İşletmeler İçin Siber Güvenlik: 2FA, Güçlü Parola ve Oltalamadan Korunma

İşletmenizin hesaplarını ve verilerini korumak, günlük iş akışına ekleyebileceğiniz birkaç kontrolle başlar. Güçlü parolalar, iki faktörlü kimlik doğrulama ve şüpheli mesajları tanıma alışkanlığı, daha güvenli çalışmanıza yardımcı olur.

 

İşletmeler için siber güvenlik rehberi

Gün içinde müşterilerden gelen e-postaları yanıtlıyor, faturaları kontrol ediyor ve ödemeleri takip ediyorsunuz. İşler yoğunken gelen bir mesajın adresine bakmadan ekini açmak veya bir ödeme talebini alışkanlıkla onaylamak kolaylaşabiliyor. Özellikle mesaj, çalıştığınız bir tedarikçiden gelmiş gibi görünüyorsa.

İşletmenizin dijital güvenliği, bu günlük işlemlerle yakından ilgili. E-posta hesabınızdan müşteri bilgilerinize, faturalarınızdan banka hesaplarınıza kadar pek çok alan, kullandığınız parolalar ve ekibinizin çalışma alışkanlıklarıyla korunuyor.

Uzun ve her hesaba özel parolalar kullanmak, iki faktörlü kimlik doğrulamayı açmak ve şüpheli talepleri farklı bir kanaldan doğrulamak iyi bir başlangıç. Bu rehberde siber güvenlik ve bilgi güvenliğinin temel kavramlarını, işletmenizde uygulayabileceğiniz adımlarla birlikte ele alıyoruz.
 

 

Siber güvenlik ve bilgi güvenliği nedir?

Siber güvenlik; dijital sistemleri, cihazları, ağları ve verileri yetkisiz erişimlere ve saldırılara karşı korumayı amaçlar. İş bilgisayarının zararlı yazılımlardan korunması veya e-posta hesabına izinsiz girişlerin önlenmesi bu kapsamda değerlendirilir.

Bilgi güvenliği ise bilginin bulunduğu ortamdan bağımsız olarak korunmasına odaklanır. Bulutta saklanan bir müşteri listesi kadar masada bırakılan bir sözleşme veya yanlış kişiye gönderilen bir finansal rapor da bilgi güvenliğinin konusudur.

Bilgi güvenliğinin üç temel unsuru bulunur:

• Gizlilik: Bilgiye yalnızca yetkili kişilerin erişmesi.
• Bütünlük: Bilginin izinsiz veya yanlışlıkla değiştirilmemesi.
• Erişilebilirlik: Yetkili kişilerin ihtiyaç duyduklarında bilgiye ulaşabilmesi.

Örneğin bir faturanın yalnızca ilgili çalışanlar tarafından görüntülenmesi gizlilikle, ödeme bilgilerinin izinsiz değiştirilmemesi bütünlükle, ihtiyaç anında faturaya ulaşılabilmesi ise erişilebilirlikle ilgilidir.

 

Güçlü parola nasıl oluşturulur?

Güçlü parola, uzun, tahmin edilmesi zor ve yalnızca tek bir hesapta kullanılan paroladır. Şirket adı, kuruluş yılı veya telefon numarası gibi kolay bulunabilecek bilgiler parola için uygun değildir. Parolanızın sonuna bir ünlem işareti eklemek ya da bir harfi rakamla değiştirmek tek başına yeterli koruma sağlamaz. Parolanın uzunluğu ve başka hesaplarda kullanılmaması da önemlidir.

 

Uzun ve her hesaba özel parolalar kullanın

Parola oluştururken şu noktalara dikkat edebilirsiniz:
 

• Hizmetin izin verdiği ölçüde en az 16 karakterlik parolalar tercih edebilirsiniz.
• Her hesap için farklı bir parola belirleyebilirsiniz.
• Adınız, şirketinizin adı veya doğum tarihiniz gibi tahmin edilebilir bilgilerden kaçınabilirsiniz.
• Art arda gelen rakamlar ve yaygın klavye dizilimleri yerine rastgele karakterlerden yararlanabilirsiniz.
• Kendiniz oluşturacaksanız birbiriyle ilgisiz kelimelerden oluşan uzun bir parola ifadesi kullanabilirsiniz.

Aynı parolayı birden fazla hesapta kullanmak, bir hizmette yaşanan veri sızıntısının diğer hesaplarınızı da etkilemesine yol açabilir. Özellikle e-posta hesabınız için benzersiz bir parola kullanmanız gerekir. Çünkü birçok hesabın parola sıfırlama bağlantısı bu adrese gelir.

