Evet, şirketinizin web uygulaması ilk günden siber güvenliğe ihtiyaç duyar
İşinizi yürüten bir web uygulamanız varsa cevap net: web uygulaması güvenliği, uygulamanızın çökmesini önleyen ve müşterilerinizin verilerini hırsızlığa karşı koruyan şeydir. Web uygulaması, tarayıcıda çalışan bir programdır; bir online mağaza, randevu sistemi ya da öğrencilerin giriş yaptığı bir portal gibi. Bu program gün boyu internete açıktır ve bağlantısı olan herkes kapısını çalabilir. Siber güvenlik ise yabancıları dışarıda tutan, girişimlerini fark eden ve bir sorun çıktığında işi hızla yeniden çalıştıran önlemlerin bütünüdür.
Görüşümüz açık: Korumayı düşünmek için bir saldırıyı beklemeyin. Saldırı, izni olmayan birinin sisteminize girip verileri okuması, değiştirmesi ya da sistemi durdurması demektir. Hasarı sonradan onarmak günler ya da haftalar süren duraklama demektir ve bazı müşterilerin güveni bir daha geri gelmeyebilir. Baştan kurulan koruma ise arka planda sessizce çalışır ve müşterileriniz onu yalnızca bir güven duygusu olarak hisseder.
İşletmenizin küçük olması bir şey değiştirmez. Sitesinden satış yapan bir eczacı, hasta dosyalarını tutan bir klinik yöneticisi ya da notları internette yayınlayan bir okul müdürü, hepsi saldırganlar için değerli verilere sahiptir. Zarar görenle kurtulan arasındaki fark çoğu zaman zamanında atılmış basit adımlardır: güvenli giriş, zamanında güncelleme ve test edilmiş bir yedek. Sonraki bölümler bu adımları sade bir dille anlatıyor; yabancı bir terimle karşılaşırsanız anlamını terimler sözlüğünde bulabilirsiniz.
Saldırganlar neden küçük işletmeleri de hedef alır?
Pek çok işletme sahibi, saldırganların yalnızca bankaları ve büyük şirketleri aradığını düşünür. Bu düşünce, korumayı yıldan yıla ertelemelerine yol açar. Oysa küçük bir şirket rahat bir hedeftir; çünkü koruması genelde daha zayıftır ve sahibi sisteminde neler olduğunu takip etmez.
On dükkânlı bir sokak düşünün. Hırsız en zengin dükkânı değil, kapısını açık bırakan dükkânı seçer. İnternette de aynısı olur; tek fark, buradaki hırsızın kısa sürede binlerce kapıyı denemesidir.
Saldırılar otomatiktir ve kurbanını adıyla seçmez
Saldırıların çoğunu sitenizin başına oturmuş bir kişi yapmaz. Bunları bot adı verilen otomatik programlar yapar ve bu programlar siteleri tek tek dolaşır. Kolay şifreleri kabul eden bir giriş sayfası ya da bilinen bir açığı olan eski bir yazılım ararlar.
Açık bir kapı bulduklarında şirketin büyüklüğünü ya da adını sormadan içeri girerler. Bu yüzden sakin bir mahalledeki küçük bir klinik, büyük bir siteyle aynı denemelere maruz kalır. Doğru soru, birinin girmeye çalışıp çalışmayacağı değil, denediğinde kapıyı kilitli bulup bulmayacağıdır.
Verileriniz başkaları için değerlidir
Müşteri listenizde özel bir şey görmeyebilirsiniz, ama saldırgan orada bir hazine görür. Müşterilerin adları, telefon numaraları ve adresleri satılır ve dolandırıcılık mesajlarında kullanılır. Hasta dosyaları, öğrenci notları ve çalışan bilgileri, sahibine şantaj yapmak için kullanılabilecek hassas bilgilerdir.
