Kurum Siber Güvenlik & Veri Denetimi

Bu hizmet; kâğıt tabanlı süreçten dijital platforma geçen her nakliyat ve lojistik firması için tasarlanmıştır. Büyük ölçekli bir bilgi işlem departmanınızın olması şart değildir; asıl risk, dijital sistemleri olan ama siber güvenliğe henüz yatırım yapmamış orta ölçekli işletmelerde yoğunlaşmaktadır.

Özellikle şu işletmeler yüksek risk taşır:

• Araç takip ve TMS yazılımı kullananlar: Bu sistemler internet üzerinden erişilebilir olduğundan güvenli yapılandırılmazsa dışarıdan sızılabilir. Saldırgan araç konumlarını, müşteri teslimat adreslerini ve sefer planlarını ele geçirebilir.
• e-Fatura ve e-İrsaliye entegrasyonu olanlar: GİB sistemlerine bağlı firmalar, vergi numarası ve finansal veri içeren belgelere sahiptir. Bu belgeler fidye yazılımları için son derece değerlidir.
• Uzaktan çalışan ofis personeli: Evden veya sahadaki çalışanlar kurumsal ağ dışında bağlandığında güvenli olmayan Wi-Fi üzerinden şirkete açık kapı bırakabilir.
• Taşeron ve iş ortaklarıyla veri paylaşanlar: Üçüncü taraflara açılan portal veya API bağlantıları yeterince denetlenmediğinde zincirin en zayıf halkası hâline gelir.
• Daha önce siber saldırı yaşamış firmalar: Bir kez saldırıya uğramış sistemlerde arka kapı bırakılmış olabilir; tam temizlik ve sertleştirme yapılmazsa yeniden saldırı kaçınılmazdır.

Küçük bir nakliyat firmasıysanız ve «bizi neden hedef alsınlar?» diye düşünüyorsanız şunu bilin: saldırıların büyük çoğunluğu hedefsizdir; botlar açık kapı bulunan her sisteme girer. Önemli olan hedef olmak değil, kapıyı açık bırakmamaktır.

Hizmet, hem sıfırdan güvenlik altyapısı kurmak isteyen firmalara hem de mevcut sistemini denetletmek ve güçlendirmek isteyen işletmelere uygundur.

Lojistik sektöründe siber saldırılar operasyonel felce dönüşür; zira sistem çökünce sefer planlama, teslimat takibi ve faturalama durur. Bir günlük kesinti, o gün teslim edilemeyen onlarca gönderi ve müşteri güveni kaybı anlamına gelir.

Fidye Yazılımı (Ransomware) Tehdidi

Nakliyat firmalarını hedef alan fidye yazılımları, TMS ve filo yönetim sistemlerini şifreleyerek tüm sefer verilerini erişilemez hâle getirir. Saldırganlar şifre çözme karşılığında ödeme talep eder; ödemeseniz bile veriler ifşa edilebilir. Yedek sistemi ve güvenli ağ yapılandırması olmayan firmalar bu durumda çaresiz kalır.

Kimlik Avı (Phishing) Saldırıları

Çalışanların e-posta yoluyla kandırılması, sektördeki siber güvenlik ihlallerinin yüzde yetmişinden fazlasının başlangıç noktasıdır. «Acil fatura ödeme», «yük hasarı bildirimi» veya «GPS sistem güncelleme» gibi konularla gelen sahte e-postalar nakliyat çalışanlarını kolayca yanıltır. Bir tıklama tüm ağı tehlikeye atabilir.

Zayıf Parola ve Yetkisiz Erişim

Birden fazla sisteme aynı basit parola kullanan çalışanlar, ayrılan personelin erişiminin kapatılmaması ve çok faktörlü doğrulama (MFA) eksikliği; iç tehdit ve dış saldırı için açık davetiye bırakır.

Güvenlik Açığı Taraması Yapılmaması

Yazılım güncellemesi yapılmayan sunucular, hatalı yapılandırılmış güvenlik duvarları ve eski protokoller (FTP, Telnet) saldırganların kolayca bulduğu açıklardır. Bu paket bu açıkları siz fark etmeden önce tespit eder ve kapatır.

Tedarik Zinciri Saldırıları

GPS cihaz yazılımı, TMS sağlayıcısı veya e-fatura entegrasyon hizmeti gibi üçüncü taraf bileşenlerden birinin güvenliği zayıfsa saldırgan bu kapıdan içeri girer. Güvenlik denetimi yalnızca kendi sisteminizi değil; bu bileşenlerin bağlantı noktalarını da inceler.

