KOBİ'ler Siber Güvenliğe Nereden Başlamalı?

Küçük ve orta ölçekli işletmelerde siber güvenlik genellikle iki uç arasında gidip gelir. Bir tarafta "bizim gibi küçük bir firmadan kim ne alacak" rahatlığı vardır. Diğer tarafta ise yaşanan bir olaydan ya da duyulan bir haberden sonra alınan, çoğu zaman gerçek riske değil satıcının önerisine göre seçilmiş pahalı bir ürün. İki yaklaşım da aynı eksikten kaynaklanır: işletme, neyi neden koruması gerektiğini bilmeden karar verir.

Küçük olmak neden koruma sağlamaz?

Saldırıların önemli bir kısmı belirli bir firmayı hedef alarak değil, zayıf noktası olan herkesi tarayarak yapılır. Güncellenmemiş bir sunucu, tahmin edilebilir bir şifre ya da dikkatsizce açılan bir e-posta eki; saldırgan için işletmenin büyüklüğünden çok daha belirleyicidir. KOBİ'lerin çoğu zaman sınırlı BT kaynağıyla çalışması, onları daha kolay bir hedef haline getirir.

Üstelik bir KOBİ için tek bir olayın etkisi büyük bir kuruluşa göre çok daha ağır olabilir. Muhasebe verisine erişilememesi, müşteri bilgilerinin sızması ya da birkaç günlük faaliyet kesintisi, sınırlı nakit ve itibar tamponu olan bir işletmeyi doğrudan zorlar.

Sahada en sık gördüğüm sorun: sorumluluğun yanlış kişide olması

KOBİ'lerde siber güvenlik, çoğu zaman bu alanda yeterli yetkinliğe sahip olmayan kişilere emanet ediliyor. Bu kişi bazen "bilgisayardan anlayan" bir çalışan, bazen yalnızca arıza giderme hizmeti veren bir dış destek firması, bazen de işletme sahibinin yakın çevresinden biri oluyor.

Buradaki sorun kişilerin kendisi değil; siber güvenliğin bir "BT işi" olarak tanımlanmasıdır. Yazıcıyı kurmak, e-postayı çalıştırmak ya da bilgisayarı onarmak ile risk değerlendirmek, erişim yetkilerini tasarlamak ve bir olay anında doğru kararı vermek farklı yetkinlikler gerektirir. Sorumluluğu üstlenen kişinin bu konuda ne eğitimi, ne zamanı ne de karar alma yetkisi yoksa, işletme kendini korunuyor sanır ama aslında korunmaz.

İlk adım: neyi koruduğunuzu bilin

Siber güvenliğin temeli bir envanterdir. Hangi cihazlar, hangi yazılım ve bulut hizmetleri, hangi veriler ve bunlara kimlerin eriştiği bilinmeden yapılan her yatırım tahmine dayanır. Envanter karmaşık bir sistem gerektirmez; ilk aşamada bir tablo yeterlidir. Önemli olan, kritik verilerin (müşteri bilgileri, muhasebe kayıtları, teklif ve sözleşmeler) nerede durduğunu ve kaybedilmeleri halinde işin ne kadar süre durabileceğini netleştirmektir.

İlk 90 günde önceliklendirilecek temel kontroller

Sınırlı bütçeyle en yüksek etkiyi sağlayan kontroller çoğu zaman pahalı olanlar değil, disiplin gerektiren temel uygulamalardır:

Olay anı planı özellikle kişisel veri işleyen işletmeler için önemlidir. Kişisel Verileri Koruma Kurulu kararına göre veri ihlalleri, veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirilmelidir. Bu süre, ne yapılacağını olay anında düşünmeye başlayan bir işletme için oldukça kısadır.

Ürün ne zaman devreye girmeli?

Güvenlik duvarı, uç nokta koruması ya da e-posta güvenliği çözümleri elbette gereklidir. Ancak bu yatırımlar, riskler görünür hale geldikten ve temel kontroller kurulduktan sonra, hangi boşluğu kapatacakları bilinerek yapılmalıdır. Aksi halde işletme, en büyük riski çoğu zaman yapılandırma, alışkanlık ve sorumluluk eksikliğinden gelen bir tabloya, yalnızca daha fazla teknoloji eklemiş olur.

Bu ölçümün nasıl yapılacağını, kontrol listesinin ötesine geçen boyut, olgunluk ve kanıt katmanlarıyla Siber Güvenlik Olgunluğu Nasıl Ölçülür? yazısında ayrıntılı olarak ele aldım.

Bu sürecin önemli bir parçası da yöneticinin kendi kişisel hesaplarıdır. KOBİ'lerde yönetici çoğu zaman şirketin tek onay mercisi olduğu için, kişisel e-posta ve telefon güvenliği şirket güvenliğinin bir parçasıdır. Bunu Yöneticiler İçin Siber Güvenlik yazısında 10 maddelik bir kontrol listesiyle ele aldım.

Ne zaman dışarıdan destek almalı?

İşletmede siber güvenliği yürütecek yetkin bir kişi yoksa, kritik verilerin nerede durduğu net değilse ya da müşteriler ve iş ortakları güvenlik gereksinimleri iletmeye başladıysa, bağımsız bir değerlendirme yapmanın zamanı gelmiştir. Buradaki amaç işletmeyi bir danışmana bağımlı hale getirmek değil; mevcut durumu nesnel olarak görmek, öncelikleri belirlemek ve içerideki sorumlunun doğru işlere odaklanmasını sağlamaktır.

Sonuç

KOBİ'ler için siber güvenlik, büyük bütçelerden çok doğru sıralama meselesidir: önce ölçmek, sonra sorumluluğu netleştirmek, ardından en yüksek etkili temel kontrolleri kurmak. Ürün yatırımları bu temelin üzerine inşa edildiğinde gerçek bir koruma sağlar.

Nereden başlayacağınızı görmek için Bilgi Güvenliği Hızlı Kontrolü yarım günde öncelikli aksiyon listenizi çıkarır. Bilgi güvenliğini bir yönetim sistemine dönüştürmek isterseniz ISO 27001 danışmanlığı sayfasına göz atabilirsiniz.