Sıkça Sorulan Sorular

Kurumumuz için hangi testin gerektiğini bilmiyoruz, nereden başlamalıyız?

Kısa bir ön görüşmeyle sistemlerinizi, regülasyon yükümlülüklerinizi ve önceliklerinizi dinliyoruz. Buna göre dış ağ, web uygulaması, iç ağ veya mobil uygulama testlerinden hangisinin önce yapılması gerektiğini öneriyoruz. Kapsam formu bu değerlendirmeyi hızlandırır.

Doğrulama testi nedir ve neden önemlidir?

Doğrulama testi, sızma testinde bulunan açıklar giderildikten sonra aynı bulguların yeniden test edilmesidir. Yapılan düzeltmenin gerçekten etkili olup olmadığını gösterir ve kapanan bulgular ayrı bir raporla belgelenir. Birçok denetimde bulguların giderildiğinin kanıtlanması da beklenir.

Sızma testi ve adli bilişim hizmetini aynı firmadan almanın avantajı nedir?

Bir güvenlik olayından sonra hem olayın nasıl gerçekleştiğini incelemek hem de benzer açıkların başka yerde olup olmadığını test etmek gerekir. Tek ekiple çalışmak bulguların iki taraf arasında kaybolmadan aktarılmasını sağlar. Her iki çalışma da kendi metodolojisi ve raporuyla ayrı ayrı yürütülür.

Acil bir siber olay veya delil inceleme ihtiyacında size nasıl ulaşırım?

Acil durumlarda 0216 606 16 22 numaralı telefondan bize doğrudan ulaşabilirsiniz. Delil niteliği taşıyabilecek cihazları kapatmadan, açmadan veya kullanmaya devam etmeden önce bizi aramanızı öneririz. Ön değerlendirmeyi telefonda yapar, sonraki adımları birlikte planlarız.

Hangi düzenlemelere tabi olduğumu nasıl anlarım?

Faaliyet izniniz, lisansınız ve işlediğiniz veri türü belirleyicidir. Örneğin banka, ödeme kuruluşu veya aracı kurum olmanız ya da kart verisi işlemeniz farklı yükümlülükler doğurur. Ön görüşmede faaliyetinizi birlikte değerlendirir, ilgili düzenlemeleri listeleriz.

Birden fazla düzenleme için tek test yeterli olur mu?

Kapsamlar örtüşüyorsa tek bir test planı birden fazla gerekliliği karşılayacak şekilde kurgulanabilir. Ancak her düzenlemenin kapsam, sıklık ve rapor beklentisi ayrıca kontrol edilmelidir. Test planını bu eşleştirmeyi yaparak hazırlarız.

Mevzuata göre yapılan sızma testi raporu neleri içerir?

Yönetici özeti, kapsam ve yöntem, risk seviyesine göre sıralanmış bulgular, kanıtlar ve çözüm önerileri temel bölümlerdir. Düzenleme belirli bir rapor formatı veya teslim süresi öngörüyorsa raporu buna göre düzenleriz.

Sızma testi Türkiye'de yasal olarak zorunlu mu?

Tüm şirketler için genel bir zorunluluk yoktur; ancak BDDK, SPK ve TCMB düzenlemeleri gibi sektörel mevzuat, kapsamındaki kuruluşlara yılda en az bir kez sızma testi yaptırma yükümlülüğü getirir. KVKK ve ISO 27001 gibi çerçevelerde ise sızma testi, uygun güvenlik tedbirlerinin kanıtı olarak kullanılır.

Mevzuat sayfalarındaki bilgiler hukuki görüş yerine geçer mi?

Hayır. Sayfalar resmi metinlere dayanan bilgilendirme amaçlıdır. Yükümlülüklerinizin kesin yorumu için kurumunuzun hukuk ve uyum birimlerine danışmanızı öneririz.

Düzenleme değişirse test planı nasıl güncellenir?

Teklif ve kapsam aşamasında ilgili düzenlemenin güncel metnini kontrol ederiz. Yeni bir sürüm veya değişiklik yayımlandıysa test planını ve rapor formatını buna göre uyarlarız.

BDDK'ya göre sızma testi ne sıklıkla yapılmalı?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, sızma testinin yılda en az bir defa yaptırılmasını öngörür. Önemli sistem değişikliklerinden sonra ek test yapılması da risk yönetimi açısından değerlendirilmelidir.

BDDK sızma testini bankanın kendi ekibi yapabilir mi?

Yönetmelik, testin bilgi sistemlerine dayalı hizmetlerin tasarım, geliştirme, uygulama ve işletiminde görevi bulunmayan bağımsız ekiplerce yapılmasını ister. Bu şartı sağlayan bir iç ekip veya dış hizmet sağlayıcı tercih edilebilir; seçimi bankanın kendi değerlendirmesi belirler.

BDDK sızma testi hangi sistemleri kapsamalı?

Kapsam, bankanın bilgi sistemleri envanterine ve risk değerlendirmesine göre belirlenir. Genellikle internete açık servisler, iç ağ, mobil ve internet bankacılığı uygulamaları ile kritik sunucular kapsama alınır.

BDDK sızma testi ne kadar sürer?

Süre kapsama bağlıdır. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız. Raporlama ve doğrulama testi bu süreye ayrıca eklenir.