1. Keşif ve Kapsam Belirleme (1. hafta): Kullandığınız tüm yazılım sistemleri, sunucular, ağ cihazları ve bulut servisleri envanteri çıkarılır. Hangi sistemlerin internete açık olduğu, hangi portların dinlendiği ve hangi verilerin kritik olduğu belirlenir. Bu bilgiler bir kapsam belgesiyle onaylanır.
2. Teknik Açık Taraması (1–2. hafta): Otomatik güvenlik açığı tarama araçları ve manuel sızma testi teknikleriyle sistemleriniz incelenir. TMS paneli, GPS yönetim arayüzü, uzaktan erişim noktaları ve e-posta sunucusu öncelikli taranır. Bulgular kritiklik derecesine göre (Kritik / Yüksek / Orta / Düşük) sınıflandırılır.
3. Ağ Sertleştirme ve Yapılandırma (2–4. hafta): Güvenlik duvarı kuralları gözden geçirilir, gereksiz portlar kapatılır, güvensiz protokoller devre dışı bırakılır. VPN kullanımı zorunlu hâle getirilen erişim noktaları tanımlanır, çok faktörlü doğrulama (MFA) kritik sistemlere eklenir.
4. Phishing Tatbikatı ve Farkındalık Eğitimi (3–5. hafta): Gerçekçi ama zararsız sahte e-postalar çalışanlara gönderilir; kim tıkladı, kim bildirdi, kim fark etmedi analiz edilir. Sonuçlara göre kişiselleştirilmiş farkındalık eğitimi verilir; sürücü ve ofis personeli için ayrı içerikler hazırlanır.
5. Veri Yedek ve Kurtarma Denetimi (4–6. hafta): Mevcut yedekleme sisteminiz test edilir; fidye yazılımı senaryosunda ne kadar sürede sisteme dönülebileceği ölçülür. Yedekler şifrelenmiş, çevrimdışı ve ayrı konumda mı saklanıyor? Bu sorular yanıtlanır, eksikler raporlanır.
6. Güvenlik Politikası ve Süregelen İzleme (6–8. hafta): Parola yönetimi, cihaz güvenliği ve ayrılan personel erişimi için yazılı politikalar oluşturulur. Süregelen izleme paneli devreye alınır; şüpheli erişim veya anormallik tespit edildiğinde otomatik uyarı gönderilir.

Proje sonunda elinizde açık tarama raporu, yapılan sertleştirme adımları belgesi, eğitim tamamlama kayıtları ve süregelen izleme paneli bulunur.

Bir siber güvenlik hizmeti sağlayıcısının kendisi de güvenli olmalıdır. Sistemlerinize erişim izni verdiğiniz bir partnerin kendi güvenlik disiplini en az sizinki kadar sıkı olmak zorundadır. Bu nedenle çalışma sürecinde uyguladığımız standartları şeffaf biçimde paylaşıyoruz.

• Gizlilik sözleşmesi (NDA): Proje başlamadan önce karşılıklı imzalanır. Keşfedilen açıklar, sistem bilgileri ve müşteri verileri üçüncü taraflarla hiçbir koşulda paylaşılmaz. Rapor içeriği yalnızca yetkili proje ekibi ve müşteri yetkilisiyle paylaşılır.
• Kapsam dışı müdahale yok: Yalnızca onaylanan sistemlere, onaylanan süre zarfında ve onaylanan yöntemlerle erişilir. Her tarama ve sızma testi adımı öncesinde yazılı onay alınır; kapsam dışına çıkılmaz.
• Bulguların güvenli iletimi: Açık tarama raporu şifreli kanal üzerinden iletilir; kritik bulgular hiçbir zaman düz metin e-posta ile gönderilmez. Rapor erişimi parola korumalı ve süre sınırlıdır.
• KVKK uyumu: Denetim sürecinde karşılaşılan kişisel veriler (sürücü kaydı, müşteri verisi, personel bilgisi) işlenmez; yalnızca teknik sistem güvenliği değerlendirilir. Veri görüntülendiği durumlarda KVKK kapsamında veri işleme kaydı tutulur.
• Proje sonrası erişim silinmesi: Teslim sonrasında tüm test hesapları, geçici erişim bilgileri ve VPN bağlantıları kapatılır. İmha tutanağı müşteriye yazılı olarak iletilir.
• Sızma testi etik çerçevesi: Tüm testler OWASP ve PTES (Penetration Testing Execution Standard) kılavuzlarına uygun yürütülür. Sistemlere zarar verme veya servis dışı bırakma riski taşıyan testler yalnızca izole ortamda veya bakım penceresinde uygulanır.

Güvenlik denetimi sizi savunmasız bırakmaz; aksine mevcut savunmasızlıkları kontrollü ortamda keşfedip kapatmanızı sağlar. Bilinmeyenden kaçınmak değil, onu görünür hâle getirip çözmek asıl güvencedir.