaktan Çalışmayı ve Bulut Hesaplarını Koruyun

Şirket verileri yalnızca ofiste bulunmaz. Evden çalışan personel, mobil cihazlar ve bulut uygulamaları güvenlik kapsamına dahil edilmelidir.

Uzaktan erişimde temel hedef, bağlantı kuran kişinin kimliğini ve kullandığı cihazın uygunluğunu doğrulamaktır.

Bu kapsamda:

• RDP gibi yönetim servisleri doğrudan internete açılmamalıdır.
• Yönetilen VPN veya uygun ZTNA çözümleri değerlendirilmelidir.
• Uzaktan erişimlerde çok faktörlü kimlik doğrulama kullanılmalıdır.
• Kullanıcı yalnızca ihtiyaç duyduğu sistemlere ulaşmalıdır.
• Şirket cihazlarında disk şifreleme ve ekran kilidi uygulanmalıdır.
• Kayıp cihazlar için erişim iptali ve müdahale süreci tanımlanmalıdır.

Bulut hizmetlerinde de kullanıcı yetkileri, dış paylaşım bağlantıları ve üçüncü taraf uygulama izinleri düzenli incelenmelidir.

Verinin bulutta bulunması, şirketin güvenlik sorumluluğunu ortadan kaldırmaz. Hizmet sağlayıcı altyapının belirli bölümlerini korurken; hesapların, paylaşım ayarlarının ve birçok erişim kararının yönetimi müşteride kalır. Sorumlulukların dağılımı kullanılan hizmete göre değişir.

11. Çalışanlara Uygulanabilir Siber Güvenlik Eğitimi Verin

Siber güvenlik eğitimi, yılda bir kez sunum izletmekle sınırlı kalmamalıdır. Çalışanların günlük işlerinde karşılaşabilecekleri durumlar üzerinden ilerlemelidir.

Örneğin eğitimlerde şu senaryolar kullanılabilir:

• Genel müdür adına gelen acil ödeme talebi.
• Şifre yenileme bahanesiyle gönderilen sahte giriş bağlantısı.
• Tedarikçinin banka hesabının değiştiğini bildiren mesaj.
• Beklenmeyen çok faktörlü doğrulama bildirimi.
• Kargo veya fatura görünümündeki şüpheli dosya.
• Teknik destek olduğunu söyleyerek uzaktan bağlantı isteyen kişi.

Çalışanların hata yaptıklarında bunu hızla bildirebilmesi önemlidir. Yalnızca cezalandırmaya dayalı bir yaklaşım, olayın saklanmasına ve müdahalenin gecikmesine yol açabilir.

Eğitimin hedefi, herkesin güvenlik uzmanı olması değildir. Şüpheli durumu fark etmek, işlemi durdurmak ve doğru kişiye haber vermek yeterince açık ve uygulanabilir bir başlangıçtır.

12. Güvenlik Kayıtlarını İzleyin ve Alarmları Değerlendirin

Bir saldırı her zaman ekranın kilitlenmesiyle veya dosyaların şifrelenmesiyle fark edilmez. İlk belirtiler, alışılmadık giriş denemeleri veya beklenmeyen hesap değişiklikleri olabilir.

Örneğin aşağıdaki olaylar inceleme gerektirebilir:

• Kısa sürede çok sayıda başarısız oturum açma.
• Yeni bir yönetici hesabı oluşturulması.
• E-posta hesabında beklenmeyen yönlendirme kuralı.
• Olağan dışı saatlerde yüksek miktarda veri aktarımı.
• Koruma yazılımının devre dışı bırakılması.
• Yedeklerin silinmesi veya saklama politikasının değiştirilmesi.

Merkezi kayıt ve izleme sistemleri, farklı kaynaklardan gelen olayların birlikte değerlendirilmesine yardımcı olur. FBI’ın kurumsal dayanıklılık önerileri de kimlik, e-posta, uç nokta, ağ ve bulut kayıtlarının merkezileştirilmesini; yedekleme altyapısının ayrı hesaplar ve güçlü doğrulamayla korunmasını içerir.

Ancak kayıt toplamak tek başına yeterli değildir. Alarmları kimin inceleyeceği, hangi olayın acil sayılacağı ve müdahalenin nasıl başlatılacağı belirlenmelidir.

13. Siber Olay Müdahale Planını Önceden Hazırlayın

Saldırı sırasında verilecek kararları ilk kez o anda tartışmak zaman kaybettirir. Yazılı bir olay müdahale planı, görevleri ve iletişim yollarını önceden netleştirir.

