Mağaza Siber Güvenlik & Veri Denetimi

Bu hizmet, değerli müşteri verilerini ve yüksek cirolu satış kayıtlarını dijital ortamda tutan her kuyumcu, optik ve saat mağazası için tasarlanmıştır.

Özellikle şu profillere uygundur:

• Bağımsız kuyumcu ve altın mağazaları: Yıllarca biriktirilen müşteri cari hesapları, alım-satım geçmişi ve kişisel veriler tek bir bilgisayarda duruyor ve bu bilgisayar internet bağlantılıysa fidye yazılımına açık demektir. Kuyumcu siber güvenlik denetimi bu riski sistematik biçimde ortadan kaldırır.
• Optik mağazaları: Reçete verileri, göz ölçüleri ve SGK bilgileri kişisel sağlık verisi kapsamında değerlendirilir; sızıntısı KVKK yaptırımı doğurur.
• Çok şubeli zincirler: Şubeler arası veri transferi ve merkezi yönetim panelleri, her ek bağlantı noktasında yeni bir saldırı yüzeyi oluşturur. Ağ segmentasyonu ve merkezi izleme bu riski kontrol altına alır.
• WhatsApp veya e-posta üzerinden sipariş alanlar: İş amaçlı mesajlaşma araçları, oltalama saldırılarının en yaygın giriş noktasıdır. Çalışan farkındalık eğitimi ve ikinci faktör kimlik doğrulama bu kanalları güvene alır.
• POS cihazı kullananlar: Ödeme terminallerini mağaza ağına bağlayan işletmeler, kart verilerini hedef alan saldırılara karşı özel güvenlik katmanına ihtiyaç duyar.

Siber güvenlik yalnızca büyük şirketlerin meselesi değildir. Kuyumcular, yüksek değerli müşteri profilleri ve nakit işlemlerin büyüklüğü nedeniyle siber suçluların öncelikli hedefleri arasındadır. Küçük bir güvenlik açığı, on yıllık müşteri ilişkisini ve mağazanın itibarını bir gecede yok edebilir.

Kuyumcu mağazalarında siber güvenlik açıkları genellikle görünmezdir; ta ki bir fidye yazılımı saldırısı veya veri sızıntısı yaşanana dek. Bu hizmetin çözdüğü başlıca sorunlar şunlardır:

• Fidye yazılımı tehdidi: Tek bir kimlik avı e-postası, mağazadaki tüm müşteri kayıtlarını, satış verilerini ve belgeleri şifreleyebilir. Saldırganlar şifre çözme anahtarı için yüklü miktarda fidye talep eder; ödeme yapılsa dahi veriler geri gelmeyebilir.
• Zayıf ağ yapılandırması: Misafir Wi-Fi ile POS cihazlarının aynı ağda bulunması, müşteri ödeme bilgilerini riske atar. Ağ segmentasyonu yapılmamış işyerlerinde saldırgan bir cihaza sızarak tüm sisteme yayılabilir.
• Güncel olmayan yazılımlar: Yamalar yüklenmemiş işletim sistemi ve uygulamalar, bilinen güvenlik açıklarını sonuna kadar açık bırakır. Pek çok kuyumcu mağazasında yıllardır güncelleme yapılmamış bilgisayarlar çalışmaktadır.
• Yetersiz yetkilendirme: Tüm çalışanların aynı yönetici parolasını kullanması, içeriden kaynaklanan veri sızıntısı riskini ciddi biçimde artırır. Rol tabanlı erişim politikası ile her çalışanın yalnızca kendi görevine ait verilere ulaşması sağlanır.
• KVKK uyumsuzluğu: Müşteri verileri yeterli güvenlik önlemleri olmadan saklanıyorsa Kişisel Verileri Koruma Kurumu'nun denetimleri sırasında ağır idari para cezası riski doğar.
• Yedek yokluğu: Çoğu küçük mağazada düzenli yedek alınmaz; bir donanım arızası veya saldırı sonrasında veriler kalıcı olarak yitirilir.

Bu hizmet söz konusu açıkların tümünü sistematik bir güvenlik denetimi çerçevesinde tespit eder, öncelik sıralaması yapar ve kapatır; böylece mağazanız hem yasal yükümlülüklerini karşılar hem de iş sürekliliğini korur.

