Kurumsal Siber Güvenlik: Değişen Tehditler ve Savunma Öncelikleri

Siber güvenlik uzun süre bir “BT departmanı konusu” olarak görüldü. Bugün ise bir veri ihlali; üretimin durması, müşteri kaybı, yasal yaptırım ve itibar zedelenmesi anlamına geliyor. Yani teknik bir mesele olmaktan çıkıp doğrudan iş sürekliliği meselesi hâline geldi.
Tehditlerin şekli de değişti. Saldırganlar artık tek bir güvenlik açığını zorlamak yerine, en zayıf halkayı arıyor: çoğu zaman bu bir yazılım açığı değil, bir parola ya da bir e-posta oluyor.

Günümüzde kurumsal sistemlere yapılan saldırıların büyük bölümü sofistike bir istismarla değil, çalınmış ya da tahmin edilmiş bir parolayla başlıyor.
Dağıtık ve yavaş saldırılar
- Klasik kaba kuvvet saldırısı tek bir adresten yüzlerce deneme yapardı ve kolayca engellenirdi. Bugünün saldırıları yüzlerce farklı IP adresine bölünüyor; her adres yalnızca bir iki deneme yapıp çekiliyor.
- Bu kalıp, eşik değerine göre çalışan koruma sistemlerinin altından geçmek için tasarlanmış. “On dakikada beş hatalı giriş” kuralı, IP başına bir deneme yapan bir saldırıyı hiç görmez.
Parola tekrarı
- Aynı parolanın birden fazla hesapta kullanılması, tek bir hesabın kırılmasını topyekûn ihlale dönüştürür. Bir kutunun parolası ele geçtiğinde, aynı parolayı paylaşan diğer tüm hesaplar da düşmüş sayılır.
- Bu risk özellikle kurum içinde standart bir parolayla açılan hesaplarda görülür; kolaylık olsun diye yapılan bir tercih, saldırgan için tek anahtarla açılan bir kapıya dönüşür.

Fidye yazılımları artık yalnızca verinizi şifrelemiyor; şifrelemeden önce kopyalıyor. Yedekten geri dönseniz bile “ödemezseniz veriyi yayınlarız” baskısı devam ediyor.
Bu nedenle yedek almak tek başına yeterli bir savunma değil. Yedeklerin çevrimdışı ve değiştirilemez olması, geri dönüş süresinin ölçülmüş olması ve sızma anının tespit edilebilmesi gerekiyor.

Kendi sisteminiz güvenli olsa bile, kullandığınız bir yazılımın güncelleme sunucusu ya da bir tedarikçinizin erişim yetkisi zayıf halka olabilir.
Üçüncü taraflara verilen erişimlerin kapsamı, süresi ve izlenebilirliği çoğu kurumda belirsizdir. “Kim, hangi sisteme, ne zamana kadar erişebiliyor?” sorusunun yazılı bir yanıtı yoksa risk yönetilemiyor demektir.

Oltalama e-postalarını yıllarca bozuk dilbilgisinden ayırt edebiliyorduk. Üretken yapay zeka bu ayrımı ortadan kaldırdı: artık kusursuz Türkçe, kurum içi üsluba uygun, hatta geçmiş yazışmalara atıf yapan mesajlar üretilebiliyor.
Ses ve görüntü taklidi (deepfake) ile yapılan yönlendirmeler, özellikle ödeme talimatı süreçlerinde ciddi bir tehdit oluşturuyor. Teknik kontrol kadar, kritik işlemler için ikinci kanaldan doğrulama alışkanlığı gerekiyor.

Kurumunuza ait bir parola, çoğu zaman sizin sisteminizden değil, çalışanınızın kullandığı başka bir servisin ihlalinden sızar. Bu bilgiler dark web pazarlarında toplu hâlde satılır.
Bu yüzden savunmanın bir ayağı da dışarıyı izlemektir: kurum alan adınıza ait kimlik bilgilerinin sızıp sızmadığını düzenli taramak, saldırı gerçekleşmeden önce müdahale imkânı verir.

Çok faktörlü kimlik doğrulama (MFA). Tek başına en yüksek getirili önlem. Parola çalınsa bile girişi engeller. Öncelik yönetici hesapları, uzaktan erişim ve e-posta olmalı.
Parola politikası ve tekrarın önlenmesi. Yalnızca karmaşıklık kuralı yetmez; aynı parolanın birden fazla hesapta kullanılmaması asıl kritik olan.
Ağ seviyesinde erişim denetimi. Yönetim panelleri ve altyapı arayüzleri internete tamamen açık durmamalı; IP kısıtlaması ya da sıfır güven (zero trust) yaklaşımıyla erişim daraltılmalı.
Kayıt tutma ve izleme. Bir ihlalin ne zaman başladığını bilmiyorsanız kapsamını da belirleyemezsiniz. Kimlik doğrulama kayıtları en az 90 gün saklanmalı ve düzenli incelenmeli.
Düzenli sızma testi. Yılda bir kez yapılan denetim, sistemler sürekli değişirken yetersiz kalır. Otomatik ve sürekli tarama, noktasal testle birlikte yürümelidir.

Envanterle başlayın: hangi sistemler internete açık, hangi hesaplar mevcut, hangileri aktif olarak kullanılıyor? Çoğu kurum, kullanılmayan ama hâlâ yetkili hesapların varlığını fark ettiğinde şaşırır.
Ardından en yüksek etkili önlemi uygulayın — bu neredeyse her zaman MFA'dır. Mükemmel bir güvenlik programı kurmayı beklemeden, en olası saldırı yolunu kapatın.
Son olarak ölçün. Kaç hesapta MFA açık, kaç sistem izleniyor, son sızma testi ne zaman yapıldı? Ölçülmeyen bir güvenlik seviyesi yönetilemez.

Siber güvenlik, bir kez kurulup bitirilen bir proje değil; sürekli işletilen bir süreçtir. Tehditler değiştikçe savunmanın da değişmesi gerekir.
Helix Teknoloji olarak güvenlik denetimi, sızma testi, ağ erişim kontrolü ve sürekli izleme hizmetlerimizle; ayrıca veri sızıntısı tarama platformumuz RadarSonic ile kurumların risklerini görünür kılıyor ve yönetilebilir hâle getiriyoruz.