Küçük İşletmeler için Bilgi Güvenliği Rehberi: Parola, Oltalama ve İki Faktörlü Doğrulama (2FA)

Bilgi güvenliği, işletme verilerini yetkisiz erişim, kayıp ve değişikliğe karşı korumak için alınan önlemleri ifade eder. Saldırganlar özellikle küçük işletmeleri “kolay hedef” olarak gördüğü için KOBİ'lerin çeşitli önlemler alması çok önemlidir.

KOBİ’ler için bilgi güvenliğinde en etkili üç adım: güçlü parola, oltalamayı tanımak ve iki faktörlü doğrulama (2FA) kullanmaktır.

Genel Bakış

• Bilgi güvenliği, işletmenizin müşteri, finans ve çalışan verilerini yetkisiz erişim, kayıp ve değişikliğe karşı korumayı amaçlar.
• Oltalama saldırılarına karşı şüpheli e-posta, SMS ve bağlantıları kontrol edin; çalışanlarınızı bilinçlendirin.
• e-Posta, bankacılık, bulut ve işletme yazılımlarınızda iki faktörlü doğrulamayı (2FA) etkinleştirin.
• Verilerinizi düzenli yedekleyin, yazılımlarınızı güncel tutun ve kullandığınız dijital hizmetlerin güvenlik özelliklerini kontrol edin.
• Web siteniz ile e-ticaret yapıyorsanız özellikle altyapı ve ödeme güvenliği için gerekli önlemleri aldığınızdan emin olun.

Bilgi Güvenliği Nedir?

Bilgi güvenliği,verilerive bilgileri;yetkisiz kişilerin erişimi, yok edilmesi, değiştirilmesi, ifşa edilmesi ve kötüye kullanılması gibi risklere karşı korumak için alınan çeşitli önlemler bütünüdür.

Hem dijital hem de fiziksel bilgi ve veriler, bilgi güvenliği kapsamına dahildir.

Özellikle işletmelerin sahip olduğu, işletmeye ve paydaşlara ait hassas bilgiler düşünüldüğünde bilgi güvenliği büyük önem taşır.Bilgi güvenliği için alınacak önlemler;müşteri bilgilerinden finansal kayıtlara kadar tüm verilerin gizliliğini, doğruluğunu ve erişilebilir olmasını amaçlar.

Bilgi güvenliğinin üç temel ilkesi vardır:

1. Gizlilik: Bilgilere yalnızca yetkili kişilerin erişebilmesi.

2. Bütünlük: Bilgilerin doğruluğunun korunması ve yetkisiz şekilde değiştirilmemesi

3. Erişilebilirlik: Bilgilere ve sistemlere ihtiyaç duyulduğunda erişilebilmesi.

Siber Güvenlik Nedir? Bilgi Güvenliğinden Farkı Ne?

Siber güvenlik; bilgisayarları, mobil cihazları, ağları, yazılımları ve dijital verileri siber saldırılara, zararlı yazılımlara ve yetkisiz erişimlere karşı korumaya yönelik önlemleri ifade eder.

Bilgi güvenliği ve siber güvenlik birbiriyle ilişkili olsa da bazı farklar söz konusudur:

KOBİ'lerin Karşılaşabileceği Yaygın Siber Güvenlik Tehditleri Nelerdir?

KOBİ'lerin dikkat etmesi gereken başlıca siber güvenlik tehditlerini şu şekilde sıralayabiliriz:

• Fidye yazılımları: İşletme dosyalarınızı şifreleyerek erişiminizi engeller ve fidye talep eder.
• Oltalama saldırıları: Sahte e-posta, SMS ve internet siteleriyle hassas bilgilerinizi ele geçirmeyi amaçlar.
• Hesap ele geçirme: Çalınan veya tahmin edilen parolalarla işletme hesaplarına izinsiz erişim sağlanır.
• Veri sızıntısı: Müşteri, çalışan veya finansal bilgiler yetkisiz kişilerin eline geçer.
• Kötü amaçlı yazılımlar: Cihazlara zarar veren, veri çalan veya sistemlerin çalışmasını engelleyen yazılımlardır.

