Siber Güvenlik

Yöneticiler İçin Siber Güvenlik: Şirketinize Kişisel Hesaplarınızdan Giriyorlar

Siber Güvenlik · Bülent Keskin

Şirketinize Kişisel Hesaplarınızdan Giriyorlar

Kısa cevap

Yöneticiler için siber güvenlik, şirket sistemlerinden önce yöneticinin kişisel e-posta, telefon ve sosyal medya hesaplarıyla başlar. Saldırganlar güçlü bir altyapıyı kırmak yerine bu hesapları ele geçirir; şifre sıfırlama yoluyla şirket hesaplarına ulaşır ya da yönetici kimliğiyle ödeme talebi gönderir. En etkili ilk adımlar iki tanedir: e-postada iki adımlı doğrulamayı açmak ve para taleplerini ikinci bir kanaldan (telefonla) teyit etmek.

Bir işletme sahibinin kişisel e-posta hesabı ele geçiriliyor. Saldırgan günlerce yazışmaları okuyor, kimin ne zaman ödeme yaptığını, hangi tedarikçiyle çalışıldığını öğreniyor. Sonra muhasebeciye yöneticinin üslubuyla yazıyor: "Bu ödemeyi bugün yapalım, IBAN değişti." Şirketin hiçbir sistemi hacklenmedi, ama para gitti.

Bu genel bir örnek, ama gerçek dünyada sık görülen bir kalıp. Yöneticiler için siber güvenlik çoğu zaman şirket sistemlerinden değil, yöneticinin kişisel hesaplarından başlar. Bu yazıda özellikle KOBİ yöneticileri için kişisel siber güvenliğin neden kritik olduğunu ve 10 maddelik bir kontrol listesiyle nereden başlanacağını anlatıyorum.

Saldırganlar neden yöneticiyi seçiyor?

Güçlü bir şirket altyapısını kırmak zor ve pahalıdır. Yöneticinin kişisel hesabına girmek ise çok daha kolaydır. Üstelik yönetici saldırgan için değerli bir hedeftir; çünkü şunlara sahiptir:

Ödeme onayı yetkisi: Tek bir inandırıcı mesaj para hareketi başlatabilir.
Müşteri ve tedarikçi bilgisi: Yazışmalar, saldırgana sahte talebi nasıl kurgulayacağını öğretir.
Hesapların anahtarı olan telefon ve e-posta: Şifre sıfırlama bağlantıları çoğunlukla buraya gider.

KOBİ yöneticileri için siber güvenlik neden farklı?

Büyük şirketlerde ödeme onayı birkaç kişiden geçer, bir güvenlik ekibi vardır, kurallar yazılıdır. KOBİ'lerde ise tablo çoğu zaman şöyledir:

Yönetici aynı zamanda işletme sahibidir ve tek onay mercisidir.
Kişisel ve şirket hesapları iç içe geçmiştir: aynı telefon, aynı e-posta, çoğu zaman aynı parola.
Ayrı bir BT ya da güvenlik ekibi yoktur.

Bu yüzden KOBİ'lerde yöneticinin kişisel güvenliği, şirketin güvenliğiyle neredeyse aynı şeydir. İyi haber şu: büyük bir bütçe gerekmez. Birkaç alışkanlık riskin büyük kısmını kapatır. Daha geniş çerçeve için KOBİ'ler Siber Güvenliğe Nereden Başlamalı? yazısına bakabilirsiniz.

Kişisel hesaplar neden şirket riski?

Kişisel e-posta, şifre sıfırlama adresidir. Banka, bulut depolama, sosyal medya ve çoğu iş hesabı "şifremi unuttum" bağlantısını kişisel e-postanıza gönderir. E-postaya giren, bunların hepsine girebilir.

Aynı parola birçok yerde kullanılır. Önemsiz görünen bir sitedeki veri sızıntısı, aynı parolayı kullandığınız diğer hesapları da açar.

Yönetici kimliğine bürünmek teknik beceri gerektirmez. "Acil, hemen ödeme yap" diyen inandırıcı bir mesaj yeterlidir. Bu yönteme iş e-postası dolandırıcılığı da denir.

Cihaz kaybı iki dünyayı birden açar. Kaybolan bir telefonda kişisel fotoğraflar kadar iş yazışmaları, şirket uygulamaları ve oturum açmış hesaplar da bulunur.

Yöneticiler için 10 maddelik siber güvenlik kontrol listesi

Bunu interaktif test edin: 2 dakikada puanlayın →

Her maddeyi dürüstçe işaretleyin. "Sanırım" cevabı hayır sayılır.

