Büyüyen Şirketler İçin Siber Güvenlik Kontrol Listesi

Büyüyen bir şirket için siber güvenlik pahalı araçlarla değil; kimlik, cihaz, veri, uygulama ve insan başlıklarında düzenli uygulanan kısa bir kontrol listesiyle başlar. Ekip büyüdükçe hesaplar, araçlar, tedarikçiler ve cihazlar çoğalır; her biri saldırganlar için yeni bir kapı demektir. Aşağıdaki liste, güvenlik ekibi henüz olmayan ya da yeni kurulan şirketler için pratik bir başlangıç noktası olarak hazırlandı.

Büyüyen şirketler neden daha fazla risk altında?

Küçük bir ekipte herkes birbirini tanır, araç sayısı azdır ve kimin neye eriştiği akılda tutulabilir. Büyüme bu dengeyi bozar. Yeni çalışanlar, serbest çalışanlar, ajanslar ve yazılım hizmetleri eklendikçe saldırı yüzeyi genişler; ama güvenlik alışkanlıkları çoğu zaman şirketin ilk günlerindeki gibi kalır.

Saldırganlar da bunu bilir. Otomatik taramalar ve toplu oltalama (phishing) kampanyaları şirket büyüklüğüne bakmaz. Zayıf bir parola, güncellenmemiş bir eklenti ya da işten ayrılmış birinin hâlâ açık olan hesabı yeterlidir. Bu yüzden hedef her saldırıyı engellemek değil, en yaygın kapıları kapatmak ve bir şey olduğunda hızla toparlanabilmektir.

Kimlik ve erişim: ilk ve en önemli katman

Pek çok güvenlik olayı ele geçirilmiş bir hesapla başlar. Bu yüzden listenin ilk başlığı kimliktir:

• Çok faktörlü kimlik doğrulama (MFA): E-posta, bulut depolama, kod deposu, muhasebe ve yönetim panellerinde zorunlu olsun. Mümkünse SMS yerine doğrulayıcı uygulama ya da donanım anahtarı tercih edin.
• Parola yöneticisi: Her hizmet için benzersiz ve uzun parolalar kullanılır; ekip içi paylaşım mesajlaşma uygulamalarından değil, ortak kasadan yapılır.
• En az yetki ilkesi: Herkes yalnızca işi için gereken erişime sahip olur. Yönetici hesapları günlük işler için kullanılmaz.
• İşe giriş ve ayrılış süreci: Yeni gelen birine hangi hesapların açılacağı ve ayrılan birinin erişiminin aynı gün nasıl kapatılacağı yazılı olsun.
• Tek oturum açma (SSO): Araç sayısı arttıkça erişimi tek bir merkezden yönetmek hem güvenliği hem de denetimi kolaylaştırır.

Araç sayısını azaltmak da bir güvenlik önlemidir. Her yeni hizmet, yönetilmesi gereken yeni bir hesap listesi ve yeni bir veri kopyası demektir. CRM, içerik ve otomasyonu Next Platform gibi tek bir panelde toplamak, kimin neye eriştiğini gözden geçirmeyi de kolaylaştırır.

Cihazlar, güncellemeler ve envanter

Neyi koruduğunuzu bilmeden onu koruyamazsınız. Basit bir envanter, güvenliğin en az konuşulan ama en çok işe yarayan adımlarından biridir.

• Şirket verisine erişen tüm dizüstü bilgisayarları, telefonları, sunucuları ve bulut hesaplarını listeleyin.
• İşletim sistemi ve tarayıcı güncellemelerini otomatik hâle getirin; kritik yamalar için en fazla kaç gün bekleneceğini belirleyin.
• Tüm dizüstü bilgisayarlarda disk şifrelemeyi açın; kaybolan bir cihaz veri sızıntısına dönüşmesin.
• Web sitenizdeki eklentileri, temaları ve yazılım bağımlılıklarını düzenli olarak güncelleyin; kullanılmayanları kaldırın.
• Kullandığınız SaaS hizmetlerinin ve tedarikçilerin listesini tutun; hangisinin hangi veriye eriştiğini bilin.

Envanter bir kez çıkarılıp unutulacak bir belge değildir. Yeni bir cihaz ya da hizmet eklendiğinde listeye girmeli, kullanılmayan bir hesap fark edildiğinde hemen kapatılmalıdır. Bu işi belirli bir kişiye vermek ve üç ayda bir kısa bir gözden geçirmeyi takvime koymak, listenin güncel kalmasını sağlar. Ekip kişisel cihazlarla çalışıyorsa şirket verisine erişim için ekran kilidi, güncel işletim sistemi ve şirket verisini uzaktan silebilme gibi asgari koşullar belirlenmelidir.

Veri, yedekleme ve kurtarma

Fidye yazılımı, yanlışlıkla silinen bir klasör ya da bozulan bir veritabanı: Hepsinin ortak ilacı gerçekten çalışan bir yedektir. Yaygın olarak önerilen 3-2-1 kuralı iyi bir çerçeve sunar: verinin üç kopyası, iki farklı ortamda, biri de ayrı bir konumda.

