Sıkça Sorulan Sorular

Misafir ağımız ayrı bir internet hattına çıkıyor, yine de test gerekir mi?

Evet. Ayrı hat kullanılsa bile yapılandırma hatası nedeniyle misafir ağından kurumsal ağa veya yönetim arayüzlerine erişim mümkün olabilir; test bu ayrımın gerçekten çalıştığını doğrular.

iOS ve Android ayrı ayrı mı test edilir?

Evet. İki platformun güvenlik modeli ve veri saklama yöntemi farklıdır; her biri ayrı test edilir ve raporda ayrı başlıklarda sunulur. Ortak arka uç API'leri bir kez test edilir.

Mağazadaki uygulama mı, test sürümü mü kullanılır?

İkisi de mümkündür. Test sürümü (ör. TestFlight veya imzalı APK) tercih edilir; kod karartma veya root tespiti gibi korumaların etkisinin ölçülmesi isteniyorsa mağaza sürümü de incelenir.

Arka uç API'leri de test ediliyor mu?

Uygulamanın kullandığı API'ler varsayılan olarak kapsama alınır, çünkü mobil uygulamadaki açıkların önemli bir kısmı arka uçtaki yetki kontrollerinden kaynaklanır. Ayrı ve geniş bir API seti varsa API ve Web Servis Sızma Testi ile birlikte planlanır.

Web uygulama sızma testi ne kadar sürer?

Süre uygulamanın büyüklüğüne ve rol sayısına bağlıdır. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız.

Test canlı ortamda mı yapılır?

Tercihen canlıyla aynı yapılandırmadaki bir test ortamında yapılır. Canlı ortamda çalışılması gerekiyorsa veri değiştirebilecek veya hizmeti etkileyebilecek adımlar önceden onaylanır ve uygun zaman aralığında yürütülür.

Kaynak kod erişimi vermemiz gerekir mi?

Zorunlu değildir. Kaynak kod paylaşılırsa (beyaz kutu) test daha derin ve verimli olur; kodun ayrıca incelenmesi isteniyorsa Kaynak Kod Analizi hizmetiyle birlikte planlanabilir.

Düzeltmeler test sonrasında doğrulanıyor mu?

Evet. Bulguları giderdikten sonra aynı açıkları yeniden test ederek kapanıp kapanmadığını ayrı bir doğrulama raporuyla belgeliyoruz. Doğrulama testinin kapsamı ve zamanı teklifte belirtilir.

Sosyal mühendislik testi yasal mı?

Kurumun yetkili temsilcisinin yazılı onayıyla, kapsamı ve kuralları belirlenmiş şekilde yapılan test, yetkili bir güvenlik değerlendirmesidir. Kişisel verilerin işlenmesinde KVKK hükümlerine uyulur. Hukuki değerlendirme için kendi hukuk biriminizle de görüşmenizi öneririz.

Oltalama simülasyonu ile sosyal mühendislik testi arasındaki fark nedir?

Oltalama simülasyonu, farkındalığı düzenli ölçmek için tekrarlanan e-posta kampanyalarıdır. Sosyal mühendislik testi ise telefon ve fiziksel giriş dahil birden fazla kanalı kullanan, daha hedefli ve kapsamlı bir değerlendirmedir.

Stres testi ne zaman yapılmalı?

Yeni bir uygulama canlıya alınmadan önce, büyük altyapı değişikliklerinden sonra ve kampanya, kayıt dönemi gibi yoğun trafik beklenen dönemlerden önce yapılması önerilir.

Test canlı ortamda mı yapılmalı?

Mümkünse canlıya eş bir test ortamı tercih edilir. Ancak gerçek kapasiteyi ölçmek için canlı ortam gerekiyorsa test bakım penceresinde, servis sağlayıcılar bilgilendirilerek ve kademeli artışla yapılır.

Stres testi güvenlik açığı bulur mu?

Stres testinin amacı performans ve kapasitedir; güvenlik açığı aramaz. Uygulamanızın güvenliğini değerlendirmek için sızma testi, saldırı trafiğine dayanıklılık için DDoS testi önerilir.

Prompt injection nedir?

Prompt injection, saldırganın modele verdiği girdilerle sistemin talimatlarını değiştirmesi veya aşmasıdır. Doğrudan kullanıcı mesajıyla ya da modelin okuduğu bir belge veya web sayfasına gizlenmiş talimatla dolaylı olarak yapılabilir.

Kendi modelimizi değil hazır bir API kullanıyoruz; test yine gerekli mi?

Evet. Risklerin büyük bölümü modelin kendisinden değil, modele verilen yetkilerden, bağlanan veri kaynaklarından ve çıktının uygulamada nasıl işlendiğinden doğar. Test, sizin entegrasyonunuza odaklanır.

LLM testinde model sağlayıcının sistemlerine saldırıyor musunuz?

Hayır. Testler yalnızca sizin uygulamanız ve size ait entegrasyonlar üzerinde, yazılı kapsam dahilinde yürütülür. Sağlayıcının kullanım koşullarına uygun hareket ederiz.

GRC nedir?

