Muhasebe Ofisi Siber Güvenlik Denetimi
Muhasebe ofisleri fidye yazılımı saldırılarında özellikle hedef alınır: yüzlerce mükellefe ait mali veri, GİB sistemi erişimleri ve e-imzalar tek noktada toplanır. 40.000 TL'den başlayan denetimle gerçek güvenlik açıklarınızı öğrenin ve kapatın, saldırı sonrası değil saldırı öncesi.
Kimler için uygun?
Muhasebe ofisleri, siber suçluların bakış açısından son derece cazip bir hedeftir. Tek bir ofis; onlarca ila yüzlerce mükellefe ait beyanname, banka bilgisi, vergi numarası, gelir tablosu ve kira sözleşmesini barındırır. Üstelik GİB sistemlerine, İnteraktif Vergi Dairesine, e-tebligat kutusuna ve zaman zaman e-devlet kapısına erişim yetkileri de aynı bilgisayarlardadır.
Bu tablo, muhasebe ofisini fidye yazılımı operatörlerinin öncelikli listesine taşır. Saldırı gerçekleştiğinde yalnızca ofis değil, temsil ettiği her mükellef zarar görür. Mükellef mali verisi hem muhasebe KVKK hem de meslek sırrı kapsamında koruma altındadır; ihlal durumunda ofis sahibinin hem idari hem hukuki sorumluluğu doğar.
Siber güvenlik denetimi özellikle şu profillere hitap eder:
- GİB, e-tebligat veya İnteraktif Vergi Dairesi üzerinden düzenli işlem yapan tüm SMMM ve YMM ofisleri
- E-imza ve mobil imza kullanan danışmanlar; bu cihazların güvenliği doğrudan mükellef beyannamelerinin güvenliğidir
- Mükellef belgeleri için USB bellek, Google Drive veya kişisel e-posta kullanan ofisler
- Daha önce şüpheli e-posta veya hesap ele geçirme girişimiyle karşılaşan danışmanlar
- Sigorta şirketi veya bağlı oldukları meslek odası tarafından güvenlik belgesi istenen ofisler
Denetim, ofisinizin mevcut siber güvenlik olgunluk düzeyini ölçer ve somut, önceliklendirilmiş bir iyileştirme yol haritası sunar. Teknik jargondan uzak, uygulanabilir bulgularla çalışırsınız. Mükellef portali ve güvenli belge paylaşım altyapısı, denetim kapsamındaki iyileştirme adımlarından biri olarak değerlendirilebilir. 40.000 TL'den başlayan bu denetim, muhasebe ofisi ölçeğine ve kullanılan dijital altyapıya göre kapsamlandırılır.
Denetim, özellikle şu belirtileri yaşayan ofisler için aciliyet taşır: bilgisayarlarda yıllardır değişmeyen ortak parolalar, herkesin her klasöre erişebildiği ağ yapısı, güncellenmeyen işletim sistemleri, kişisel e-postalara yönlenen iş yazışmaları ve 'yedekleri en son ne zaman test ettik' sorusuna verilemeyen cevap. Bunlardan birkaçı tanıdık geliyorsa, denetim size sürpriz değil yol haritası sunacaktır; hiçbiri yoksa bile bunu bağımsız bir gözle belgeletmek, mükelleflerinize verdiğiniz güvenin kanıtı olur.
Hangi problemi çözer?
Muhasebe ofislerine yönelik siber saldırıların büyük çoğunluğu basit önlemlerle engellenebilecek açıkları istismar eder. Problem, açıkların varlığını bilmemektir; çünkü muhasebe eğitimi siber güvenlik içermez ve saldırılar genellikle olay gerçekleşene kadar fark edilmez.
Muhasebe Ofisinde En Sık Karşılaşılan Güvenlik Açıkları
- Zayıf Parola Hijyeni: GİB sistemleri, e-tebligat ve muhasebe programları için kullanılan parolalar tahmin edilmesi kolay veya birden fazla sistemde ortaktır. Tek bir parola ele geçirildiğinde saldırgan zincirleme erişim elde eder.
- Fidye Yazılımı Hazırlıksızlığı: Yedekleme yapılmamış veya yedekler aynı ağda tutulmaktadır. Saldırı sonrasında tüm mükellef dosyalarının şifrelenmesi hem operasyonel durma hem de mükellef bildirimi yükümlülüğü anlamına gelir.