Bu tehditlere karşı güçlü parola kullanmak, parolaya ek bir doğrulama adımı gerektiren iki faktörlü doğrulama yani 2FA'i etkinleştirmek ve yazılımları güncel tutmak, alabileceğiniz temel güvenlik önlemlerindendir.

KOBİ’ler Neden Siber Saldırıların Hedefi Oluyor?

Gerekli önlemler alınmadığında hem bireyler hem de işletmeler siber saldırılara açık hale gelir. Ancak siber saldırganların özellikle KOBİ’leri hedef almasında birkaç ortak neden var.

Bunların başında; kaynak yetersizliği, “Bize bir şey olmaz.” algısı, tek kişinin birden fazla rol üstlenmesi gibi nedenler yer alır.

Ayrıca KOBİ'lere yapılacak bir saldırı ile tedarik zinciri üzerinden daha büyük şirketlere ulaşılan kapı açılır. O nedenle de önce KOBİ'ler hedeflenebilir.

Oltalama (Phishing) Nedir ve Yöntemleri Nelerdir?

Oltalama, siber saldırganların sahte e-posta, arama veya web siteleri aracılığıyla kişileri kandırarak hassas verileri ele geçirmeye çalıştığı bir siber saldırı yöntemidir.

Oltalama Türleri Nelerdir?

Saldırganlar, oltalama için farklı yöntemler kullanabilir. İşte sık karşılaşılan oltalama yöntemleri:

1. e-Posta oltalaması: Güvenilir bir kurumdan geliyormuş gibi görünen sahte e-postalar gönderilir. Genellikle aciliyet duygusu uyandıran metinler kullanılır.
2. Hedefli oltalama (Spear phishing): Belirli bir kişi veya işletmeye özel hazırlanmış mesajlarla bilgi ele geçirilmeye çalışılır.
3. SMS oltalaması (Smishing): Sahte SMS'lerle zararlı bağlantılara tıklanması veya kişisel bilgilerin paylaşılması hedeflenir.
4. Telefonla oltalama (Vishing): Banka, kurum veya yönetici gibi davranan kişiler telefonla bilgi almaya çalışır.
5. Sahte web siteleri ve giriş sayfaları: Gerçek sitelere benzeyen ve bunları taklit eden sayfalarla kullanıcıların giriş bilgileri çalınır.
6. Sahte fatura ve kargo bildirimleri: Ödeme, fatura veya teslimat bahanesiyle sahte bağlantılara yönlendirme yapılır.

Oltalama e-Postasını Anlamanın 7 işareti

İşletmelere yönelik saldırılarda genellikle e-posta yöntemi kullanılır. Şüpheli bir e-postayı anlamak için ise şu işaretlere dikkat edin:

1. Gönderenin e-posta adresi tanıdık görünse de farklı veya hatalı olabilir. Örneğin “korkmazticaret” yerine “korkrnazticaret” gibi.
2. Mesajda acil işlem yapmanız için baskı kurulur.
3. Şifre, banka bilgisi veya kişisel veri istenir.
4. Şüpheli bağlantılar veya beklenmedik dosya ekleri bulunur.
5. Yazım ve dil bilgisi hataları dikkat çeker.
6. Gerçek dışı ödül, indirim veya ödeme vaatleri sunulur.
7. Mesajın içeriği beklediğiniz bir işlemle uyuşmaz.

Şüpheli Bir Mesaj Aldığınızda Ne Yapmalısınız?

Şüpheli bir mesaj aldığınızda aşağıdaki 5 adımı izlemeniz faydalı olacaktır:

1. Mesajdaki bağlantılara tıklamayın, dosyaları indirmeyin.

2. Gönderenin kimliğini farklı ve güvenilir bir kanaldan doğrulayın.

3. Parola veya ödeme bilgilerinizi paylaşmayın.

4. Mesajı, herhangi bir işlem yapmadan işletmenizin ilgili güvenlik sorumlusuna bildirin.

5. Mesajı silin veya oltalama olarak işaretleyin.

Bağlantıya tıkladıysanız şifrenizi güvenilir bir cihazdan hemen değiştirin, 2FA'i etkinleştirin ve ilgili hesapların hareketlerini kontrol edin. Ödeme bilgilerinizi paylaştıysanız bankanızla iletişime geçin.