 

Parola yöneticisinden yararlanın

Her hesap için farklı ve uzun bir parolayı hatırlamak zor olabilir. Parola yöneticileri, güçlü parolalar oluşturmanıza ve bunları saklamanıza yardımcı olur. Böylece parolaları bir elektronik tabloda veya mesajlaşma uygulamasında tutma ihtiyacı azalır.

Parola yöneticinizin ana parolasını da uzun ve benzersiz seçmeniz, destekleniyorsa çok faktörlü kimlik doğrulamayı açmanız gerekir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) de hesap güvenliği için parola yöneticisi ve ek kimlik doğrulama kullanılmasını önerir.

 

İki faktörlü kimlik doğrulama (2FA) nedir?

İki faktörlü kimlik doğrulama, İngilizce “Two-Factor Authentication” ifadesinin kısaltması olan 2FA ile anılır. Hesaba giriş sırasında kimliğinizi iki farklı türde kanıtla doğrulamanızı sağlar. Örneğin parolanızı girdikten sonra telefonunuzdaki doğrulama uygulamasının ürettiği kodu kullanmanız istenebilir.

Kimlik doğrulamada kullanılan faktörler üç ana gruba ayrılır.

• Bildiğiniz bir şey: Parola veya kişisel kimlik numarası anlamına gelen PIN.
• Sahip olduğunuz bir şey: Telefon, doğrulama uygulamasının kurulu olduğu cihaz veya fiziksel güvenlik anahtarı.
• Size ait bir özellik: Parmak izi veya yüz gibi biyometrik özellikler.

İki ayrı parola girmek, iki farklı faktör kullanmak anlamına gelmez. İkisi de “bildiğiniz bir şey” grubundadır.

Çok faktörlü kimlik doğrulama, İngilizce “Multi-Factor Authentication” ifadesinden gelen MFA kısaltmasıyla kullanılır. İki veya daha fazla faktörün kullanıldığı yöntemlerin genel adıdır. İki faktörlü kimlik doğrulama da bunun bir türüdür.

 

Hangi doğrulama yöntemi tercih edilmeli?

Doğrulama yöntemlerinin sağladığı koruma aynı değildir. Desteklenen hizmetlerde oltalamaya dayanıklı güvenlik anahtarları ve geçiş anahtarları (passkey), sahte giriş sayfalarına karşı daha güçlü koruma sağlayabilir.

Kısa mesaj hizmeti anlamına gelen SMS ile iletilen kodlar ve doğrulama uygulamalarının ürettiği tek kullanımlık kodlar ise sahte bir sayfaya girildiğinde ele geçirilebilir. Bu nedenle mevcut seçenekler arasından daha güçlü yöntemi tercih etmek gerekir.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), oltalamaya dayanıklı doğrulama yöntemlerini önerirken herhangi bir çok faktörlü doğrulama kullanmanın, hiç kullanmamaktan daha iyi olduğunu belirtir.

Öncelikle şu hesapların güvenlik ayarlarını gözden geçirebilirsiniz.

• İş e-postası
• Bankacılık ve ödeme hizmetleri
• Ön muhasebe ve finans uygulamaları
• e-Ticaret ve pazaryeri hesapları
• Bulut depolama ve sosyal medya hesapları

Kurtarma kodlarını güvenli bir yerde saklamanız da önemlidir. Telefon değişikliği veya cihaz kaybı durumunda hesabınıza yeniden erişmek için bu kodlara ihtiyaç duyabilirsiniz.

 

Oltalama nedir? İşletmelerin karşılaşabileceği yöntemler

Oltalama (phishing), güvenilir bir kişi veya kurum taklit edilerek parola, doğrulama kodu, ödeme bilgisi ya da para elde edilmeye çalışılmasıdır. E-posta, kısa mesaj, telefon görüşmesi veya mesajlaşma uygulamaları üzerinden yapılabilir.

Oltalama mesajları, sizden bir işlem yapmanızı ister. Bir dosyayı açmanız, hesabınızı doğrulamanız veya ödemenizi farklı bir hesaba göndermeniz talep edilebilir. Özellikle korku ve aciliyet yaratan ya da gerçek olamayacak kadar cazip teklifler sunan mesajların dikkatle değerlendirilmesi gerekir.

Aşağıdaki örnekler, günlük iş akışında karşılaşılabilecek oltalama girişimlerini gösterir.

