Hizmet · Siber güvenlik

Siber güvenlik denetimi

Saldırıya maruz kaldıktan sonra değil, kalmadan önce müdahale edelim. Web uygulamanız, sunucularınız ve mimariniz kontrollü biçimde denetlenir; her bulgu düzeltme adımıyla birlikte teslim edilir. Çalışma yalnız yazılı yetkilendirmeyle yürütülür.

Teklif alın +90 538 691 22 83
OWASP
Top 10 kapsamı
Sunucu
sertleştirme
Yeniden test
dahil
Yazılı
yetkilendirme
Kapsam

Denetimde neye bakılıyor

Kapsam projeye göre daraltılabilir. Aşağıdaki başlıkların hangilerinin dahil olduğu teklifte tek tek yazılır.

Çalışma koşulu: Testler yalnız yazılı yetkilendirme ve kapsam sözleşmesiyle yürütülür. Sözleşmede tanımlı kapsamın dışına çıkılmaz. Üretimi etkileyebilecek testler önceden mutabık kalınan bakım penceresinde yapılır ve yıkıcı adımlar yazılı onay olmadan uygulanmaz. Yedek ve kurtarma tarafında eksik çıkarsa S3 depolama ve yedekleme kapsamıyla birlikte planlanır.

2 dakika · 4 soru

Siber güvenlik denetimi şu an gerekli mi?

Dört soruda mevcut durumunuza bakalım. Risk düşük görünüyorsa bunu abartmadan söylüyoruz.

Sistemleriniz daha önce güvenlik açısından incelendi mi?

Soru 1 / 4

Sistemleriniz daha önce güvenlik açısından incelendi mi?
Teslim edilen

Rapor formatı

Teslim ettiğimiz şey uzun bir tarama çıktısı değil. Bir aracın ürettiği yüzlerce satırlık liste kimseye ne yapacağını söylemez. Her bulgu şu beş adımlı akışla yazılır.

  1. 01

    Kritiklik seviyesi

    Her bulgu kritik, yüksek, orta veya düşük olarak etiketlenir. Önce neyin düzeltileceği tartışma konusu olmaz.

  2. 02

    Gerçekleşme senaryosu

    Bu açığın kötüye kullanılması hâlinde ne olacağı iş diliyle anlatılır: hangi veri, hangi kullanıcı, hangi sonuç.

  3. 03

    Düzeltme adımı

    Somut ve uygulanabilir talimat: hangi ayar, hangi sürüm, hangi kural. Genel tavsiye değil, sizin sisteminize göre yazılmış adım.

  4. 04

    Doğrulama yöntemi

    Düzeltmenin işe yarayıp yaramadığını nasıl kontrol edeceğiniz yazılır. Ekibiniz kendi başına da doğrulayabilir.

  5. 05

    Yeniden test

    Düzeltmeler uygulandıktan sonra aynı bulgular yeniden test edilir ve kapanan maddeler raporda işaretlenir.

Raporun başında teknik olmayan karar vericiler için yönetici özeti yer alır: hangi risk ne kadar acil, hangi sırayla ele alınmalı. Denetim ekibimizde siber güvenlik uzmanı görev alır ve rapor sunumla birlikte teslim edilir — sorular canlı yanıtlanır.

Süreç

Yetkilendirmeden yeniden teste 5 adım

Her adımın çıktısı belli. Hangi aşamada olduğumuzu sormak zorunda kalmazsınız.

  1. 01

    Kapsam ve yazılı yetkilendirme

    Hangi varlıkların test edileceği, hangi yöntemlerin kullanılacağı ve çalışma penceresi yazılı olarak belirlenir. İmza olmadan hiçbir test başlamaz.

  2. 02

    Keşif ve envanter

    Kapsamdaki alan adları, sunucular, servisler ve bağımlılıklar çıkarılır. Envanter size de teslim edilir — çoğu işletme kendi yüzey alanını ilk kez burada görür.

  3. 03

    Test yürütme

    Uygulama, sunucu ve yapılandırma testleri mutabık kalınan kapsam içinde yürütülür. Üretimi etkileyebilecek adımlar önceden belirlenen bakım penceresine alınır.