Hiçbir şey çalmayan başka bir saldırı türü daha vardır: Dosyalarınızı kilitler ve açmak için sizden ödeme ister. Buna fidye yazılımı denir ve sağlam bir yedeği olmayan şirketleri vurur. Bu durumda tek bir dosya çalınmasa bile durulan her gün doğrudan bir kayıptır.
Bir saldırının geride bıraktığı kayıplar bunlardır
Saldırıdan söz etmek, ertesi sabah ne olduğunu görene kadar soyut kalır. Kayıp bir cihazla ya da bir dosyayla sınırlı değildir; müşterilere, çalışanlara ve itibara kadar uzanır. Bu kayıpları ayrıntılı bilmek, korumanın değerini gerçekçi biçimde ölçmenize yardım eder.
Aşağıdaki örnekler abartı değildir. Uygulaması hazırlıksız yakalanan bir işletme sahibinin yaşadıkları tam olarak bunlardır. Her biri, ileride anlatacağımız bilinen adımlarla önlenebilir ya da etkisi azaltılabilir.
Müşteri verileri elinizden çıkar
Genelde ilk olan şey veri sızıntısıdır, yani verilerin görme hakkı olmayan kişilere ulaşması. Bir online mağazada müşterilerin adresleri, numaraları ve alışveriş geçmişi sızabilir. Ardından müşterileriniz, mağazanızın adını taşıyan ve kart bilgilerini ya da telefona gelen bir kodu isteyen sahte mesajlar alır.
Müşteri, saldırganla sizi ayırt edemez; mesajda sizin adınızı görür. Bu yüzden mağaza sisteminin kendisi iyi korunmuş olmalıdır; tıpkı satışları, stoku ve müşteri verilerini korunan tek bir yerde toplayan Storek mağaza yönetim sistemi gibi.
İş en kötü anda durur
Saldırı sakin bir gün seçmez. Siteniz bayram sezonunda, okulun kayıt haftasında ya da klinikte randevuların dolu olduğu bir günde çökebilir. En bilinen saldırılardan biri, siteyi yanıt veremeyecek kadar çok istekle boğmaktır; böylece gerçek müşteriler siteye ulaşamaz.
Sistem kapalıyken yeni sipariş gelmez, müşteriler kızgın bir şekilde telefonla arar ve çalışanlar iş yerine özür dilemekle uğraşır. Sorun yalnızca bir yük değil de bir sızma ise sistem; inceleme, temizlik ve güvenli yeniden başlatma bitene kadar günlerce kapalı kalabilir.
Güven kaybolur, ardından hukuki sorunlar gelebilir
Sitenizden verisi çalınan müşteri bunu uzun süre unutmaz. Bazı müşteriler sessizce gider, bazıları yaşadıklarını sosyal medyada anlatır. Arama motorları da saldırıya uğramış bir sitenin yanına uyarı koyabilir ve yeni ziyaretçi girmeden önce tereddüt eder.
Birçok ülkede şirketleri insanların verilerini korumaya zorlayan yasalar vardır; GDPR olarak bilinen Avrupa veri koruma yönetmeliği gibi. Korumayı ihmal eden bir şirket, olanları açıklamak, etkilenen kişileri bilgilendirmek ve gerekli önlemleri aldığını kanıtlamak zorunda kalabilir. Bunlar önlenebilecek evrak, emek ve zamandır.
Web uygulamalarında açıklar genelde nerede saklanır?
Zayıf nokta ya da güvenlik açığı, sistemde birinin yapmaması gereken bir şeyi yapmasına izin veren küçük bir hatadır. Sistemi her gün kullanırken bunu görmezsiniz, çünkü her şey normal görünür. Ama onu arayan biri hemen fark eder.
Deneyimimize göre açıklar birkaç bilinen yerde tekrar tekrar çıkar. Bunları bilirseniz ekibinize ya da tedarikçinize adını vererek sorabilirsiniz.
