Sıkça Sorulan Sorular

ISO 27001 için sızma testi ne sıklıkla yapılmalı?

Standart belirli bir sıklık öngörmez; sıklık risk değerlendirmenize göre belirlenir. Başlangıç noktası olarak yılda en az bir test ve önemli değişikliklerden sonra ek test öneririz.

ISO 27001:2013'ten 2022 sürümüne geçişte ne değişti?

2022 sürümünde Ek A kontrolleri 93 kontrol ve dört temada yeniden düzenlenmiştir. Teknik zafiyet yönetimi 8.8, geliştirme ve kabulde güvenlik testi 8.29 numaralı kontrollerdir.

KVKK sızma testini zorunlu kılıyor mu?

Kanun belirli bir test adı veya sıklığı saymaz; uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirlerin alınmasını ister. KVKK'nın Kişisel Veri Güvenliği Rehberi ise düzenli zafiyet taramaları ve sızma testlerini önerilen teknik tedbirler arasında sayar.

KVKK kapsamında sızma testi ne sıklıkla yapılmalı?

Rehber 'düzenli olarak' ifadesini kullanır ve belirli bir aralık vermez. Sıklığı işlediğiniz verinin niteliğine, sistem değişikliklerine ve risk değerlendirmenize göre belirlemenizi öneririz. Başlangıç noktası olarak yılda en az bir test ve önemli değişikliklerden sonra ek test öneririz.

Sızma testi raporu KVKK incelemesinde işe yarar mı?

Düzenli yapılmış testler ve giderilmiş bulgular, teknik tedbirlerin alındığını gösteren kayıtlar arasındadır. Raporun bir incelemede nasıl değerlendirileceği ilgili merciğin takdirindedir.

Hangi sistemler KVKK sızma testine dahil edilmeli?

Kişisel verinin toplandığı, işlendiği veya saklandığı sistemler önceliklidir: müşteri portalları, mobil uygulamalar, API'ler, veritabanları ve bunlara erişen iç ağ bileşenleri.

PCI DSS'e göre sızma testi ne sıklıkla yapılmalı?

PCI DSS v4.0.1 Gereksinim 11.4.2 ve 11.4.3'e göre iç ve dış sızma testi en az 12 ayda bir ve her önemli altyapı veya uygulama değişikliğinden sonra yapılır. Segmentasyon testi en az 12 ayda bir, hizmet sağlayıcılar için en az altı ayda bir gereklidir.

PCI DSS sızma testini QSA mı yapmalı?

Hayır. Standart, sızma testinin nitelikli bir iç kaynak veya nitelikli bir dış üçüncü tarafça, organizasyonel bağımsızlık sağlanarak yapılmasını ister ve test edenin QSA veya ASV olmasını şart koşmaz.

ASV taraması ile sızma testi aynı şey mi?

Hayır. ASV taraması (11.3.2), internete açık sistemlerde en az üç ayda bir PCI SSC onaylı bir tarama sağlayıcısının yaptığı otomatik zafiyet taramasıdır. Sızma testi (11.4) ise açıkların uygulamalı olarak istismar edilebilirliğini değerlendirir. Nokta Guard ASV değildir.

Segmentasyon testi nedir?

Segmentasyon testi, kart verisi ortamını diğer ağlardan ayıran güvenlik duvarı ve erişim kontrollerinin gerçekten etkili olduğunu doğrular. Segmentasyon, PCI DSS kapsamını daraltmak için kullanıldığında bu testin yapılması gerekir.

SEDDK sigorta şirketlerine sızma testi zorunluluğu getiriyor mu?

İç Sistemler Yönetmeliği, bilgi sistemlerini kapsayan iç kontrollerin kurulmasını ve izlenmesini bekler. Sızma testinin sıklık ve kapsamı Kurum düzenlemeleri ve şirketin risk değerlendirmesiyle belirlenir; güncel beklentileri teklif aşamasında sizinle birlikte kontrol ederiz.

Sigorta şirketlerinde hangi sistemler test edilmeli?

Müşteri ve acente portalları, poliçe ve hasar sistemleri, mobil uygulamalar, API entegrasyonları ve iç ağ genellikle önceliklidir. Kapsamı risk değerlendirmenize göre belirleriz.

Sızma testi raporu iç denetimde kullanılabilir mi?

Evet. Raporu bulguları ilgili kontrollerle eşleyerek hazırlarız; böylece iç kontrol ve iç denetim birimleri bulguların takibini doğrudan yapabilir.

7545 sayılı Siber Güvenlik Kanunu kimleri kapsar?

Kanun, siber uzayda faaliyet gösteren kamu kurum ve kuruluşlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği olmayan kuruluşları kapsar. Kritik altyapı işletmecileri için ek yükümlülükler öngörülür.

Siber Güvenlik Kanunu sızma testini zorunlu kılıyor mu?

Kanun tüm kapsamdakiler için belirli bir sızma testi sıklığı öngörmez. Ancak güvenlik tedbirlerini alma ve zafiyetleri bildirme yükümlülükleri, düzenli teknik testleri pratikte gerekli kılar; ayrıntılar ikincil düzenlemelerle netleşecektir.

