Restoran POS & Ağ Siber Güvenlik Denetimi

Bu denetim paketi, kart ödeme kabul eden ve dijital altyapısında birden fazla bileşen bulunan yeme-içme işletmeleri için tasarlanmıştır. Restoran ağı, POS terminali, mutfak yazıcısı, muhasebe bilgisayarı ve misafir Wi-Fi erişim noktasının aynı fiziksel çatı altında bir arada çalıştığı karmaşık bir ortamdır. Bu bileşenler arasındaki sınırlar yeterince ayrıştırılmamışsa tek bir zayıf nokta tüm ağı tehlikeye atar.

• Birden fazla POS terminali çalıştıran restoranlar: Her ek terminal, saldırı yüzeyini genişletir. Merkezi bir güvenlik politikası olmadan her terminal bağımsız bir risk noktası oluşturur. Terminallerden biri gece yarısı kimliği belirsiz bir güncelleme indirirse veya uzaktan erişim servisini açık bırakırsa, bu durum saatler içinde tüm ödeme altyapısını tehlikeye atabilir.
• Misafir Wi-Fi sunan kafeler ve barlar: Misafir trafiğinin operasyonel ağdan ayrışmaması, müşteri cihazlarının POS altyapısını ağ düzeyinde görmesine neden olabilir. Bu konfigürasyon PCI-DSS gerekliliklerini doğrudan ihlal eder ve denetimde kritik bulgu olarak raporlanır.
• Online sipariş veya rezervasyon sistemi kullanan işletmeler: İnternet bağlantılı her sistem, dışarıdan erişim için yeni bir kapı açar. Güvenlik duvarı kuralları ve güncelleme politikası denetim kapsamına girer. Yanlış yapılandırılmış bir portun açık bırakılması, saldırgana POS ağına köprü oluşturabilir.
• Otel yeme-içme birimleri: Otel ağıyla entegre çalışan restoran sistemleri, çapraz segment saldırı riskini barındırır. Denetim, restoran ile otel ağı arasındaki segmentasyonu da inceler; otel misafir ağından restoran POS'una erişim olup olmadığı test edilir.
• Kart ödeme cirosu yüksek zincir restoranlar: Ödeme işlemcisi veya kart kuruluşu tarafından PCI-DSS uyumu sorulan ya da denetlenen işletmeler bu paketi ön hazırlık olarak kullanabilir. Denetim bulgularına dayalı düzeltme kanıtları SAQ tamamlamada somut destek sağlar.

Küçük ölçekli tek şubeli kafeler de dahil olmak üzere kart ödeme kabul eden her işletmenin en az temel bir ağ denetiminden geçmesi endüstri standardı olarak benimsenmektedir. Fidye yazılımı grupları ve kart verisi hırsızları büyük zincirler yerine güvenlik yatırımı düşük küçük işletmeleri hedef alır; koruma maliyeti küçük olduğunda saldırı getirisi oransal olarak yüksek görünür.

Restoranların büyük çoğunluğu ağ altyapısını kuru donanım bağlantısı olarak kurar ve sonraki dönemde güvenlik yapılandırmasını güncelleme gereği duymaz. Bu yaklaşımın yarattığı başlıca riskler şunlardır. Her senaryo gerçek saldırı yöntemlerine dayanmaktadır.

1. POS ve genel ağın ayrışmaması

Kasadaki POS terminali muhasebe bilgisayarı veya misafir Wi-Fi ile aynı ağ segmentindeyse, bir noktaya erişen saldırgan ağın tamamını tarayabilir. Buna lateral movement (yanal hareket) denir; saldırgan POS'a ulaşmadan önce muhasebe bilgisayarından geçebilir. Bu yapılandırma kart sahibi verilerini tehlikeye atar ve PCI-DSS'in en temel gerekliliklerinden birini ihlal eder.

