Sıkça Sorulan Sorular

ISO 27001 sızma testi gerektirir mi?

Standart sızma testini adıyla zorunlu tutmaz; ancak teknik zafiyetlerin yönetimi ve kontrollerin etkinliğinin ölçülmesi gibi gereklilikler, düzenli sızma testini yaygın bir kanıt yöntemi haline getirir. Belgelendirme denetimlerinde de sıkça talep edilir.

KVKK sızma testini zorunlu tutuyor mu?

Kanun belirli bir test türünü adıyla saymaz; uygun güvenlik düzeyini sağlayacak teknik tedbirleri ister. Kurul'un Kişisel Veri Güvenliği Rehberi ise sızma testini teknik tedbirler arasında sayar ve düzenli zafiyet taraması ile sızma testi yapılmasını önerir.

KVKK teknik ve idari tedbirler nelerdir?

Teknik tedbirler; yetkilendirme, loglama, şifreleme, ağ ve uygulama güvenliği, yedekleme ve sızma testi gibi sistem tarafındaki önlemlerdir. İdari tedbirler ise envanter, politikalar, sözleşmeler, eğitim ve iç denetim gibi organizasyonel önlemleri kapsar.

KVKK uyumu için hukuk danışmanı yeterli mi?

Hukuki süreçler için gereklidir, ancak teknik tedbirlerin gerçekten uygulandığını doğrulamak sistem incelemesi ve test gerektirir. En sağlıklı sonuç, hukuk ve teknik ekiplerin aynı envanter üzerinden birlikte çalışmasıyla alınır.

Veri ihlali yaşanırsa ne yapılmalı?

İhlal, Kurul'un belirlediği usul ve süreler içinde Kurul'a ve gerektiğinde ilgili kişilere bildirilmelidir. Bunun için ihlali hızla tespit edecek loglama ve müdahale süreçlerinin önceden hazır olması önemlidir.

vCISO ile tam zamanlı CISO arasındaki fark nedir?

Tam zamanlı CISO kurumda sürekli çalışan bir yöneticidir. vCISO ise aynı rolün sorumluluklarını, kurumun ihtiyacına göre belirlenen bir zaman planı ve kapsamla dış kaynak olarak üstlenir. Bu model özellikle küçük ve orta ölçekli kurumlar için daha esnek bir seçenektir.

vCISO ne kadar zaman ayırır?

Ayrılan süre, kurumun büyüklüğüne, regülasyon yüküne ve güvenlik programının olgunluğuna göre sözleşmede belirlenir. Aylık ve çeyreklik yönetişim toplantıları sabit, diğer çalışmalar ihtiyaca göre planlanır.

vCISO hizmeti regülasyon uyumuna yardımcı olur mu?

Evet. vCISO, bağlı olduğunuz düzenlemelerin ve standartların gerekliliklerini takip eder, gereken politika, risk analizi ve test çalışmalarını takvime bağlar. Ancak bazı düzenlemeler belirli rollerin kurum içinden atanmasını isteyebilir; bu durumu başlangıçta birlikte değerlendiriyoruz.

vCISO mevcut BT ekibimizle nasıl çalışır?

vCISO strateji, önceliklendirme ve yönetim raporlamasını üstlenir; BT ekibiniz uygulama tarafında kalır. Düzenli toplantılar ve ortak aksiyon listesiyle iki taraf aynı plan üzerinden ilerler.

BDDK sızma testi ne sıklıkla yapılmalı?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, sızma testinin bağımsız ekiplerce yılda en az bir kez yaptırılmasını öngörür. Önemli sistem değişikliklerinden sonra ek test yapılması da iyi bir uygulamadır.

SPK Bilgi Sistemleri Yönetimi Tebliği kimleri kapsar?

Tebliğ, SPK düzenlemesine tabi kurumların bilgi sistemleri yönetimini düzenler; ancak bazı hükümler için kurum türüne göre istisnalar vardır. Hangi maddelerin sizi bağladığını tebliğin güncel metni üzerinden birlikte netleştiriyoruz.

EPDK siber güvenlik yetkinlik modeli hangi şirketleri ilgilendirir?

Yönetmelik, elektrik iletim ve dağıtım, belirli büyüklükteki üretim tesisleri, doğal gaz, petrol iletimi ve rafineri gibi alanlardaki lisans sahiplerini kapsar. Kapsam değişikliklerle genişletildiği için güncel metne göre değerlendirme yapılmalıdır.

Raporunuz regülatöre doğrudan sunulabilir mi?

Raporlarımızı yönetici özeti, metodoloji, bulgular ve çözüm önerileri içerecek şekilde, ilgili düzenlemenin beklediği başlıkları gözeterek hazırlıyoruz. Kurumunuza özgü format istekleri varsa kapsam aşamasında rapora yansıtıyoruz.

7545 sayılı Siber Güvenlik Kanunu ne zaman yürürlüğe girdi?

Kanun, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanarak aynı gün yürürlüğe girmiştir.

Siber Güvenlik Kanunu sadece kamu kurumlarını mı kapsar?