• Yedekler otomatik alınsın; en az bir kopya ana sistemlerden erişilemeyecek şekilde ayrı tutulsun.
• Geri yüklemeyi düzenli olarak deneyin. Hiç geri yüklenmemiş bir yedek, yalnızca var olduğu varsayılan bir yedektir.
• Hangi kişisel veriyi nerede, ne amaçla ve ne kadar süre tuttuğunuzu belgeleyin. Türkiye’de KVKK, Avrupa’daki kullanıcılar için GDPR bu konuda açık yükümlülükler getirir.
• İhtiyaç duymadığınız veriyi toplamayın; hiç tutulmayan bir veri sızdırılamaz.

Uygulama ve altyapı güvenliği

Web siteniz, mobil uygulamanız ve iç sistemleriniz şirketin dışa açık yüzüdür. Burada temel hijyen çoğu zaman en etkili savunmadır:

• Her yerde HTTPS: Tüm trafiği şifreleyin; HSTS ve Content Security Policy gibi güvenlik başlıklarını yapılandırın.
• Gizli bilgiler koddan uzak: API anahtarları ve veritabanı parolaları kod deposunda değil, bir gizli anahtar yöneticisinde ya da sunucu yapılandırmasında tutulur.
• Bağımlılık taraması: Bilinen açıkları olan kütüphaneler teslimat hattında otomatik olarak yakalanır.
• Kayıt ve izleme: Başarısız girişler, yetki değişiklikleri ve olağan dışı trafik kaydedilir ve düzenli olarak gözden geçirilir.
• Dışarıdan bir göz: Önemli sürümlerden önce ya da yılda en az bir kez bağımsız bir sızma testi yaptırmak, ekibin göremediği açıkları ortaya çıkarır.

Bu adımların çoğu teslimat sürecine yerleştirildiğinde ek bir yük olmaktan çıkar. Güvenlik kontrollerinin otomatik hatta nasıl yer aldığını Dramsız DevOps yazımızda anlattık. Yeni bir sistem geliştiriyorsanız güvenliği sonradan eklemek yerine yazılım geliştirme sürecinin ilk gününden tasarıma katmak her zaman daha az maliyetlidir.

İnsan faktörü ve olay müdahale planı

Güvenlik satın alınan bir ürün değil, ekibin her gün tekrarladığı bir alışkanlıktır.

En iyi teknik önlemler bile aceleyle tıklanan tek bir bağlantıyla aşılabilir. Ekip eğitimi kısa ve sık olduğunda işe yarar: oltalama e-postalarının nasıl göründüğü, şüpheli bir ödeme talebinin ikinci bir kanaldan doğrulanması ve bir hatanın ne kadar erken bildirilirse o kadar az zarar verdiği.

Bir olay yaşandığında ne yapılacağı da önceden yazılı olmalıdır:

1. Olayı kim, hangi kanaldan bildirir ve ilk kararı kim verir?
2. Etkilenen hesaplar ve sistemler nasıl izole edilir?
3. Müşteriler, iş ortakları ve gerekiyorsa yetkili kurum nasıl ve ne zaman bilgilendirilir?
4. Olay kapandıktan sonra hangi dersler çıkarılır ve bu listeye nasıl eklenir?

Sık sorulan sorular

Küçük bir şirketin siber güvenliğe gerçekten yatırım yapması gerekir mi?

Evet, ama bu yatırım çoğu zaman bütçeden çok disiplin ister. MFA, parola yöneticisi, otomatik güncellemeler ve test edilmiş yedekler düşük maliyetle en yaygın riskleri önemli ölçüde azaltır.

Bu kontrol listesi ne sıklıkla gözden geçirilmeli?

En az üç ayda bir ve her büyük değişiklikte: yeni bir araç, yeni bir ofis, hızlı işe alım ya da yeni bir ürün. Erişim listeleri ise her işten ayrılışta aynı gün güncellenmelidir.

Siber güvenlik sigortası yeterli olur mu?

Sigorta maddi zararın bir kısmını karşılayabilir, ama itibarı, kaybolan veriyi ya da duran operasyonları geri getirmez. Sigortacılar da genellikle temel önlemlerin alınmış olmasını bekler.

Güvenliği tamamen dışarıdan bir ekibe bırakabilir miyiz?

Teknik işleri devredebilirsiniz, ama sorumluluk şirkette kalır. En iyi sonuç, şirket içinde sahibi belli bir kişinin dış uzmanlıkla birlikte çalıştığı modelden çıkar.

Nereden başlamalı?

Bu listenin tamamını bir haftada uygulamaya çalışmayın. Önce en büyük riski kapatın, sonra ritmi koruyun:

1. Bu hafta: E-posta ve kritik araçlarda MFA’yı zorunlu yapın, ekibi bir parola yöneticisine geçirin.
2. Bu ay: Cihaz ve hesap envanterini çıkarın, eski erişimleri kapatın, bir yedeği geri yükleyerek test edin.
3. Bu çeyrek: Olay müdahale planını yazın, ekip eğitimini takvime alın, uygulamalarınız için dışarıdan bir değerlendirme planlayın.

Mevcut durumunuzu birlikte değerlendirmek ve şirketinize uygun bir güvenlik yol haritası çıkarmak için strateji ve dijital dönüşüm ekibimizle konuşabilirsiniz. Bize ulaşın; ilk adımı birlikte planlayalım.