Yalnızca şifreyle giriş
Giriş sayfası, uygulamanızın ön kapısıdır. Giriş yalnızca bir şifreye dayanıyorsa, tek bir şifreyi çalmak kapıyı açmaya yeter. Çalışanlar çoğu zaman kolay şifreler seçer ya da aynı şifreyi birkaç sitede kullanır; başka bir yerde çalınırsa sizin sisteminizi de açar.
Bilinen çözüm, çok adımlı giriştir. Şifreden sonra sistem, çalışanın telefonuna gelen ya da telefonundaki bir uygulamada görünen bir kod ister. Saldırgan şifreyi bilse bile telefon olmadan giremez. Buna ek olarak, art arda hatalı denemelerden sonra hesabı bir süre kilitleriz; böylece botlar binlerce şifre deneyemez.
Güncellenmemiş yazılımlar ve eklentiler
Her web uygulaması başka yazılımların üzerinde çalışır: sunucunun işletim sistemi, programlama dili, veritabanı ve hazır eklentiler. Sunucu, sitenizin internette çalıştığı bilgisayardır. Biri bu yazılımlarda bir açık bulduğunda üretici onu kapatan bir güncelleme yayınlar ve açığın tarifi saldırganlar dahil herkes tarafından bilinir hale gelir.
Asıl tehlike buradadır. Aylardır güncellenmemiş bir site, saldırganların nasıl kullanacağını zaten bildiği yayınlanmış açıklar taşır. Bu yüzden güncelleme, tarihi ve sorumlusu olan düzenli bir iş olmalıdır; sorun çıkınca hatırlanan bir şey değil. Hostrena hosting gibi yönetilen ve izlenen bir barındırma, bu yükü sunucu tarafında sizin üzerinizden alır.
Gereğinden fazla açık formlar ve yetkiler
Arama kutusu, iletişim formu ve dosya yükleme alanı, ziyaretçinin istediğini yazabildiği yerlerdir. Sistem yazılanı kontrol etmezse saldırgan metin yerine komut yazıp veritabanını okuyabilir ya da değiştirebilir. Bu, web uygulamalarının en tehlikeli zayıflıklarını sıralayan ve dünyada tanınan OWASP Top 10 listesindeki en bilinen hatalardan biridir.
Fazla açık yetkiler de benzer bir risktir. Kliniğin danışmasındaki çalışanın hasta dosyası silmesine gerek yoktur; mağazada ürün giren kişinin de tüm ürünlerin fiyatını değiştirmesine. Her hesabın işinin gerektirdiğinden fazla yetkisi varsa, herhangi bir hesabın çalınması sınırlı bir sorun yerine felakete dönüşür.
Her uygulamaya kurduğumuz temel katmanlar
İyi koruma asla tek bir kilide dayanmaz. Üst üste katmanlardan oluşur; saldırgan birini aşarsa önünde bir başkasını bulur. Tıpkı kilitli kapısı, kamerası ve içinde kasası olan bir ev gibi.
Linkysoft olarak bu katmanları web uygulamaları ve yönetim sistemlerinin içine kodlama bittikten sonra değil, planlama aşamasından itibaren kurarız. Nedeni basit: Bitmiş bir sisteme koruma eklemek, onu baştan birlikte kurmaktan daha zor ve daha uzun sürer.
Şifreleme, çalınan veriyi işe yaramaz hale getirir
Şifreleme, verileri yalnızca doğru anahtara sahip kişinin anlayabileceği kodlara dönüştürmektir. Verileri yolda, yani müşterinin cihazıyla sunucu arasında giderken şifreleriz; böylece kimse internette okuyamaz. Veritabanında saklanırken de şifreleriz.
Bunun faydası en kötü günde görülür. Biri veritabanı dosyalarına ulaşsa bile müşteri adları ve numaraları yerine anlamsız kodlar bulur. Şifreleme anahtarlarını verilerden uzakta, kendilerine ait kasalarda saklarız; böylece anahtarlar ve veriler birlikte çalınamaz.
