2026’da KOBİ’ler İçin Siber Güvenlik: 15 Adımlık Uygulanabilir Rehber
Siber saldırıların hedefi yalnızca büyük bankalar ve teknoloji şirketleri değil. Bir muhasebe firmasının e-postası, bir e-ticaret işletmesinin yönetim paneli veya bir üreticinin uzaktan erişim sunucusu da saldırganlar açısından değerli olabilir. Küçük ve orta ölçekli işletmelerde kritik sorun çoğu zaman güvenliğe bütçe ayrılmaması değil, hangi riskin önce azaltılacağının bilinmemesidir. Bu rehber, siber güvenliği satın alınacak tek bir ürün olarak değil, iş sürekliliğinin parçası olarak ele alır.
Verizon’un 2026 Data Breach Investigations Report (DBIR) verilerine göre incelenen veri ihlallerinin %31’inde başlangıç yolu yazılım açıklarından yararlanılmasıydı; fidye yazılımı ise ihlallerin %48’inde yer aldı. Bu oranlar Türkiye’deki bütün KOBİ’lere doğrudan genellenemez, ancak yamalanmamış sistemler ve yetersiz hazırlığın önemini açıkça gösterir. Kaynak: Verizon 2026 DBIR.
İlk adım: Neyi koruduğunuzu bilin
Korunacak varlıkların listesi olmadan güvenlik yatırımlarını sıralayamazsınız. Alan adları, bulut sunucuları, çalışan dizüstü bilgisayarları, e-posta hesapları, müşteri veritabanları, yedekleme sistemleri ve üçüncü taraf entegrasyonları tek envanterde toplanmalıdır. Her varlık için sorumlu kişi, veri hassasiyeti, dış dünyaya açıklık, yedekleme durumu ve iş kesintisi etkisi kaydedin. Örneğin web sitenizin tanıtım sayfası bir saat kapalı kalabilirken sipariş veritabanının aynı süre erişilememesi ciddi operasyonel kayba yol açabilir.
NIST’in Cybersecurity Framework (CSF) 2.0 yaklaşımı, güvenliği altı fonksiyonda düşünür: Govern (Yönet), Identify (Tanımla), Protect (Koru), Detect (Tespit Et), Respond (Müdahale Et), Recover (Kurtar). Bunlar sırayla tamamlanıp unutulan aşamalar değil; birlikte çalışan süreçlerdir. Kaynak: NIST küçük işletme başlangıç rehberi.
KOBİ’ler için 15 maddelik siber güvenlik kontrol listesi
- Varlık envanteri çıkarın. Hangi sunucunun, cihazın, hesabın ve verinin kime ait olduğunu yazılı tutun.
- Çok faktörlü kimlik doğrulamayı zorunlu kılın. Özellikle e-posta, bulut, yönetici panelleri ve uzaktan erişim için mümkünse oltalamaya dayanıklı geçiş anahtarları veya güvenlik anahtarları kullanın.
- Yönetici hesaplarını ayırın. Günlük iş için ayrı, ayrıcalıklı işlemler için ayrı hesap kullanın. Paylaşılan yönetici parolalarını kaldırın.
- Yama yönetimini düzenli hale getirin. İşletim sistemi, uygulamalar, VPN, güvenlik duvarı ve üçüncü taraf bileşenleri kapsayın. Aktif sömürülen açıkları CISA KEV kataloğuyla önceliklendirin.
- Herkese açık servisleri azaltın. Gereksiz RDP, yönetim paneli, test API’si ve açık portları kapatın. Yönetim erişimini mümkün olduğunda kimlik doğrulamalı özel kanallara taşıyın.
- Yedeklemeyi geri yükleme testiyle doğrulayın. Ayrı hesapta, değiştirilemez veya çevrimdışı bir kopya tutun; yalnızca “yedek alındı” mesajına güvenmeyin.
- Cihaz koruması kurun. Desteklenen cihazlarda uç nokta koruması, disk şifreleme, ekran kilidi ve merkezi güncelleme uygulayın.
- E-posta kimlik doğrulamasını yapılandırın. SPF, DKIM ve uygun aşamalarla DMARC uygulayın; yanlış yapılandırmanın meşru postayı engelleyebileceğini test edin.
- En az yetki ilkesini uygulayın. Çalışanların yalnızca işlerini yapmak için gereken verilere ve sistemlere erişmesini sağlayın.