  4. 04

    Raporlama ve önceliklendirme

    Bulgular kritiklik seviyesine göre sıralanır; her biri senaryo, düzeltme adımı ve doğrulama yöntemiyle yazılır. Rapor sunumla birlikte teslim edilir.

  5. 05

    Düzeltme sonrası yeniden test

    Düzeltmeler uygulandıktan sonra aynı bulgular yeniden test edilir. Kapanan maddeler işaretlenir, açık kalanlar için ikinci tur planlanır.

Kapsam seçenekleri

Üç başlık, ihtiyaca göre birleştirilir

Küçük bir kapsamla başlayıp bulguya göre genişletmek yaygın bir tercih. Fiyat kapsamla birlikte belirlenir; teklif tek sayfadır. Hizmet 12 aylık sözleşmeyle veriliyor: denetim, düzeltme sonrası yeniden test ve yıl içindeki takip aynı sözleşmenin kapsamında yürür, anlaşılan bedel yıl içinde değişmez.

Web uygulaması denetimi

Sitenizi ve panelinizi hedefleyen kapsam: girdi doğrulama, oturum yönetimi, yetkilendirme, güvenlik başlıkları ve çerez yapılandırması. E-ticaret, üyelik sistemi veya müşteri paneli işleten ekipler için başlangıç noktası.

Sunucu ve altyapı denetimi

İşletim sistemi sertleştirme, açık port ve servis envanteri, yama durumu, TLS yapılandırması, yedek ve kurtarma dayanıklılığı. Kendi sunucusunu işleten işletmeler için.

Kurumsal mimari incelemesi

Birden fazla sistem, ortam ve ekip varsa: ağ segmentasyonu, en az ayrıcalık, sır yönetimi ve servisler arası güven ilişkileri bütün olarak değerlendirilir.

Denetim tek seferlik bir fotoğraftır; sözleşme ise yıllık. Yıl sonunda kapsam ve fiyat birlikte gözden geçirilip yeniden imzalanır — bir sonraki yılın kapsamı, bu yılın bulgularına göre belirlenir. Aradaki dönemde yama takibi, izleme ve uyarı yönetimi gerekiyorsa dış kaynak BT desteği paketiyle birleştirilir.

SSS

Sık sorulanlar

Testler için nasıl bir izin gerekiyor?

Testler yalnız yazılı yetkilendirme ve kapsam sözleşmesiyle yürütülür. Sözleşmede hangi varlıkların kapsamda olduğu, hangi yöntemlerin kullanılacağı ve çalışma penceresi açıkça yazılır. Kapsam dışına çıkılmaz; sistem sizin değilse veya yetkilendirmeyi imzalayacak makam yoksa çalışma başlamaz.

Test sırasında sistemim çöker mi?

Üretimi etkileyebilecek testler önceden mutabık kalınan bakım penceresinde yapılır. Yıkıcı olabilecek adımlar yazılı onay olmadan yürütülmez. İnceleme ağırlıklı adımların büyük kısmı hizmeti kesintiye uğratmadan tamamlanır.

Hangi standartları temel alıyorsunuz?

Web uygulaması tarafında OWASP Top 10 başlıkları temel alınır. Sunucu ve mimari incelemesinde en az ayrıcalık, katmanlı savunma ve üretici tarafından yayımlanan güncel sertleştirme kılavuzları esas alınır. Bulgular bu çerçevelere referansla raporlanır.

Rapor tam olarak neye benziyor?

Rapor uzun bir tarama çıktısı değildir. Her bulgu dört parçayla yazılır: kritiklik seviyesi, gerçekleşme senaryosu, somut düzeltme adımı ve doğrulama yöntemi. Yönetici özeti ayrıca verilir; teknik olmayan karar vericiler de riski okuyabilir.

Düzeltmeleri siz mi uyguluyorsunuz?

İsterseniz evet. Rapor kendi ekibinizin uygulayabileceği netlikte yazılır; uygulama desteği ayrı kalem olarak teklife eklenir. Her iki durumda da düzeltme sonrası yeniden test kapsam içindedir.

