KOBİ'ler İçin Siber Güvenlik: 15 Maddelik Kontrol Listesi

"Bizim gibi küçük bir firmayı kim ne yapsın?" Siber güvenlik konuşulduğunda en sık duyduğumuz cümle bu. Oysa saldırıların büyük kısmı belirli bir firmayı hedeflemez; internetteki sunucuları, web sitelerini ve e-posta hesaplarını otomatik araçlarla tarayıp açık bulduğu her yere girer. Küçük işletmeler bu yüzden çoğu zaman en kolay hedeftir: güncellenmemiş bir site eklentisi, tekrar kullanılan bir şifre ya da kimsenin okumadığı uyarı e-postaları yeterlidir. Siber güvenlik danışmanlığı almadan önce bile, kendi durumunuzu birkaç temel soruyla ölçebilirsiniz.

Bu yazıdaki kontrol listesini teorik kaynaklardan değil, büyük ölçüde kendi altyapımızda ve yönettiğimiz sistemlerde yaşadığımız gerçek olaylardan çıkardık. Her maddenin yanında neden önemli olduğunu ve pratikte nasıl uygulanacağını anlatıyoruz.

Bu Kontrol Listesi Nasıl Kullanılır?

Liste beş başlıkta toplam 15 maddeden oluşuyor: hesaplar ve erişim, e-posta güvenliği, sunucu ve web sitesi, yedekleme ve süreklilik, belgeleme ve hazırlık. Her maddeyi okurken kendinize üç soru sorun: Bu önlem bizde var mı, varsa gerçekten çalışıyor mu ve bundan kim sorumlu? "Var ama kimse kontrol etmiyor" cevabı, çoğu zaman "yok" ile aynı anlama gelir.

Tüm maddeleri aynı anda uygulamaya çalışmayın. Önce en az maliyetle en çok riski azaltanlardan başlayın: iki adımlı doğrulama, şifre yöneticisi, e-posta kimlik doğrulama kayıtları ve sunucu dışında tutulan yedekler. Her maddeye bir sorumlu ve bir tarih atayın; yazının sonundaki tabloyu bu amaçla doldurabilirsiniz. Listeyi yılda bir değil, en az üç ayda bir gözden geçirmek, yeni eklenen hesapların, servislerin ve çalışanların gözden kaçmasını önler.

Hesaplar ve Erişim (Madde 1-4)

1. Tüm kritik hesaplarda iki adımlı doğrulama açık. E-posta, alan adı paneli, hosting paneli, bulut depolama, muhasebe yazılımı ve sosyal medya hesaplarında iki adımlı doğrulama (2FA) kullanın. Çalınan bir şifre, ikinci adım olmadan tek başına yeterli olmaz. SMS yerine mümkünse doğrulama uygulaması tercih edin.

2. Şifreler tekrar kullanılmıyor, bir şifre yöneticisinde tutuluyor. Aynı şifrenin birden fazla yerde kullanılması, bir sitedeki sızıntının tüm hesaplarınıza yayılması demektir. Ekip için ortak bir şifre yöneticisi kullanın; şifreleri Excel dosyasında, not uygulamasında ya da mesajlaşma gruplarında paylaşmayın.

3. Ayrılan çalışanın erişimi aynı gün kapatılıyor. İşten ayrılan kişinin e-postası, ortak klasör erişimi, panel kullanıcıları ve paylaşılan şifreler aynı gün kapatılmalı ya da değiştirilmeli. Bunun için kimin nereye erişimi olduğunu gösteren basit bir liste tutmak yeterli bir başlangıçtır.

4. Yönetici yetkisi yalnızca gerekenlerde. Herkesin her şeye yönetici erişimi olması, tek bir ele geçirilmiş hesabın tüm sistemi etkilemesi anlamına gelir. Günlük işlerde yönetici olmayan hesaplar kullanın; sunucu ve panel yönetimini mümkünse internete açık değil, VPN (özel ağ) üzerinden yapın.

E-posta Güvenliği (Madde 5-7)

5. SPF, DKIM ve DMARC kayıtları kurulu. Bu üç DNS kaydı, alan adınız adına kimin e-posta gönderebileceğini tanımlar ve sahte e-postaları zorlaştırır. Eksik kayıtlar yalnızca güvenlik değil, maillerinizin ulaşmaması sorunudur: Form bildirimleri, faturalar ya da sunucu uyarıları gibi farklı servislerden ve alt alan adlarından gönderilen e-postalar için de kayıtların tanımlı olduğunu ayrı ayrı kontrol edin.

6. Şifresiz (cleartext) e-posta girişi kapalı. Mail programlarının sunucuya şifrelenmemiş bağlantıyla giriş yapmasına izin vermeyin; tüm bağlantılar SSL/TLS üzerinden olsun. Biz kendi sunucularımızda panel girişlerinde SSL'i zorunlu yaptık ve şifresiz mail girişini kapattık.

