Siber Güvenlik Standartlarıyla Hack ve Fidyeye (Ransomware) Karşı Veri Koruma

Garantisi yoktur; ödeme yapan şirketlerin önemli bir kısmı verisinin tamamını geri alamamaktadır. Çifte şantaj saldırılarında veri zaten dışarı kopyalandığı için ödeme ifşa riskini de ortadan kaldırmaz; üstelik ödeyen şirketler tekrar hedef listesine girer. Doğru yol, temiz yedekten dönmek ve açığı kalıcı olarak kapatmaktır. Yedeğiniz yoksa bir güvenlik uzmanıyla şifre çözücü (decryptor) alternatiflerini değerlendirin.

Üç ana tür vardır: kilitleyici (locker) tür ekranı ve temel işlevleri kilitler ama dosyalara genelde dokunmaz; şifreleyici (crypto) tür dosyaları şifreler ve en yaygın olanıdır; çifte şantaj (double extortion) ise veriyi önce dışarı sızdırır, sonra şifreler — yedeğiniz olsa bile ifşa tehdidiyle ödeme istenir. WannaCry (2017) tek bir yamasız açıkla 150'den fazla ülkeye yayılmıştı. Türü bilmek, müdahale ve bildirim adımlarını belirler.

Toplu dosya uzantısı değişimi, olağan dışı işlemci ve disk yükü, mesai dışı yönetici girişleri, olağan dışı hacimde veri çekimi ve yedek servislerinin durdurulması en güçlü sinyallerdir. Sızma ile şifreleme arasında çoğu zaman günler vardır; bu sinyaller loglanıp otomatik uyarıya bağlanırsa saldırı, şifreleme başlamadan durdurulabilir. Logsuz sistemde bu pencere tamamen kaçırılır. Edge Bilişim olarak uyarı eşiklerini varsayılan bırakmıyoruz: mesai dışı yönetici girişi ve tek oturumda toplu kayıt dışa aktarımı için sınırları müşterinin gerçek çalışma saatlerine göre belirliyor, ilk iki hafta yanlış alarm oranını sayıp eşikleri yeniden ayarlıyoruz. Aynı kayıtlar iş zekası (BI) dashboard'unda tek ekranda izlenebilir hâle getirilebilir.

Verinin en az üç kopyasının, iki farklı ortamda, bir kopyasının dış lokasyonda tutulmasıdır. Fidye senaryosu için buna sürümleme (geçmiş temiz noktaya dönüş) ve değiştirilemez (immutable) kopya eklenmelidir; sunucuya sürekli bağlı disk yedek sayılmaz çünkü saldırgan onu da şifreler. Son kural: geri yükleme düzenli test edilmelidir — açılmayan yedek, yedek değildir.

Genel bir yasal zorunluluk değildir; ancak enerji ve telekom gibi düzenlenen sektörlerde, kamu ihalelerinde ve kurumsal tedarik zincirlerinde giderek daha sık şart koşulmaktadır. Yurt dışına iş yapan yazılım ve üretim firmalarından da denetim raporu istenebiliyor. Sertifika hedeflemeseniz bile standardın kontrol listesi (erişim, yedekleme, olay yönetimi, tedarikçi güvenliği) sağlam bir yol haritasıdır.

Bilgisayara kurulan eski nesil programlar çoğu zaman güncelleme almaz, bilinen açıkları kapanmaz ve yerel ağda bağlantı noktalarını açık bırakır; tek bir bulaşma tüm veriye ulaşabilir. Üretici desteği bittiyse yama çıkma ihtimali de yoktur. Erişim genelde tek bir zayıf parolaya dayandığı için fidye yazılımının en kolay hedefleri bu sistemlerdir.

Aynı kod binlerce sitede çalıştığı için açıkları herkesçe bilinir ve otomatik araçlarla taranır; güncellenmeyen tek bir eklenti tüm sistemi ele geçirtebilir. Korsan (nulled) tema ve scriptler ise çoğu zaman içine gömülü arka kapıyla gelir. Özel geliştirilmiş yazılımda bu geniş ortak saldırı yüzeyi yoktur; bağımlılıklar denetimli ve güncel tutulur.

