Sıkça Sorulan Sorular

CIS Benchmarks'a yüzde yüz uyum gerekli mi?

Hayır. Amaç kör bir uyum değil, riskin bilinçli yönetimidir. Uygulanmayan kontroller gerekçesi ve varsa telafi edici önlemiyle belgelenir.

Sertleştirme bir kez yapılıp bırakılabilir mi?

Hayır. Yeni sistemler, güncellemeler ve yapılandırma değişiklikleri zamanla sapmaya yol açar. Bu nedenle standardın şablonlara yerleştirilmesi ve düzenli olarak ölçülmesi gerekir.

Eğitimler çevrim içi mi, yüz yüze mi?

Her iki biçimde de düzenlenebilir. Katılımcı sayısına, lokasyonlara ve eğitimin türüne göre en uygun formatı birlikte belirleriz.

Eğitimin etkisini nasıl ölçüyorsunuz?

Eğitim öncesi ve sonrası değerlendirmeler, oltalama simülasyonu sonuçları ve şüpheli e-posta bildirim oranları gibi göstergelerle gelişimi ölçüyoruz.

Hangi hizmetle başlamalıyız?

Genellikle bir oltalama simülasyonuyla mevcut durumu ölçmek, ardından sonuçlara göre farkındalık eğitimi planlamak verimli bir başlangıçtır. Yönetim düzeyinde hazırlık için siber kriz tatbikatı önerilir.

Oltalama simülasyonu yasal mı?

Kurumun kendi çalışanlarına yönelik, yönetimin onayıyla ve çalışanların önceden bilgilendirildiği bir çerçevede yapılan simülasyonlar yaygın bir güvenlik uygulamasıdır. KVKK kapsamındaki aydınlatma ve ölçülülük ilkelerine uyulması gerekir; ayrıntılar için hukuk biriminizle birlikte değerlendirme yapılmasını öneririz.

Çalışanlara simülasyon tarihi önceden söylenmeli mi?

Genel olarak oltalama simülasyonları yapılacağı bilgilendirilir, ancak kampanyaların tarihi ve içeriği paylaşılmaz. Böylece hem şeffaflık sağlanır hem de gerçekçi bir ölçüm yapılabilir.

Tıklayan çalışanların isimleri raporlanıyor mu?

Varsayılan raporlar birim ve senaryo bazında toplu sonuçlar içerir. Kişi bazında bilgi, yalnızca hedefli eğitim gibi önceden anlaşılan amaçlar için ve sınırlı kişilerle paylaşılır.

Simülasyon ne sıklıkla yapılmalı?

Davranış değişimini izlemek için yıl içinde birden fazla kampanya önerilir; birçok kurum üç aylık veya altı aylık periyotlarla çalışır. Senaryoların her seferinde farklılaştırılması önemlidir.

Farkındalık eğitimi ne sıklıkla verilmeli?

Yılda en az bir kez kapsamlı bir eğitim, yıl içinde de kısa hatırlatmalar ve oltalama simülasyonları önerilir. Yeni başlayan çalışanların işe girişte eğitim alması da önemlidir.

Eğitim ne kadar sürer?

Temel farkındalık oturumu genellikle bir ila iki saat sürer. Rol bazlı ek modüller ve katılımcı sayısına göre program uzatılabilir.

Eğitim KVKK farkındalığını da kapsıyor mu?

Eğitim, kişisel verilerin güvenli kullanımı ve veri sızıntısını önleme gibi teknik ve davranışsal konuları kapsar. KVKK'nın hukuki yükümlülüklerine ilişkin ayrıntılı eğitim için hukuk danışmanınızla birlikte çalışılması önerilir.

Eğitimden sonra gelişimi nasıl takip edebiliriz?

Dönemsel oltalama simülasyonları, tıklama ve bildirim oranlarındaki değişimi göstererek eğitimin etkisini somut olarak izlemenizi sağlar.

Masa başı tatbikat sistemlerimizi etkiler mi?

Hayır. Masa başı tatbikat tartışma tabanlıdır; hiçbir sisteme müdahale edilmez. Teknik müdahale becerilerini canlı ortamda sınamak için red team gibi farklı çalışmalar tercih edilir.

Tatbikat ne kadar sürer?

Senaryonun kapsamına ve katılımcı sayısına bağlı olarak genellikle yarım gün ile bir tam gün arasında sürer. Hazırlık ve raporlama süreçleri buna ek olarak planlanır.

Olay müdahale planımız yoksa tatbikat yapabilir miyiz?