Her çalışan yalnızca ihtiyacı olanı görür
Yetkileri göreve göre böleriz. Doktor kendi hastalarının dosyalarını, muhasebeci faturaları, danışma ise randevuları görür. Bu yönteme rol tabanlı yetki denir ve her hatayı ya da hesap hırsızlığını sistemin küçük bir parçasıyla sınırlı tutar.
Bu, hassas veri taşıyan sistemlerde özellikle önemlidir; Docmz klinik ve hastane yönetim sistemi ya da çocuk verisi taşıyan okul sistemleri gibi. Önemli hesaplara, özellikle daha geniş yetkisi olan yönetici hesaplarına, çok adımlı girişi de ekleriz.
Test edilmiş yedekler ve her işlemin kaydı
Yedek, verilerinizin başka bir yerde saklanan kopyasıdır; asıl veri kaybolursa ona dönersiniz. Ama hiç denenmemiş bir yedek, ihtiyaç duyduğunuz gün sizi yarı yolda bırakabilir. Bu yüzden yedekleri şifreleyip korur ve geri yüklemeyi gerçekten test ederiz; böylece ihtiyaç doğmadan çalıştığını biliriz.
Son katman denetim kaydıdır, yani kimin neyi ne zaman yaptığını yazan bir kayıt. Bir sipariş kaybolursa ya da bir fiyat değişirse, kayıt bunu hangi hesabın hangi saatte yaptığını gösterir. Bu kayıt bir saldırıyı ortaya çıkarmaya yardım eder; çalışanlar arasındaki günlük anlaşmazlıkları çözmeye de.
Sızma testi, ekibinizin göremediğini nasıl ortaya çıkarır?
Sistemi kuran yazılımcı, onun nasıl çalışması gerektiğini bilir; bu yüzden onu kırmanın her yolunu hayal etmesi zordur. Sızma testi bu sorunu çözer. Bir saldırgan gibi düşünen bir uzmanın yaptığı, güvenli ve önceden anlaşılmış bir saldırıdır; ama amacı açıkları bulup başkalarından önce size teslim etmektir.
Müşteri verisi ya da ödeme taşıyan her uygulamanın yayına girmeden önce bu testten geçmesi gerektiğini düşünüyoruz. Bu, yeni sistemler ve mevcut sistemler için sunduğumuz siber güvenlik hizmetlerinin temel bir parçasıdır.
Test sırasında ne olur?
Uzman önce testin sınırlarını sizinle belirler: sistemin hangi bölümleri, hangi günlerde ve nelere dokunulmayacağı. Ardından gerçek bir saldırganın deneyeceklerini web sayfalarında, mobil uygulamada, ağda ve sistemleri birbirine bağlayan arayüzlerde dener. Hızlı tarayan otomatik araçlarla, araçların göremediği hataları bulan insan analizini birleştirir.
Test, OWASP ve NIST gibi dünyada tanınan yöntemleri izler; böylece ruh haline ya da şansa bağlı kalmaz. Test güvenlidir de: Verilerinizi silmez ve işinizi durdurmaz, çünkü amacı açığın var olduğunu kanıtlamaktır, onu zarar vermek için kullanmak değil.
Sonunda ne teslim alırsınız ve test ne zaman tekrarlanmalı?
Sonunda bulunan her açığı sade bir dille yazan bir liste teslim alırsınız. Her açık için neye yol açabileceğine dair basit bir açıklama, ciddiyet derecesi ve nasıl düzeltileceği yer alır. Düzeltmelerden sonra testi tekrarlarız; böylece her açığın kâğıt üzerinde değil, gerçekten kapandığından emin oluruz.
Tek bir test ömür boyu yetmez. Yeni bir ödeme altyapısı ya da yeni bir mobil uygulama gibi her büyük ekleme, daha önce olmayan bir kapı açabilir. Bu yüzden her büyük değişiklikten sonra ve hiçbir şey değişmese bile düzenli aralıklarla testi tekrarlamanızı öneririz; çünkü yazılımlarda sürekli yeni açıklar bulunur.