Çalışanlara Farkındalık Eğitimi Nasıl Verilir?

Ekibinizden bir kişinin yapacağı bir hata, saldırganların işletmenizin bütün bilgilerine erişmelerine sebep olabilir. O nedenle oltalama saldırılarına karşı çalışanların bilinçli olması önemlidir. Bunun için:

• Özellikle şüpheli e-posta, SMS ve bağlantı örnekleri üzerinden eğitim verin.
• Sahte mesajların nasıl ayırt edileceğini belirli aralıklarla anlatın ve hatırlatın.
• Çalışanların şüpheli mesajları kime ve nasıl bildireceğini belirleyin.
• Güncel saldırı yöntemleri hakkında ekibi bilgilendirin.

Güçlü Parola Nasıl Oluşturulur?

İşletmenizin e-posta, banka, e-ticaret ve diğer dijital hesaplarını korumak için güçlü ve tahmin edilmesi zor parolalar kullanmalısınız. Zor parola oluşturmak için ise şu birkaç adıma dikkat etmeniz önemli:

• Uzun olmalı: En az 12–16 karakter tercih edilmelidir.
• Tahmin edilmesi zor olmalı: Büyük-küçük harf, rakam ve özel karakterler içermesi, tahmin edilmesini zorlaştırır. 12345 ya da ABCDE gibi sıralı harf ve rakam kombinasyonları tercih edilmemelidir.
• Benzersiz olmalı: Her hesap için farklı parola kullanılmalıdır.
• Kişisel bilgiler içermemeli: Özellikle doğum tarihi, telefon numarası, isim, şirket adı gibi bilgiler yer almamalı.

Parola Yöneticisi Nedir, Neden Kullanılmalı?

Parola yöneticisi; farklı hesaplara ait parolaları güvenli ve şifrelenmiş bir kasada saklayan, gerektiğinde otomatik dolduran ve sizin için güçlü parolalar oluşturabilen araçlardır.

Güvenilir bir parola yöneticisi kullanmak, parola tekrarını önlemeyi ve parolaları güvenle saklamayı kolaylaştırır.

İki Faktörlü Doğrulama Nedir ve Nasıl Çalışır?

İki faktörlü kimlik doğrulama, bir hesaba giriş yaparken kimliğinizi ikinci bir doğrulama adımı ile kanıtlamanızı gerektiren bir güvenlik yöntemidir. İngilizce “Two-Factor Authentication” teriminin kısaltması olarak 2FA şekilde karşımıza çıkar.

Bu yöntem, genellikle bildiğiniz bir bilgi (parola) ile sahip olduğunuz bir cihaz veya anahtar (telefon, güvenlik anahtarı) üzerinden çalışır. İki faktörlü doğrulama ile yetkisiz erişim riski azalır.

2FA ile giriş süreci şu şekilde çalışır:

1. Parolanızı girin. Hesabınıza kullanıcı adı ve parolanızla giriş yapın.

2. İkinci doğrulamayı tamamlayın. Telefonunuza gelen kodu girin veya doğrulama uygulamasından onay verin.

3. Hesabınıza erişin. İki doğrulama da başarılıysa giriş tamamlanır.

2FA Yöntemleri Nelerdir?

İki faktörlü doğrulama için farklı yöntemler kullanılabilir. Bu yöntemlerin güvenlik düzeyleri ve kullanım kolaylıkları değişir.

İşletmenizde 2FA’yi Nasıl Devreye Alırsınız?

2FA kullanımını işletmenizde yaygınlaştırmak için şu adımları izleyebilirsiniz:

1. Öncelikli hesapları belirleyin: Önce şirket e-postaları, bankacılık, bulut depolama, CRM, e-ticaret ve yönetici hesaplarında 2FA'i etkinleştirin.

2. Ekibinizi bilgilendirin: Çalışanlara 2FA'in neden gerekli olduğunu anlatın ve kurulum adımlarını gösteren kısa bir rehber hazırlayın.

