KOBİ Siber Güvenlik Önlemleri: 2026 Kontrol Listesi

KOBİ siber güvenlik önlemleri, küçük ve orta ölçekli işletmelerin e-posta, cihaz, web sitesi ve verilerini oltalama, fidye yazılımı ve dolandırıcılık gibi saldırılara karşı korumak için aldığı teknik ve idari tedbirlerdir. Çok faktörlü doğrulama, güncelleme, yedekleme, erişim sınırlaması ve e-posta kimlik doğrulaması bu önlemlerin temelini oluşturur.

Kişisel veri işleyen her işletme için bu önlemler aynı zamanda KVKK'nın veri güvenliği yükümlülüğünün parçasıdır. Bu yazıda tehditleri, temel kontrolleri, olay müdahalesini ve 72 saatlik ihlal bildirimini resmî kaynaklara dayanarak anlatıyoruz.

KOBİ'ler hangi siber tehditlerle karşı karşıya?

KOBİ'leri hedefleyen başlıca tehditler; kimlik bilgilerini veya ödeme talimatını hedefleyen oltalama, dosyaları kilitleyip fidye isteyen fidye yazılımları, sahte fatura ve IBAN değişikliğiyle yapılan iş e-postası dolandırıcılığı ve yapay zekâyla üretilmiş ses ya da görüntüyle yapılan taklitlerdir. Bu saldırılar teknik açıkların yanında dikkatsizlik ve aceleden de yararlanır.

Oltalama ve iş e-postası dolandırıcılığı

Oltalama, sahte e-posta, mesaj veya aramalarla kişiyi parola paylaşmaya, zararlı eki açmaya ya da para göndermeye yönlendirme girişimidir. İş e-postası dolandırıcılığında saldırgan, ele geçirdiği veya taklit ettiği bir kurumsal adresten tedarikçi ya da yönetici gibi görünerek ödeme hesabının değiştiğini bildirir. KVKK'nın güvenlik rehberi de zararlı yazılım içeren e-posta eklerinin açılmasını ihlal yolları arasında sayar.

Fidye yazılımı

Fidye yazılımı, cihazlardaki dosyaları kilitleyip açılmaları için fidye isteyen zararlı yazılımdır. KVKK rehberi bu riske karşı yedekleme stratejisi geliştirilmesini önerir ve yedeklerin mutlaka ağ dışında tutulması gerektiğini belirtir; aksi hâlde yedekler de aynı saldırıdan etkilenebilir.

Yapay zekâ ile ses ve görüntü taklidi

Üretken yapay zekâ araçları metin, ses ve görüntü üretmeyi kolaylaştırdı. Bu durum, bir yöneticinin sesini taklit eden acil ödeme aramalarını veya yazım hatası içermeyen sahte e-postaları mümkün kılıyor. Bu yüzden eski uyarı işaretlerine güvenmek yerine, acil ödeme ve parola taleplerini bilinen bir numaradan geri arayarak doğrulamak gerekir.

Temel siber güvenlik kontrolleri nelerdir?

Temel siber güvenlik kontrolleri, birçok yaygın saldırıyı zorlaştıran ve KVKK'nın da belirttiği gibi her zaman yüksek maliyet gerektirmeyen tedbirlerdir: çok faktörlü doğrulama, düzenli güncelleme, ağ dışında tutulan yedekler, görev gereğiyle sınırlı erişim, e-posta kimlik doğrulaması ve çalışan farkındalığı. Aşağıdaki tablo bu kontrolleri ve dayandıkları kaynakları özetliyor.

Tablodaki bölüm numaraları, Kurum'un Nisan 2025 tarihli Kişisel Veri Güvenliği Rehberi'ne dayanır. Rehber, tek bir güvenlik ürünüyle tam güvenlik sağlanabileceği görüşünün her zaman doğru olmadığını ve birbirini tamamlayan tedbirlerin düzenli kontrol edilmesi gerektiğini vurgular.

Yedeklemede 3-2-1 kuralı nedir?

3-2-1 kuralı, önemli her dosyanın biri asıl ikisi yedek olmak üzere üç kopyasının tutulmasını, kopyaların iki farklı ortam türünde saklanmasını ve bir kopyanın işyeri dışında bulunmasını öneren yedekleme yaklaşımıdır. CISA'nın sitesinde yayımlanan yedekleme seçenekleri belgesi bu kuralı veri kurtarma şansını artıran temel ilke olarak anlatır.