Hesaplar

1. Her hesapta farklı bir parola kullanıyorum (bir parola yöneticisiyle).
2. E-posta hesabımda iki adımlı doğrulama açık. Mümkünse SMS yerine doğrulama uygulaması ya da güvenlik anahtarı kullanıyorum.
3. Kurtarma e-posta adresim ve telefon numaram güncel.
4. Şirket e-postamla kişisel kayıtlar (alışveriş, sosyal medya, üyelikler) açmıyorum.

Davranış

5. Para ya da IBAN değişikliği taleplerini, kimden gelirse gelsin, ikinci bir kanaldan (telefonla arayarak) doğruluyorum.
6. "Acil", "hemen tıklayın" diyen mesajlarda bağlantıyı açmadan önce gönderen adresine bakıyorum.
7. Bilinmeyen kaynaklardan uygulama, eklenti ya da program yüklemiyorum.
8. Sosyal medyada seyahat planı, şirket içi yapı ya da iş detayı paylaşırken dikkatliyim.

Cihazlar ve yedek

9. Telefonum ve bilgisayarım güncel. Ekran kilidi ve uzaktan silme özelliği açık.
10. Önemli verilerimin yedeği var ve telefonumu kaybedersem ne yapacağımı biliyorum.

Puanınız ne diyor?

Karşıladığınız madde sayısını sayın:

Karşılanan madde	Durum	Ne yapmalı?
0-4	Riskli	Bugün 1. ve 2. maddeyle başlayın. Bu ikisi tek başına riskin büyük kısmını azaltır.
5-7	Orta	Temeliniz var ama açıklar duruyor. Eksik maddeleri bu hafta kapatın.
8-10	İyi	Güçlü durumdasınız. Bu alışkanlıkları ekibinizle de paylaşın.

Önce hangi iki adımı atmalısınız?

Hepsini aynı gün yapmaya çalışmayın. En çok etkisi olan ikisi şunlardır:

E-postanıza iki adımlı doğrulama ekleyin. Çoğu servisin güvenlik ayarlarında birkaç dakika sürer.
Para taleplerini ikinci bir kanaldan doğrulama kuralı koyun. Ekibinize de açıkça söyleyin: "Benden gelse bile IBAN değişikliğini telefonla teyit et."

Yönetici açısından kritik soru: Ödeme ya da IBAN değişikliği talebi size ya da muhasebenize geldiğinde, bunu teyit etmenin yazılı bir yolu var mı, yoksa her seferinde kişinin dikkatine mi bırakılıyor?

Sık sorulan sorular

Kişisel hesaplarım şirketimin sorunu olur mu?
Evet. Kişisel e-postanız şirket hesaplarının kurtarma adresi olabilir ve yönetici kimliğiyle yapılan dolandırıcılık çoğu zaman kişisel hesaplardan başlar.

Küçük bir işletmeyim, bana kim saldırır?
Saldırıların önemli bir kısmı belirli bir kişiyi değil, kolay açılan hesapları hedefler. Güvenlik önlemleri sınırlı olan küçük işletmeler bu yüzden cazip hedeftir.

Parola yöneticisi güvenli mi?
Aynı parolayı her yerde kullanmaktan çok daha güvenlidir. Güçlü bir ana parola ve iki adımlı doğrulama ile birlikte kullanın.

Sonuç

KOBİ yöneticileri için siber güvenlik pahalı bir yazılım ya da karmaşık bir proje olmak zorunda değil. Birkaç alışkanlığın düzenli uygulanması yeterli. Bu listeyi bir hafta içinde gözden geçirip eksik maddeleri kapatın.

Bu konuyu şirketinizde nasıl ele alabileceğinizi konuşmak isterseniz bana yazabilirsiniz. Kurumsal tarafta KOBİ'lere yönelik siber güvenlik çalışmalarını Rebluent çatısı altında yürütüyorum.

Yazar hakkında Bülent Keskin | Ph.D. Candidate; Siber Güvenlik ve Strateji Bilimi yüksek lisansına sahip, ISO/IEC 27001 Baş Denetçi eğitimi almış bir mühendis ve stratejisttir. Telekomünikasyon, kritik altyapı ve kampüs operasyonlarındaki 25 yılı aşkın deneyimiyle siber güvenliği teknik bir konu olmanın ötesinde, yönetim sorumluluğu olarak ele almaktadır.