2. Fidye yazılımı senaryosu

POS ağına yerleşen fidye yazılımı kasa bilgisayarındaki satış geçmişini, muhasebe kayıtlarını ve müşteri verilerini şifreler. İşletme fidyeyi ödeyebilir ya da veri kaybını kabullenerek tüm sistemi sıfırdan kurabilir. Her iki seçenek de operasyon dışı kalma süresi ve ciddi mali kayıp demektir. Doğru ağ segmentasyonu ve yama yönetimi bu saldırının başarılı olma ihtimalini önemli ölçüde azaltır.

3. Güncellenmemiş POS yazılımı ve işletim sistemi

POS terminallerinin önemli bir bölümü destek süresi dolmuş işletim sistemlerinde veya güncel yama almamış yazılımlarla çalışır. Kamuya açık güvenlik açıkları bu sistemler üzerinden birkaç dakikada istismar edilebilir; saldırgan özel beceri gerektirmeyen hazır araçlar kullanır.

4. Varsayılan yönetici şifreleri

Ağ ekipmanı çoğunlukla fabrika çıkışı şifresiyle bırakılır. Bu şifreler kamuya açık veritabanlarında listelidir ve birkaç dakikada denenerek erişim sağlanabilir. Router veya switch'e erişim sağlayan saldırgan tüm trafik akışını izleyebilir.

5. Uzaktan erişim servisleri

POS destek firmaları uzaktan bağlantı için açık bıraktığı RDP veya TeamViewer portları, saldırganların sürekli hedeflediği giriş noktalarıdır. Bu portlar kullanılmadığı zamanlarda kapalı tutulmalı ve yalnızca aktif destek seanslarında açılmalıdır.

Bu denetim söz konusu risklerin tamamını sistematik olarak inceler ve her bir bulguyu istismar olasılığı ile iş etkisine göre önceliklendirilmiş şekilde raporlar. Küçük işletmeler büyük kurumlara kıyasla genellikle çok daha az güvenlik yatırımı yapar; bu durum saldırganlar için cazip bir hedef profili oluşturur. Temel ağ sertleştirmesi ve güncel yazılım yönetimi, saldırı yüzeyini dramatik biçimde daraltır.

1. Kapsam belirleme ve belge toplama (1. hafta): Ağ topolojisi diyagramı (varsa), POS terminalleri, Wi-Fi erişim noktaları, internet bağlantısı ve sunucu/NAS varlıkları listelenir. POS sağlayıcısının güvenlik politikaları ve hizmet sözleşmesi incelenir. Hangi sistemlerin internete açık olduğu, uzaktan erişimin nasıl yönetildiği ve yazılım güncelleme sorumluluklarının kime ait olduğu netleştirilir. Kapsam listesi imzalı olarak onaylanır; kapsam dışı sistemlere hiçbir işlem uygulanmaz.
2. Pasif keşif ve yapılandırma denetimi (1–2. hafta): Ağ ekipmanlarının yönetim panelleri, yazılım sürümleri ve güvenlik yapılandırmaları gözden geçirilir. Açık port taraması ve servis tespiti yapılır. Kablosuz ağların şifreleme protokolleri ve SSID izolasyonu incelenir. Güvenlik duvarı kural seti analiz edilir; gereğinden geniş açık kurallar ve gereksiz servisler tespit edilir. Varsayılan kimlik bilgisi kullanan cihazlar bu aşamada raporlanır.
3. Aktif güvenlik açığı taraması (2–3. hafta): Endüstri standardı araçlarla POS terminalleri, ağ cihazları ve sunucular taranır. Bulgular kritik, yüksek, orta ve düşük olmak üzere dört seviyede sınıflandırılır. Kritik bulgular müşteriye beklemeden bildirilir; kapatma yönergesi derhal paylaşılır. Tarama zamanlaması düşük yoğunluklu saatlere planlanır; müşterinin siparişi veya kasa işlemi hiçbir şekilde etkilenmez.
4. Sosyal mühendislik ve fiziksel güvenlik kontrolü (3. hafta): Personelin güvenlik farkındalığı phishing simülasyonu ve şifre politikası gözlemi ile değerlendirilir. Fiziksel POS güvenliği, kart skimmer yerleştirme riski ve terminal sabitleme kontrol edilir. POS terminali doğrudan masa başına erişilebilir mi, yabancı bir USB bellek takılabilir mi gibi fiziksel tehdit senaryoları değerlendirilir. Gözlemler bulgular raporuna eklenir.
5. Raporlama ve yol haritası teslimi (4–5. hafta): Yönetici özeti ve teknik detay olmak üzere iki bölümlü denetim raporu hazırlanır. Her bulgu için düzeltme adımları ve tahmini iş yükü belirtilir. Kapatma öncelik sırası sizi en az çabayla en yüksek riski azaltacak şekilde düzenlenir. Sunum toplantısında bulgular ekibinizle paylaşılır, sorular yanıtlanır. İşletme yönetimi teknik detayları anlamak için ek açıklama isteyebilir; yönetici özeti bu ihtiyacı karşılayacak biçimde tasarlanır.