Denetim ne sıklıkla tekrarlanmalı?

Yılda en az bir kez; ayrıca büyük sürüm çıkışlarından, altyapı değişikliklerinden ve yeni bir dış entegrasyon devreye alındıktan sonra. Aradaki dönemde sürekli izleme ihtiyacı varsa dış kaynak BT desteği paketiyle birleştirilebilir.

Sadece belirli bir başlığı denetletebilir miyim?

Evet. Kapsam web uygulaması, sunucu ve altyapı ya da kurumsal mimari başlıklarından seçilerek daraltılabilir. Küçük bir kapsamla başlayıp bulguya göre genişletmek yaygın bir tercihtir.

KVKK açısından zorunlu mu?

KVKK ve GDPR, kişisel veri işleyen sistemler için uygun teknik ve idari tedbirlerin alınmasını zorunlu kılar. Düzenli güvenlik denetimi, bu yükümlülüğün yerine getirildiğini belgelemenin en somut yollarından biridir.

Proje talebi

Projenizi anlatın, size ulaşalım

Formu doldurun; seçtiğiniz kanaldan 1 iş günü içinde dönüş yapalım. Bilgileriniz yalnızca bu görüşme için kullanılır ve KVKK kapsamında korunur.

Sessiz açıktan bildirim yükümlülüğüne: bir olayın tipik sırası

Sessiz açıktan bildirim yükümlülüğüne: bir olayın tipik sırası

Olaylar çoğunlukla gürültüyle başlamaz. Bir kütüphane sürümü aylar önce yaşlanır, kimse fark etmez; yönetim paneli internete açık kalır, kimse bakmaz; bir yönetici hesabı kurulumdaki varsayılan parolayla durur, kimse denemez. Sonra bir sabah sistem yavaşlar, ardından durur. Ekip önce kapasite sorunu sanır. Kayıtlara bakılmak istenir, kayıt yoktur ya da yeterince geriye gitmez. Birkaç saat sonra soru değişir: veriye erişildi mi? İşte o an, teknik bir arıza olduğu sanılan durum, kişisel veri işleyen bir kurum için hukuki bir yükümlülüğe dönüşür. Siber güvenlik tarafında yapılan işin büyük kısmı, bu sıranın hiç başlamaması içindir.

Done Dynamics bu işi bir denetim disiplini olarak yürüten bir kurumsal yazılım şirketi. Yani kırmak için değil, kırılabilecek yeri önceden bulup kapatmak için çalışıyoruz. Aşağıda hem neye baktığımızı hem de sürecin nasıl yürüdüğünü anlatıyoruz.

KVKK'nın istediği "uygun teknik tedbir" ne anlama geliyor?

Kişisel Verilerin Korunması Kanunu, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alma yükümlülüğü getirir. Metin bir ürün listesi vermez. Bir güvenlik duvarı markası, bir tarama aracı ya da bir sertifika saymaz. Yükümlülük sonuç odaklıdır: aldığınız tedbirlerin işlediğiniz verinin niteliğine ve riskine uygun olması beklenir.

Buradaki pratik zorluk şu — "uygun" olduğunu nasıl gösterirsiniz? Kurum içinde herkesin iyi niyetle çalıştığını söylemek yetmez. Gösterilebilir olan şey kayıttır: neyin ne zaman tarandığı, hangi bulgunun ne zaman kapatıldığı, yapılandırmanın hangi tarihte değiştirildiği. Düzenli denetim tam olarak bu kaydı üretir. Denetim tek başına uyumluluk belgesi değildir, öyle satılması da doğru olmaz; ancak alınan tedbirlerin ölçüldüğünü ve eksiklerin takip edildiğini gösteren en somut çıktıdır. Alanya yazılım ekibimizin kurumsal müşterilerle yürüttüğü çalışmalarda raporun tarih damgalı olması, içeriği kadar değerli.