Hayır. Kanun kamu kurumlarının yanı sıra siber uzayda faaliyet gösteren gerçek ve tüzel kişileri de kapsar. Bazı yükümlülükler ise yalnızca kamu kurumları ve kritik altyapılar için öngörülmüştür.

Siber olayları ne kadar sürede bildirmek gerekiyor?

Kanun, zafiyet ve olayların Başkanlığa gecikmeksizin bildirilmesini öngörür; metinde sabit bir saat belirtilmemiştir. Ayrıntıların ikincil düzenlemelerle netleşmesi beklendiğinden, iç tespit ve eskalasyon süreçlerini şimdiden hazır tutmak önemlidir.

Kanun kapsamında hangi yaptırımlar var?

Kanun, tedbir ve bildirim yükümlülüklerine aykırılık için idari para cezaları ile bazı fiiller için cezai yaptırımlar öngörür. Tutarlar yıllık olarak güncellendiğinden, güncel değerler için mevzuat metnine ve hukuk danışmanınıza başvurulmalıdır.

Siber risk değerlendirmesi ile sızma testi arasındaki fark nedir?

Sızma testi belirli sistemlerdeki açıkları saldırgan gözüyle bulur. Risk değerlendirmesi ise bu tür bulguları tehditler, iş etkisi ve mevcut kontrollerle birlikte ele alarak kurum genelindeki riskleri sıralar. İki çalışma birbirini tamamlar.

Risk değerlendirmesi ne kadar sürer?

Süre, kurumun büyüklüğüne ve kapsamdaki süreç sayısına bağlıdır. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız.

Risk değerlendirmesi ne sıklıkla tekrarlanmalı?

En az yılda bir kez ve önemli değişikliklerden sonra (yeni sistem, birleşme, ciddi bir olay) güncellenmesi önerilir. Bazı düzenlemeler yıllık risk analizini açıkça zorunlu tutar.

Hangi metodolojiyi kullanıyorsunuz?

ISO/IEC 27005 ve NIST SP 800-30 gibi uluslararası rehberleri temel alıyor, puanlama ölçeğini kurumunuzun risk iştahına göre uyarlıyoruz. Kullanılan ölçek ve kriterler raporda açıkça belirtilir.

Tehdit istihbaratı yalnızca büyük kurumlar için mi?

Hayır. Kapsam kurumun büyüklüğüne göre ayarlanabilir; örneğin küçük bir kurum için dark web izleme ve saldırı yüzeyi yönetimi, çoğu zaman en hızlı fayda sağlayan başlangıç noktasıdır.

Tehdit istihbaratı beslemesi ile istihbarat hizmeti aynı şey mi?

Değil. Besleme (feed), genellikle bağlamı sınırlı IOC listeleridir. İstihbarat hizmeti ise bu verileri kurumunuzla ilişkilendirir, analiz eder ve önceliklendirilmiş önerilere dönüştürür.

Paylaşılan istihbaratın gizliliği nasıl korunur?

Paylaşımlarda, bilginin kimlerle paylaşılabileceğini belirten Traffic Light Protocol (TLP) etiketlerini kullanırız. Kuruma özel bulgular yalnızca yetkilendirilmiş kişilerle paylaşılır.

Dark web izleme yasal mı?

Evet, kamuya açık veya meşru yollarla erişilebilen kaynakların pasif olarak izlenmesi şeklinde yürütüldüğünde yasaldır. Nokta Guard veri satın almaz, suç faaliyeti yürütenlerle etkileşime girmez ve yetkisiz erişim girişiminde bulunmaz.

Sızdırılmış verilerimizi internetten sildirebilir misiniz?

Dark web ortamlarındaki verilerin kaldırılması genellikle mümkün değildir. Odak noktamız, sızıntının etkisini azaltmaktır: etkilenen hesapların parolalarının değiştirilmesi, oturumların sonlandırılması ve ek güvenlik kontrollerinin devreye alınması.

Çalışanlarımızın kişisel hesaplarını da izliyor musunuz?

Varsayılan kapsam, kurumsal alan adlarınız ve kurumunuza ait varlıklardır. Kapsam, hukuki çerçeve gözetilerek ve sizinle yazılı olarak üzerinde anlaşılarak belirlenir.

İnfostealer kaydı nedir?

İnfostealer, bulaştığı cihazdaki tarayıcıda kayıtlı parolaları, oturum çerezlerini ve sistem bilgilerini toplayan zararlı yazılımdır. Bu kayıtlar yeraltı pazarlarında satılır ve kurumsal sistemlere izinsiz erişim için kullanılabilir.

EASM ile zafiyet taraması arasındaki fark nedir?

Zafiyet taraması, genellikle bilinen ve size verilen bir varlık listesi üzerinde çalışır. EASM ise önce hangi varlıkların gerçekten internete açık olduğunu keşfeder; bilinmeyen varlıkları da kapsama dahil eder.

Gölge BT nedir?

Gölge BT, BT ve güvenlik ekiplerinin bilgisi ya da onayı dışında kullanılan sistem, uygulama ve bulut hizmetleridir. İzlenmediği ve yamalanmadığı için saldırganlar için kolay bir giriş noktası olabilir.