Kurumsal Siber Güvenlik Yönetimi: Şirketler İçin Rehber

Bir şirketin bilgisayarlarında antivirüs yazılımı bulunması, internet bağlantısının firewall üzerinden sağlanması ve sunucularının düzenli yedeklenmesi önemlidir.

Ancak bütün bunların bulunması, şirketin siber güvenlik risklerini yeterince yönettiği anlamına gelmez.

Örneğin bir fidye yazılımı saldırısı nedeniyle şirketin ERP sistemi çalışmazsa üretim, satış ve faturalama işlemleri durabilir. Kritik bir dosya sunucusuna erişilememesi, çalışanların günlük işlerini gerçekleştirmesini engelleyebilir.

Bu nedenle siber güvenlik artık yalnızca BT departmanının teknik sorumluluğu değil, işletmenin risk yönetimi ve iş sürekliliği konularından biridir.

Peki şirket sahipleri ve yöneticiler kurumsal siber güvenliği nasıl değerlendirmeli? Hangi önlemler öncelikli olmalı ve teknik ekibe hangi sorular sorulmalıdır?

Kurumsal siber güvenlik nedir?

Kurumsal siber güvenlik, işletmenin bilgi sistemlerini, verilerini, ağlarını ve dijital iş süreçlerini siber tehditlere karşı korumaya yönelik teknik ve yönetsel çalışmaların bütünüdür.

Bu çalışmalar yalnızca bilgisayar ve sunucu güvenliğini kapsamaz.

Çalışan hesapları, müşteri verileri, e-posta sistemleri, bulut hizmetleri, tedarikçi erişimleri, yedekleme ve güvenlik olaylarına müdahale süreçleri de kurumsal siber güvenlik kapsamındadır.

İşletmenin faaliyet alanına göre öncelikler değişebilir.

Örneğin hukuk büroları için müvekkil bilgilerinin gizliliği, üretim işletmeleri için operasyonların kesintisiz sürdürülmesi, e-ticaret şirketleri için müşteri verileri ve satış sistemlerinin erişilebilirliği ön plana çıkabilir.

Siber güvenlik neden yönetim kurulu gündeminde olmalı?

Siber güvenlik olaylarının etkisi yalnızca teknik arızalarla sınırlı kalmayabilir.

Bir olay aşağıdaki sonuçlara yol açabilir:

• İş süreçlerinin durması
• Veri kaybı veya yetkisiz veri erişimi
• Müşteri hizmetlerinin aksaması
• Finansal kayıplar
• Sözleşmesel yükümlülüklerin etkilenmesi
• Yasal bildirim ve uyumluluk süreçlerinin gündeme gelmesi
• Kurumsal itibarın zarar görmesi

Bu nedenle yönetimin yalnızca “Güvenlik duvarımız var mı?” sorusuna cevap araması yeterli değildir.

Asıl sorulması gereken, “Önemli bir siber güvenlik olayı yaşandığında şirketimiz ne kadar etkilenir ve ne kadar sürede toparlanabilir?” sorusudur.

Siber güvenlik risk yönetimi nedir?

Siber risk yönetimi, işletmenin karşılaşabileceği siber tehditlerin ve güvenlik eksiklerinin iş üzerindeki etkisinin değerlendirilmesidir.

Bu yaklaşımda önce korunması gereken kritik varlıklar ve süreçler belirlenir.

Örneğin:

• Muhasebe ve ERP sistemleri
• Müşteri ve çalışan verileri
• E-posta hizmetleri
• Dosya sunucuları
• İnternet ve ağ bağlantıları
• Bulut sistemleri
• Yedekleme altyapısı
• Uzak erişim bağlantıları

Ardından bu sistemleri etkileyebilecek riskler ve mevcut önlemler değerlendirilir.

Amaç bütün risklerin tamamen ortadan kaldırılacağını iddia etmek değil, öncelikli riskleri belirleyip uygun şekilde yönetmektir.

Şirketler için en önemli siber güvenlik önlemleri

1. Firewall ve ağ güvenliği

Firewall, kurum ağındaki veri trafiğinin belirlenen kurallar çerçevesinde kontrol edilmesine yardımcı olur.

Ancak kurumsal güvenlik duvarının bulunması tek başına yeterli değildir.

İnternete açık servislerin sınırlandırılması, VPN erişimleri, yönetici hesapları, ağ segmentasyonu ve güvenlik politikalarının düzenli değerlendirilmesi gerekir.

Özellikle farklı departmanlar, misafir kablosuz ağları, sunucular ve kritik cihazlar arasında uygun ağ ayrımı planlanmalıdır.

2. Kullanıcı hesapları ve MFA

Çalışanların kullandığı hesaplar, kurumun bilgi sistemlerine erişim noktalarıdır.

Zayıf parolalar, paylaşılan kullanıcı hesapları veya gereksiz yönetici yetkileri risk oluşturabilir.

