KOBİ ve fabrikalarda kurumsal siber güvenlik politikası nasıl hazırlanır? Parola kuralları, temiz masa, uzaktan erişim ve çalışan güvenlik protokolleri.
Hızlı Özet (TL;DR)
Dünyanın en pahalı güvenlik duvarlarını, en güçlü sunucularını ve en gelişmiş antivirüs yazılımlarını satın alsanız dahi; şirket içinde yazılı, net, uygulanabilir ve tüm çalışanlar tarafından imzalanarak benimsenmiş kurallar bütünü yoksa siber güvenliğiniz her zaman en zayıf halkanız olan insan faktörüne takılacaktır. Kurumsal Siber Güvenlik Politikası (Information Security Policy), yönetim kurulundan üretim sahasındaki operatöre kadar tüm personelin şirket bilgisayarlarını, internet hattını, e-postalarını, ERP sistemini ve taşınabilir veri medyalarını kullanırken uymakla yükümlü olduğu yasal, idari ve operasyonel davranış kurallarını belirleyen şirket anayasasıdır. Ayrıca 6698 sayılı KVKK ve ISO/IEC 27001 denetimlerinde “İdari Tedbirler” başlığı altında denetçilerin ilk talep ettiği resmi dokümandır.
Neden Sadece Yazılı Doküman Yetmez? (Politika ve Teknik Zorlama Eşleşmesi)
Birçok KOBİ ve üretim işletmesi, denetimlerden geçmek için internetten indirdiği hazır bir güvenlik prosedürünü klasöre koyup raflarda unutur. Ancak teknik sistemlerle (Active Directory GPO, Firewall, DLP) desteklenmeyen kağıt üzerindeki kurallar sahada asla uygulanmaz. Örneğin politikada “Şifreler en az 12 karakter olmalıdır” yazmasına rağmen Active Directory üzerinde 123456 şifresinin kabul edilmesine izin veriliyorsa, o politika işlevsizdir.
Gerçek bir kurumsal siber güvenlik mimarisinde her yazılı politika maddesi, arka planda otomatik çalışan bir teknik kontrol mekanizmasıyla (Technical Enforcement) eşleştirilmelidir:
| Politika Başlığı (İdari Kural) | İhlal Riski ve Sonucu | Teknik Zorlama (Enforcement) Mekanizması |
|---|---|---|
| Parola ve Kimlik Yönetimi Politikası | Kolay tahmin edilen ortak şifrelerle hesapların ele geçirilmesi | Active Directory GPO ile karmaşıklık zorunluluğu, 90 gün süre ve MFA (Çok Faktörlü Doğrulama) |
| Kabul Edilebilir Kullanım (AUP) | Lisanssız/Crackli yazılım kurulumu sonucu fidye yazılımı bulaşması | Standart kullanıcıların Local Admin yetkisinin alınması ve Uygulama Kontrolü (AppLocker) |
| Temiz Masa ve Temiz Ekran İlkesi | Açık bırakılan bilgisayardan yetkisiz kişilerin veri/mail okuması | GPO üzerinden 5 dakika hareketsizlik sonrası otomatik ekran kilitleme (Screen Saver Lock) |
| Taşınabilir Medya ve USB Politikası | Virüslü USB bellek takılması veya şirket verilerinin kopyalanması | DLP veri sızıntısı önleme veya GPO ile yabancı USB portlarının kapatılması |
| Uzaktan Erişim ve Mobil Çalışma | Açık RDP portları üzerinden sunucuların şifrelenmesi | Dış dünyaya açık RDP’nin kapatılması, yalnızca 2FA destekli SSL VPN ile erişim |
| İnternet ve Misafir Ağ Kullanımı | Zararlı sitelere giriş ve 5651 sayılı kanun kapsamında hukuki sorumluluk | Güvenlik duvarı çözümleri ile Web Filtreleme ve SMS doğrulamalı Hotspot loglama |
Bir Güvenlik Politikasında Bulunması Zorunlu 6 Temel Bölüm
KOBİ’lerde ve fabrikalarda hazırlanacak Kurumsal Bilgi Güvenliği Politikası; karmaşık hukuk terimlerinden arındırılmış, her çalışanın net olarak anlayabileceği şu 6 temel bölümden oluşmalıdır:
1. Parola, Kimlik ve Yetki Yönetimi Politikası
- Kurumsal hesap parolaları en az 10-12 karakter uzunluğunda olmalı; büyük harf, küçük harf, rakam ve özel sembol içermelidir.
- Parolalar kesinlikle Post-it kağıtlarına yazılıp monitör kenarına veya klavye altına yapıştırılamaz, iş arkadaşlarıyla (“Ben izindeyken benim şifremle girip faturayı kes”) paylaşılamaz. Her kullanıcı kendi kullanıcı hesabıyla yapılan tüm işlemlerden 5651 ve KVKK kapsamında bizzat sorumludur.
- Uzaktan erişim (VPN), kurumsal e-posta ve kritik yönetim panellerinde Çok Faktörlü Kimlik Doğrulama (MFA / 2FA) kullanımı zorunludur.
2. Kabul Edilebilir Kullanım Politikası (AUP - Acceptable Use Policy)
- Şirket tarafından tahsis edilen masaüstü/dizüstü bilgisayarlar, tabletler ve internet altyapısı yalnızca şirket işlerinin yürütülmesi amacıyla kullanılmalıdır.
