Perakendede Siber Güvenlik: 12 Maddelik Kontrol Listesi

Perakende, siber saldırganlar için cazip bir hedeftir: yüzlerce mağazaya dağılmış cihazlar, sezonluk personel, yoğun ödeme trafiği ve kesintiye tahammülü olmayan bir operasyon. Bir fidye yazılımı saldırısı kasaları durdurduğunda kayıp yalnızca o günün cirosu değildir; müşteri güveni ve marka itibarı da zarar görür.

Bu kontrol listesi, IT Retail topluluğundaki bilgi güvenliği tartışmalarından çıkan ve perakende BT ekiplerinin mağaza ile merkezde öncelikle ele alması gereken on iki başlığı bir araya getiriyor.

1. Mağaza ağını bölümlere ayırın

Kasa (POS) cihazları, mağaza bilgisayarları, kamera sistemleri, misafir Wi-Fi ve IoT cihazları aynı ağda olmamalı. Ağ bölümleme (segmentasyon), bir cihazın ele geçirilmesinin tüm mağazaya ve oradan merkeze yayılmasını engelleyen en etkili önlemdir. Misafir Wi-Fi'nin kurumsal ağla hiçbir bağlantısı olmamalı.

2. Mağaza cihaz envanteri tutun

Neyin korunduğunu bilmeden koruyamazsınız. Her mağazadaki kasa, el terminali, yazıcı, ağ cihazı ve bilgisayarın güncel envanterini; işletim sistemi sürümü ve sorumlusuyla birlikte tutun. Envanter dışı cihaz, güvenlik açığıdır.

3. Ödeme verisini kapsam dışına alın

Kart verisini mümkün olduğunca kendi sistemlerinize hiç sokmayın: noktadan noktaya şifreleme (P2PE) ve tokenizasyon, PCI DSS kapsamınızı ve riskinizi birlikte küçültür. PCI DSS 4.0 ile gelen yeni gereklilikleri (çok faktörlü kimlik doğrulamanın genişlemesi, ödeme sayfası betiklerinin denetimi gibi) ödeme altyapısı sağlayıcınızla birlikte gözden geçirin.

4. Çok faktörlü kimlik doğrulama (MFA) her yerde

E-posta, uzaktan erişim (VPN), bulut yönetim panelleri, ERP ve yönetici hesapları için MFA zorunlu olmalı. Saldırıların büyük bölümü çalınmış parolalarla başlar; MFA bu kapıyı kapatır.

5. Yama yönetimini takvime bağlayın

Mağaza cihazları, merkezden uzak oldukları için güncellemelerde en çok geride kalan cihazlardır. Kritik güvenlik yamaları için hedef süre belirleyin ve bu süreyi ölçün. Desteği bitmiş işletim sistemleriyle çalışan kasa ve bilgisayarlar için bir değişim planı yapın.

6. Uç nokta koruması (EDR)

Klasik virüs koruması, bugünün saldırılarına yetmiyor. Sunucularda ve bilgisayarlarda davranış tabanlı uç nokta tespit ve müdahale (EDR) çözümü kullanın ve alarmları birinin gerçekten izlediğinden emin olun.

7. Fidye yazılımına karşı yedekleme

Yedeğiniz, saldırganın ulaşamadığı yerdeyse işe yarar. 3-2-1 kuralını uygulayın: üç kopya, iki farklı ortam, bir kopya ağ dışında. En az bir yedeğin değiştirilemez (immutable) olmasını sağlayın ve geri dönüşü düzenli olarak deneyin; hiç denenmemiş yedek, yedek değildir.

8. Tedarikçi erişimini kontrol altına alın

Kasa yazılımı firması, ERP danışmanı, bakım şirketi... Perakende sistemlerine erişen dış taraf sayısı fazladır. Tedarikçi erişimini kişiye özel hesaplarla, MFA ile, gerektiği süre boyunca açık olacak şekilde verin ve oturumları kayıt altına alın. Sürekli açık, ortak parolalı uzak erişim en sık görülen açıklardandır.

9. Kimlik avına karşı çalışanları hazırlayın

Mağaza personeli ve merkez çalışanları, sahte kargo bildirimleri, fatura e-postaları ve "genel müdürden acil ödeme" mesajlarıyla sürekli hedef alınır. Kısa, düzenli ve sezonluk personeli de kapsayan farkındalık eğitimleri ve kimlik avı tatbikatları yapın.

10. Kayıtları toplayın ve izleyin

Güvenlik duvarı, sunucu, kimlik yönetimi ve bulut kayıtlarını merkezi bir yerde toplayın. Bir saldırının ne zaman başladığını ve nereye yayıldığını ancak bu kayıtlarla anlayabilirsiniz. İzleme için ekip yoksa, yönetilen güvenlik hizmeti (SOC) seçeneklerini değerlendirin.

11. Olay müdahale planını yazın ve deneyin

Saldırı anında kimin karar vereceği, mağazaların nasıl satışa devam edeceği, hangi sistemlerin önce ayağa kaldırılacağı ve kimlerin bilgilendirileceği önceden yazılı olmalı. Planı yılda en az bir kez masa başı tatbikatla deneyin.

12. Kişisel veri ihlalinde yasal süreyi unutmayın

Kişisel verileri etkileyen bir ihlalde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na, ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılması gerekir. Müdahale planınız bu süreyi ve bildirimi kimin yapacağını içermeli; hukuk ve iletişim ekipleri planın parçası olmalı.

Sonuç

Perakendede güvenlik, tek bir ürünle değil, mağaza ve merkezdeki yüzlerce küçük önlemin birlikte uygulanmasıyla sağlanır. Bu listeyi kendi ortamınızda durum tespiti için kullanabilirsiniz: her madde için "uyguluyoruz", "kısmen" ya da "henüz değil" diye işaretleyin ve önceliklendirin.

IT Retail topluluğunda üyelerimiz güvenlik olaylarını, kullandıkları çözümleri ve yaşadıkları dersleri güvenli bir ortamda birbiriyle paylaşıyor.

Bu yazı genel bilgi amaçlıdır; kurumunuza özel bir güvenlik değerlendirmesinin yerine geçmez.