 

Sahte fatura ve ödeme e-postaları

“Ödenmemiş faturanız bulunuyor” veya “Faturanızı görüntülemek için tıklayın” gibi mesajlar, zararlı bir dosya açmanızı ya da sahte bir giriş sayfasına yönelmenizi amaçlayabilir. Fatura bekliyor olmanız, gelen her e-postanın güvenilir olduğu anlamına gelmez. Gönderenin tam adresini, mesajın konusunu ve beklediğiniz işlemle ilişkisini kontrol etmeniz gerekir. Şüphe duyduğunuzda faturayı, kullandığınız hizmete doğrudan giriş yaparak kontrol edebilirsiniz.

 

Tedarikçi adına gönderilen IBAN değişikliği talepleri

Uluslararası Banka Hesap Numarası (IBAN), para transferlerinde kullanılan standart hesap numarasıdır. Düzenli çalıştığınız bir tedarikçinin adıyla gelen mesajda bu numaranın değiştiği söylenebilir. Mesaj, mevcut bir yazışmanın devamı gibi de görünebilir.

Böyle bir durumda yalnızca e-posta üzerinden onay almak yeterli olmayabilir. Değişikliği, tedarikçinizin daha önce doğruladığınız telefon numarasını arayarak teyit etmeniz daha güvenli bir işleyiş sağlar. Mesajda yeni verilen numarayı aramak, bağımsız bir kontrol sayılmaz.

 

Sahte hesap doğrulama ve parola yenileme mesajları

“Hesabınız kapatılacak” veya “Şüpheli giriş tespit edildi” gibi ifadelerle giriş bilgilerinizi paylaşmanız istenebilir. Mesajdaki bağlantıya tıklamak yerine ilgili uygulamayı açabilir veya bildiğiniz web adresinden hesabınıza giriş yapabilirsiniz. Hesabınızla ilgili bir uyarı olup olmadığını buradan kontrol edebilirsiniz.

 

Yönetici veya çalışma arkadaşı taklidi

Bir kişi, yöneticiniz ya da ekip arkadaşınız gibi davranarak acil ödeme yapmanızı, dosya paylaşmanızı veya gelen kodu iletmenizi isteyebilir. Talebin iş yerindeki olağan sürece uyup uymadığını kontrol etmek önemlidir. Özellikle “Kimseye söylemeden halledelim” veya “Şimdi yap, sonra konuşuruz” gibi ifadeler içeren taleplerin ayrıca doğrulanması gerekir.

 

Kısa mesaj, telefon ve karekod üzerinden oltalama

Oltalama yalnızca e-postayla yapılmaz. Teslimat sorunu bildiren bir kısa mesaj, destek ekibi olduğunu söyleyen bir arama veya sizi sahte bir sayfaya yönlendiren karekod da aynı amaçla kullanılabilir.

Hangi kanaldan gelirse gelsin, beklenmedik bir talep karşısında bağlantıyı açmadan veya bilgi paylaşmadan önce kontrol etmek yararlıdır.

 

Şüpheli bir mesajı değerlendirirken nelere bakılmalı?

Bir mesajın güvenilirliğini yalnızca logosundan veya düzgün yazılmış olmasından anlayamazsınız. Kurumsal bir görünüm kolayca taklit edilebilir. Mesajı değerlendirirken şu sorular yardımcı olabilir.

Bu kişiden veya kurumdan böyle bir mesaj bekliyor muydunuz?

Görünen isim ile gönderenin tam e-posta adresi uyumlu mu?

Sizden parola, doğrulama kodu veya alışılmadık bir ödeme isteniyor mu?

Talep, normal işleyişi atlamanızı gerektiriyor mu?

Mesajdaki bilgiyi bağımsız bir kanaldan doğrulayabiliyor musunuz?

Şüpheli mesajların ekip içinde nasıl bildirileceğini belirlemek de önemlidir. Çalışanların tereddüt ettiklerinde kime danışacağını bilmesi, kontrol etmeden işlem yapma ihtiyacını azaltır. Oltalamaya karşı koruma, teknik önlemler ve çalışma süreçlerinin birlikte ele alınmasını gerektirir.

 

İşletmelerde bilgi güvenliği için hangi önlemler alınmalı?

Güvenli çalışma alışkanlıklarının ekip genelinde uygulanabilmesi için basit ve anlaşılır kurallar belirleyebilirsiniz. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) tarafından hazırlanan küçük işletme rehberi de hesapların ve cihazların korunmasını, yedeklemeyi ve dolandırıcılık girişimlerinin tanınmasını birlikte ele alır.

 

Kullanıcı hesaplarını ve erişim yetkilerini düzenleyin

Kullandığınız uygulama destekliyorsa her çalışan için ayrı kullanıcı hesabı oluşturabilirsiniz. Böylece ortak parola paylaşımı azalır ve erişimler kişinin görevine göre düzenlenebilir.