Planda en az şu bilgiler bulunmalıdır:

• Olay koordinasyonundan sorumlu kişi.
• Teknik müdahale ekibi veya hizmet sağlayıcısı.
• Yönetimin bilgilendirilme yöntemi.
• Etkilenen cihazları izole etme süreci.
• Kayıtları ve delilleri koruma yaklaşımı.
• Kritik sistemlerin kurtarma sırası.
• Müşteri ve iş ortaklarıyla iletişim sorumluluğu.
• İlgili bildirim yükümlülüklerinin değerlendirilme süreci.

Şüpheli bir cihazı hemen formatlamak, olayın nasıl gerçekleştiğini anlamaya yardımcı olacak bilgileri yok edebilir. Müdahale, mümkün olduğunca yetkili ekip tarafından deliller korunarak yürütülmelidir.

Kurtarma aşamasında da yalnızca dosyaları geri yüklemekle yetinilmemelidir. İlk erişim yolu kapatılmalı, ele geçirilen hesaplar güvence altına alınmalı ve geri dönen sistemlerin temizliği doğrulanmalıdır.

14. Tedarikçi Erişimlerini ve Yapay Zekâ Kullanımını Denetleyin

Dışarıdan alınan teknik destek, yazılım bakımı ve bulut hizmetleri şirketin güvenlik kapsamını genişletir. Hizmet sağlayıcılarına verilen erişimler de çalışan hesapları kadar dikkatle yönetilmelidir.

Tedarikçi hesaplarında kişiye özel kullanıcılar, çok faktörlü doğrulama, sınırlı yetki ve erişim kayıtları tercih edilmelidir. Sözleşme sona erdiğinde hesapların kapatılması ve anahtarların iptal edilmesi unutulmamalıdır.

Çalışanların yapay zekâ araçlarını kullanması için de açık kurallar belirlenmelidir. Müşteri listeleri, özel sözleşmeler, kaynak kodlar veya erişim bilgileri, onaylanmamış hizmetlere yüklenmemelidir.

Burada şirketin yanıtlaması gereken temel sorular şunlardır:

• Hangi araçların kullanımı onaylı?
• Hangi veri türleri paylaşılabilir?
• Hizmet verileri nasıl saklıyor ve işliyor?
• Araç hangi hesaplara veya dosyalara erişebiliyor?
• Üretilen sonuçları kim kontrol ediyor?

Amaç çalışanların işini zorlaştırmak değil, kolaylık sağlayan araçların kontrolsüz veri paylaşımına dönüşmesini önlemektir.

CEO ve Şirket Yönetimi Siber Güvenlikte Ne Yapmalıdır?

Şirket yönetiminin görevi bütün teknik ayrıntıları bilmek değil, risklerin görünür olmasını ve sorumlulukların yerine getirilmesini sağlamaktır.

Güvenlik bütçesi yalnızca cihaz ve lisans maliyeti üzerinden değerlendirilmemelidir. Kesinti süresi, veri kaybı, müşteri etkisi ve toparlanma maliyeti de hesaba katılmalıdır.

Yönetimin düzenli olarak sorması gereken sorular şunlardır:

1. En kritik iş süreçlerimiz hangi sistemlere bağlı?
2. Bu sistemlerden biri durursa ne kadar sürede çalışmaya dönebiliriz?
3. Son geri yükleme testinde ne sonuç aldık?
4. Yönetici ve uzaktan erişim hesaplarının tamamı ek doğrulamayla korunuyor mu?
5. Açık güvenlik sorunlarının hangileri hâlâ giderilmedi?
6. Bir saldırı gece gerçekleşirse kim haberdar olacak?
7. Dış hizmet sağlayıcılarımızın erişimleri kontrol altında mı?

Teknik raporların yönetim için anlamlı ölçütlere dönüştürülmesi gerekir. “Çok sayıda saldırı engellendi” ifadesi tek başına yeterli değildir. Korunmayan cihaz sayısı, kritik açıkların giderilme süresi ve kurtarma testlerinin başarısı gibi göstergeler daha somut karar desteği sağlar.

Şirketler İçin Örnek 90 Günlük Siber Güvenlik Planı

Aşağıdaki plan, başlangıç için uyarlanabilir bir örnektir. Aktif saldırı veya kritik açıklık tespit edilmesi durumunda ilgili işlem takvim beklenmeden ele alınmalıdır.

