«Bilgi güvenliğine ihtiyacınız var» dediler — 10 kişilik şirkette nereden başlamalıyız?

Disk şifrelemesi ilk adım olmalı. Ofisteki tüm dizüstü bilgisayarlarda yerel işletim sistemi şifrelemesini açın. Bir çalışan cihazı kafede unuttuğunda içindeki sözleşmeler ve veriler şifreli kalır. Ayrıca USB bellek takılmasını grup ilkeleri üzerinden kısıtlayın, bu işlem masrafsızdır ve sızıntıların yarısını baştan keser.

Müşterinin gönderdiği formu iyice inceleyin... Genelde kurumsal firmalar standart güvenlik anketlerini herkese kopyalayıp gönderir. Çoğu madde küçük tedarikçiler icin esnetilebilir. Hemen 100.000 rubleyi harcamadan önce hangilerinin zorunlu hangilerinin tavsiye niteliğinde olduğunu satınalma temsilcisine sorun.

Biz de geçen yıl 12 kişilik ekibimizde benzer bir taleple karşılaştık. Dışarıdan bir güvenlik danışmanına 70.000 ruble ödeyerek temel erişim matrisi, iki faktörlü doğrulama ve bir sayfalık çalışan talimatı hazırlattık. Büyük müşteri bu belgeyi ve uygulanan ekran görüntülerini görünce onay verdi.

Pazartesi günü ilk iş olarak şifre yöneticisi kullanımını başlatın. Çalışanların tarayıcıya kayıtlı şifrelerle veya basit parolalarla ortak panellere girmesini engelleyin. Şifrelerin karmaşık olması ve her üç ayda bir güncellenmesi kuralını getirin.

Müşteriniz devletle bağlantılı bir kurum mu yoksa özel sektör mü? Eğer kişisel veriler içeren özel bir veri tabanına doğrudan API ile bağlanacaksanız, mevzuat tarafında yerel lisanslı güvenlik yazılımları veya sertifikasyon şartı koşuyor olabilirler mi?

gözünüz hiç korkmasın. bize de ilk dediklerinde yüz binlerce rublelik sunucu ve donanım gerekecek sanmıştık. olay aslında teknik cihazlardan çok ofis disipliniyle alakalı. herkes kendi hesaıbnı kullansın masa başında ekran açık bırakılmasın kuralı bile sizi pek çok riskten korur.

iki adimli dogrulama olmadan tek bi e-posta hesabi bile kalmasin. musterinin asil korkusu sizin calisanin maili patlarsa oradan kendi ic aglarina oltalama saldirisi gelmesi. nyese bunu kapatin gerisi kolay hallolur

Kurumsal şirketlerin bilgi güvenliği talebi genellikle üçüncü taraf risk yönetimi prosedürlerinden kaynaklanmaktadır. Hazırlayacağınız bilgi güvenliği politikasında verinin nasıl işlendiği, nerede saklandığı, kimlerin eriştiği ve veri imha süreçlerinin nasıl yürütüldüğü açıkça maddelenmelidir.

Karşı taraftan konuşayım ben tedarikçi tarafındayım. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Kayıt tutmayan hiç bir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz. Kolay gelsin.

Yukarıdaki cevap işin özünü söylemiş. işte acele karar altı ay sonra düzeltilen karar oluyor.

Tecrübeyle sabit.

Aynen öyle üstelik bu kdr bilinmiyor. valla asıl mesele rakam değil o rakamın neye göre çıktığı.

Bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor. Başka türlü yapan varsa onu da merak ederim.

Aynısını yaşadım... Unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

Sorunuz olursa yazın elimden geldiğince cevaplarım.

kendi tecrübemi yazayım.. ama şirket bilgi güvenliği tarafında yapılan hata genelde geri dönülebilir ama pahalı.

ben olsam bu yoldan giderdim.

bunu duyalı çok oldu ama bizde hiç böyle olmadı.. bir de işte şirket bilgi güvelniği konusunda acele eden herkez aynı yerde takılıyor.

sucu buraya yazarsanız başkalarına da faydası olur.

Yazdığınız için tşk. Bunun cevabı sektöre göre çok değişiyor genel geçer bi kural yok.

Kendi durumunuz farklıysa tabii değişir.

ayni durumdayim o yuzden soruyorum bir de iste bunun ceevabi sektore gore cok degisiyor genel gecer bi kuraal yok

tecrubeyle sabit.

kavramları ayıralım, karıştırılıyor. ya bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

yanlışım varsa düzeltin.

Bir ayrım yapmak gerekiyor burada. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Kolay gelsin.