Bilgi ve İletişim Güvenliği Rehberi kimler için zorunlu?

Rehber, 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kapsamında kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmeler için hazırlanmıştır. Kurumunuzun kapsamda olup olmadığını ilgili mevzuat ve yetkili kurum duyurularına göre değerlendirmenizi öneririz.

Rehber uyum denetimi ile sızma testi arasındaki fark nedir?

Uyum denetimi, Rehber'deki tedbirlerin uygulanıp uygulanmadığını bir bütün olarak değerlendirir. Sızma testi ise bu tedbirlerin teknik olarak saldırılara karşı ne kadar etkili olduğunu uygulamalı olarak ortaya koyar ve denetimde kanıt olarak kullanılabilir.

Rehber'e göre sızma testi ne sıklıkla yapılmalı?

Rehber'in uygulanması yılda en az bir kez denetlenir ve denetçi sızma testlerinin hangi aralıklarla yapıldığını sorgulayabilir. Sıklığı, varlıklarınızın kritiklik derecesine ve Rehber'in ilgili tedbirlerine göre birlikte belirleriz.

Rehber'in güncel sürümü hangisi?

Siber Güvenlik Başkanlığı tarafından yayımlanan 1.1 sürümü, ilk sürümü görev devrine göre güncellemektedir. Test planını hazırlarken yürürlükteki sürümü esas alırız.

BTK işletmecilere sızma testi zorunluluğu getiriyor mu?

Şebeke ve Bilgi Güvenliği Yönetmeliği sızma testini ayrıca adlandırmaz. Ancak yıllık risk değerlendirmesi ve yeni sistemlerin kullanıma alma öncesi güvenlik testi gibi yükümlülükler, sızma testiyle somut olarak desteklenebilir.

Hangi işletmeciler ilave güvenlik tedbirleriyle yükümlü?

BTK Kurul kararıyla belirlenen yıllık net satış eşiğini aşan işletmeciler ile aboneli GMPCS işletmecileri ilave tedbirlerle yükümlüdür. Güncel eşik ve durumunuz için BTK'nın yürürlükteki kararlarını esas alırız.

Sızma testi ISO 27001 belgelendirmesine yardımcı olur mu?

Sızma testi, teknik zafiyet yönetimi gibi kontrollerin etkinliğini gösteren güçlü bir kanıttır. ISO/IEC 27001 belgesini ise akredite belgelendirme kuruluşları verir.

EPDK sızma testi hangi şirketler için gerekli?

Siber Güvenlik Yetkinlik Modeli Yönetmeliği; elektrik ve doğal gaz dağıtım ve iletim şirketleri, elektrik üretim şirketleri, depolama ve rafineri gibi lisans sahiplerini kapsar. Hangi yükümlülüklerin sizin lisansınıza uygulandığını teklif aşamasında birlikte kontrol ederiz.

EKS sızma testi üretimi veya dağıtımı durdurur mu?

Test, operasyonu aksatmamak üzere planlanır. Aktif testler bakım pencerelerine veya test ortamlarına yönlendirilir; canlı sistemlerde pasif yöntemler önceliklidir.

EPDK sızma testini kim yapabilir?

Usul ve esaslar, testi yapacak personelde EKS eğitimi ve belirli sertifikalar gibi yetkinlik şartları arar. Bu şartların nasıl karşılanacağını teklif aşamasında sizinle birlikte netleştiririz.

EPDK sızma testi raporu nereye sunulur?

Rapor kurum tarafından saklanır ve EPDK tarafından talep edildiğinde sunulur. Bulguların giderilmesi için yönetim kurulu onaylı bir eylem planı hazırlanır.

Nokta Guard'ın raporuyla Güven Damgası başvurusu yapılabilir mi?

Hayır. Başvuru için gereken güvenlik testi TSE onaylı A veya B sınıfı sızma testi firmalarınca yapılmalıdır. Nokta Guard'ın hazırlık testi, resmî testten önce açıklarınızı kapatmanız için yapılan bağımsız bir ön değerlendirmedir.

Güven Damgası testi ne sıklıkla yapılır?

TOBB kriterlerine göre test, başvurudan en fazla üç ay önce ve her takvim yılında en az bir kez yapılmalıdır. Güncel koşulları TOBB kaynaklarından teyit etmenizi öneririz.

Hazırlık testi ile PCI DSS testi aynı şey mi?

Hayır. Hazırlık testi düşük ve orta hacimli siteler için ASVS kriterlerine odaklanır. Yüksek hacimli sitelerde PCI DSS uyumu aranır; bunun için PCI DSS Sızma Testi sayfamızı inceleyebilirsiniz.

ISO 27001 sızma testini zorunlu kılıyor mu?

Hayır, ISO/IEC 27001:2022 sızma testini adıyla zorunlu tutmaz. Ancak Ek A 8.8 teknik zafiyet yönetimi gibi kontroller seçildiğinde, bu kontrollerin etkinliğini göstermenin en somut yollarından biri sızma testidir.

ISO 27001 denetiminde sızma testi raporu nasıl kullanılır?

Rapor, zafiyetlerin tespit edildiğini, risk seviyesine göre değerlendirildiğini ve giderildiğini gösteren bir kanıttır. Doğrulama testi kayıtlarıyla birlikte sunulduğunda kontrolün döngüsünün tamamlandığını gösterir.