7. Ekip oltalama (phishing) e-postalarını tanıyor. "Faturanız ekte", "Şifreniz sona eriyor", "Kargonuz bekliyor" gibi e-postalar en yaygın giriş kapısıdır. Ekibinize şu basit kuralı öğretin: Beklenmedik bir e-postadaki bağlantıdan şifre girilmez; şüpheli ödeme talepleri telefonla teyit edilir.

Sunucu, Web Sitesi ve Ağ (Madde 8-11)

8. Web sitesi, eklentiler ve sunucu yazılımları güncel. Hazır içerik yönetim sistemlerinde (örneğin WordPress) güncellenmemiş eklentiler, sitelerin en sık ele geçirilme yollarından biridir. Kullanmadığınız eklenti ve temaları silin, kalanları düzenli güncelleyin. İçeriği sık değişmeyen sitelerde veritabanı ve sunucu kodu çalıştırmayan statik bir yapı da saldırı yüzeyini belirgin biçimde küçültür.

9. Gereksiz portlar ve servisler dışarıya kapalı. Sunucunuzda yalnızca gerçekten dışarıdan erişilmesi gereken servisler açık olmalı. Bizim altyapımızda uygulama portları dışarıya kapalı; trafiğe yalnızca web sunucusu üzerinden izin veriliyor.

10. Kaba kuvvet (brute-force) koruması aktif. Şifre deneme saldırılarına karşı, belirli sayıda hatalı girişten sonra IP'yi geçici olarak engelleyen korumalar kullanın. Yönettiğimiz sunucularda bu korumayı sıkılaştırdık; panel ve mail girişleri bu sayede sürekli deneme saldırılarına karşı korunuyor.

11. Sistem kayıtları (loglar) kalıcı ve değişiklikler izleniyor. Bir olay yaşandığında "ne oldu, ne zaman oldu, nereden girdiler?" sorularının cevabı loglardadır. Logların yeniden başlatmada silinmediğinden emin olun; kritik dosya ve dizinlerdeki değişiklikleri izleyen bir mekanizma kurun. Olay anında kanıt yoksa, giriş yolunu bulmak da kapatmak da zorlaşır.

Yedekleme ve Süreklilik (Madde 12-14)

12. Yedekler sunucunun dışında da tutuluyor ve geri dönüş test ediliyor. Yedeğin alınmış olması, ondan geri dönebileceğiniz anlamına gelmez. Kendi deneyimimizde sunucu yedekleri diski dolduruyordu ve disk belirli bir doluluk oranını geçince yedekleme hiçbir uyarı vermeden sessizce duruyordu. Saklama süresini düşürdük ve aylık disk kontrolü ekledik. Kural basit: En az bir kopya sunucunun dışında olsun ve belirli aralıklarla gerçekten geri yükleme denensin.

13. Alan adı, lisans ve sertifika bitiş tarihleri takipte. Güvenlik yalnızca saldırıya karşı korunmak değil, hizmetin ayakta kalmasıdır. Süresi dolan bir alan adı siteyi ve e-postayı aynı anda durdurur; süresi geçen bir kontrol paneli ya da yazılım aboneliği de sunucu sağlam olsa bile hizmetleri kesebilir. Otomatik yenilemeyi açın, alan adlarını tek bir hesapta toplayın ve kritik bitiş tarihlerini takvime ekleyin.

14. Uyarı e-postaları gerçekten okunuyor. Sunucunuzun, hosting firmanızın ve güvenlik araçlarınızın gönderdiği uyarılar spam'e düşüyorsa ya da kimsenin bakmadığı bir adrese gidiyorsa, hiçbir işe yaramaz. Uyarıların aktif kullanılan bir adrese gittiğini ve spam klasörüne düşmediğini test edin. Yönettiğimiz bir sunucuda yaşadığımız saldırıda da en kolay önlenebilecek hata buydu: uyarılar gönderiliyordu ama kimse görmüyordu.

Belgeleme ve Hazırlık (Madde 15)

15. Bir olay müdahale planınız var. "Hacklendik" dendiği anda kimin ne yapacağı belli olmalı: Hangi sistemler kapatılır, şifreler hangi sırayla değiştirilir, hosting firması ve gerekirse müşteriler nasıl bilgilendirilir. Kişisel veri içeren bir ihlal söz konusuysa, KVKK kapsamında bildirim yükümlülükleri de gündeme gelebilir; bu konuda bir hukukçuya danışmanızı öneririz. Kişisel verilerin korunmasına yönelik teknik önlemleri KVKK teknik tedbirler rehberimizde ayrıca anlattık.

