Küçük İşletmenizi Veri İhlalinden Nasıl Korursunuz?

Siber güvenlik , günümüzün siber tehdit ortamında birçok sektörde her ölçekten işletmeyi etkileyen bir sorun haline geldi.

On yıl önce bilgisayar korsanları, Target veya Yahoo! Tek bir ağ ihlaliyle büyük miktarda satılabilir veriyi yakalamayı umarak, bugün genellikle küçük perakendecileri ve hizmet sağlayıcıları hedef alıyorlar.

Tek bir veri ihlalinin toplam maliyeti 2018'de ortalama 4 milyon dolardan fazlaydı ve bu maliyetlerin artmaya devam etmesi muhtemel.

Benzin istasyonları, restoranlar ve oteller gibi küçük perakendeciler ve bayilikler, hiçbir işletmenin hedef olamayacak kadar küçük olmadığını gösteren artan sayıda veri ihlallerinin kurbanı olmaya devam ediyor.

Bu makalede, küçük işletmelerde veri ihlallerinin nasıl ve neden gerçekleştiğini ele alacağız ve ardından, saldırıya uğramamak için izleyebilecekleri en iyi dokuz uygulamayı açıklayacağız.

Resim | Pixabay

Veri İhlali Nedir?

Veri ihlali , özel veya değerli verilerin yetkisiz olarak serbest bırakılmasıdır .

Haberlerde sıkça duyduğumuz klasik veri ihlali bir ağ saldırısıdır.

Dışarıdan bilgisayar korsanları , bazen dünyanın diğer ucunda güvenli bir şekilde otururken, bir şirketin ağına erişim kazanır ve çalınan verileri internet üzerinden kendilerine aktarır. Bilgisayar korsanları ayrıca bir şirketin BT sistemlerini inatla devre dışı bırakabilir.

Veri ihlalleri bazen içerdekiler verileri çaldığında ve serbest bıraktığında meydana gelir.

En yaygın aktörler?

Hoşnutsuz veya yakın zamanda işten atılan bir çalışan veya rüşvet kabul eden veya iyi güvenlik önlemlerine sahip olmayan ve şirket verilerini çalmak için dışarıdan bir suçlunun giriş noktası haline gelen üçüncü taraf yüklenici.

Bir veri ihlalinin gerçekleşmesinin üçüncü yolu, yanlışlıkladır . Bazen BT personeli veya diğer çalışanlar, verileri internette kamuya açık olarak bırakır.

Başka bir örnek, çalışanların bir şirket dizüstü bilgisayarını halka açık bir yerde unutması veya çalınmasıdır.

Bu ihlaller, dikkatsizlik ve zayıf güvenlik politikaları nedeniyle gerçekleşir.

Veri İhlalleri Nasıl Olur?

Her siber güvenlik uzmanının aklındaki soru şudur: “Bir veri ihlali nasıl olabilir?”

Zor bir soru çünkü birçok cevabı var ve hepsini önceden tahmin etmek zor.

Güvenlik politikaları ve personel, suçluların güvenliklerini ihlal etmesinin bir yolunu görmediği için veri ihlalleri sıklıkla meydana gelir.

Bununla birlikte, bilgisayar korsanlarının özel iş (veya kişisel) ağlara girmesinin birkaç yaygın yolu vardır:

• E-posta kimlik avı : Bu, şirket ağlarının bir ihlal yaşamasının en yaygın yoludur. Kimlik avı e-postalarının temel amacı, çalışanların kimlik bilgilerini başarıyla çalmak veya onları iş bilgisayarlarına kötü amaçlı yazılım indirmeleri için kandırmaktır. Bilgisayar korsanları, çalışanları sahte bir e-postanın yasal bir iş iletişimi veya satıcılardan gelen bir e-posta olduğuna inandırır. Bir çalışanın bu saldırıya yakalanma olasılığı her zaman küçüktür, bu nedenle bilgisayar korsanları, gerçekleşmesini bekleyen hedeflerine sürekli bir kimlik avı e-postası gönderir. Erişim elde etmek için genellikle tek bir tıklama yeterlidir.

