Şu yazıyı okuyorsunuz: E-posta Uyumluluk Kılavuzu: Küçük İşletmelerin Güvende Kalmak İçin Alabileceği 5 Adım
E-posta, birçok küçük işletmenin hem kuruluş içine hem de kuruluş dışına hassas ve gizli bilgiler göndermek için güvendiği hayati bir iletişim kaynağıdır.
Ancak e-postanın bir iş aracı olarak hakimiyeti, onu istismara ve veri kaybına karşı da duyarlı hale getiriyor. Aslında, bir siber güvenlik şirketi olan AppRiver’ın teknik raporuna göre e-posta, işletmeler arasındaki tüm veri kaybı olaylarının yüzde 35’ini oluşturuyor.
Veri ihlalleri her zaman bilgisayar korsanlığı girişimi gibi kötü niyetli etkinliklerin sonucu değildir. Çoğu zaman, çalışanların basit ihmali veya dikkatsizliği nedeniyle ortaya çıkarlar. (Wells Fargo’nun teknik raporuna göre, güvenlikle ilgili olayların önde gelen nedeni çalışanlardır.)
2014 yılında sigorta komisyonculuğu şirketi Willis North America’nın bir çalışanı, şirketin sağlık planının Sağlıklı Ödüller programına kayıtlı bir grup çalışana yanlışlıkla gizli bilgiler içeren bir e-tabloyu e-postayla gönderdi. Sonuç olarak Willis, ihlalden etkilenen yaklaşık 5.000 kişinin iki yıllık kimlik hırsızlığı koruması bedelini ödemek zorunda kaldı.
Yine 2014’te gerçekleşen başka bir vakada, San Diego’daki Rady Çocuk Hastanesi’ndeki bir çalışan, iş başvurusunda bulunanlara yanlışlıkla 20.000’den fazla hastanın korunan sağlık bilgilerini içeren bir e-posta gönderdi. (Çalışan, başvuranları taramak için bir eğitim dosyası gönderdiğini düşünüyordu.)
Hastane, etkilenen kişilere bildirim mektupları gönderdi ve verilerin silinmesini sağlamak için üçüncü taraf bir güvenlik şirketiyle çalıştı.
Bunlar ve benzeri pek çok olay, e-postalardaki güvenlik açıklarına işaret ediyor ve büyük ve küçük işletmelerin mesajlarını ve eklerini gönderdikleri her yerde güvenlik altına alma, izleme ve takip etme ihtiyacının altını çiziyor.
Küçük işletmelerin, hassas bilgileri korumak amacıyla e-posta uyumluluk standartlarını geliştirme görevini basitleştirmek için AppRiver’dan alabileceği beş adımı burada bulabilirsiniz.
E-posta Uyumluluk Kılavuzu
1. Hangi düzenlemelerin geçerli olduğunu ve ne yapmanız gerektiğini belirleyin
Şunu sorarak başlayın: Şirketim için hangi düzenlemeler geçerli? E-posta uyumluluğunu göstermek için hangi gereksinimler mevcuttur? Örtüşüyorlar mı yoksa çatışıyorlar mı?
Hangi düzenlemelerin geçerli olduğunu anladıktan sonra, bunları kapsayacak farklı politikalara mı yoksa yalnızca tek bir kapsamlı politikaya mı ihtiyacınız olduğuna karar verin.
Birçok küçük işletmenin karşılaştığı düzenleme örnekleri şunlardır:
- Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA) – kişisel olarak tanımlanabilir hasta sağlık bilgilerinin iletilmesini yönetir;
- Sarbanes-Oxley Yasası (S-OX) – şirketlerin mali bilgileri doğru bir şekilde toplamak, işlemek ve raporlamak için iç kontroller oluşturmasını gerektirir;
- Gramm-Leach-Bliley Yasası (GLBA) – Şirketlerin müşteri kayıtlarının iletildiği ve saklandığı sırada güvenliğini ve gizliliğini sağlamak için politika ve teknolojiler uygulamasını gerektirir;
- Ödeme Kartı Bilgileri (PCI) Güvenlik Standartları – kart sahibi verilerinin güvenli bir şekilde iletilmesini gerektirir.
2. Neyin korunması gerektiğini belirleyin ve protokoller oluşturun
Şirketinizin tabi olduğu düzenlemelere bağlı olarak, e-posta yoluyla gönderilen hassas kabul edilen verileri (kredi kartı numaraları, elektronik sağlık kayıtları veya kimliğinizi tespit edebilecek bilgiler) tanımlayın.
Ayrıca, söz konusu bilgileri gönderip almak için kimin erişim sahibi olacağına da karar verin. Ardından, iletilen verileri hassas olarak tanımlamak için kullanıcılara, kullanıcı gruplarına, anahtar sözcüklere ve diğer araçlara dayalı olarak e-posta içeriğini şifrelemek, arşivlemek ve hatta iletimini engellemek için teknolojiyi kullanarak uygulayabileceğiniz politikalar oluşturun.
3. Veri sızıntılarını ve kayıplarını takip edin
Kullanıcıların e-posta yoluyla ne tür veri gönderdiğini anladıktan sonra, bir kaybın meydana gelip gelmediğini ve nasıl meydana geldiğini belirlemek için takip edin.
İhlaller şirket içinde mi yoksa belirli bir kullanıcı grubu içinde mi meydana geliyor? Ekler sızdırıyor mu? Temel güvenlik açıklarınızı gidermek için ek politikalar oluşturun.
4. Politikayı uygulamak için neye ihtiyacınız olduğunu belirleyin
Politikanızı uygulamak için doğru çözüme sahip olmak, politikanın kendisi kadar önemlidir. Mevzuat gerekliliklerini karşılamak amacıyla e-posta uyumluluğunu sağlamak amacıyla birden fazla çözüm gerekli olabilir.
Kuruluşların uygulayabileceği bazı çözümler arasında şifreleme, veri sızıntısını önleme (DLP), e-posta arşivleme ve antivirüs koruması yer alır.
5. Kullanıcıları ve çalışanları eğitin
Etkili bir e-posta uyumluluk politikası, kullanıcı eğitimine ve politikanın kabul edilebilir kullanım için uygulanmasına odaklanacaktır.
Kasıtsız insan hatası, veri ihlallerinin en yaygın nedeni olmayı sürdürdüğü için birçok düzenleme, veri ihlallerine yol açabilecek davranışlar konusunda kullanıcı eğitimi gerektirir.
Kullanıcıların ve çalışanların, işyerinde e-postanın doğru kullanımını ve uyumsuzluğun sonuçlarını anladıklarında ve uygun teknolojileri kullanma konusunda rahat olduklarında, gardlarını düşürme ve hata yapma olasılıkları daha düşük olur.
Hiçbir “herkese uygun” plan küçük işletmelerin tüm düzenlemelere uymasına yardımcı olamazken, bu beş adımı takip etmek şirketinizin güvenlik standartlarını koruyan etkili bir e-posta uyumluluk politikası geliştirmesine yardımcı olabilir.