Evet. Bu durumda tatbikat, kriz anında kimin ne yapacağına dair mevcut varsayımları ortaya çıkarır ve bir plan hazırlamak için güçlü bir başlangıç noktası olur.

Tatbikat ne sıklıkla tekrarlanmalı?

En az yılda bir kez ve yönetim, organizasyon ya da altyapıda önemli değişikliklerden sonra tekrarlanması önerilir. Her seferinde farklı bir senaryo seçmek, farklı zayıflıkları görmeyi sağlar.

Eğitimler kuruma özel mi düzenleniyor?

Evet. Teknik eğitimler kurumunuza özel kapalı gruplar için, ekibinizin kullandığı teknolojiler ve ihtiyaçları dikkate alınarak planlanır.

Katılımcıların hangi seviyede olması gerekir?

Eğitimler temel, orta ve ileri seviyede hazırlanabilir. Program başında katılımcıların seviyesi değerlendirilir ve içerik buna göre ayarlanır.

Eğitim sonunda sertifika veriliyor mu?

Eğitimi tamamlayan katılımcılara Nokta Guard katılım belgesi verilir. Bu belge uluslararası bir sertifika sınavının yerine geçmez.

Laboratuvar ortamı için kurulum gerekiyor mu?

Katılımcıların genellikle yalnızca bir dizüstü bilgisayar ve internet bağlantısına ihtiyacı olur. Gerekli ön koşullar eğitim öncesinde paylaşılır.

Ofansif güvenlik ile defansif güvenlik arasındaki fark nedir?

Ofansif güvenlik, açıkları saldırgan gözüyle bulmaya odaklanır; defansif güvenlik ise saldırıları önleme, tespit etme ve müdahale etmeyi kapsar. İki yaklaşım birbirini tamamlar: ofansif testlerin bulguları savunma tarafındaki önlemlerin önceliklendirilmesine yön verir.

Hangi testle başlamalıyım?

Çoğu kurum için ilk adım, dışa açık sistemleri ve kritik uygulamaları kapsayan bir sızma testidir. Olgunluk arttıkça red team veya purple team gibi senaryo bazlı çalışmalar daha fazla değer üretir. Kapsam görüşmesinde ihtiyacınıza uygun testi birlikte belirleriz.

Testler canlı sistemlerde risk oluşturur mu?

Her test yazılı yetkilendirme, net kapsam ve kural seti ile yürütülür. Servis kesintisi riski taşıyan adımları önceden konuşur, gerekirse bakım penceresinde veya test ortamında uygularız.

Bulut sağlayıcıdan izin almak gerekir mi?

Büyük bulut sağlayıcılar, kendi hesabınızdaki kaynaklar için birçok servisi önceden onay gerektirmeden test etmeye izin verir; ancak yasaklı test türleri ve kurallar tanımlar. DDoS gibi bazı testler ayrıca bildirim veya onay gerektirebilir. Kapsamı bu kurallara göre planlarız.

Bulut güvenlik testi ile CSPM aracı aynı şey mi?

Hayır. CSPM araçları yapılandırmaları sürekli ve otomatik olarak denetler. Bulut güvenlik testi ise uzmanların bulguları birleştirerek gerçek saldırı yollarını ortaya koyduğu, istismar ile doğrulanan bir çalışmadır.

Test için hangi erişimleri vermemiz gerekir?

Yapılandırma incelemesi için genellikle salt okunur bir hesap yeterlidir. Saldırı yolu senaryoları için kapsamda belirlenen düşük yetkili bir test kimliği talep edebiliriz.

DDoS testi sistemlerimizi çökertebilir mi?

Evet, risk vardır; bu nedenle test bakım penceresinde, kademeli artışla ve anlık durdurma prosedürüyle yapılır. Kritik sistemler için önce düşük yoğunlukta doğrulama senaryoları önerilir.

Servis sağlayıcımıza haber vermek zorunda mıyız?

Evet. İnternet servis sağlayıcınız, DDoS koruma sağlayıcınız ve bulut sağlayıcınız bilgilendirilmeden yapılan test, gerçek bir saldırı olarak algılanabilir ve sözleşmelerinize aykırı olabilir. Bildirimleri sizinle birlikte planlarız.

DDoS koruma hizmeti alıyoruz; yine de test gerekli mi?

Koruma hizmetinin yapılandırması, eşik değerleri ve uygulama katmanı kuralları kuruma göre değişir. Test, aldığınız korumanın sizin servisleriniz için beklendiği gibi çalıştığını doğrulamanın yoludur.