Küçük işletmeler için 2024 siber güvenlik kontrol listesi

Küçük işletmeler için siber güvenliğin önemi

Büyük şirketler siber güvenlik çözümlerinin entegrasyonu ve uygulanması konusunda daha hakimdir ancak küçük ölçekli firmaların siber güvenlik ve bilgi güvenliği alanlarında daha fazla iyileştirmeye muhtaç alanlar vardır. Bu yüzden siber saldırganlar küçük orta büyüklükteki firmalara daha kolay siber saldırı düzenleyebilmektedir.

2022’de fidye yazılımı saldırılarının ve veri ihlallerinin yaklaşık yüzde 43’ü küçük ve orta ölçekli işletmeleri hedef aldı. Siber saldırılar 2021’de KOBİ’lerin yüzde 42’sini vurdu .Sonuçları korkunç olabilir. IBM’e göre bir veri ihlalinin ortalama maliyeti 4,35 milyon dolara ulaştı. Forbes, siber saldırıların hedefi olan küçük işletmelerin yüzde 60’ının altı ay içinde kapandığını bildiriyor. Her yıl yayınlanan raporların detaylarını dikkatlice incelediğimizde siber saldırılar küçük firmalar için daha ölümcül sonuçlar doğurmakta.

Daha büyük şirketler veri güvenliği başarısızlıklarının maliyetlerini karşılayabilir, saldırı olmadan güçlü önemler alabilir ancak daha küçük kuruluşların hem maddi hem de insan kaynağı sınırlı olduğundan siber tehditler daha etkili olabilmektedir.  Riskler bu kadar yüksek olduğunda KOBİ’lerin siber güvenliği ihmal etme lüksü olamaz.

Tehdit ortamını anlama

Mevcut durumunu doğru analiz edemeyen firmaların kısıtlı bütçelerle etkin siber güvenlik çözümleri sağlaması pek mümkün değildir. Küçük işletmeler günümüzün dijital ekonomisinde birçok potansiyel siber tehditle karşı karşıyadır. Ana riskleri anlamak, güvenlik duruşunuzu iyileştirmeye yönelik ilk adımdır. 

• Veri ihlali riskleri : Kötü amaçlı yazılımlar (kötü amaçlı yazılım), hesabın ele geçirilmesi ve içerdeki hoşnutsuz kişilerin tümü veri ihlallerine neden olabilir. Sonuçlar mali kayıplar, itibar kaybı ve cezai kovuşturma olabilir.
• Fidye Yazılımı :  Küçük işletmeler de fidye yazılımının kurbanı olabilir. 2022’de eğitim kurumlarına yönelik koordineli saldırılar gibi bazı yüksek profilli vakalar görüldü, ancak her türlü işletme savunmasızdır.
• Kimlik Avı :  Sosyal mühendislik saldırıları, 2022’de Ticari E-posta İhlallerinde büyük bir artışla birlikte artmaya devam ediyor. Uzaktan çalışma ve SaaS hizmetlerinin büyümesi, küçük işletmelere IP sahtekarlığından performansı düşüren DDoS saldırılarına kadar yeni zorluklar da sunuyor.

İş ağlarının güvenliğini sağlamak, hiçbir zaman DDoS saldırıları, solucanlar ve virüsler eklemekten daha karmaşık olmamıştı.

Küçük işletme siber güvenlik kontrol listesi

Firmanızın mevcut duruşunu doğru okumak ve etkin çözümler sağlayabilmeniz için genel olarak adım adım şu başlıkları değerlendirebilirsiniz.

1. Veri koruması

Müşteri verileri siber saldırganların bir numaralı hedefidir. Bu nedenle küçük işletmelerin ağ güvenliğini güçlendirirken veri güvenliğine öncelik vermesi gerekiyor.

Başlangıç ​​olarak şifreleme en kritik veri koruma aracıdır. Küçük işletmeler şunları yapmalıdır:

• Öncelikle hassas/kritik verilerinizi tanımlayın.
• Hassas, kritik verileri nerede, nasıl tuttuğunuzu, ihtiyaç halinde hangi taraflarla nasıl paylaştığınızı tanımlayın.
• Tüm hassas verileri güvenli şifrelemeyle sınıflandırın ve koruyun.
• Ağ kaynakları genelinde bekleyen ve aktarılan verilere şifreleme uygulayın.
• Şifrelemeyi Veri Kaybını Önleme (DLP) araçlarıyla birleştirin. Bu araçlar kritik verileri izler ve yetkisiz kullanıcıların sızma girişimlerini engeller.