GRC; yönetişim (governance), risk yönetimi (risk management) ve uyumluluk (compliance) kavramlarının kısaltmasıdır. Bilgi güvenliği kararlarının iş hedefleri, kabul edilebilir risk seviyesi ve yasal yükümlülüklerle tutarlı biçimde alınmasını sağlar.

Uyumluluk çalışması ile sızma testi arasındaki fark nedir?

Uyumluluk çalışması, bir düzenlemenin veya standardın şartlarının karşılanıp karşılanmadığını değerlendirir. Sızma testi ise sistemlerin gerçek bir saldırıya karşı dayanıklılığını teknik olarak ölçer. Birçok düzenleme düzenli sızma testini uyumun bir parçası olarak ister; biz iki çalışmayı birbirini besleyecek şekilde yürütüyoruz.

Hangi kurumlar bu hizmetlere ihtiyaç duyar?

Bankalar, aracı kurumlar ve portföy yönetim şirketleri, enerji lisans sahipleri gibi regülasyona tabi kuruluşlar ile risklerini ölçülebilir hale getirmek isteyen her ölçekteki şirket. İhtiyacınızı kısa bir ön görüşmeyle birlikte netleştiriyoruz.

Bilgi ve İletişim Güvenliği Rehberi kimler için zorunludur?

Rehber; kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmeler ve bunlara sözleşmeyle bilişim hizmeti sunan kuruluşlar için uygulanır. Kritik altyapı işletmeleri için denetim yükümlülüğünün ayrıntıları ilgili sektörel düzenlemelerle de belirlenebilir.

Rehberin güncel sürümü hangisi?

Rehberin ilk sürümü Temmuz 2020'de yayımlandı. Siber Güvenlik Başkanlığı tarafından Mart 2026'da yayımlanan 1.1 sürümü, kurumsal yetki değişikliklerini yansıtacak şekilde güncellenmiştir; güncel metne Başkanlığın internet sitesinden ulaşılabilir.

Rehber denetimi ne sıklıkla yapılır?

Rehberin uygulanması en az yılda bir kez denetlenmelidir. Denetimin usul ve esasları ile denetçi nitelikleri Bilgi ve İletişim Güvenliği Denetim Rehberi'nde düzenlenmiştir.

Rehber ile ISO 27001 arasındaki ilişki nedir?

İki çalışma birbirini destekler ancak birinin varlığı diğerinin yerine geçmez. Rehber, ulusal ölçekte asgari tedbirleri kritiklik derecesine göre tanımlar; ISO 27001 ise risk temelli bir yönetim sistemi kurar. ISO 27001 kontrolleri ile rehber tedbirleri arasında eşleştirme yapılarak mükerrer iş önlenebilir.

Fidye yazılımına karşı en etkili önlem nedir?

Tek bir önlem yeterli değildir. Değiştirilemez veya çevrimdışı ve düzenli test edilen yedekler, ayrıcalıklı hesaplarda MFA, segmentasyon ve izlenen bir EDR çözümü birlikte etkilidir. Analizimiz bu katmanlardan hangisinin sizde zayıf olduğunu gösterir.

3-2-1 yedekleme kuralı nedir?

Verinin en az üç kopyasının, iki farklı ortamda ve bir kopyanın farklı bir lokasyonda tutulmasıdır. Fidye saldırılarına karşı bu kopyalardan en az birinin değiştirilemez veya ağdan ayrılmış olması önerilir.

Analiz sistemlerimizde kesintiye yol açar mı?

Hayır, analiz çoğunlukla yapılandırma incelemesi, görüşme ve kontrollü sorgularla yürütülür; fidye yazılımı çalıştırılmaz. Ek teknik testler gerekiyorsa kurallarını önceden sizinle belirliyoruz.

Analizden sonra tatbikat yapabilir miyiz?

Evet. Bulguları bir fidye saldırısı senaryosuna dönüştürerek yönetim ve BT ekipleriyle masa başı kriz tatbikatı planlayabiliriz. Bu, karar süreçlerinin ve iletişim planının sınanmasını sağlar.

ISO 27001 belgesi almak ne kadar sürer?

Süre; kurumun büyüklüğüne, kapsamına ve mevcut olgunluk seviyesine bağlıdır. Kapsama bağlı olarak hazırlık genellikle birkaç ay sürer; belgelendirme kuruluşunun denetim takvimi de toplam süreyi etkiler.

ISO/IEC 27001:2022'de kaç kontrol var?

Ek A'da 93 kontrol bulunur ve bu kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört tema altında gruplanır. Hangi kontrollerin uygulanacağı risk değerlendirmesine göre Uygulanabilirlik Bildirgesi'nde gerekçelendirilir.

ISO 27001:2013 belgem hâlâ geçerli mi?

Hayır. 2022 sürümüne geçiş süresi 31 Ekim 2025'te sona erdi ve 2013 sürümüne göre verilmiş belgeler geçerliliğini yitirdi. Belgeniz geçiş yapılmadan sona erdiyse yeniden belgelendirme sürecini değerlendirmeniz gerekir.