Fidye yazılımına karşı önemli olan, en az bir kopyanın ağdan ayrı durmasıdır; KVKK rehberi de yedeklerin ağ dışında tutulmasını ve yalnızca sistem yöneticisinin erişebilmesini ister. Bulut yedekleme hesabını iki kademeli doğrulamayla koruyun ve geri yüklemeyi düzenli aralıklarla deneyin; açılamayan bir yedek, olay anında işe yaramaz.

E-posta kimlik doğrulaması için SPF, DKIM ve DMARC nasıl kullanılır?

SPF, alan adınız adına e-posta göndermeye yetkili sunucuları DNS'te ilan eder; DKIM, giden iletileri kriptografik olarak imzalar; DMARC ise SPF veya DKIM kontrolünden geçemeyen iletilere alıcı sunucunun nasıl davranacağını belirler ve rapor üretir. Üçü birlikte, alan adınızla sahte e-posta gönderilmesini zorlaştırır.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin (NCSC) e-posta güvenliği rehberi kademeli bir plan önerir; planda iletileri aktarım sırasında TLS ile korumak, SPF, DKIM ve DMARC'ı yapılandırmak, sahte iletileri önce spam klasörüne yönlendirmek ve son aşamada tamamen reddetmek gibi adımlar yer alır. Rehber, bulut e-posta hizmeti kullanılanlar dahil kuruluşun tüm alan adlarının korunmasını ister.

USOM ve Siber Güvenlik Başkanlığı hangi kaynakları sunuyor?

USOM (Ulusal Siber Olaylara Müdahale Merkezi), zararlı bağlantı listeleri, güvenlik bildirimleri, CVE başvuruları ve siber ihbar süreçleriyle bilinir. USOM'un sitesindeki duyuruya göre bu hizmetler, 177 sayılı Cumhurbaşkanlığı Kararnamesi ve 7545 sayılı Siber Güvenlik Kanunu uyarınca kurulan Siber Güvenlik Başkanlığı'nın siberguvenlik.gov.tr adresinden sürdürülüyor.

• Güvenlik bildirimlerini ve teknik içerikleri takip ederek kullandığınız yazılımlarla ilgili uyarıları izleyin.
• Zararlı bağlantı listelerini güvenlik duvarına veya e-posta filtresine aktarıyorsanız, .txt dosya paylaşımının 1 Haziran 2026 itibarıyla sona ereceğinin duyurulduğunu ve API servislerinin tavsiye edildiğini dikkate alın.
• Bir siber olayı bildirmek için Başkanlığın siberguvenlik.gov.tr üzerindeki ihbar süreçlerini kullanın.

Web sitenizin güvenliği için neler yapılmalı?

Web sitesi güvenliği; bağlantının HTTPS ile şifrelenmesi, içerik yönetim sistemi, eklenti ve sunucu yazılımlarının güncel tutulması, yönetim paneline erişimin sınırlanması ve gerekiyorsa web uygulaması güvenlik duvarıyla (WAF) kötü niyetli trafiğin filtrelenmesiyle sağlanır. Formlardan kişisel veri toplanıyorsa bu tedbirler KVKK'nın veri güvenliği yükümlülüğünün de parçasıdır.

• HTTPS: KVKK rehberi, web sitesi veya mobil uygulama üzerinden kişisel veri toplanırken bağlantının SSL ya da daha güvenli bir yolla kurulmasını önemli bulur.
• Güncelleme: İçerik yönetim sisteminin çekirdeğini, temayı ve eklentileri güncel tutun; kullanılmayan eklentileri kaldırın.
• Giriş güvenliği: Yönetim paneli için güçlü parola, iki kademeli doğrulama ve başarısız giriş denemesi sınırı kullanın.
• WAF ve yedek: Otomatik saldırıları web uygulaması güvenlik duvarıyla filtreleyin; site ve veritabanı yedeğini ayrı bir ortamda saklayın.

Siber olay anında hangi adımlar izlenmeli?