- Bilgisayarlara IT departmanının yazılı onayı olmadan hiçbir program, ücretsiz araç, Torrent istemcisi, oyun veya lisanssız (Crack/Keygen) yazılım kurulamaz.
- Kurumsal e-posta adresi (
isim@sirketiniz.com.tr) kişisel sosyal medya hesaplarına, alışveriş sitelerine veya forumlara üye olmak için kullanılamaz; çünkü bu üçüncü parti siteler hacklendiğinde kurumsal e-posta şifresi de sızmaktadır.
3. Temiz Masa ve Temiz Ekran (Clean Desk / Clean Screen) Prosedürü
- Personel çalışma masasından kısa süreliğine dahi (çay molası, toplantı, lavabo) ayrılırken bilgisayar ekranını
Windows + Ltuş kombinasyonuyla kilitlemek zorundadır. - Müşteri teklifleri, maliyet analizleri, personel maaş bordroları ve AR-GE teknik çizimleri gibi fiziksel evraklar mesai bitiminde masa üzerinde açık bırakılamaz; kilitli dolaplarda saklanmalı, işi biten müsvedde evraklar ise çöpe atılmak yerine evrak imha makinesinden (Shredder) geçirilmelidir.
4. Harici Medya, Kişisel Cihaz (BYOD) ve Dosya Saklama Kuralları
- Çalışanlar iş verilerini kendi bilgisayarlarının masaüstünde (
C:\Users\...) değil, her gece otomatik yedeklenen merkezi ortak dosya sunucusu ve yedekleme klasörlerinde saklamak zorundadır. Masaüstünde tutulan ve sunucuya kaydedilmeyen verilerin kaybından kullanıcı sorumludur. - Şirket bilgisayarlarına promosyon olarak gelen veya kaynağı belirsiz kişisel USB bellekler takılamaz.
- Şirkete ait hiçbir dosya kişisel bulut hesaplarına (Kişisel Google Drive, iCloud, WeTransfer) yüklenemez.
5. Oltalama (Phishing) ve Siber Olay Bildirim Prosedürü
- Bankalardan, kargo firmalarından, resmi kurumlardan veya tedarikçilerden gelmiş gibi görünen şüpheli e-postalardaki ekler (
.zip,.iso,.exe,.xlsm) açılmamalıdır. - Özellikle CEO Dolandırıcılığı / IBAN Değişikliği saldırılarına karşı; e-posta ile gelen “Hesap numaramız değişti, ödemeyi şu yeni IBAN’a gönderin” talepleri, karşı taraf bilinen bir tedarikçi olsa dahi mutlaka telefonla sesli teyit alınmadan muhasebe tarafından işleme konulmamalıdır.
- Bir çalışan yanlışlıkla şüpheli bir bağlantıya tıkladığında korkup gizlemek yerine ilk 5 dakika içinde IT birimine haber vermelidir; erken bildirim tüm fabrikanın şifrelenmesini önler.
6. İşe Giriş ve İşten Çıkış (Onboarding / Offboarding) Kontrol Listesi
İnsan Kaynakları ve Bilgi İşlem departmanı ortak bir kontrol listesi (Checklist) işletmelidir. Yeni başlayan personele iş sözleşmesiyle birlikte Bilgi Güvenliği Taahhütnamesi imzalatılmalı; işten ayrılan personelin ise ayrılış saatinde Active Directory, e-posta, ERP ve VPN erişimleri eksiksiz kapatılarak zimmetindeki donanımlar tutanakla teslim alınmalıdır.
Politikalarınızı kağıt üzerinden gerçeğe dönüştürecek kurumsal denetim, ağ güvenliği ve yasal uyumluluk altyapısı için KVKK ve Siber Güvenlik sayfamızı inceleyin.
Kaynaklar
Sıkça Sorulan Sorular
Siber güvenlik politikasını çalışanlara imzalatmak hukuken neden önemlidir?
6698 sayılı KVKK ve 4857 sayılı İş Kanunu kapsamında; işverenin şirket bilgisayarlarını denetleyebilmesi, log tutabilmesi ve olası bir kasıtlı veri sızıntısı veya ağır ihmal durumunda haklı fesih / tazminat hakkını kullanabilmesi için, kuralların çalışana önceden yazılı olarak tebliğ edilmiş olması şarttır. İmzasız ve tebliğ edilmemiş kurallar mahkemelerde delil niteliği taşımaz.
Çalışanların güvenlik kurallarına gerçekten uyup uymadığını nasıl test edebiliriz?
Yılda en az 2 kez habersiz Oltalama Simülasyonu (Phishing Testi) ve fiziksel denetim yapılır. Çalışanlara zararsız ancak gerçekçi bir sahte kargo/fatura maili gönderilerek kimlerin linke tıkladığı ve kimlerin şifresini girdiği raporlanır; tıklayan personele ceza vermek yerine farkındalık eğitimi verilir.
Küçük ve orta ölçekli bir fabrikada güvenlik politikalarını devreye almak ne kadar sürer?
Mevcut ağ ve sunucu altyapısının analizi, departman bazlı klasör yetkilerinin düzenlenmesi, Active Directory grup ilkelerinin (GPO) devreye alınması ve yazılı politika dokümanlarının İK süreçlerine entegre edilmesi ortalama 1 ila 2 hafta içinde iş akışını hiç durdurmadan tamamlanır.