İşletmeler İçin Siber Güvenlik Rehberi

Siber güvenlik, yalnızca güvenlik ürünü satın almak değildir. İşletmenin verisini, kimliklerini, cihazlarını ve operasyonunu kabul edilebilir risk düzeyinde tutan sürekli bir yönetim disiplinidir. Etkili bir program; önleme, algılama, müdahale ve iyileştirme adımlarını aynı çerçevede birleştirir.

Kısa cevap: İşletmeler için doğru yaklaşım; varlıkları belirlemek, riskleri önceliklendirmek, çok katmanlı kontroller kurmak, olayları izlemek ve geri dönüş planını düzenli olarak sınamaktır.

Önce neyi koruduğunuzu bilin

Envanteri bilinmeyen bir ortam korunamaz. Sunucular, dizüstü bilgisayarlar, ağ cihazları, bulut hizmetleri, kullanıcı hesapları, uygulamalar ve hassas veri kümeleri tek listede tutulmalıdır. Her varlık için iş sahibi, teknik sorumlu, önem derecesi ve kabul edilebilir kesinti süresi belirtilmelidir.

Envanter yalnızca donanım listesi değildir. Ayrılan çalışanın unutulmuş hesabı, test amacıyla açılmış bulut depolama alanı veya internete açık eski bir yönetim paneli de risk yüzeyinin parçasıdır. Otomatik keşif araçları yararlı olsa da sonuçlar iş birimleriyle doğrulanmalıdır.

Riskleri iş etkisine göre sıralayın

Her açığı aynı aciliyetle ele almak mümkün değildir. Olasılık ve etki birlikte değerlendirilmelidir. İnternete açık kritik bir sistemde aktif olarak kullanılan açık, kapalı laboratuvar ağındaki düşük etkili bulgudan önce giderilmelidir.

Kimlik güvenliğini merkeze alın

Modern saldırıların önemli bölümü parola ve oturum bilgilerini hedefler. Çok faktörlü kimlik doğrulama yönetici hesaplarından başlayarak tüm kullanıcılara uygulanmalıdır. SMS, hiç MFA olmamasından iyidir; kimlik doğrulama uygulaması, geçiş anahtarı veya donanım anahtarı daha dayanıklı seçeneklerdir.

Yöneticiler günlük işler için ayrı standart hesap kullanmalıdır. Ayrıcalıklı roller kalıcı verilmek yerine ihtiyaç anında ve süreli atanmalıdır. Başarısız girişler, olağan dışı ülke erişimleri, bilinmeyen cihazlar ve imkânsız seyahat olayları merkezi olarak izlenmelidir.

En az ayrıcalık ilkesi

Kullanıcı ve servis hesapları yalnızca işlerini yapmak için gereken haklara sahip olmalıdır. Ortak kullanılan hesaplar kaldırılmalı, servis hesapları belgelenmeli ve parolaları kasada saklanmalıdır. İşten ayrılma süreci insan kaynakları ile BT arasında otomatik veya kontrol listeli ilerlemelidir.

Ağ ve uç nokta katmanları

Fortinet firewall nedir? yazısında anlatıldığı gibi güvenlik duvarı, ağ sınırında uygulama ve tehdit görünürlüğü sağlar. Ancak tek bir çevre duvarı yeterli değildir. Kullanıcı, sunucu, misafir, kamera ve yönetim ağları VLAN’larla ayrılmalı; segmentler arasındaki trafik açık kurallarla sınırlandırılmalıdır.

Uç noktalarda merkezi yönetilen EDR veya gelişmiş koruma çözümü bulunmalıdır. Politika kapatılamamalı, kritik alarm güvenlik sorumlusuna ulaşmalı ve cihaz izolasyonu uygulanabilmelidir. Disk şifreleme, ekran kilidi ve yerel yönetici kontrolü temel standardın parçasıdır.

Güvenli yapılandırma

Varsayılan parolalar değiştirilmeden hiçbir cihaz üretime alınmamalıdır. Kullanılmayan servisler kapatılmalı, yönetim arayüzleri kullanıcı ağından ayrılmalı ve yalnızca belirlenmiş kaynaklardan erişilebilir olmalıdır. Yapılandırma yedekleri şifreli, sürümlü ve geri yüklenebilir biçimde saklanmalıdır.

Yama ve zafiyet yönetimi

İşletim sistemi güncellemeleri kadar tarayıcılar, PDF araçları, VPN istemcileri, hypervisor’lar ve ağ cihazı firmware’leri de takip edilmelidir. Kritik yamalar için hedef süre, örneğin internete açık sistemlerde 72 saat gibi, yazılı hale getirilmelidir.

Zafiyet taraması tek seferlik rapor değildir. Bulguların sahibi, son tarihi ve kapatma kanıtı olmalıdır. Üretim sistemlerinde değişiklik öncesi test ve geri dönüş planı hazırlanması, güvenlik ile süreklilik arasında denge kurar.

Yedekleme son savunma hattıdır

Fidye yazılımına karşı yedek, saldırganın erişemeyeceği farklı bir güvenlik alanında tutulmalıdır. 3-2-1 yaklaşımı iyi başlangıçtır: üç veri kopyası, iki farklı ortam ve bir tesis dışı veya çevrimdışı kopya. Değiştirilemez depolama, ayrı yönetici hesabı ve MFA ek koruma sağlar.