Koruma, yayına alındığı günden sonra da sürer
Pek çok sistem iyi kurulur ve sonra kendi haline bırakılır. Birkaç ay sonra yazılımlarda yeni açıklar çıkar, çalışanlar değişir ve özellikler gözden geçirilmeden aceleyle eklenir. Yayına alındığı gün güvenli olan bir sistem kendi kendine güvenli kalmaz.
Bu yüzden korumayı kendi araçları ve sorumluları olan sürekli bir iş olarak ele alırız. Sonraki bölümler her gün ve her hafta neler yapılması gerektiğini ve gerçekten bir olay yaşandığında ne olması gerektiğini anlatıyor.
Sürekli tarama ve günün her saati izleme
Sürekli tarama, araçların sisteminizi bilinen açıklar için düzenli olarak taraması ve birini bulduğunda ekibi uyarması demektir. Arabanızı yolda bozulmasını beklemek yerine düzenli bakıma götürmeye benzer. Tarama, eski yazılımları ve hatalı ayarları başkaları bulmadan önce ortaya çıkarır.
İzleme ise gece gündüz açık kalan bir gözdür. Biri birkaç dakikada yüzlerce kez giriş denerse ya da bir yönetici hesabı gece yarısı alışılmadık bir ülkeden giriş yaparsa anında uyarı gelir. Bir saldırıyı bir saat içinde fark etmekle haftalar sonra fark etmek arasındaki fark, küçük bir sorunla bir felaket arasındaki farktır.
Uygulamanın önünde duran bir kalkan
Web uygulama güvenlik duvarı, internetle uygulamanız arasında duran bir kalkandır. Sitenize gelen her istek önce ondan geçer; normal istekleri geçirir, kötü niyetli olanları durdurur. Örneğin formlara komut yazma girişimlerini ve şifre deneyen botları durdurur.
Bu kalkan, istek yağmuruna karşı da yardım eder; indirim günündeki gerçek müşteri yoğunluğunu sitenizi çökertmek isteyen bir saldırıdan ayırır. Uygulamanın içindeki açıkları kapatmanın yerini tutmaz, ama size zaman kazandırır ve otomatik saldırıların çoğunun uygulamaya ulaşmasını en baştan engeller.
Bir olay yaşanırsa hazır bir plan
Koruma ne kadar iyi olursa olsun, bir şey olduğunda ne yapacağınızı bilmelisiniz. Planı olmayan bir şirket ilk saatleri karmaşa ve telefonlarla kaybeder. Hazırlıklı bir şirket ise herkesin bildiği net adımlarla ilerler:
- Sınırlama: Hasarın sistemin geri kalanına yayılmaması için etkilenen bölümü ayırmak.
- İnceleme: Saldırganın nasıl, ne zaman girdiğini ve neye dokunduğunu bulmak.
- Temizlik: Bıraktığı her izi silmek ve verileri sağlam bir kopyadan geri yüklemek.
- Açığı kapatma: Girdiği kapıyı onarmak, böylece aynı yoldan geri dönememesi.
Çalışanlarınız ilk savunma hattıdır
En başarılı saldırılar koddaki bir açıkla değil, bir mesajla başlar. Bir çalışana bankadan ya da müdürden geliyor gibi görünen bir e-posta gelir ve bir bağlantıya tıklayıp şifresini yazması istenir. Bu yönteme oltalama denir ve tek bir çalışan tuzağa düşerse en iyi sistemleri bile aşar.
Güvenlik farkındalığı eğitimi, çalışanlara sahte mesajın işaretlerini öğretir ve kim ne derse desin giriş kodunu kimseyle paylaşmamayı öğretir. Şüpheli bir mesajı hatadan utanmak yerine hemen bildirmeyi de öğretir. Birkaç saatlik eğitim, işinizin karşılaşabileceği en tehlikeli saldırıyı durdurabilir.
Koruma işinin kapsamını ve maliyetini ne belirler?