Dönem	Öncelikli çalışmalar	Hedef
İlk 30 gün	Varlık envanteri, kritik hesaplarda MFA, açık erişimlerin kontrolü, yedeklerden örnek geri yükleme	En önemli riskleri görünür hale getirmek
31–60 gün	Yetki düzenlemeleri, uç nokta koruması, ağ ayrımı, güncelleme planı, çalışan eğitimi	Temel korumayı tutarlı hale getirmek
61–90 gün	Merkezi izleme, olay müdahale tatbikatı, kapsamlı kurtarma testi, yönetim raporu	Sürecin çalıştığını doğrulamak

Planın sonunda yalnızca ürün kurulumu yapılmış olmamalıdır. Her kritik kontrol için sorumlu kişi, takip yöntemi ve tekrar sıklığı belirlenmelidir.

Şirketlerde Siber Güvenlik İçin Kontrol Listesi

Aşağıdaki liste, mevcut yapının ilk değerlendirmesinde kullanılabilir:

• Güncel cihaz, yazılım ve bulut hesabı envanteri var mı?
• Kritik veriler ve iş süreçleri belirlendi mi?
• E-posta ve yönetici hesaplarında MFA zorunlu mu?
• İşten ayrılan çalışanların erişimleri zamanında kapatılıyor mu?
• Güvenlik duvarı kuralları düzenli inceleniyor mu?
• Misafir, kamera, personel ve sunucu ağları uygun şekilde ayrıldı mı?
• Bilgisayar ve sunucular merkezi koruma kapsamında mı?
• İnternete açık sistemlerin güncellemeleri takip ediliyor mu?
• Yedeklerin silinmesine karşı ayrı koruma bulunuyor mu?
• Gerçek bir geri yükleme testi yapıldı mı?
• Şüpheli e-posta bildirim süreci çalışanlar tarafından biliniyor mu?
• Ödeme ve banka hesap değişikliklerinde ikinci doğrulama var mı?
• Güvenlik alarmlarını değerlendiren bir sorumlu bulunuyor mu?
• Yazılı ve denenmiş olay müdahale planı var mı?
• Tedarikçi erişimleri ve dış veri paylaşımları kontrol ediliyor mu?

Bu liste bir güvenlik sertifikası yerine geçmez; eksiklerin belirlenmesine ve iyileştirme planının oluşturulmasına yardımcı olur.

Sıkça Sorulan Sorular

Şirketlerde siber güvenlik için ilk ne yapılmalıdır?

İlk olarak kullanılan cihazlar, hesaplar, uygulamalar ve kritik veriler belirlenmelidir. Ardından açık uzaktan erişimler, yönetici hesapları, çok faktörlü doğrulama ve yedeklerin geri yüklenebilirliği kontrol edilmelidir. Böylece öncelikler şirketin gerçek risklerine göre belirlenebilir.

Küçük işletmelerin de siber güvenliğe ihtiyacı var mı?

Evet. Küçük işletmeler de müşteri bilgileri, banka hesapları, e-posta yazışmaları ve ticari veriler kullanır. Otomatik saldırılar şirketin büyüklüğünden bağımsız olarak açık sistemleri ve zayıf hesapları hedefleyebilir. Önlemlerin kapsamı işletmenin ihtiyacına göre ölçeklendirilmelidir.

Güvenlik duvarı tek başına yeterli midir?

Hayır. Güvenlik duvarı ağ trafiğini denetleyen önemli bir katmandır. Ancak çalınmış bulut hesapları, hatalı dosya paylaşımları veya çalışanların kandırılması gibi riskler için kimlik güvenliği, uç nokta koruması ve süreç kontrolleri de gerekir.

Antivirüs kullanmak fidye yazılımını kesin olarak engeller mi?

Hiçbir ürün bütün saldırılar için kesin koruma garantisi vermez. Uç nokta koruması; güncelleme yönetimi, erişim kısıtlamaları, ağ segmentasyonu, izleme ve güvenli yedeklemeyle desteklenmelidir.

Şirket verileri ne sıklıkla yedeklenmelidir?

Yedekleme sıklığı, kabul edilebilir veri kaybına göre belirlenmelidir. Gün boyunca yoğun işlem yapılan bir sistem için günlük yedek yetersiz kalabilir. Daha az değişen veriler için farklı bir takvim uygulanabilir.

NAS cihazına yedek almak yeterli midir?