Çalışanların gizli verilere erişimini sınırlamak da önemlidir . Bu, siber suçluların tehdit yüzeyini kısıtlıyor. Kötü niyetli aktörler erişim kazanırsa önemli verilere sınırlı erişime sahip olacaklar. Uygulanacak önlemler şunları içerir:

• Minimum yetki prensibini hayata geçirin. Erişim kontrolleri aracılığıyla en az ayrıcalık ilkesini uygulayın . Yetkili kullanıcıların ihtiyaç duydukları kaynaklara erişimi olmalıdır. Ancak ağın geri kalanı izinsiz olarak sınır dışı olmalıdır.
• Yönetici ayrıcalıklarına sahip hesapların sayısını en aza indirgeyin. Kullanıcılar, aynı veya daha yüksek kıdem düzeyindeki bir kullanıcının onayı olmadan genel değişiklikler yapmamalıdır. Yöneticiler, kullanılmayan veya aşırı ayrıcalıklı hesapları rutin olarak kaldırmalıdır.
• Ağ bölümleme araçlarını kullanın. Ağınızı bölümlere ayırmak, hassas veriler için güvenli bölgeler oluşturur. Bu bölgeler genel ağ trafiğinden ayrılarak veri ihlali olasılığını azaltır.

2. Tehdit azaltımı

Potansiyel tehditleri proaktif olarak karşılayın, başarılı bir saldırı şansını azaltmanın mükemmel bir yoludur. Siber tehditlere karşı koymanın birçok yolu vardır ve küçük işletmeler uygun fiyatlı ve pratik araçlardan yararlanmalıdır.

• E-posta şifreleme ve tehdit tarama (antispam) araçlarını kullanın, bu yazılımlar kötü amaçlı yazılımları tespit etmek için gelen ekleri tararlar . Sistem şüpheli e-postaları karantinaya alarak kimlik avı risklerini önemli ölçüde azaltır.
• Kötü amaçlı yazılım tarayıcıları gelen ve giden ağ trafiğini izler. İzinsiz giriş önleme sistemleri aktif olarak bilinen tehditleri arar. En alakalı saldırı vektörlerine karşı koyan, düzenli olarak güncellenen araçları seçin.
• Güvenlik duvarları ağ dışından gelen erişim isteklerini görüntüler. Düzgün yapılandırılmış bir güvenlik duvarı, ağ ucunda sıkı erişim kontrolleri uygulayın . Bu, uygun kimlik bilgilerine sahip olmayan kullanıcıları dışarıda bırakan birincil bir engel oluşturur.

3. Olaya müdahale

Tüm küçük işletmeler siber saldırılara karşı risk altındadır. Ve her an bir doğal afet meydana gelebilir. Sistemin restorasyonu ve tehditlerin kontrol altına alınması için bir yol haritası sağlayan sağlam bir olay müdahale planı önemlidir. Olay müdahale planları, saldırılar gerçekleştiğinde etkinleşir ve genellikle aşağıdaki adımları içerir:

• Tehdit tespiti ve kontrol altına alınması
• Kritik verilerin korunması
• Tehditlerin ortadan kaldırılması ve hafifletilmesi
• Sistem işlevselliğinin restorasyonu
• Ağ hasarını veya veri bütünlüğü kaybını haritalama
• Olay müdahale sürecini denetlemek ve güvenlik duruşunu iyileştirmek için dersler çıkarmak.

Gerçek hayattaki saldırıları simüle eden test tatbikatları gerçekleştirin ve tüm çalışanların olay müdahalesindeki rollerini bilmelerini sağlayın. Yanıt verirken titizlik ve hızı dengelemeye çalışın. Bir sonraki aşamaya ne zaman geçeceğiniz konusunda net olun, ancak mümkün olduğunca çabuk hareket edin.

4. Yedeklemeler

Küçük işletmeler, bir saldırı sonrasında BT sistemlerini yeniden inşa etmek için zaman ve para harcamayı göze alamaz. Müşteri verilerini kaybeden şirketlerin geri dönüşü yoktur. Bu nedenle bir KOBİ siber güvenlik planı, saldırılar gerçekleşmeden önce verilerin ve kritik iş yüklerinin yedeklenmesini gerektirmelidir.

• Tüm verilerin saklanmasına gerek yoktur. Veritabanlarını ve iş yüklerini önemlerine göre kategorilere ayırın.
• Fidye yazılımı saldırıları sırasında ağ ve web sitesi işlevselliğini geri yüklemek için verilerin yedeklenmesi gerekir.
• Dosyalarınızı güvenli bir şekilde şifreleyen ve gerektiğinde şirket verilerine hızlı erişim sağlayan bir bulut yedekleme ortağı seçin.