Her şirkete uyan tek bir teklif yoktur, çünkü iş yükü sistemden sisteme değişir. Beş sayfalık bir tanıtım sitesi, ödeme alan ve binlerce kullanıcısı olan bir platformdan çok daha az iş ister. Emeği neyin artırıp neyin azalttığını bilmek, size gelen her teklifi anlamanıza yardım eder.
Genel kural şu: Bir sistemin kapısı ne kadar çok ve içindeki ne kadar hassassa, onu korumak için o kadar çok iş gerekir. Aşağıdaki maddeler, ciddi her ekibin işin kapsamını tahmin etmeden önce baktığı noktalardır.
Uygulamanın büyüklüğü ve verilerinin hassasiyeti
Sayfa sayısı, kullanıcı türleri ve uygulamaya bağlı sistemlerin sayısı taranacak alanı genişletir. Müşteri portalı, çalışan portalı, mobil uygulaması ve ödeme altyapısı bağlantısı olan bir sistemin bu parçaların hepsinin test edilmesi gerekir. Birkaç çalışan için tek bir giriş sayfası olan bir sistem çok daha basittir.
Verilerin hassasiyeti tabloyu değiştirir. Hasta dosyaları, öğrenci notları ve ödeme bilgileri daha sıkı bir şifreleme, daha kapsamlı bir denetim kaydı ve bazen yasal uyum belgeleri gerektirir. Acad öğrenme yönetim sistemi gibi bir eğitim platformu öğrenci verisi taşır ve bu yüzden yemek menüsü gösteren bir siteden daha fazla özen ister.
Yeni bir uygulama mı, başka bir ekibin kurduğu mevcut bir uygulama mı?
Yeni bir uygulamayı korumak daha kolaydır, çünkü katmanlar planın içinde baştan birlikte kurulur. Mevcut bir uygulamanın, özellikle onu kuran ekip artık yoksa, önce içinin anlaşılması gerekir. Kod belgelenmemiş, yazılımlar eskimiş ve yetkiler birbirine karışmış olabilir.
Bu durumda gerçek tabloyu gösteren bir incelemeyle başlar, sonra düzeltmeleri risk sırasına koyarız. Önce veri sızıntısına ya da işin durmasına yol açabilecek şeyleri kapatır, ardından daha az riskli olanlara aşamalı olarak geçeriz. Böylece işiniz durmaz ve ciddi konulardan önce ikinci derece işlere emek harcamazsınız.
Anlaşmadan önce her tedarikçiye sormanız gereken sorular
İyi bir teklif net sorulara cevap verir, zayıf bir teklif onlardan kaçar. Herhangi bir koruma hizmetini kabul etmeden önce şu sorulara yazılı cevap isteyin:
- İnceleme tam olarak neyi kapsıyor: yalnızca siteyi mi, yoksa uygulamayı, mobil uygulamayı ve bağlantı arayüzlerini de mi?
- Her açığın nasıl düzeltileceğini anlaşılır bir dille anlatan yazılı bir rapor alacak mısınız?
- Düzeltmelerden sonraki tekrar testi anlaşmaya dahil mi, yoksa ayrı mı?
- Sistemi gece ve tatillerde kim izliyor ve bir uyarıya ne kadar sürede yanıt veriliyor?
- Bir olay yaşanırsa ilk saatlerde ne oluyor ve kim kimi arıyor?
- Çalışmayı bitirirseniz kod ve veriler tamamen sizde mi kalıyor?
İşletme sahiplerinin uygulamalarını korumakla ilgili sorduğu sorular
Burada mağaza sahiplerinden ve klinik ile okul yöneticilerinden sık duyduğumuz soruları topladık. Cevaplar kısa ve doğrudan; teknik bilgiye ihtiyaç duymadan karar vermenize yardım etmek için.
Sorunuz burada yoksa, makalenin sonundaki soru listesinde ve sitemizdeki yardım merkezinde başka sorular bulabilirsiniz.
İyi bir hosting uygulamamı korumaya yeter mi?