3. Yöntemleri belirleyin: İşletmenizin ihtiyaçlarına uygun doğrulama yöntemlerini seçin.

4. Yedek erişimi planlayın: Kurtarma kodlarını güvenli bir yerde saklayın ve cihaz kaybı durumunda izlenecek adımları belirleyin.

5. Düzenli kontrol yapın: 2FA'in etkin olduğu hesapları ve yetkili kullanıcıları belirli aralıklarla gözden geçirin.

Web Sitenizde Alabileceğiniz Önlemler Nelerdir?

Eğer e-ticaret yapan bir KOBİ'yseniz web sitenizdeki güvenlik önlemlerine de dikkat etmeniz gerekir. e-Ticaret işletmelerinin altyapılarında alabileceği güvenlik tedbirlerinden bazıları şunlardır:

• HTTPS (SSL/TLS) kullanın: Web sitesi ile ziyaretçiler arasındaki veri iletişimini şifreleyerek bilgilerin korunmasını sağlayın.
• ISO/IEC 27001 sertifikasını kontrol edin: Hizmet aldığınız sağlayıcının bilgi güvenliği yönetimi konusunda bu sertifikaya sahip olup olmadığını ve sertifika kapsamını inceleyin.
• 3D Secure ve PCI-DSS kullanın: Kartlı ödemelerde ek doğrulama ve veri güvenliği standartları ile ödeme güvenliğini artırın.
• Yazılımları güncel tutun: Web sitesi altyapısı, eklentiler ve sunucu yazılımlarındaki güvenlik açıklarını azaltın.
• Yönetici hesaplarını koruyun: Güçlü parola, 2FA ve sınırlı erişim yetkileri kullanın.
• Düzenli yedekleme yapın: Web sitesi dosyalarını ve veritabanını olası saldırı veya veri kayıplarına karşı yedekleyin.

İlginizi çekebilir: e-Ticarette Güven Damgası Nedir? Nasıl Alınır?

İşletmeniz için Alabileceğiniz Ek Güvenlik Önlemleri

Bilgi güvenliğini sağlamak için güçlü parolalar ve 2FA'in yanında günlük iş süreçlerinde de bazı önlemler almalısınız:

1. Düzenli yedekleme yapın: Önemli verilerinizi düzenli olarak yedekleyin.

2. Yazılımlarınızı güncel tutun: İşletim sistemi, uygulama ve güvenlik yazılımlarını güncelleyerek bilinen güvenlik açıklarını kapatın.

3. Kullanıcı yetkilerini sınırlandırın: Çalışanlara yalnızca görevlerini yerine getirmek için ihtiyaç duydukları verilere ve sistemlere erişim izni verin.

4. Kullandığınız yazılımların güvenliğini kontrol edin: Bulut tabanlı ticari işletme programları, muhasebe ve finans uygulamaları, e-ticaret panelleri gibi hassas veri içeren sistemlerde 2FA desteği bulunmasına dikkat edin. Mümkünse bu özelliği etkinleştirin.

5. Wi-Fi ve uzaktan bağlantıları koruyun: Güçlü Wi-Fi parolaları kullanın, modem yazılımını güncel tutun ve ortak ağlardan hassas işlemler yapmaktan kaçının.

Türkiye’de Veri Güvenliği için Yasal Çerçeve

Türkiye'de işletmeler, müşteri ve çalışan bilgileri gibi kişisel verileri korumakla yükümlüdür. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumluları;

• kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek,
• verileri güvenli şekilde saklamak için gerekli teknik ve idari tedbirleri almalıdır.

Veri İhlali Durumunda Ne Yapılmalı?

Kişisel verilerin yetkisiz kişilerin eline geçtiği bir ihlal yaşanırsa:

1. İhlalin kaynağını belirleyin ve yayılmasını önlemek için gerekli önlemleri alın.

2. Hangi kişisel verilerin ve kaç kişinin etkilendiğini tespit edin.

3. İhlali öğrendiğiniz tarihten itibaren gecikmeksizin ve en geç 72 saat içinde KVKK Kuruluna bildirin.

4. İhlalden etkilenen kişileri en kısa sürede bilgilendirin.

Sıkça Sorulan Sorular