Kimlik doğrulama ve parola zayıflıkları
Zayıf veya tekrarlanan parolalar ile paylaşılan hesaplar, en yaygın ilk hatalardandır. Kurumsal politika olmadan “kolay hatırlanan” parolalar, sözlük saldırılarına davetiye çıkarır. İki faktörlü kimlik doğrulama (2FA) devreye alınmadığında, tek sızdırılmış parola tüm sisteme anahtar olur. Çözüm: parola yöneticisi, minimum karmaşıklık kuralları, yönetici hesaplarının ayrılması ve tüm kritik sistemlerde MFA zorunluluğu.
Ayrıcalıklı hesapların kişisel e-postayla yönetilmesi ve işten ayrılan çalışanların erişimlerinin zamanında kapatılmaması sık görülen ek zayıflıklardır. Oturum süreleri, başarısız giriş denemesi kilitleri ve merkezi kimlik sağlayıcı (SSO) kullanımı bu riskleri azaltır.
Yedekleme ve felaket kurtarma ihmalı
Düzenli yedek almama ve yedekleri test etmeme üçüncü ve dördüncü hatadır. Fidye yazılımı veya insan hatası sonrası kurtarılacak veri yoksa iş sürekliliği biter. 3-2-1 kuralı (üç kopya, iki ortam, biri off-site), otomatik yedekleme ve periyodik geri yükleme tatbikatları bu riski azaltır.
Yedeklerin şifrelenmemiş veya tek bir bulut klasöründe tutulması, ikinci bir felaket senaryosu doğurur. Erişim günlükleri ve değişmez (immutable) kopyalar, saldırganın yedekleri de silmesini zorlaştırır.
Güncelleme ve yama yönetimi
Güncellenmemiş işletim sistemi ve uygulamalar beşinci hatadır; bilinen güvenlik açıkları aktif olarak istismar edilir. Desteği sona ermiş (EOL) yazılım kullanmak ise altıncı hatadır: uyumluluk bahanesiyle risk sürekli büyür. Otomatik yama süreçleri, envanter ve önceliklendirme ile kritik sistemler önce güncellenmelidir.
Üçüncü taraf kütüphane ve eklenti bağımlılıkları izlenmediğinde (SBOM eksikliği), zincirleme güvenlik açıkları (supply chain) gözden kaçar. Düzenli güvenlik taraması ve sürüm sabitleme (pinning) bu alanda temel disiplindir.
Farkındalık ve sosyal mühendislik
Oltalama (phishing) e-postalarına karşı eğitimsiz çalışanlar yedinci hatadır; kimlik avı ve sahte faturalar çoğu ihlalin giriş noktasıdır. Bilinçsizce tıklama ve USB kullanımı sekizinci hatayla birleşince zararlı yazılım iç ağa yayılır. Düzenli farkındalık eğitimi, simülasyon kampanyaları ve “şüphede IT’ye bildir” kültürü şarttır.
CEO dolandırıcılığı ve aciliyet hissi yaratan sahte aramalar, çalışanların kontrol mekanizmasını atlatmaya çalışır. Ödeme ve hassas veri taleplerinde çok kanallı doğrulama (geri arama, iç prosedür) zorunlu kılınmalıdır.
Ağ, erişim ve üçüncü taraflar
Açık veya zayıf şifreli kablosuz ağlar ve VPN olmadan uzaktan erişim dokuzuncu hatadır; ofis trafiği dinlenebilir. Tedarikçi ve bulut erişimlerinin denetimsiz bırakılması onuncu hatadır: paylaşılan bağlantılar ve süresiz API anahtarları geniş saldırı yüzeyi oluşturur. Segmentasyon, sıfır güven ağı ve minimum ayrıcalık ilkesi ile erişimler sınırlandırılmalıdır.
Güvenlik duvarı ve IDS/IPS kayıtlarının toplanmaması, olay müdahalede kör noktalar bırakır. Düzenli sızma testleri ve açık port taramaları, dışarıdan görünen yüzeyi küçültmeye yardımcı olur.
Özet ve kurumsal disiplin
Bu on hata genelde tek başına değil, bir arada görülür. Güvenlik politikası, olay müdahale planı ve düzenli denetimlerle D’Cloud’un da önerdiği gibi savunmayı katmanlı kurmak, hem uyumluluk hem de itibar açısından işletmenizi güçlendirir. KVKK kapsamında veri envanteri ve saklama süreleri netleştirildiğinde, hem yasal risk hem de teknik borç azalır; ekip içi sorumluluklar yazılı hale getirildiğinde müdahale süreleri kısalır.