İyi bir hosting, uygulamanızın çalıştığı sunucuyu korur; bu önemli bir parçadır ama hepsi değildir. Uygulamanın kendisinde komut kabul eden bir form ya da açık yetkiler gibi bir açık varsa, en iyi sunucu bile saldırganın onu kullanmasını engellemez. Gerçek koruma, korunan bir sunucuyla güvenli kurulmuş bir uygulamayı birleştirir. Güvenli bir mahalledeki bir ev gibi düşünün: Kendi kapınızı yine de kilitlemeniz gerekir.
Uygulamamın saldırıya uğradığını nasıl anlarım?
Bazı işaretler açıktır; içeriği değişen sayfalar, kimsenin tanımadığı hesaplar ya da adınızla gelen garip mesajlardan şikâyet eden müşteriler gibi. Bazıları ise gizlidir; açıklanamayan bir yavaşlık ya da ziyaretçilerin başka sitelere yönlendirilmesi gibi. Sorun şu ki pek çok saldırı haftalarca hiçbir işaret vermeden sessiz kalır. Bu yüzden erken haberdar olmanın tek yolu sürekli izleme ve denetim kaydıdır.
Sızma testi sırasında işim durur mu?
Hayır, çoğu durumda hiçbir şey durmaz. Uzman, test edeceği bölümleri ve uygun saatleri sizinle önceden belirler ve işi etkileyebilecek ya da veri silebilecek her adımdan kaçınır. Hassas sistemlerde test, müşterilerinizin kullandığı sistem yerine birebir bir kopya üzerinde yapılabilir. Böylece müşterileriniz hiçbir şey fark etmeden sonuçları alırsınız.
Mevcut bir uygulamayı güvenli hale getirmek ne kadar sürer?
Bu, uygulamanın büyüklüğüne ve durumuna bağlıdır. Küçük bir uygulamanın ilk incelemesi birkaç günde bitebilir, çok parçalı büyük platformlar ise haftalar ister. İncelemeden sonra ciddiyete göre sıralanan düzeltmeler gelir: Ciddi açıklar genelde önce ve birkaç gün içinde kapatılır, gerisi aşamalı olarak ele alınır.
Şirketimin içinde bir güvenlik ekibine ihtiyacım var mı?
Küçük ve orta ölçekli şirketlerin çoğu içeride tam bir ekibe ihtiyaç duymaz. Genelde şirket içinde konudan sorumlu bir kişi ve test, izleme ve müdahaleyi üstlenen uzman bir dış ortak yeterlidir. Önemli olan sorumlulukların yazılı ve net olmasıdır; böylece hiçbir taraf işin öbür tarafta olduğunu sanmaz. Sistem büyüdükçe ve verileri hassaslaştıkça takip de o kadar yakın olmalıdır.
Bu hafta şu üç adımla başlayın
Başlamak için büyük bir plana gerek yok. Birinci adım: İşinizin internetteki her şeyinin, yani sitenin, mağazanın, rezervasyon sisteminin ve mobil uygulamanın ve her birine kimin giriş yapabildiğinin listesini çıkarın. İkinci adım: Her yönetici hesabında çok adımlı girişi açın ve ayrılan çalışanların hesaplarını silin. Üçüncü adım: Sisteminizi yöneten kişiye tek bir soru sorun: Yedeği geri yüklemeyi en son ne zaman gerçekten denedik?
Sonra uzman incelemesi gelir. Linkysoft olarak ücretsiz bir güvenlik kontrolü ve danışmanlık sunuyoruz; bunlarda uygulamanızı inceler, sistemi biz de kurmuş olsak başka bir ekip de kurmuş olsa en ciddi zayıf noktaları ve önce neyin düzeltilmesi gerektiğini net biçimde gösteririz. Bunu iletişim sayfamızdan isteyebilir, karar vermeden önce daha fazla okumak isterseniz yardım merkezimizde pratik cevaplar bulabilirsiniz.