- Bulut depolama izinlerini gözden geçirin. Herkese açık bağlantılar, eski API anahtarları, fazla yetkili servis hesapları ve unutulmuş test ortamları risktir.
- Temel logları merkezileştirin. Başarısız oturumlar, ayrıcalık değişiklikleri, kritik ayar değişimleri ve veri dışa aktarımlarını takip edin.
- Oltalama eğitimi verin. Tek seferlik sunumdan ziyade kısa, senaryo temelli, suçlayıcı olmayan tekrarlar yapın.
- Tedarikçi erişimlerini sınırlandırın. Muhasebe, hosting, yazılım desteği ve dış kaynak hesaplarında süreli erişim ve sözleşmesel güvenlik beklentileri tanımlayın.
- Olay müdahalesi sorumlularını belirleyin. Şüpheli olayda kimin sistemi izole edeceği, kimin karar vereceği ve kimin dış paydaşlarla konuşacağı önceden belli olsun.
- Bağımsız kontroller yaptırın. Zafiyet değerlendirmesi, konfigürasyon incelemesi ve kapsamı yazılı olarak belirlenmiş yetkili sızma testini iş ihtiyacına göre planlayın.
90 günlük gerçekçi uygulama planı
| Dönem | Öncelik | Ölçülebilir çıktı |
|---|---|---|
| İlk 7 gün | Kritik hesapları ve dışa açık servisleri belirle; MFA’yı etkinleştir | Yönetici hesaplarının %100’ünde MFA; kritik varlık listesi |
| 8–30. gün | Yedek geri yükleme testi, yama planı, temel loglar | Başarılı geri yükleme kaydı; kritik açıklar için sorumlu ve tarih |
| 31–60. gün | Erişim yetkileri, e-posta güvenliği, çalışan senaryoları | Yetki matrisi; doğrulanan SPF/DKIM/DMARC; eğitim kaydı |
| 61–90. gün | Müdahale tatbikatı ve bağımsız teknik değerlendirme | Olay akış şeması; bulgular ve kapatma kanıtları |
Bu tablo önerilen bir başlangıç temposudur; üretim ortamında aktif saldırı veya yüksek riskli açıklık varsa beklenmez. Siber güvenlik bütçesi belirlerken yalnızca ürün lisanslarını değil, bakım, personel zamanı, iyileştirme ve test maliyetini de değerlendirin.
İşletme sahibinin takip edeceği dört gösterge
Yönetimin her güvenlik alarmını okuması gerekmez. Bunun yerine şu dört göstergeyi aylık olarak isteyin: kritik sistemlerin güncelleme gecikmesi, MFA kapsamı, başarılı geri yükleme testinin tarihi ve yüksek öncelikli bulguların kapatılma süresi. “Güvenliyiz” cümlesinden daha faydalı olan, bu ölçümlerin bir önceki aya göre değişimidir.
Sık sorulan sorular
Küçük işletmeler için antivirüs yeterli mi?
Hayır. Uç nokta güvenliği önemli bir katmandır; fakat kimlik avı, çalınan hesaplar, açık yönetim panelleri ve yanlış bulut izinleri için tek başına çözüm değildir.
Önce güvenlik duvarı mı yoksa sızma testi mi?
Önce varlıklarınızı ve en temel koruma eksiklerinizi belirleyin. Ardından riskinize göre konfigürasyon değerlendirmesi ve yetkili test yaptırın. Her şirkete uyan tek bir sıra yoktur.
Siber güvenlikte sıfır risk mümkün mü?
Hayır. Hedef; olasılığı azaltmak, saldırıyı erken fark etmek, etki alanını sınırlamak ve hizmetleri güvenilir şekilde geri getirebilmektir.
Sonuç: KOBİ güvenliği “bir gün yapılacak büyük dönüşüm” olmak zorunda değil. Bugün envanter, MFA ve yedek geri yükleme testiyle başlayın; sonraki 90 günde bunu ölçülebilir bir programa dönüştürün. Ancyra’nın siber güvenlik çalışmalarını ve kuruma özel güvenlik yazılımı yaklaşımını inceleyerek ihtiyaçlarınıza uygun kapsamı değerlendirebilirsiniz.
Kaynaklar: Verizon DBIR 2026 · NIST CSF 2.0 KOBİ rehberi · CISA KEV önceliklendirmesi