Resim | Pixabay

• Sıfırıncı gün istismarları : Sıfırıncı gün istismarı, üreticisi tarafından keşfedilmemiş bir yazılım kusurudur. "Sıfır gün", hatayı düzeltmeye başladıkları günün henüz gelmediği anlamına gelir.
  Bir istismar yalnızca bilgisayar korsanları tarafından bilindiği sürece, bilgisayar ağlarına fark edilmeden girmek için bunu kullanmaya devam edebilirler.
• Drive-by indirmeleri : Web siteleri, arka planda çalışan birçok komut dosyası yükler - çoğunlukla web tarayıcılarında reklam sunmak için. Reklam yerleştirme ağlarına kötü amaçlı bir komut dosyası enjekte edildiğinde, bir çalışanın bilgisi olmadan bilgisayara kötü amaçlı yazılım yüklemek için istismarları kullanabilir.
• Sosyal mühendislik saldırıları : Sosyal mühendislik, sahtekarlık için süslü bir terimdir. Bu saldırılar, telefon görüşmeleri sırasında şirket çalışanlarının, polis müfettişlerinin veya müşterilerin kimliğine bürünmeyi içerebilir.
  Ayrıca, çalışan rozetlerini çalmayı ve bunları işyerine erişmek için kullanmayı da içerebilirler.

Veri İhlalinin Sonuçları

Bir veri ihlali, bir işletmeyi finansal, maddi ve maddi olmayan birçok maliyete maruz bırakacaktır.

Bir soruşturma, ihlale gevşek güvenliğin neden olduğunu gösterirse , acil finansal maliyetler davalar, para cezaları ve sözleşme cezaları şeklinde olabilir.

Müşterilerin toplu dava açması muhtemeldir ve bir şirketin markası, kamuoyuna çokça duyurulan bir ihlalden sonra yıllarca zarar görecektir.

Müşterileri adına kredi kartı işlemleri yapan işletmeler, müşteri ödeme verileri çalındığında hem yasal para cezalarına hem de kredi kartı satıcıları ile sözleşme cezalarına maruz kalmaktadır.

Müteakip finansal dolandırıcılık nedeniyle para kaybeden bankalar, ihlal edilen şirketi sorumluluk için takip edebilir.

Finans ve sağlık sektörlerinde yer alan şirketler ayrıca müşteri ve hasta kayıtlarının ve finansal bilgilerin gizliliğini güvence altına almak için katı düzenleyici gerekliliklere tabidir.

Bunların güvenliğinin sağlanamaması, bir veri ihlalinden sonra ortaya çıkması muhtemel diğer maliyetlerle birleştiğinde küçük işletmeleri sakat bırakabilecek veya iflas ettirebilecek cezalara neden olacaktır.

Bir veri ihlali, bir işletmenin markasına ve küçük firmaları işsiz bırakacak kadar finansmana zarar verebilir , ancak yerel ve eyalet hükümetlerinin başına geldiğinde sonuçları korkunç olabilir.

BT sistemlerinde meydana gelen aksama, Atlanta şehri bir fidye yazılımı saldırısına uğradığında olduğu gibi, devlet kurumlarının topluluğa temel hizmetler sunmasını engelleyebilir .

Veri İhlalinden Kaçınmanın Yolları

BT personeline özel güvenlik uzmanları eklemeyi göze alamayan küçük işletmeler için siber güvenliği uygulamak zordur.

İster içeriden dolandırıcılık ister dışarıdan gelen bilgisayar korsanlarından kaynaklansın, işletmenizi veri ihlallerinden daha güvenli hale getirebilecek birkaç temel kural vardır.