Başarılı görünen yedek işi geri yükleme garantisi değildir. Dosya, sanal makine ve kritik uygulama düzeyinde periyodik geri dönüş testleri yapılmalıdır. Veeam Backup nedir? rehberi, kurtarma hedeflerini teknik açıdan ayrıntılandırır.

E-posta ve kullanıcı farkındalığı

Kimlik avı simülasyonları çalışanı cezalandırmak için değil, riskli davranışı ölçmek için yapılmalıdır. Eğitim kısa, düzenli ve gerçek senaryolara yakın olmalıdır. Şüpheli mesajın tek tıkla bildirilmesi ve bildirim yapan çalışana geri dönüş verilmesi güvenlik kültürünü güçlendirir.

E-posta alan adında SPF, DKIM ve DMARC birlikte yapılandırılmalıdır. Ek ve bağlantı taraması, dış gönderici etiketi ve otomatik yönlendirme sınırlamaları uygulanmalıdır. Finansal işlem veya hesap değişikliği talepleri e-posta dışı ikinci kanaldan doğrulanmalıdır.

Loglama ve olay müdahalesi

Firewall, kimlik sistemi, sunucu, EDR ve kritik uygulama kayıtları ortak zaman standardıyla merkezi ortamda tutulmalıdır. Her logu toplamak yerine karar vermeyi sağlayan kaynaklar önceliklendirilmelidir. Alarmın kime, hangi sürede ve hangi kanaldan ulaşacağı tanımlanmalıdır.

Olay müdahale planı en az şu aşamaları kapsamalıdır:

1. Olayı doğrulama ve önem seviyesini belirleme.
2. Etkilenen hesap veya cihazı izole etme.
3. Kanıtları bozmadan kayıt altına alma.
4. Tehdidi temizleme ve güvenli geri dönüş.
5. İlgili taraflara, gerekiyorsa hukuki mercilere bildirim.
6. Kök neden analizi ve kontrol iyileştirmesi.

Masa başı tatbikatında fidye yazılımı, e-posta hesabı ele geçirilmesi veya veri sızıntısı senaryosu yürütülebilir. Telefon listelerinin, yetki sınırlarının ve karar zincirinin gerçek olaydan önce sınanması müdahale süresini kısaltır.

Tedarikçi ve bulut riskleri

Hizmet sağlayıcı sözleşmesinde veri konumu, erişim yetkileri, alt yükleniciler, olay bildirimi, yedekleme ve hizmetten çıkış koşulları açık olmalıdır. Tedarikçiye verilen erişim süreli, kayıtlı ve ihtiyaçla sınırlı tutulmalıdır.

Bulut sağlayıcının altyapıyı koruması, müşterinin hesap ve verisini otomatik olarak güvenceye aldığı anlamına gelmez. Paylaşılan sorumluluk modeli okunmalı; kimlik, paylaşım, saklama ve yedekleme kontrolleri işletme tarafından yapılandırılmalıdır.

Ölçülebilir 90 günlük yol haritası

İlk 30 günde varlık ve yönetici hesabı envanteri çıkarılabilir, MFA kapsaması artırılabilir ve kritik yedeklerin geri dönüşü test edilebilir. 31-60 gün arasında yama hedefleri, ağ segmentasyonu ve merkezi EDR politikaları düzenlenebilir. Son 30 günde olay müdahale tatbikatı, tedarikçi erişim kontrolü ve yönetim raporu tamamlanabilir.

Takip edilecek göstergeler; MFA kapsamı, kritik yama kapatma süresi, yönetilen uç nokta oranı, yedek geri dönüş başarısı, olay algılama süresi ve farkındalık testi sonuçlarıdır. Gösterge yalnızca sayı üretmemeli, sorumlu kişinin eylem almasını sağlamalıdır.

Sık sorulan sorular

Siber güvenlik için tek ürün paketi yeterli olur mu?

Hayır. Ürünler kontrol sağlar; süreç, insan ve sorumluluklar olmadan kalıcı güvenlik oluşturmaz. İhtiyaçlar risk analiziyle belirlenmelidir.

Penetrasyon testi ne sıklıkla yapılmalı?

Risk düzeyi, mevzuat ve değişiklik sıklığına bağlıdır. En az yıllık değerlendirme ve büyük mimari değişikliklerden sonra ek test yaygın bir yaklaşımdır.

Güvenlik dış kaynakla yönetilebilir mi?

İzleme ve uzmanlık dışarıdan alınabilir; risk kabulü, veri sahipliği ve iş kararları işletmede kalmalıdır. Hizmet seviyesi ve sorumluluk matrisi sözleşmede netleştirilmelidir.

Sonuç: Güvenliği sürekli işletilen bir süreç yapın

İyi siber güvenlik görünmez bir ürün yığını değil, ölçülen ve düzenli geliştirilen bir işletme yeteneğidir. DincerTech, mevcut ortamın teknik envanterini ve kritik risklerini değerlendirerek uygulanabilir bir iyileştirme planı oluşturur. İletişim sayfasından keşif görüşmesi planlayabilir veya ilgili siber güvenlik çözümlerini inceleyebilirsiniz.