KOBİ E-posta Güvenliği Rehberi ve 30 Günlük Eylem Planı

KOBİ e-posta güvenliği, sınırlı bütçe ve küçük bir BT ekibiyle en büyük riskleri kapatan birkaç temel önleme odaklanmak demektir. Küçük işletmeler için en etkili adımlar; iki adımlı doğrulama, SPF, DKIM ve DMARC kayıtları, spam ve zararlı ek filtresi, düzenli yedek, çalışan eğitimi ve ödeme taleplerinin bağımsız bir kanaldan doğrulanmasıdır.

Bu rehber, bu önlemleri hangi sırayla uygulayacağınızı ve ilk 30 günü nasıl planlayacağınızı anlatıyor.

KOBİ'ler neden e-posta saldırılarının hedefinde?

Saldırganlar için önemli olan şirketin büyüklüğü değil, ne kadar kolay sonuç alabilecekleridir. Küçük işletmelerde sık görülen bazı durumlar riski artırır:

• Ödeme ve fatura süreçlerinin tek kişide toplanması, onayların e-postayla verilmesi
• Ayrı bir güvenlik ekibinin bulunmaması, ayarların kurulduğu günkü haliyle kalması
• Paylaşılan parolalar ve iki adımlı doğrulamanın açılmamış olması
• Büyük şirketlerin tedarik zincirinde yer almak: ele geçirilen bir KOBİ hesabı, müşterilere yönelik saldırılarda kullanılabilir

Sonuç çoğu zaman bir BEC dolandırıcılığı, sahte faturaya yapılan bir ödeme ya da fidye yazılımı bulaşmasıdır. İyi haber şu ki bu risklerin büyük kısmı pahalı olmayan önlemlerle azaltılabilir.

Öncelik sırası: önce neyi yapmalı?

Aşağıdaki sıralama, harcanan emeğe göre en fazla riski azaltan önlemlerden başlar:

1. İki adımlı doğrulama: Önce yönetici ve finans hesaplarında, ardından tüm posta kutularında açın. Çalınan bir parolanın tek başına işe yaramamasını sağlayan en ucuz önlemdir. Yöntem seçimi için iki adımlı doğrulama rehberimize bakabilirsiniz.
2. SPF, DKIM ve DMARC: Alan adınız adına sahte e-posta gönderilmesini zorlaştırır ve postalarınızın teslim edilebilirliğini artırır. DMARC için p=none ile başlayın, raporları inceledikten sonra sıkılaştırın.
3. Spam ve zararlı ek filtresi: Yürütülebilir dosyaları, makrolu Office belgelerini ve bunları içeren ZIP arşivlerini engelleyin. Ayrıntılar zararlı e-posta eki engelleme yazımızda.
4. Yedekleme: E-posta ve kritik dosyaların düzenli yedeğini alın, en az bir kopyayı ağdan ayrı tutun ve geri yüklemeyi deneyin. Bilinen 3-2-1 kuralı iyi bir başlangıçtır: üç kopya, iki farklı ortam, bir kopya farklı bir konumda.
5. Çalışan eğitimi: Yılda bir kez yapılan uzun bir sunum yerine kısa ve düzenli bilgilendirmeler daha etkilidir. Çalışanlar için e-posta güvenliği eğitimi yazımız içerik önerileri sunar.
6. Güncelleme politikası: İşletim sistemi, tarayıcı, ofis yazılımı, e-posta istemcisi ve web sitesi eklentileri için düzenli bir güncelleme günü belirleyin; destek süresi biten yazılımları planlı olarak değiştirin.
7. Ödeme doğrulama: IBAN değişikliği veya acil ödeme talebi e-postayla gelse bile, daha önce bilinen bir telefon numarasından aranarak doğrulanmadan işlem yapılmamalıdır.

Paylaşılan kutular ve eski çalışan hesapları

Küçük işletmelerde sık gözden kaçan risklerden biri, kimin kullandığı belli olmayan hesaplardır. info@, muhasebe@ gibi ortak kutuların parolası çoğu zaman birkaç kişi arasında dolaşır ve yıllarca değişmez. Ayrılan çalışanların hesapları açık kalır, bazı kutular kişisel adreslere otomatik yönlendirilir. Bu hesaplar saldırganlar için kolay bir giriş kapısıdır. Ortak kutuları kişisel hesaplar üzerinden yetkiyle erişilen yapılara taşıyın, ayrılan çalışanın hesabını aynı gün kapatın ve dış adreslere otomatik yönlendirmeleri düzenli olarak gözden geçirin.

Bütçe dostu yaklaşım nasıl olmalı?

Güvenlik bütçesi sınırlı olan bir işletme için doğru önceliklendirme, pahalı ürünlerden daha önemlidir. Şu ilkeler maliyeti düşük tutar:

• Elinizdekini kullanın: Microsoft 365, Google Workspace ve hosting panellerinin çoğunda iki adımlı doğrulama ve temel filtreler zaten bulunur; yalnızca açılmaları gerekir.
• Ücretsiz araçlardan yararlanın: Alan adı kayıtlarınızı denetleyen araçlar ve DMARC raporları, ek maliyet olmadan değerli bilgi verir.
• Riski en yüksek hesaplardan başlayın: Finans, yönetim ve insan kaynakları posta kutuları öncelikli korunmalıdır.
• Bakımı dışarıya bırakın: Kendi filtre sunucunuzu kurup güncellemek yerine yönetilen bir hizmet kullanmak, küçük ekiplerin zamanını korur.