- Oltalama Saldırılarına Açıklık: GİB, Maliye Bakanlığı veya meslek odası görünümlü sahte e-postalar standart bir muhasebe personelinin fark etmesi güç biçimde hazırlanır. Bir tıklama yeterlidir.
- Güvensiz Uzaktan Erişim: Pandemi döneminden bu yana evden çalışma veya müşteri yerinde bağlantı için kurulan VPN ve uzak masaüstü yapıları çoğunlukla güvenlik yapılandırması yapılmadan bırakılmıştır.
| Risk Vektörü | Olası Sonuç | Denetimde Kontrol Edilen |
|---|---|---|
| Parola güvenliği | GİB / e-tebligat hesabı ele geçirilmesi | Parola politikası ve 2FA varlığı |
| Fidye yazılımı | Tüm mükellef dosyası şifrelenmesi | Yedekleme stratejisi ve izolasyon |
| Oltalama | Kimlik bilgisi çalınması | Personel simülasyonu testi |
| Eski yazılım | Bilinen açıktan sızma | Yama durumu taraması |
| USB / bulut senkron | Veri sızıntısı ve kaybı | Taşınabilir medya politikası |
| Uzaktan erişim | Yetkisiz giriş | VPN ve RDP yapılandırması |
Denetim, bu açıkların gerçekte ofisinizde var olup olmadığını kanıtlarla ortaya koyar. Bulgu raporunuz hem teknik hem yönetici özetli hazırlanır; meslek kuruluşlarına veya sigorta şirketlerine ibraz edilebilir niteliktedir.
Saldırganlar büyük şirketlerden çok, savunması zayıf ama verisi değerli hedefleri sever; muhasebe ofisleri tam bu tanıma uyar. Tek bir oltalama e-postasıyla ele geçirilen personel bilgisayarı, tüm mükellef portföyünün mali verisine, saklanan şifrelerle GİB ve banka sistemlerine açılan kapıdır. Fidye yazılımı senaryosunda ise ofis, beyanname döneminin ortasında tüm arşivine erişimi kaybedebilir; yedek yoksa veya test edilmemişse bu, mesleki faaliyetin fiilen durması demektir. Denetim, bu senaryoları yaşanmadan önce masaya koyar.
Somut teslimatlar
- Kapsamlı siber güvenlik denetim raporu (yönetici özeti + teknik bulgular + risk derecelendirmesi)
- Önceliklendirilmiş iyileştirme yol haritası (kritik / yüksek / orta / düşük ayrımıyla)
- Ağ ve sistem güvenlik açığı tarama çıktıları (ham ve yorumlanmış)
- Oltalama simülasyonu sonuç raporu ve personel farkındalık eğitimi materyalleri
- E-imza ve GİB erişim güvenliği değerlendirme notu
- Denetim sonrası brifing (2 saat canlı) ve ibraz edilebilir özet belge
Süreç nasıl işler?
Siber güvenlik denetimi, gerçek saldırı senaryolarını simüle eden aktif testler ve yapısal analiz yöntemlerini birleştiren beş aşamalı bir süreçtir. Her aşamanın çıktısı belgelidir ve bir sonraki aşamaya onayınız alınmadan geçilmez.
- Kapsam Belirleme ve Keşif (Hafta 1): Ofisinizde kullanılan tüm dijital varlıklar haritalandırılır: bilgisayarlar, sunucular, ağ cihazları, bulut servisleri, muhasebe programları, GİB bağlantı noktaları ve e-imza altyapısı. Bu harita, denetimin yüzey alanını belirler. Hangi sistemlerin aktif test kapsamına alınacağı yazılı olarak mutabık kalınır.
- Teknik Güvenlik Açığı Taraması (Hafta 1-2): Ağ altyapısı ve internet bağlantı noktaları güvenlik açığı tarama araçlarıyla analiz edilir. İşletim sistemi ve yazılım yama durumu incelenir. Güvenlik duvarı kuralları, ağ segmentasyonu ve uzaktan erişim yapılandırması değerlendirilir. Sonuçlar ciddiyet derecesine (kritik/yüksek/orta/düşük) göre sınıflandırılır.