Tek başına yeterli olmayabilir. NAS cihazı aynı saldırı sırasında erişilebilir, silinebilir veya fiziksel olarak zarar görebilir. Ayrı konumda tutulan, erişimi sınırlandırılmış ve uygun durumlarda çevrimdışı ya da değiştirilemez kopyalarla desteklenmelidir.

Bulutta tutulan veriler ayrıca yedeklenmeli midir?

Kullanılan hizmetin silinen veri kurtarma, sürüm geçmişi ve saklama özellikleri incelenmelidir. Bu özellikler şirketin kurtarma ihtiyaçlarını karşılamıyorsa bağımsız yedekleme değerlendirilmelidir. Bulut hizmetinin çalışır olması ile yanlışlıkla silinen bir verinin geri getirilebilmesi farklı konulardır.

VPN kullanmak uzaktan çalışmayı tamamen güvenli yapar mı?

Hayır. VPN bağlantıyı korumaya yardımcı olur; ancak ele geçirilmiş hesapları veya zararlı yazılım bulaşmış cihazları tek başına güvenli hale getirmez. MFA, cihaz güvenliği ve sınırlı erişim kurallarıyla birlikte kullanılmalıdır.

Siber güvenlik eğitimi ne sıklıkla verilmelidir?

İşe girişte temel eğitim verilmeli, sonrasında risklere ve ihtiyaçlara göre kısa tekrarlar yapılmalıdır. Yeni saldırı yöntemleri veya şirket içinde yaşanan olaylar eğitim içeriğine yansıtılmalıdır. Çalışanların bildirim sürecini bilmesi, eğitim takvimi kadar önemlidir.

Bir çalışan şüpheli bağlantıya tıklarsa ne yapmalıdır?

Durumu gecikmeden bilgi işlem veya güvenlik sorumlusuna bildirmelidir. Bilgi girdiyse hangi hesabı kullandığını belirtmelidir. Yetkili ekip; hesap parolasını, aktif oturumları, doğrulama yöntemlerini ve cihazın durumunu değerlendirmelidir. Olayın saklanması müdahaleyi zorlaştırır.

Şirketin e-posta hesabı ele geçirilirse yalnızca parola değiştirmek yeterli olur mu?

Her zaman yeterli olmaz. Aktif oturumlar, uygulama izinleri, hesap kurtarma yöntemleri ve e-posta yönlendirme kuralları da incelenmelidir. Saldırganın başka hesaplara veya müşteri yazışmalarına erişip erişmediği değerlendirilmelidir.

Siber güvenlik testi ile sızma testi aynı şey midir?

Hayır. Siber güvenlik değerlendirmesi; hesaplar, politikalar, yapılandırmalar, yedekleme ve süreçler gibi geniş bir kapsamı inceleyebilir. Sızma testi ise açıkça yetkilendirilmiş bir kapsam içinde, zafiyetlerin kullanılabilirliğini ve etkisini kontrollü biçimde değerlendirmeyi amaçlar.

Şirketlerde siber güvenlik maliyeti neye göre belirlenir?

Kullanıcı ve cihaz sayısı, şube yapısı, sunucular, bulut hizmetleri, veri hassasiyeti, izleme ihtiyacı ve destek kapsamı maliyeti etkiler. Bütçe hazırlanırken lisansların yanında kurulum, bakım, eğitim ve müdahale hizmetleri de değerlendirilmelidir.

Siber güvenlik hizmeti dışarıdan alınabilir mi?

Evet. Şirketler belirli güvenlik işlerini veya izleme ve müdahale hizmetlerini dışarıdan alabilir. Ancak hizmet kapsamı, sorumluluklar, erişim yetkileri ve olay sırasında iletişim yöntemi açıkça tanımlanmalıdır. Yönetim sorumluluğu bütünüyle hizmet sağlayıcıya devredilmiş sayılmaz.

Şirketlerde yüzde yüz siber güvenlik mümkün müdür?

Hiçbir şirket için bütün risklerin tamamen ortadan kaldırıldığı söylenemez. Hedef; saldırı ihtimalini azaltmak, olayları erken tespit etmek, etkilerini sınırlandırmak ve iş süreçlerini kabul edilebilir sürede yeniden çalıştırabilmektir.

Şirketinizin siber güvenliğini güçlendirmek için başlangıç noktası, mevcut yapıyı ölçülebilir biçimde değerlendirmektir. Kritik hesapları korumak, erişimleri sınırlandırmak, yedekleri test etmek ve olaylara kimin müdahale edeceğini belirlemek, uygulanabilir bir güvenlik programının temelini oluşturur.