Örneğin MXZilla, sunucu kurmanıza gerek kalmadan spam ve virüs filtresi, makrolu belge engeli ve markalı günlük karantina özeti sunar; çalışanlar karantinadaki meşru bir postayı özetteki bağlantıyla tek tıkla teslim alabilir.

30 günlük uygulama planı

Aşağıdaki plan, tam zamanlı bir güvenlik uzmanı olmayan bir işletmenin dört haftada temel korumayı kurmasını hedefler:

Otuz günün sonunda DMARC raporlarında tüm meşru gönderen kaynaklar doğrulanıyorsa politikayı kademeli olarak quarantine ve reject seviyesine taşıyabilirsiniz. Kontrolleri üç ayda bir tekrarlamak yapılanların kalıcı olmasını sağlar. Daha ayrıntılı bir denetim için e-posta güvenliği kontrol listesi yazımızı kullanabilirsiniz.

Ödeme doğrulama neden bu kadar önemli?

Teknik önlemler sahte bir e-postayı her zaman yakalayamaz. Özellikle gerçek bir tedarikçinin ele geçirilmiş hesabından gönderilen sahte fatura e-postaları kimlik doğrulama kontrollerinden geçebilir. Bu yüzden son savunma hattı süreçtir:

• Banka hesap bilgisi değişiklikleri yalnızca e-postayla kabul edilmez, kayıtlı numaradan aranarak teyit edilir.
• Belirli bir tutarın üzerindeki ödemeler iki kişinin onayıyla yapılır.
• "Acil", "gizli", "kimseye söyleme" gibi baskı ifadeleri uyarı işareti kabul edilir.
• Yönetici adına gelen olağan dışı talepler başka bir kanaldan doğrulanır.

Bir şey ters giderse ne yapmalı?

Bir hesabın ele geçirildiğinden veya sahte bir ödeme yapıldığından şüpheleniyorsanız hızlı davranın:

1. Hesabın parolasını değiştirin, açık oturumları kapatın ve iki adımlı doğrulamayı kontrol edin.
2. Posta kutusundaki yönlendirme ve gelen kutusu kurallarını inceleyin; saldırganlar fark edilmesi zor kurallar bırakabilir.
3. Ödeme yapıldıysa vakit kaybetmeden bankanızı arayın.
4. Etkilenen müşteri ve tedarikçileri bilgilendirin.
5. Kişisel veriler etkilendiyse KVKK kapsamındaki bildirim yükümlülüğünü değerlendirin; Kurul'a bildirim için ihlalin öğrenilmesinden itibaren 72 saat esas alınır.

Belirtiler ve ayrıntılı adımlar için ele geçirilmiş e-posta hesabı belirtileri yazımıza bakabilirsiniz.

KVKK'ya ilişkin bu bilgiler genel niteliktedir ve hukuki danışmanlık değildir; somut bir olayda bir avukata danışın.

İlk adım olarak alan adınızın durumunu ücretsiz güvenlik kontrolü ile görebilir, ihtiyacınıza uygun seçenekleri paketler bölümünde karşılaştırabilir veya doğrudan hesap oluşturabilirsiniz.

Sık sorulan sorular

Küçük bir şirket için e-posta güvenliği pahalı mı?

Mutlaka değil. İki adımlı doğrulama, SPF, DKIM ve DMARC kayıtları ve ödeme doğrulama prosedürü çoğu zaman ek lisans gerektirmez. Filtreleme ve yedekleme için yönetilen hizmetler, kendi sunucunuzu işletmeye göre genellikle daha öngörülebilir bir maliyet sunar.

Microsoft 365 veya Google Workspace kullanıyorsak ayrıca bir şey yapmamız gerekir mi?

Evet, bu hizmetler güçlü bir temel sağlar ama ayarların bir kısmını sizin açmanız gerekir. İki adımlı doğrulamayı zorunlu kılmak, DNS kayıtlarını tamamlamak ve ödeme süreçlerini düzenlemek sizin sorumluluğunuzdadır. Platforma özel öneriler için Microsoft 365 ve Google Workspace rehberlerimize bakabilirsiniz.

DMARC'ı hemen reject yapabilir miyiz?

Önerilmez. Önce p=none ile raporları toplayın ve alan adınız adına gönderim yapan muhasebe yazılımı veya e-bülten aracı gibi tüm meşru servisleri SPF ve DKIM ile doğrulayın. Aksi halde kendi meşru postalarınız reddedilebilir.

Çalışan eğitimi ne sıklıkla yapılmalı?

Yılda bir kez yapılan uzun bir eğitim yerine, birkaç ayda bir verilen kısa bilgilendirmeler ve gerçekçi örnekler daha kalıcı sonuç verir. Yeni başlayan her çalışana ilk haftasında temel kurallar anlatılmalıdır. Güncel sahte e-posta örneklerini paylaşmak da farkındalığı canlı tutar.

IBAN değişikliği bildiren bir e-posta gelirse ne yapmalıyız?

E-postadaki bilgiye göre işlem yapmayın ve doğrulamayı aynı e-postayı yanıtlayarak istemeyin. Tedarikçiyi önceki kayıtlarınızda bulunan telefon numarasından arayarak değişikliği teyit edin. Şüphe varsa ödemeyi durdurun ve e-postayı BT sorumlunuza iletin.