- Oltalama ve Sosyal Mühendislik Simülasyonu (Hafta 2-3): Ofisinizin personeline, GİB veya muhasebe programı sağlayıcısı görünümlü simüle edilmiş oltalama e-postaları gönderilir. Tıklama oranları ve tepkiler ölçülür. Bu test personeli suçlamak için değil, eğitim ihtiyacını somutlaştırmak için yapılır. Sonuçlar anonim toplu istatistik olarak raporlanır.
- Mükellef Verisi ve Erişim Kontrol Denetimi (Hafta 3-4): Mükellef dosyalarına kimin erişebildiği, bu erişimin loglanıp loglanmadığı ve veri yedeklerinin nerede tutulduğu incelenir. E-imza cihazlarının fiziksel ve yazılımsal güvenliği değerlendirilir. Muhasebeci randevu sistemi veya mükellef portali varsa bu sistemlerin güvenlik yapılandırması da kapsama dahil edilir.
- Raporlama ve Yol Haritası (Hafta 4-5): Kapsamlı denetim raporu hazırlanır: yönetici özeti, teknik bulgular, risk derecelendirmesi ve önceliklendirilmiş iyileştirme adımları. Rapor tesliminde 2 saatlik brifing yapılır; her bulgunun ne anlama geldiği ve nasıl giderileceği pratik dilde açıklanır. Bulguların giderilmesinde teknik destek talep edilirse ayrıca teklif sunulur.
Denetim fiyatı 40.000 TL'den (KDV hariç) başlar; ofis büyüklüğü, sistemlerin sayısı ve aktif test kapsamına göre güncellenir. Keşif görüşmesi ücretsizdir.
Denetim mesainizi bölmez: taramalar mesai dışında yapılır, personel görüşmeleri kısa tutulur ve hiçbir test sistemlerinizin çalışmasını aksatacak yöntem içermez. Rapor teslimiyle iş bitmez; bulguların giderilmesi sürecinde sorularınız için destek penceresi tanınır ve kritik bulgular kapatıldığında talep hâlinde doğrulama taraması yapılır.
Sizden gerekenler
- Denetim kapsamındaki tüm sistemlere (bilgisayar, ağ, bulut, muhasebe programı) yönetici erişim bilgileri veya yetkili kişi refakati
- Personel listesi ve e-posta adresleri (oltalama simülasyonu için; gizlilik taahhüdü kapsamında işlenir)
- Kullanılan muhasebe programları, GİB erişim yöntemleri ve e-imza cihazları hakkında ön bilgi formu
Kapsam dışında
- Tespit edilen güvenlik açıklarının giderilmesi için gerekli yazılım, lisans veya donanım maliyetleri
- Kapsamı aşan penetrasyon testi veya red team operasyonu (ayrıca teklif sunulabilir)
- Denetim sonrasında uygulanacak teknik iyileştirmelerin geliştirme veya kurulum işçiliği
Güvenlik, KVKK ve gizlilik
Siber güvenlik denetimi sürecinin kendisi de güvenlik gerektirir. Denetim sırasında ofisinizin sistemlerine erişim yetkisi verilmektedir; bu yetkinin nasıl kullanıldığı, nelerin kaydedildiği ve hangi verilerin denetçide kaldığı konusunda net taahhütler şarttır.
Denetim Sürecinde Güvenlik Güvenceleri
- Gizlilik Sözleşmesi: Denetim başlamadan önce karşılıklı NDA imzalanır. Denetim bulguları ve mükellef verisine ilişkin her türlü gözlem kesinlikle üçüncü taraflarla paylaşılmaz.
- Kapsam Dışı Sistemler: Denetim kapsamı yazılı olarak mutabık kalınır. Kapsam dışında kalan sistemlere hiçbir erişim denenmez. Aktif testler (oltalama simülasyonu, güvenlik açığı taraması) yalnızca mutabık kalınan hedeflere uygulanır.
- Veri Minimizasyonu: Denetim ekibi mükellef verisini kopyalamaz, arşivlemez veya taşımaz. Test bulgularını destekleyen teknik kanıtlar (log çıktıları, ekran görüntüleri) anonimleştirilerek rapora eklenir.
- Raporun Güvenli İletimi: Denetim raporu şifreli kanal üzerinden iletilir. Rapor üçüncü tarafla paylaşılmak istendiğinde (sigorta, meslek odası) bu karar ofis yönetimine aittir.