İdari tarafı da atlamamak gerekiyor. Yetki matrisi, işten ayrılan personelin hesabının kapatılması, tedarikçiyle imzalanan veri işleme sözleşmesi, çalışanların farkındalık eğitimi. Teknik tedbir ne kadar sıkı olursa olsun, ayrılan bir çalışanın hesabı iki ay boyunca açık kaldıysa tablo eksiktir. Bu metin hukuki tavsiye niteliği taşımaz; yükümlülüğün ne istediğini tarif eder, kurumunuzun özel durumunu hukuk danışmanınızla değerlendirmeniz gerekir.

Risk temelli yaklaşım da yükümlülüğün içine yerleşmiş durumda. Bir kurumun işlediği veri sağlık, finans ya da biyometrik nitelik taşıyorsa beklenen tedbir düzeyi yükselir; yalnızca kurumsal iletişim bilgisi tutan bir sistemde aynı ağırlık aranmaz. Kurumların çoğu bu ayrımı yapmadan ya her şeyi aşırı korumaya çalışıp bütçeyi tüketiyor ya da hepsini aynı gevşeklikte bırakıyor. Denetimin ilk çıktısı bu yüzden envanter oluyor: hangi sistemde hangi veri kategorisi duruyor? Soru basit görünür, cevabı çoğu kurumda yazılı değildir. Siber güvenlik çalışmasının ilk günü genellikle test etmekle değil, sayım yapmakla geçer.

Veri ihlali bildirimi: kesintiden sonra başlayan ikinci mesele

Kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edildiği tespit edilirse, veri sorumlusunun bu durumu ilgili kuruma ve etkilenen kişilere bildirme yükümlülüğü doğar. Bildirim, sistemin ayağa kaldırılmasından ayrı bir iştir ve genellikle aynı anda yürür. Teknik ekip yedekten dönmeye çalışırken, yönetimin cevaplaması gereken sorular başkadır: hangi veri kategorisi etkilendi, kaç kişi kapsamda, olay ne zaman başladı, ne zaman durduruldu?

Bu soruların cevabı ancak kayıt varsa verilebilir. Günlük kaydı tutmayan bir sistemde olayın kapsamını daraltmak imkânsızdır; kurum kendini en geniş varsayımı beyan etmek zorunda bulur. Kaydın olması, ihlali küçültmez ama sınırını çizer. Denetim çalışmalarında log toplama, saklama süresi ve uyarı kurallarına bu yüzden ayrı bir başlık açıyoruz. Antalya yazılım tarafında konakladığımız projelerde en sık rastladığımız eksik, uygulamanın log ürettiği ama kimsenin bu logları merkezi bir yerde toplamadığı durum. Sunucu değişince kayıt da gidiyor.

Bildirim yükümlülüğünün ikinci yüzü itibar tarafı. Müşteriye "bir şey olmadı" demek, sonradan aksi ortaya çıkarsa olayın kendisinden ağır sonuç doğurur. Hazırlıklı kurumlar bildirim metnini olay anında yazmaz; şablonu ve karar zincirini önceden hazırlar. Kim onaylayacak, kim konuşacak, hangi kanaldan duyurulacak.

Olay anı tatbikatı da hazırlığın parçası. Masa başında yürütülen basit bir senaryo bile eksikleri hızla ortaya çıkarır: sunucuya erişecek kişi tatildeyse yedeği kim? Sağlayıcının destek hattına kim yazacak, sözleşme numarası nerede duruyor? Sistem kapatılacaksa bu kararı kim veriyor? Bunlar teknik değil organizasyon soruları ve cevapları olay anında aranmaya başlanırsa saatler kaybedilir. Siber güvenlik tarafında en ucuz iyileştirme kalemlerinden biri, iki sayfalık bir olay müdahale akışı yazmaktır. Maliyeti neredeyse sıfırdır, kazandırdığı süre ise kesintinin uzunluğunu doğrudan belirler.

Sahada tekrar eden altı hata

Denetimlerde karşılaştığımız bulguların büyük kısmı egzotik değil. Aynı altı başlık, farklı kurumlarda tekrar tekrar çıkıyor.