Çok faktörlü kimlik doğrulama (MFA), uygun hesaplarda ek güvenlik katmanı sağlar.

Ayrıca işe giriş, görev değişikliği ve işten ayrılma süreçlerinde erişim yetkilerinin güncellenmesi önemlidir.

3. Antivirüs, EDR ve uç nokta güvenliği

Bilgisayarlar ve sunucular kötü amaçlı yazılımlara karşı korunmalıdır.

Antivirüs ve EDR gibi çözümler, ürünün yeteneklerine göre belirli tehditlerin tespit edilmesine veya bunlara müdahale edilmesine yardımcı olabilir.

Ancak herhangi bir güvenlik ürünü bütün saldırıları engelleyemez.

Güncelleme yönetimi, kullanıcı yetkileri, cihaz politikaları ve güvenlik olaylarının izlenmesi birlikte ele alınmalıdır.

4. Veri kaybı önleme (DLP)

DLP çözümleri, kurumsal bilgilerin belirli kanallar üzerinden uygunsuz şekilde paylaşılması veya dışarı aktarılması risklerinin yönetilmesine yardımcı olabilir.

Özellikle müşteri bilgileri, ticari belgeler, sözleşmeler ve başka hassas veriler üzerinde çalışan işletmeler için değerlendirilebilir.

DLP ürünlerinin etkinliği doğru veri sınıflandırmasına, politikaya ve iş süreçlerinin anlaşılmasına bağlıdır.

5. Yedekleme ve felaket kurtarma

Bir işletmede düzenli yedek alınması kadar, yedeklerin geri yüklenebilir olması da önemlidir.

Yedekleme politikası, sunucuların kritikliğine, veri kaybı toleransına ve iş sürekliliği hedeflerine göre hazırlanmalıdır.

Ayrıntılı yazı: Fidye Yazılımına Karşı Yedekleme ve Felaket Kurtarma

6. Güvenlik açığı yönetimi

Sunucuların, ağ cihazlarının ve uygulamaların güncel tutulması gerekir.

Güvenlik açığı taramaları, sistemlerdeki belirli zayıflıkların tespit edilmesine yardımcı olabilir.

İhtiyaç halinde yetkilendirilmiş sızma testleriyle ek değerlendirme yapılabilir.

Önemli olan bulunan açıkların yalnızca raporlanması değil, önem ve risk düzeylerine göre ele alınmasıdır.

Siber güvenlik maliyeti nasıl değerlendirilir?

Siber güvenlik yatırımları yalnızca cihaz veya lisans maliyeti üzerinden değerlendirilmemelidir.

Örneğin bir güvenlik ürününün yıllık maliyeti, korunması hedeflenen sistemlerin işletme için önemiyle birlikte ele alınmalıdır.

Bütçe planlamasında şu başlıklar değerlendirilebilir:

• Güvenlik ürünleri ve lisanslar
• BT altyapısı bakım hizmetleri
• Sunucu ve ağ güvenliği
• Çalışan farkındalık çalışmaları
• Güvenlik açığı değerlendirmeleri
• Yedekleme ve felaket kurtarma
• İzleme ve olay müdahalesi
• Teknik danışmanlık

Her işletmenin bütün güvenlik teknolojilerini aynı anda satın alması gerekli değildir.

Doğru yaklaşım, önce riskleri ve öncelikleri belirleyerek yatırımları buna göre planlamaktır.

İç BT ekibi mi, dış kaynak siber güvenlik hizmeti mi?

İşletmeler siber güvenlik ihtiyaçlarını farklı modellerle karşılayabilir.

Bazı kurumlar bütün BT ve güvenlik çalışmalarını kendi ekipleriyle yürütür.

Bazıları ise günlük kullanıcı desteğini kurum içinde yönetirken firewall, sunucu, bulut veya güvenlik değerlendirmesi gibi uzmanlık alanlarında dış destek alabilir.

Dış kaynak modelinde de hizmet kapsamı, sorumluluklar, müdahale süreleri ve raporlama beklentileri açıkça belirlenmelidir.

Bir şirketin iç BT ekibinin bulunması, dış danışmanlık hizmetinden yararlanamayacağı anlamına gelmez.

Benzer şekilde dış kaynak hizmet alınması, işletme yönetiminin bilgi güvenliği sorumluluğunu tamamen ortadan kaldırmaz.

Siber güvenlik yönetime nasıl raporlanmalı?

Şirket yöneticilerinin bütün teknik logları veya firewall kayıtlarını incelemesi beklenmez.

Yönetim için anlamlı bir rapor, teknik bulguları iş açısından değerlendirilebilir göstergelere dönüştürmelidir.