1. Keşif ve envanter toplantısı (1. hafta): Mağazadaki tüm cihazlar, işletim sistemleri, yazılımlar, ağ cihazları ve veri akışları envanteri çıkarılır. Hangi verilerin nerede depolandığı, kimlerin erişebildiği ve mevcut yedekleme düzeninin var olup olmadığı belirlenir. Bu aşama, denetimin kapsam ve önceliklerini belirleyen temel çerçeveyi oluşturur.
2. Güvenlik açığı taraması (2. hafta): Profesyonel araçlarla ağ üzerindeki tüm cihazlar taranır. Açık portlar, güncellenmeyen yazılımlar, varsayılan parolalar, zayıf Wi-Fi şifreleme protokolleri ve ağ trafiği anomalileri tespit edilir. Tarama raporu bulguları kritik, yüksek, orta ve düşük öncelik kategorilerine ayırır.
3. Sızma testi simülasyonu (2–3. hafta): Gerçek bir saldırganın kullanacağı teknikler, zararlı kod çalıştırılmaksızın kontrollü ortamda uygulanarak sistemin direnci ölçülür. Sosyal mühendislik (oltalama) simülasyonu ile çalışan farkındalık düzeyi değerlendirilir; hangi çalışanın hangi tuzağa düştüğü raporlanır ve kişiselleştirilmiş eğitim ihtiyacı belirlenir.
4. Yama ve sertleştirme çalışmaları (3–5. hafta): Kritik açıklar kapatılır; işletim sistemleri ve uygulamalar güncellenir, güvenlik duvarı kuralları yapılandırılır, ağ segmentasyonu uygulanır, misafir ve kurumsal Wi-Fi ayrıştırılır, rol tabanlı erişim politikası devreye alınır ve parola yönetim politikası oluşturulur. Her adım tamamlandıkça doğrulama testi yapılır.
5. KVKK uyum değerlendirmesi (5–6. hafta): Kişisel veri işleme süreçleri KVKK gereklilikleri çerçevesinde incelenir; eksik aydınlatma metinleri ve açık rıza mekanizmaları için yazılı aksiyon planı hazırlanır. Teknik güvenlik önlemleri KVKK madde 12 kontrol listesiyle karşılaştırılır.
6. Çalışan eğitimi ve teslim (7–8. hafta): Mağaza personeline oltalama e-postalarını tanıma, güvenli parola oluşturma, şüpheli cihaz veya USB bağlantısı durumunda ne yapacağı ve olayları bildirme kanalları konularında uygulamalı eğitim verilir. Tüm bulgular ve alınan önlemler nihai raporda belgelenir; güvenlik politika dokümanı ile acil müdahale prosedürü teslim edilir.

Hizmetin tamamı 30.000–80.000 ₺ tek seferlik ücretle sunulmakta; kapsam mağaza büyüklüğüne, şube sayısına ve mevcut altyapının karmaşıklığına göre fiyatlandırılmaktadır.

Hizmet süresince eriştiğimiz tüm veriler gizlilik anlaşması (NDA) kapsamında korunur; hiçbir müşteri verisi üçüncü taraflarla paylaşılmaz ve denetim ekibinin sisteme erişimi, yalnızca ilgili bileşenlerle sınırlandırılır.

KVKK uyumu: Denetim sürecinde işlenen kişisel veriler yalnızca hizmetin gerektirdiği ölçüde kullanılır ve proje tamamlandıktan sonra güvenli biçimde silinir. Bulgular yalnızca mağaza sahibiyle paylaşılır; hiçbir müşteri kimlik bilgisi denetim raporuna eklenmez.

Güvenli bağlantı ve oturum kaydı: Uzaktan erişim gereken durumlarda şifreli VPN tüneli kullanılır. Tüm oturumlar zaman damgasıyla kayıt altına alınır ve mağaza sahibinin onayıyla başlatılır. Oturum logları proje sonunda size teslim edilir; bu loglar hem hesap verebilirlik hem de sigorta amacıyla kullanılabilir belge niteliği taşır.

Veri minimizasyonu: Güvenlik açığı tarama araçları yalnızca sistem yapılandırma bilgisi toplar; müşteri veya ticari içerik barındıran dosyalara erişilmez. Bu ilke, denetimin KVKK'nın veri minimizasyonu ilkesiyle uyumlu kalmasını sağlar.

Kalıcı izleme önerisi: Denetim tamamlandıktan sonra tespit edilen risklerin yeniden ortaya çıkmaması için periyodik güvenlik taraması ve yıllık bakım protokolü önerilir; bu hizmet ayrıca fiyatlandırılır ve isteğe bağlıdır.

Güvence belgesi: Mağazanızın siber güvenlik olgunluk düzeyi, denetim sonrasında uluslararası ISO/IEC 27001 ilkelerine uygun biçimde raporlanır. Bu rapor sigorta şirketlerine, iş ortaklarına ve kurumsal müşterilere sunabileceğiniz resmi bir güvence belgesi niteliği taşır; kuyumcu siber güvenlik süreçlerinizin belgelenmiş kanıtıdır.