Resim | Pixabay

1. Dışarıdan güvenlik danışmanları işe alın: Şirketinizin bir güvenlik planı yoksa, ilk adım, bir tane oluşturmanıza yardımcı olacak danışmanlar getirmektir. Bu seçenek, kalıcı personel kiralamaktan daha ucuzdur ve kapsamlı bir güvenlik değerlendirmesi ve takip etmeniz gereken öneriler alırsınız.
2. Tüm verileri koruyun : Veri ihlalleri yalnızca ağ saldırıları değildir. Ayrıca verilerinizin fiziksel güvenliğini de değerlendirmelisiniz. Suçlular işinize sızabilir mi? Çalışanlar kağıt veya elektronik hassas kayıtlara erişebilir ve bunları çalabilir mi? Herhangi bir biçimde güvenli olmayan veriler bulursanız, bunlara erişimi kısıtlamanın yollarını bulun.
3. Yalnızca ihtiyacınız olan verileri saklayın: Bir veri ihlalinin zararını en aza indirmenin bir yolu, bu gerçekleştiğinde müşteri ve çalışan verilerinin elinizde olmamasıdır. Sahip olmak için iyi bir politika, yalnızca gerekli olan verileri depolamak ve amacına hizmet ettikten sonra atmaktır. Bir örnek, bir satın alma yaptıktan sonra müşteri işlem ayrıntılarını saklamamaktır.
4. Çalışanları yaygın hacker taktikleri hakkında eğitin : Ağ güvenliğinin en zayıf noktası çalışanlarınızdır.
   Çoğu veri ihlali, bir çalışanın kötü amaçlı yazılım yükleyen veya hesap kimlik bilgilerini veren bir bağlantıya tıklayarak e-posta kimlik avı girişimine düşmesiyle başlar. Güvenlik konusunda bilgili bir iş gücünüz olduğunda, bilgisayar korsanlarının başarılı olması daha zor olacaktır.
5. Yazılımınızı güncel tutun : Bilgisayar korsanlarının özel ağları ihlal etmenin en yaygın ikinci yolu, erişim elde etmek için bir yazılım zayıflığından yararlanmaktır. Yazılım satıcıları güvenlik yamaları sık sık yayınlar ve çoğu zaman yazılımınızı internet üzerinden otomatik olarak güncellenecek şekilde yapılandırabilirsiniz.
6. Taşınabilir depolama cihazlarının kullanımını kısıtlayın : USB çubukları, bilgisayar korsanlarının özel bir ağdaki bilgisayarlara bulaşması için uygun araçlardır. Bazen işyerinize erişmek için çalışanları veya müteahhitleri taklit edecekler ve bir USB çubuğu takarak bilgisayarlara kötü amaçlı yazılım bulaştıracaklar.
   Hatta birisinin içeriğini kontrol etmek için bilgisayara bağlayacağını bilerek onları yere düşürebilirler.
7. Web sitelerini ve ağları bir güvenlik hizmetiyle koruyun : Güvenlik hizmetleri, işletmelerin web sitelerini ve ağlarını ihlallere karşı savunmasına yardımcı olur. Şüpheli etkinlikler için ağlarını sürekli olarak izlerler ve hemen kırmızı bayraklar çıkarırlar. Çoğu ihlalin yürütülmesi haftalar veya aylar alır, bu nedenle izinsiz giriş yapanların hızlı tespiti, izlerinde ağ ihlallerini durdurmak için çok önemlidir.
8. Tüm veri aktarımlarını şifreleyin : Bugün, herhangi birinin, özel anahtarlar olmadan deşifre etmek için verilere erişmesini engelleyen güçlü şifreleme mevcuttur. Sağlam bir şifreleme politikası uygularsanız, bilgisayar korsanları bir veri ihlali sırasında çaldıkları verileri kullanamaz.
9. Yönetici haklarını kontrol edin: Bilgisayar korsanlarının, verilerinizi çalmak için ağınıza erişim sağladıklarında tam yönetici ayrıcalıkları kazanmaları gerekir. Ağ yöneticisi hesaplarınızın güvenliğini ciddiye alarak olası bir veri ihlalini önleyebilirsiniz. Yönetici hesaplarının sayısını sınırlayın, onlara yalnızca ihtiyaç duydukları ayrıcalıkları verin ve onları korumak için güçlü parolalar kullanın.

Son düşünceler

Veri ihlallerinin sıklığı ve mağdur olmanın yüksek maliyeti, her şirketin güçlü bir güvenlik planı oluşturmasını ve buna bağlı kalmasını zorunlu kılıyor.

Bir veri ihlalini önlemenin bir yolu olmasa da, uygun hazırlıkla bunun neden olduğu zararları en aza indirebilirsiniz.

Küçük işletmeler , siber güvenlik firmalarına danışarak ve bir dizi pratik güvenlik politikası izleyerek verilerini güvende tutabilir. Bu güvenlik politikaları, yazılımın güncel tutulmasını, ağların yetkisiz erişimi önlemek için uygun şekilde yapılandırılmasını sağlamayı içerir.

Güvenliğinizin yalnızca en zayıf halkanız kadar güçlü olduğunu asla unutmayın ve stratejinizin bir parçası olarak siber güvenlik konusunda çalışan eğitimini dahil ettiğinizden emin olun.

Çalışanlarınız şüpheli e-postalardan nasıl uzak duracaklarını ve açıktayken iş dizüstü bilgisayarlarını güvende tutma konusunda iyi uygulamaları öğrendiğinde, mağdur olma olasılığını azaltacaksınız.

Sağlam bir güvenlik planı ve onu uygulama isteği, büyük veya küçük işletmeleri güvence altına almanın anahtarıdır.