Kanuna göre zafiyetler kime bildirilir?

Kanun, tespit edilen zafiyetlerin ve siber olayların Siber Güvenlik Başkanlığı'na gecikmeksizin bildirilmesini öngörür. Bildirimin usul ve süreleri ikincil düzenlemelerle belirlenir.

Siber güvenlik hizmeti alırken nelere dikkat edilmeli?

Kanun, kamu kurumları ve kritik altyapıların siber güvenlik ürün ve hizmetlerini yetkilendirilmiş ve belgelendirilmiş kişilerden tedarik etmesini öngörür. Bu şartın sizin için nasıl uygulanacağını, ikincil düzenlemeler ışığında teklif aşamasında birlikte değerlendiririz.

SPK sızma testi raporu ne zaman gönderilmeli?

VII-128.10 Tebliği'ne göre rapor, testin tamamlanmasından sonraki bir ay içinde ve her durumda en geç takip eden yılın 31 Ocak tarihine kadar Kurul'a gönderilir. Planlamayı bu tarihi dikkate alarak yapmanızı öneririz.

Kripto varlık hizmet sağlayıcıları SPK sızma testine tabi mi?

Evet, VII-128.10 Tebliği kripto varlık hizmet sağlayıcılarını da kapsar. Bazı maddeler için ayrı uyum tarihleri öngörülmüştür; güncel durumu teklif aşamasında birlikte kontrol ederiz.

VII-128.9 ile VII-128.10 arasındaki fark nedir?

VII-128.10, 2018 tarihli VII-128.9 Tebliği'nin yerini almıştır ve kripto varlık hizmet sağlayıcılarını da kapsama dahil eder. Sızma testi açısından yıllık test ve Kurul'a raporlama yükümlülüğü devam eder; rapor için en geç takip eden yılın 31 Ocak tarihi sınırı getirilmiştir.

SPK sızma testini kim yapabilir?

Tebliğ, testi bilgi güvenliği gerekliliklerinin yerine getirilmesinde görevi bulunmayan ve sızma testi konusunda ulusal veya uluslararası belgeye sahip gerçek veya tüzel kişilerin yapmasını öngörür. Bu şartların nasıl karşılanacağını teklif aşamasında netleştiririz.

Ödeme kuruluşları ne sıklıkla sızma testi yaptırmalı?

TCMB Tebliği, ödeme ve elektronik para kuruluşlarının bilgi sistemlerini yılda en az bir kez sızma testine tabi tutmasını öngörür. Test, iç ve dış tehditleri kapsayan senaryolara dayanmalıdır.

TCMB sızma testi ile bilgi sistemleri bağımsız denetimi aynı şey mi?

Hayır. Bilgi sistemleri bağımsız denetimi, Tebliğ'e göre yetkilendirilmiş bağımsız denetim kuruluşlarınca yapılır. Sızma testi ise sistemlerinizdeki açıkları saldırgan bakış açısıyla ortaya koyan ayrı bir teknik çalışmadır.

Sızma testi sonuçları TCMB'ye nasıl raporlanır?

Tebliğ, sonuçların ve kritik açıkların giderilme durumunun yılda en az bir kez Merkez Bankası'na, Banka'nın uygun gördüğü şekilde raporlanmasını öngörür. Raporumuzu bu bildirime girdi olacak yapıda hazırlarız.

Ödeme kuruluşu sızma testine hangi sistemler dahil edilmeli?

Ödeme işlemlerinin geçtiği web ve mobil kanallar, API'ler, iç ağ ve kritik sunucular genellikle kapsama alınır. Kesin kapsamı sistem envanterinize ve risk değerlendirmenize göre belirleriz.

Sektörüm listede yoksa ne yapmalıyım?

Listede olmayan sektörler için de sızma testi ve adli bilişim hizmeti veriyoruz. Ön görüşmede sistemlerinizi ve tabi olduğunuz düzenlemeleri değerlendirerek size uygun kapsamı öneririz.

Sektöre özel paket sabit mi, yoksa uyarlanabilir mi?

Paketler başlangıç noktasıdır. Kapsamı sistemlerinize, risk önceliklerinize ve bütçenize göre birlikte düzenleriz.

Sektörel tecrübeniz hakkında bilgi alabilir miyim?

Yöntemimizi ve örnek rapor yapımızı ön görüşmede paylaşırız. Müşteri bilgilerini gizlilik yükümlülüklerimiz nedeniyle açıklamayız.

E-ticaret sitesi ne zaman sızma testinden geçmeli?

Yılda en az bir kez ve ödeme akışı, üyelik veya altyapıdaki önemli değişikliklerden sonra test öneririz. Kart verisi ortamınız PCI DSS kapsamındaysa standardın 12 aylık ve değişiklik sonrası test gereklilikleri geçerlidir.

Ödeme altyapısını bir ödeme kuruluşu sağlıyorsa yine de test gerekir mi?

Kart verisi doğrudan sizde işlenmese bile ödeme sayfasının yüklendiği site ve entegrasyonlar saldırıya açık olabilir. PCI DSS kapsamınızı ödeme altyapı sağlayıcınızla birlikte netleştirmenizi öneririz.