Sağlam veri saklama ilkeleri, düzenli yedeklemeleri tamamlar. Bu politikalar şunları kaydeder:

• Kuruluş, kullanıcı veya müşteri verilerini ne kadar süreyle saklıyor?
• Kritik şirket verilerinin bulunduğu yer
• Saklanan verileri güvenli bir şekilde silmek için silme prosedürleri.

Çok fazla veri depolamak değerli alanı boşa harcar ancak aynı zamanda bir güvenlik riski de oluşturur. Saldırganlar, şirket sunucularındaki değerli verileri, bu verilerin kuruluş için hiçbir ticari değeri olmasa bile çalabilir. Uyumluluk da önemlidir. Örneğin sağlık şirketlerinin HIPAA standartlarına uygun veri saklama politikalarına ihtiyacı var.

5. 2FA veya çok faktörlü kimlik doğrulama

Kimlik doğrulama, küçük işletme ağ güvenliğinin ön safını korur: kullanıcı erişimi. Kötü niyetli kullanıcılar, uygun kimlik doğrulama sistemleri olmadan hassas bilgilere kolayca erişebilir. Ve günümüzün mevcut teknolojisi sayesinde ağları savunmasız bırakmanın hiçbir mazereti yok.

Tüm kritik varlıklar için çok faktörlü kimlik doğrulamayı (MFA) uygulayın . MFA, parolaların ötesine geçer ve ek tanımlama faktörleri talep eder. Bu, biyometrik verileri, tek kullanımlık şifreleri veya mobil taramaları içerebilir. Buradaki fikir, koruyucu katmanlar eklemek ve değerli verilere erişimi zorlaştırmaktır.

6. Eğitim

Küçük işletme çalışanları iyi niyetli olabilir. Ancak eğitim ve açık güvenlik politikalarına erişim olmadan iyi niyetin hiçbir anlamı yoktur. Personelin ağ kaynaklarına güvenli bir şekilde nasıl erişileceğini ve önlenebilir siber saldırıların nasıl önleneceğini bilmesi gerekir.

Personelin kimlik avı risklerini bildiğinden ve istenmeyen e-posta ekleriyle ilişkili tehlikelere odaklandığından emin olun. Ticari kimlik avı giderek daha karmaşık hale geliyor . Tüm ağ kullanıcılarının kötü amaçlı mesajların nasıl tespit edileceği konusunda dikkatli olması gerekir.

Ayrıca personelin erişim kontrollerini güvenli bir şekilde kullanma konusunda eğitilmesine de yardımcı olur . Çok faktörlü kimlik doğrulamanın neden mevcut olduğunu ve kimlik doğrulama sistemlerinin nasıl çalıştığını açıklayın. Çalışanların güvenlik yükümlülüklerini açıklayan net politikalar yazın. Ayrıca güvenlik ayarlarının güvenli kanallar aracılığıyla nasıl değiştirileceğine ilişkin ayrıntıları da ekleyin. Güvenlik politikalarınızı merkezi olarak saklayın ve bunları tüm ağ kullanıcılarının ücretsiz olarak kullanımına sunun.

7. Uzaktan erişim

Uzaktan erişim, çalışanların merkez ofisle iletişim halinde kalarak satış bölgelerinde dolaşmasına olanak tanır. Uzaktan çalışma da yeni işe alınanlar için cazip bir özellik. Sorun, uzaktan erişimin güvensiz olabilmesidir . Küçük işletmelerin uzaktan erişim için net güvenlik politikalarına ihtiyacı vardır. Güvenlik önlemleri şunları içermelidir:

• Sanal Özel Ağlar veya güvenli uzaktan erişim yazılımı aracılığıyla kullanıcı erişimi.
• Güvenli olmayan halka açık Wi-Fi ağlarından erişimin reddedilmesi.
• Yamalı antivirüs veya DLP araçlarının uzak iş istasyonlarına otomatik olarak teslim edilmesi.
• Tüm uzaktan çalışma cihazlarının merkezi onayı.
• Onaylanmayan cihazları engellemek için IP izin verilenler listeleri ve uyarlanabilir erişim kontrolleri.
• Parola hijyeni ve kimlik avına karşı koruma bilgilerini uygulamaya yönelik eğitim.
• Kayıp cihazların zorunlu raporlanması. Cihaz hırsızlığından etkilenen kullanıcıların erişim haklarının otomatik olarak kaldırılması.

