Kamu ve özel sektör kurumlarında bilişim teknolojilerine olan bağımlılığın artmasıyla siber alanda yaşanan riskler de artıyor. Siber suçluların bir yöntem olarak kullandığı sosyal mühendislik gibi insan temelli saldırıların riskini azaltmak için çalışanların siber güvenliğe ilişkin konularda daha fazla bilgilendirilmeleri gerekiyor.
Şirketler için en önemli risk unsurları içerisinde yer almaya başlayan siber saldırılara alınacak önlemler artık sadece şirket ekonomisini değil ülke ekonomisini de ilgilendiriyor. ESET Türkiye Genel Müdür Yardımcısı Alev Akkoyunlu, siber saldırıları önlemek için kurumların dikkat etmesi gereken 10 konuyu sıraladı.
- Mobil cihazların kullanımına dikkat edilmeli: Çalışanların her yerden şirket verilerine ulaşmaya çalışması, gerekli güvenlik kuralları oluşturulmaması siber suçluların da her yerden bu bilgiye ulaşabileceği anlamına geliyor. Bu gözden kaçırılmamalı.
- Kurum içi güvenlik politikası oluşturulmalı: Güvenlik politikası bütün kullanıcılar veya kullanıcı grupları için erişim kurallarını ve haklarını açıkça belirtmelidir.
- Sorumluluklar belirlenmeli: Kurumun bilgi güvenliği politikası uyarınca personele düşen güvenlik rol ve sorumlulukları belgelenmeli; işe alınacak personele yüklenecek rol ve sorumluluklar açıkça tanımlanmış ve işe alınmadan önce personel tarafından iyice anlaşılması sağlanmış olmalıdır.
- Çalışanlara eğitim: Çalışanlara düzenli periyotlarda güvenlik eğitimleri verilmelidir.
- BT ekibine eğitim: IT ekibinin de kullandığı uygulamalar ile ilgili düzenli eğitim alması gerekmektedir. Böylece kurum hatalı kurulum ve kullanıma maruz kalmayacaktır.
- Güçlü şifreler kullanılmalı: Sistem kullanımında zayıf şifrelere engel olunmalı, alfa nümerik, üç ayda bir değişen şifreler düzenlenmeli ve benzer şifrelerin tekrar kullanılması engellenmelidir.
- Envanter raporu tutulmalı: Tüm teknoloji varlıklarını içeren bir envanter raporu düzenli olarak tutulmalıdır. Yeni sistemlerin geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmalıdır.
- Yedekleme yapılmalı: Bilgi işlem sistemlerinde yapılan değişiklikler denetlenmeli ve yapılan değişiklikler için kayıtlar tutulmalıdır. Yedekleme politikası uyarınca bilgi ve yazılımların yedeklenmesi ve yedeklerin test edilmesi düzenli olarak yapılmalıdır.
- İş sürekliliği yönetimi gerekli: Kurum bünyesinde bilgi güvenliği ihtiyaçlarına yer veren iş sürekliliği için geliştirilmiş bir süreç oluşturulmalı. Bu süreç, iş sürekliliği ile ilgili olarak kuruluşun yüz yüze olduğu riskleri, kritik iş süreçleri ile ilgili varlıkları, bilgi güvenliği olayları yüzünden gerçekleşebilecek kesintilerin etkisini, ilave önleyici tedbirlerin belirlenmesi ve uygulanmasını, bilgi güvenliğini de içeren iş sürekliliği planlarının belgelenmesi konularını içermelidir.
- Güvenlik yazılımı olmalı: Güvenlik yazılım ve donanımları istisnasız tüm çalışanlar tarafından kullanılmalıdır. Kurum bünyesinde güncel ve lisanslı yazılımlar kullanılmalı. Eski veya korsan yazılımlar, yeni güvenlik tehditlerine cevap vermekte zorlanır.