Kişisel Verileri Koruma Kurulu kararı gereği ihlal, öğrenilmesinden itibaren 72 saat içinde Kuruma bildirilmelidir; etkilenen kişilere de makul en kısa sürede haber verilmelidir. Geç bildirim, ihlalin kendisinden bağımsız ayrı bir yaptırım nedenidir. Hangi verilere erişildiğini kanıtlayabilmek için detaylı log kayıtları kritiktir; logsuz sistemde bildirim içeriğini doldurmak neredeyse imkânsızdır.

Doğru yapılandırılmış bulut; fiziksel güvenlik, otomatik yama, yedeklilik ve profesyonel izleme sayesinde çoğu bakımsız yerel sunucudan daha güvenlidir. Ancak bulut da yanlış yapılandırılırsa (herkese açık depolama, zayıf erişim anahtarları) açık verir. Karar; veri hassasiyeti, yasal gereklilikler ve iç teknik kaynağınıza göre verilmelidir — kritik olan konum değil, yapılandırma disiplinidir.

Her kullanıcı yalnızca işi için gereken veriye erişir (en az yetki ilkesi); bir hesap ele geçirilse bile saldırganın ulaşabileceği alan sınırlı kalır. Depo personelinin finans ekranını görememesi gibi sınırlar sistematikleşir, tüm erişimler loglandığı için kimin neye ulaştığı her an izlenebilir. Bu, hem dış saldırıyı hem içeriden kaynaklanan riski aynı anda daraltan en ucuz önlemlerden biridir.

Oltalama (phishing) e-postası en yaygın giriş kapısıdır; teknik önlem ve eğitim birlikte çalışmalıdır. Kritik hesaplara iki faktörlü doğrulama (2FA), güçlü parola politikası ve düzenli farkındalık eğitimi ile oltalama tatbikatları temel pakettir. Ayrılan personelin erişimi aynı gün kapatılmalı; unutulan eski hesaplar aylar sonra bile açık kapı bırakır. Merkezi kullanıcı yönetimi bu süreci tek tıka indirir.

Genel kabul, yılda en az bir kez ve büyük mimari değişikliklerden (yeni modül, altyapı taşıma, birleşme) sonra tekrarlanmasıdır. Kapsam riske göre belirlenir: web uygulaması, iç ağ, sosyal mühendislik ayrı testlerdir ve maliyet kapsam ile sistem sayısına göre değişir. Asıl değer raporda değil devamındadır: bulgular kapatılmalı ve doğrulama testiyle kapandığı teyit edilmelidir.

Çok zor; kod tedarikçideyse yama için ona bağımlısınız ve müdahale kritik saatlerde gecikebilir. Sözleşme aşamasında kaynak kod teslimi, güvenlik açığına müdahale süresi (SLA) ve gizlilik yükümlülükleri yazılı olarak netleştirilmelidir; bu konuda NDA ve fikri mülkiyet koruması rehberimiz somut madde örnekleri içerir. Kod sizdeyse açığı dilediğiniz ekibe kapattırabilirsiniz; kontrol tamamen sizde olur.

Kart verisi sizin sunucunuzda saklanmaz; PCI DSS uyumlu ödeme kuruluşunda tutulur, iletişim SSL/TLS ile şifrelenir ve 3D Secure ile doğrulanır. Abonelik ve tekrarlayan tahsilatlarda kart yerine güvenli belirteç (token) kullanılır; bu kurgunun ayrıntılarını otomatik ödeme ve üyelik altyapıları rehberinde anlattık. Böylece siteniz ele geçirilse bile kart bilgisi sızacak yerde durmaz.

İnternete açık veritabanı ve yedeksizlik gibi kritik açıkların kapatılması günler içinde yapılabilir; tam modernizasyon ise kapsama göre birkaç hafta ile birkaç ay arasında sürer. Eski ve yeni sistem bir süre paralel çalıştığı için iş durmaz; veri doğrulanarak taşınır, eski yapı ancak yenisi kanıtlandıktan sonra kapatılır. Geçişi planlı bir özel web yazılımı projesi olarak yürütmek, güvenliği sonradan eklenen bir yama olmaktan çıkarıp mimarinin parçası yapar. Edge Bilişim'de eski sistemi kapatma kararı takvime değil kritere bağlanır: yeni sistemde bir tam ay kesintisiz çalışma, cari ve stok bakiyelerinin iki sistemde birebir eşleşmesi ve en az bir başarılı geri yükleme tatbikatı tamamlanmadan eski yapı kapatılmaz.