8. Güçlü şifreler

Şirketler genellikle tehdit tespit sistemlerine ve şifrelemeye önemli miktarda yatırım yapıyor. Ancak çalışanların zayıf şifreler kullanması durumunda bu çabaların çok az etkisi olacaktır. Kritik kaynakları korurken sağlam bir parola politikasının uygulanması çok önemlidir.

• Parola hijyenini güvenlik eğitimi prosedürlerinizin temel bir parçası haline getirin
• Küçük ve büyük harflerin ve alfabetik olmayan karakterlerin karışımından oluşan güçlü şifreler isteyin .
• Zorunlu şifre değişikliklerini zorunlu kılın . Kimlik bilgisi hırsızlıklarına karşı korunmak için kullanıcıların şifrelerini en az iki ayda bir değiştirmesi gerekir.
• Parola yönetimini otomatikleştirmek için güvenli bir parola yöneticisi edinin . Bunu tüm ağ kullanıcılarının kullanımına sunun.

9. Siber güvenlik uzmanlarıyla iletişim kurmak

KOBİ’ler genellikle bir BT güvenlik ekibini işe almak için yeterli kaynağa sahip değildir. Ancak ağlarının güvenliğini sağlarken yine de en son tehdit istihbaratına ve tavsiyelere erişmeleri gerekiyor . Siber güvenlik profesyonellerinin yardımını almak mükemmel bir alternatif stratejidir.

10. Yazılım ve sistemlerin düzenli olarak güncellenmesi

Siber saldırganlar , küçük işletme ağlarına erişimi zorlamak için düzenli olarak yama yapılmamış yazılımlardaki açıkları kullanır . Yamaların kullanılabilir hale gelir gelmez teslim edilmesi hayati önem taşımaktadır. Gecikmeler ağınızı saldırılara maruz bırakır ve siz yanıt veremeden veri sızıntılarına neden olur.

• Tüm ağ uygulamaları ve cihazlardaki güncellemeleri otomatikleştirin. Buna sunucular, yönlendiriciler ve donanım güvenlik duvarları(kullanıyorsanız) dahildir.
• Yazılım güncellemelerini yılda en az bir kez denetleyin. Otomatik dağıtım sistemlerinin kaçırdığı yamaları uygulayın.
• Mevcut istismarlardan haberdar olmak için tehdit veritabanlarına düzenli olarak başvurun. SaaS hizmetlerinin yanı sıra şirket içi uygulamalardaki istismarları da kontrol etmeyi unutmayın.

11. Satıcı ve üçüncü taraf risklerini yönetmek

Küçük işletmeler nadiren yalnız çalışırlar. Tedarikçiler, bakım uzmanları, serbest çalışanlar ve güvenlik uzmanlarıyla yapılan ortaklıklara bağlıdırlar. Ancak tüm şirketler üçüncü taraf risklerini etkili bir şekilde yönetemez.

Birlikte çalışacağınız üçüncü tarafları seçerken potansiyel ortakları dikkatle değerlendirin. Veri toplama ve bilgi paylaşımı da dahil olmak üzere açık güvenlik politikalarına sahip olmaları gerekir. Erişim yönetimi uygulamalarınıza uyum sağlamaktan mutluluk duymalıdırlar.

Tedarikçi IAM çözümlerini güvenlik stratejinize entegre etmeyi düşünün . Bu, harici ortaklarla çalışırken kontrol ve güvenliği önemli ölçüde artırabilir ve onlara yalnızca gerekli kaynaklara erişim olanağı sağlayabilir.

Üçüncü taraf hesaplara tıpkı çalışanlar gibi davranın. Bunları merkezi erişim yönetimi sistemlerine ekleyin ve gizli verilere erişimi engellemek için ayrıcalıklarını sınırlayın. Bulut hizmetleriyle ilişkili insan dışı API’ler de dahil olmak üzere çalışanların tüm üçüncü taraf erişimi için onay almasını sağlayın.

Kaynaklar:

• https://advisorsmith.com/data/small-business-cybersecurity-statistics/
•  https://www.itgovernance.eu/blog/en/20-cyber-security-statistics-for-2022
• https://www.forbes.com/sites/emilsayegh/2022/08/16/businesses-shutting-down-business/
•  https://nordlayer.com/blog/cyber-security-checklist-for-small-business/
•  https://en.wikipedia.org/wiki/Cybersecurity_information_technology_list