Siber olay anında öncelik, zararı sınırlamak, delilleri korumak ve yasal bildirim sürelerini kaçırmamaktır. Aceleyle sistemleri silmek, biçimlendirmek veya yeniden kurmak, olayın nasıl gerçekleştiğini anlamayı ve KVKK'ya doğru bildirim yapmayı zorlaştırabilir. Aşağıdaki sıra, küçük bir ekip için bile uygulanabilir bir başlangıç planıdır.

1. Yayılmayı durdurun: Etkilenen cihaz veya hesabı ağdan ayırın, oturumları sonlandırın ve ilgili parolaları değiştirin.
2. Planı devreye alın: Olay müdahale sorumlusunu çağırın; kimin neyi yapacağını ve kime raporlayacağını netleştirin.
3. Delilleri koruyun: Kayıtları, şüpheli e-postaları ve ekran görüntülerini güvenli biçimde saklayın; KVKK rehberi istenmeyen olaylarda delillerin toplanmasını ister.
4. Etkiyi değerlendirin: Hangi sistemlerin ve hangi kişisel verilerin etkilendiğini, kaç kişinin etkilendiğini belirleyin.
5. Bildirimleri yapın: Kişisel veri etkilendiyse 72 saat içinde Kurul'a bildirimde bulunun ve etkilenen kişileri bilgilendirin; olayı Başkanlığın ihbar sürecine bildirin.
6. Güvenle geri dönün: Açığı kapatın, sistemleri temiz yedekten geri yükleyin ve fidye talebi varsa kararı hukuki ve teknik destekle verin.
7. Kayıt altına alın: Olayı, etkilerini ve alınan önlemleri belgeleyin; planı bu deneyime göre güncelleyin.

KVKK'ya göre veri ihlali ne zaman ve nasıl bildirilir?

KVKK'nın 12. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul'a bildirmesini ister. Kurul'un 2019/10 sayılı kararı “en kısa süre”yi 72 saat olarak yorumlar: bildirim, ihlalin öğrenildiği andan itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır.

Kurul kararına göre ayrıca:

• Etkilenen kişiler belirlendikten sonra makul en kısa sürede, iletişim bilgisi varsa doğrudan, yoksa şirketin web sitesi gibi uygun yollarla bilgilendirilir.
• 72 saat içinde haklı bir gerekçeyle bildirim yapılamazsa gecikmenin nedeni bildirimle birlikte açıklanır.
• Bildirimde Kurum'un Kişisel Veri İhlal Bildirim Formu kullanılır; bilgiler aynı anda sağlanamıyorsa aşamalı olarak iletilebilir.
• İhlale ilişkin bilgiler, etkileri ve alınan önlemler kayıt altına alınır ve Kurul incelemesine hazır tutulur.
• Veri işleyen, örneğin barındırma veya yazılım sağlayıcısı, ihlali gecikmeksizin veri sorumlusuna bildirir.
• Veri sorumlusu, raporlama zincirini ve sorumlulukları belirleyen bir veri ihlali müdahale planı hazırlar ve belirli aralıklarla gözden geçirir.

Aynı madde, veri sorumlusunu uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almakla yükümlü tutar. Web sitesinde kişisel veri işlemenin diğer boyutları için çerez politikası ve web sitesi KVKK uyumu rehberimize, mobil tarafta mobil uygulama güvenliği yazımıza bakabilirsiniz.

Uni Digital Group bu konuda ne yapıyor?

Uni Digital Group olarak web sitesi ve yazılım projelerinde HTTPS, güncel bileşenler, yönetim paneli için güçlü kimlik doğrulama ve yedekleme gibi temel güvenlik gereksinimlerini proje başında sizinle birlikte netleştiriyor ve kapsamı yazılı hâle getiriyoruz. Kapsamlı sızma testi, sürekli izleme veya olay müdahalesi gerektiğinde ise bu alanda uzman ekiplerle çalışmanızı öneriyoruz.

Ayrıntılar için İstanbul'da web tasarım hizmetimizi ve özel yazılım geliştirme hizmetimizi inceleyebilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Güvenlik olaylarında ve KVKK bildirimlerinde güncel mevzuatı kontrol edin; gerektiğinde hukuk ve siber güvenlik uzmanlarına danışın.