Denetim Sonrası Koruma
Denetim raporu teslim edildikten sonra ofisiniz öncelikli bulguları gidermek için net bir yol haritasına sahip olur. Kritik açıkların kapatılmasında teknik destek paketi ayrıca talep edilebilir. Periyodik denetim planlaması önerilir; çünkü tehdit ortamı değişir ve bir kez denetlenmek kalıcı güvenlik anlamına gelmez.
GİB sistemi erişimlerinin güvenliği, e-tebligat kutusunun korunması ve mükellef mali verisinin fidye yazılımına karşı yedeklenmesi; bunların her biri hem muhasebe KVKK yükümlülükleri hem de meslek sırrı kapsamında ofisin sorumluluğundadır. Denetim, bu sorumluluğun yerine getirildiğini kanıtlayan belgesel zemin oluşturur.
Denetim bulguları, ofisinizin zafiyet haritası olduğu için en az mükellef verisi kadar hassastır: raporlar şifreli iletilir, yalnızca yetkilendirdiğiniz kişilere teslim edilir ve tarafımızda sözleşmede belirlenen süre sonunda imha edilir. Tüm çalışma karşılıklı gizlilik sözleşmesi altında yürütülür.
Sık sorulan sorular
Hayır. Denetim, iş sürekliliğini bozmayacak biçimde planlanır. Aktif taramalar mesai saatleri dışında veya düşük yoğunluklu dönemlerde yürütülebilir. Oltalama simülasyonu e-postaları gerçek bir saldırı olmadığı için herhangi bir sisteme zarar vermez. Kritik sistemlere dokunulmadan önce mutabık kalınan kapsam belgesi imzalanır. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır.
Evet. Rapor, yönetici özeti ve teknik bulgular bölümü ile iki katmanlı hazırlanır. Yönetici özeti teknik bilgi gerektirmeden anlaşılabilir; meslek odası, bağlı müvekkil kurum veya sigorta şirketine ibraz için uygundur. Raporun üçüncü tarafla paylaşımı tamamen ofisinizin takdirindedir. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır.
Evet. E-imza cihazının (token veya mobil) fiziksel güvenliği, PIN politikası, hangi bilgisayarlarda kullanıldığı ve imza işlemi sırasında ağ güvenliği değerlendirme kapsamındadır. E-imza güvenliği doğrudan beyanname imzalama yetkisiyle eşdeğer olduğundan denetimde öncelikli bir başlıktır. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır. Bu detay sözleşme aşamasında birlikte netleştirilir.
Oltalama simülasyonu, personeli cezalandırmak için değil eğitim ihtiyacını ölçmek için yapılır. Sonuçlar anonim, toplu istatistik olarak raporlanır; bireysel isimler raporlara yansımaz. Testten sonra hedefli farkındalık eğitimi ve pratik tanıma rehberi sağlanır. Deneyim göstermektedir ki simülasyonu yaşayan personel gerçek saldırılara karşı belirgin biçimde daha temkinli olmaktadır. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır.
Kritik bulgu raporun tamamlanması beklenmeksizin anında ofisinizle paylaşılır. Acil müdahale gerektiren durumlarda (örneğin açık bir uzaktan erişim noktası tespit edilmesi) sizi hemen bilgilendirir ve kapatma adımını birlikte uygularız. Denetim boyunca tek taraflı erişim bırakmaz, her adımı şeffaf biçimde raporlarız. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır.
Siber tehdit ortamı sürekli değiştiğinden yılda bir tam denetim önerilir. Ek olarak, yeni personel alımı, yeni yazılım kurulumu veya ofis taşınması gibi altyapı değişikliklerinde kısmi değerlendirme yapılması iyi uygulamadır. Müşterimiz olan ofislere yıllık denetim planlamasında öncelikli randevu ve indirimli fiyat sunulur. Kapsam ve yöntem, keşif görüşmesinde ofisinizin altyapısına göre birlikte belirlenir ve yazılı denetim sözleşmesinde açıkça tanımlanır.
İlgili ürünler
Sonraki adım
Kapsamı netleştirelim, şeffaf bir teklif çıkaralım. Hazır olmayan hiçbir şeyi "hemen kullanın" diye satmıyoruz.
Teklif Al