İşten ayrılan veya görevi değişen çalışanların erişimlerini de gözden geçirmeniz gerekir. Artık kullanılmayan hesapları açık bırakmak, gereksiz bir erişim alanı oluşturur.

 

Cihazları ve yazılımları güncel tutun

İş bilgisayarları, telefonlar, tarayıcılar ve uygulamalar için sunulan güvenlik güncellemelerinin düzenli uygulanması önemlidir. Uygun cihazlarda otomatik güncellemelerden yararlanabilirsiniz.

Ekran kilidi kullanmak, cihazı ortak kullanım alanlarında açık bırakmamak ve yazılımları güvenilir kaynaklardan yüklemek de günlük işleyişin parçası olabilir.

 

Yedeklerin kullanılabilirliğini kontrol edin

Önemli dosyaların yedeklenmesi kadar, gerektiğinde geri yüklenebilmesi de önemlidir. Yedeklerin hangi sıklıkla alındığını ve kim tarafından kontrol edildiğini belirleyebilirsiniz.

Bulut hizmeti kullanmanız, ihtiyaç duyduğunuz her kaydın istediğiniz süre boyunca geri getirilebileceği anlamına gelmez. Kullandığınız hizmetin yedekleme, saklama ve geri yükleme kapsamını ayrıca öğrenmeniz gerekir.

 

Ödeme ve dosya paylaşımı için ortak bir işleyiş belirleyin

Banka hesap numarası değişikliklerinin kim tarafından doğrulanacağı, yüksek tutarlı ödemelerin nasıl onaylanacağı ve hassas dosyaların hangi kanallardan paylaşılacağı önceden belli olmalıdır.

Örneğin “IBAN değişikliği, kayıtlı telefon numarasından teyit edilmeden ödeme yapılmaz” şeklinde açık bir kural, yoğun zamanlarda karar vermeyi kolaylaştırır.

 

Şüpheli bağlantıya tıklandıysa ne yapılmalı?

Bağlantıya tıklamak ile açılan sayfaya parola girmek veya dosya çalıştırmak aynı durum değildir. Atılacak adım, ne yapıldığına göre değişir.

Yalnızca sayfayı açtıysanız:  Sayfayı kapatabilir, bilgi girmeden veya dosya indirmeden durumu ilgili sorumluya bildirebilirsiniz. Sayfaya yeni izinler vermemeniz gerekir.

Parolanızı girdiyseniz: Güvenilir bir cihazdan ilgili hizmetin gerçek adresine girerek parolanızı değiştirebilirsiniz. Aynı parolayı kullandığınız diğer hesapları da güncellemeniz gerekir.

Kod paylaştıysanız veya giriş isteğini onayladıysanız: Hesabın ele geçirilmiş olabileceğini düşünerek hizmetin destek ekibine ya da bilgi işlem sorumlusuna haber vermeniz gerekir. Açık oturumların sonlandırılması, kurtarma bilgilerinin ve doğrulama ayarlarının kontrol edilmesi önemlidir.

Dosya indirip çalıştırdıysanız: Cihazın ağ bağlantısını kesmeniz ve teknik destek almanız gerekir. Olayın incelenebilmesi için mesajı ve ilgili kayıtları silmeden saklayabilirsiniz.

Ödeme yaptıysanız: Bankanız veya ödeme hizmeti sağlayıcınızla hemen iletişime geçmeniz gerekir. İşlem bilgilerini ve yazışmaları saklamanız, inceleme sürecine yardımcı olabilir.
 

Şüpheli işlemin erken paylaşılması, etkisinin sınırlandırılmasına yardımcı olabilir. Ekibinizin böyle bir durumda suçlanma endişesi yaşamadan haber verebilmesi de oluşturacağınız işleyişin bir parçasıdır.

 

Güvenli işleyiş küçük alışkanlıklarla başlar

Her şeyi aynı gün değiştirmeniz gerekmiyor. Önce iş e-postanızın parolasını ve doğrulama seçeneklerini kontrol edebilir, ardından ödeme onayları ve kullanıcı erişimleri için ortak kurallar belirleyebilirsiniz.

Faturalarınızı, müşteri bilgilerinizi ve tahsilatlarınızı dijital ortamda takip ederken bu bilgilere kimlerin eriştiğini bilmek de işin bir parçası. Günlük işlemlere eklenen birkaç kontrol, hem verilerinizi korumanıza hem de ekibinizin daha tutarlı çalışmasına yardımcı olur.