Denetim boyunca hiçbir yapılandırma değişikliği müşteri onayı alınmadan gerçekleştirilmez. Tarama aktiviteleri yoğunluk saatlerinin dışına planlanır; POS operasyonu kesintisiz sürer.

Denetim süreci boyunca işletmeye ait tüm veriler ve bulgular gizlilik anlaşması kapsamında işlenir. Denetim ekibi, erişim sağlanan sistemlerde yalnızca okuma ve gözlem yetkisiyle çalışır; hiçbir yapılandırma değişikliği müşteri yazılı onayı alınmadan gerçekleştirilmez. Bu kural hem operasyon güvenliğini hem de denetim tarafsızlığını korur.

Teknik güvenceler kapsamında:

• Denetim araçları yalnızca kapsam içindeki sistemlere uygulanır; kapsam dışı sistemlere herhangi bir tarama veya erişim denemesi yapılmaz. Kapsam listesi proje başında imzalı olarak onaylanır ve değiştirilemez.
• Tüm denetim aktiviteleri zaman damgalı loglarla kayıt altına alınır; hangi sistemin hangi saatte tarandığı belgelenir. Bu log işletmenin denetim izi gereksinimini de karşılar.
• Denetim çıktıları yalnızca işletme yönetimine teslim edilir; üçüncü taraflarla paylaşılmaz. Raporlarda kart sahibi verisi veya müşteri kişisel veri örneği yer almaz; yalnızca güvenlik açığı ve yapılandırma bilgisi bulunur.
• PCI-DSS ve KVKK gereklilikleri denetim kriterlerine dahil edilir; her iki standart açısından mevcut durum ayrı ayrı değerlendirilir. Boşluk analizi hangi maddede eksik olunduğunu somut olarak gösterir.
• Aktif saldırı simülasyonu (exploit çalıştırma, oturum ele geçirme) kapsam dışındadır; yalnızca güvenlik açığı taraması ve yapılandırma denetimi yapılır. Bu sınır işletmenin operasyon sürekliliğini ve veri güvenliğini korur.
• Denetim raporları proje tamamlandıktan sonra güvenli şekilde imha edilir; müşteri sisteme ait bilgiler Yazılım.pro altyapısında kalıcı olarak saklanmaz. Tüm bu güvenceler proje başlangıcında imzalanan gizlilik sözleşmesine dahil edilir. Böylece işletme hem denetimi yaptırmanın getirdiği riskin yönetildiğini bilir hem de bulgu raporunun üçüncü taraflara sızma ihtimalinin sözleşmeyle bertaraf edildiğinden emin olur. Denetim süreci güvenliği artırmak için yapılır; başlı başına bir güvenlik riski oluşturmamalıdır.