Örneğin:

• Kritik sistemlerdeki giderilmemiş yüksek riskli bulgular
• Güvenlik güncellemelerinin durumu
• MFA kullanım kapsamı
• Yedekleme ve geri yükleme testlerinin sonuçları
• Önemli güvenlik olayları
• Kritik sistemlerin erişilebilirliği
• Açık riskler ve sorumlular
• Planlanan iyileştirmelerin ilerleme durumu

Bu bilgiler sayesinde yöneticiler güvenlik bütçesini ve iyileştirme önceliklerini daha bilinçli değerlendirebilir.

NIST Siber Güvenlik Çerçevesi neden önemlidir?

NIST Cybersecurity Framework 2.0, kuruluşların siber güvenlik risklerini yönetmesine yardımcı olan bir çerçevedir.

Çerçeve altı temel işlev içerir:

Govern (Yönet): Siber risk yönetimi stratejisi, sorumluluklar ve yönetişim.

Identify (Belirle): Varlıklar, riskler ve iş süreçlerinin anlaşılması.

Protect (Koru): Uygun koruyucu kontrollerin uygulanması.

Detect (Tespit Et): Güvenlik olaylarının ve anormalliklerin belirlenmesi.

Respond (Müdahale Et): Olaylara uygun şekilde karşılık verilmesi.

Recover (Kurtar): Etkilenen hizmetlerin geri kazanılması.

Bu yaklaşım, güvenlik çalışmalarının yalnızca teknik ürün satın almaktan ibaret olmadığını ortaya koyar.

ISO 27001 ve siber güvenlik mevzuatıyla ilişkisi

ISO/IEC 27001, bilgi güvenliği yönetim sistemi için gereklilikleri tanımlar.

Türkiye'de KVKK ve 7545 sayılı Siber Güvenlik Kanunu gibi düzenlemeler de işletmenin faaliyet alanına göre değerlendirilebilir.

Ancak her şirketin aynı hukuki yükümlülüklere sahip olduğu varsayılmamalıdır.

Teknik güvenlik kontrolleri, bilgi güvenliği yönetimi ve hukuki uyumluluk birbiriyle ilişkili fakat farklı konulardır.

İlgili yazı: 7545 Sayılı Siber Güvenlik Kanunu

Şirket yöneticileri için siber güvenlik kontrol listesi

1. Kritik bilgi sistemlerimizin güncel envanteri var mı?
2. Hangi sistemin kesilmesi şirket faaliyetlerini durdurur?
3. Firewall ve uzaktan erişim sistemlerimiz düzenli inceleniyor mu?
4. Kritik kullanıcı hesaplarımızda MFA bulunuyor mu?
5. Güvenlik güncellemeleri takip ediliyor mu?
6. Sunucu ve veri yedeklerinden geri dönüş testi yapıldı mı?
7. Bir siber olayda kimin hangi kararı vereceği belli mi?
8. Açık güvenlik risklerimiz ve sorumluları kayıt altında mı?
9. Tedarikçilerin sistem erişimleri kontrol ediliyor mu?
10. Üst yönetim düzenli güvenlik durumu raporu alıyor mu?

Bu soruların yanıtları, işletmenin siber güvenlik hazırlığını değerlendirmede başlangıç noktası sağlayabilir.

RelGen Teknoloji ile kurumsal siber güvenlik danışmanlığı

RelGen Teknoloji, işletmelerin mevcut BT altyapısını, çalışma süreçlerini ve güvenlik ihtiyaçlarını değerlendirerek uygulanabilir teknik iyileştirme alanlarının belirlenmesine yardımcı olur.

Firewall ve ağ güvenliği, kullanıcı ve sunucu yönetimi, uzaktan erişim, yedekleme, güvenlik açığı yönetimi, bulut altyapısı ve bilgi güvenliği kontrolleri birlikte değerlendirilebilir.

Amacımız, işletmenin gerçek ihtiyaçlarını anlayarak iş sürekliliğini destekleyen, sürdürülebilir ve yönetilebilir bir BT güvenlik yapısının oluşturulmasına katkı sağlamaktır.

BT Hizmetlerimizi ve Bilişim Uyumluluk çözümlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçerek kurumunuzun güvenlik ihtiyaçlarını değerlendirebilirsiniz.

Sık sorulan sorular

Küçük işletmelerin de siber güvenlik danışmanlığına ihtiyacı olur mu?

İşletmenin sistemlerine, veri türlerine, faaliyetlerine ve mevcut teknik kaynaklarına göre dış danışmanlık faydalı olabilir.

Firewall kullanmak şirketi tamamen korur mu?

Hayır. Firewall ağ güvenliğinin önemli bileşenlerinden biridir ancak kimlik güvenliği, uç nokta koruması, yedekleme ve olay yönetimi gibi diğer önlemlerin yerine geçmez.

Kurumsal siber güvenlik maliyeti nasıl hesaplanır?

Altyapının kapsamı, mevcut güvenlik durumu, kullanılacak ürünler, hizmet modeli ve riskler değerlendirilerek bütçe planlanmalıdır.

Teknik kaynak: NIST Cybersecurity Framework 2.0