Kontrol Listesinin Özet Tablosu

Aşağıdaki tabloyu yazdırıp her madde için "Var / Kısmen / Yok" işaretleyebilirsiniz.

No	Kontrol	Durum
1	Kritik hesaplarda iki adımlı doğrulama
2	Şifre yöneticisi, tekrar kullanılmayan şifreler
3	Ayrılan çalışanın erişimi aynı gün kapanıyor
4	Yönetici yetkisi sınırlı, yönetim erişimi VPN üzerinden
5	SPF, DKIM, DMARC kurulu
6	Şifresiz mail ve panel girişi kapalı
7	Ekip oltalama farkındalığına sahip
8	Site, eklenti ve sunucu yazılımları güncel
9	Gereksiz portlar dışarıya kapalı
10	Brute-force koruması aktif
11	Loglar kalıcı, dosya değişiklikleri izleniyor
12	Sunucu dışı yedek ve test edilmiş geri dönüş
13	Alan adı, lisans, sertifika tarihleri takipte
14	Uyarı e-postaları okunuyor, spam'e düşmüyor
15	Olay müdahale planı hazır

"Yok" işaretlediğiniz maddeler sizin öncelik listenizdir. Çoğu KOBİ için en hızlı kazanımlar 1, 2, 5, 12 ve 14. maddelerdir; düşük maliyetle büyük risk azaltırlar.

Siber Güvenlik Danışmanlığı Ne Zaman Gerekir?

Bu listenin büyük kısmını kendi ekibinizle uygulayabilirsiniz. Ancak şu durumlarda dışarıdan siber güvenlik danışmanlığı almak mantıklıdır:

• Kendi sunucunuzu yönetiyorsanız ve sunucu yönetimi konusunda uzman bir ekip üyeniz yoksa,
• Müşteri verisi, ödeme bilgisi ya da sağlık verisi gibi hassas veriler işliyorsanız,
• Bir olay yaşadıysanız ve giriş yolunun kapandığından emin değilseniz,
• Listede "Yok" işaretlediğiniz madde sayısı fazlaysa ve nereden başlayacağınızı bilmiyorsanız.

İyi bir siber güvenlik danışmanlığı size yalnızca rapor vermez; öncelikleri sıralar, uygulamaya yardım eder ve düzenli kontrol rutinini kurar. Çünkü güvenlik tek seferlik bir proje değil, sürekli bir bakım işidir.

Sık Sorulan Sorular

KOBİ'ler için siber güvenliğe nereden başlamalı? İki adımlı doğrulama, şifre yöneticisi, SPF/DKIM/DMARC kayıtları ve sunucu dışında tutulan, test edilmiş yedekler en hızlı ve düşük maliyetli başlangıç adımlarıdır.

Antivirüs programı tek başına yeterli mi? Hayır. Antivirüs uç cihazları korur; ancak web sitesi, sunucu, e-posta ve hesap güvenliği ayrı katmanlardır. Saldırıların önemli bir kısmı çalınan şifreler ve güncellenmemiş yazılımlar üzerinden gerçekleşir.

Sitemin hacklendiğini nasıl anlarım? Sitede tanımadığınız sayfalar ya da yönlendirmeler, hosting firmasından gelen uyarılar, arama sonuçlarında alakasız içerikler, beklenmedik yavaşlama ve mailinizin spam olarak işaretlenmesi yaygın işaretlerdir. Şüphe varsa zararlı dosyaların yanında zamanlanmış görevler ve kullanıcı hesapları da kontrol edilmelidir.

Bir saldırıdan sonra yalnızca zararlı dosyayı silmek yeterli mi? Çoğu zaman değil. Saldırganlar kendilerini yeniden kuran mekanizmalar bırakabilir. Önce bu mekanizmaları, ardından giriş yolunu ve ele geçirilen hesapları kapatmak, son olarak da tüm şifreleri değiştirmek gerekir.

Sonuç

KOBİ'ler için siber güvenlik, pahalı araçlardan önce temel alışkanlıklarla başlar: güçlü kimlik doğrulama, doğru kurulmuş e-posta kayıtları, güncel yazılımlar, kapalı gereksiz kapılar, kalıcı loglar, test edilmiş yedekler, takip edilen bitiş tarihleri ve gerçekten okunan uyarılar. Bu 15 maddelik liste, kendi yaşadığımız olaylardan çıkardığımız derslerin özetidir; çoğunu bir haftada uygulamaya başlayabilirsiniz.

Altyapınızın bu listeye göre değerlendirilmesini ve eksiklerin birlikte kapatılmasını isterseniz IT çözümleri hizmetimizi inceleyebilirsiniz. Web sitenizi daha güvenli bir altyapıya taşımayı düşünüyorsanız web tasarım sayfamıza göz atın; siber güvenlik danışmanlığı ihtiyacınızı konuşmak için bize ulaşın.