Güncellemeyi erteleme. "Çalışan sisteme dokunulmaz" refleksi, yamaların aylarca birikmesine yol açar; sonra tek seferde geçilemeyecek kadar büyük bir sürüm farkı oluşur. · Yönetim panelini açıkta bırakma. Veritabanı arayüzü, izleme paneli ya da yönetim ekranı internete açıkken hiçbir ağ kısıtı olmadan duruyorsa, tek savunma parola kalır. · Varsayılan parolayı değiştirmeme. Kurulum sırasında hızlıca geçilen adım, kurulumdan sonra kimsenin geri dönüp bakmadığı adımdır. · Yedeğin geri yüklenebilirliğini hiç test etmeme. Yedek almak bir iş, yedekten dönmek başka bir iştir; ikincisi denenmediyse ilkinin değeri varsayımdır. · Bağımlılıkları yıllarca sabit tutma. Kütüphaneler yaşlanır, bilinen zafiyet kayıtları birikir; üstelik büyük sürüm atlamaları zamanla daha da pahalılaşır. · Log tutmama. Olay anında geriye dönüp bakılacak kayıt yoksa, kapsam belirlenemez ve düzeltme kör yapılır.

Bu altı başlığın ortak noktası ilgi çekici: hiçbiri karmaşık değil, hepsi ertelenebilir görünüyor. Siber güvenlik çalışmalarının önemli bir bölümü yeni teknoloji kurmak değil, ertelenmiş bakımı toplamaktır. İstanbul yazılım tarafındaki daha büyük ekiplerde bir yedinci başlık da ekleniyor: sahipsiz sistemler. Kim kurduğu bilinmeyen, kimin sorumlu olduğu belli olmayan, ama üretimde çalışan sunucular.

Hataların neden tekrar ettiğine dair bir gözlem: hiçbiri bir kişinin ihmali değil, hepsi bir sürecin eksikliği. Güncelleme ertelenmiyorsa bunun sebebi disiplinli bir çalışan değil, takvime bağlanmış bir yama penceresidir. Varsayılan parola kalmıyorsa, kurulum kontrol listesi vardır. Log toplanıyorsa, birisi bunu bir kez kurmuş ve kimseye bağlı olmadan çalışıyordur. İnsan hafızasına yaslanan her önlem eninde sonunda düşer. Siber güvenlik tarafında sürdürülebilir olan tek yaklaşım, kontrolü otomatikleştirmek ve sahibini isimle tanımlamaktır.

Yedeğin gerçekten döndüğünü kim doğruladı?

Bu soruyu ayrı başlık yapmamızın sebebi, cevabın neredeyse her seferinde aynı olması. Yedek var. Geri yükleme denenmiş mi? Sessizlik.

Yedekleme sistemleri sessizce bozulur. Disk dolar ve iş başarısız olur ama uyarı kimseye ulaşmaz; kapsam dışında kalan bir dizin aylarca yedeklenmez; şifreleme anahtarı değişir ve eski arşivler açılamaz hâle gelir. Bunların hiçbiri gündelik çalışmayı etkilemediği için fark edilmez. Sadece ihtiyaç anında ortaya çıkar, yani en kötü anda.

Denetimde baktığımız şey basit ve ölçülebilir: yedek ayrı bir lokasyonda mı duruyor, şifreli mi, saklama süresi ne, en son ne zaman gerçek bir geri yükleme testi yapıldı ve o test ne kadar sürdü? Son madde işletme açısından belirleyici. Kurtarma süresi altı saatse, iş planınız da altı saatlik kesintiye göre kurulmalıdır. Alanya yazılım ekibimizin altyapı tarafındaki müşterilerinde yedekten dönüş tatbikatını takvime bağlıyoruz — yılda bir kez kâğıt üzerinde değil, gerçekten yapılan bir tatbikat.

Yedek stratejisinde ikinci mesele kapsamın kendisi. Veritabanı yedekleniyor, peki dosya sunucusu? Kullanıcıların yüklediği belgeler nerede duruyor? Yapılandırma dosyaları, ortam değişkenleri ve sertifikalar hangi arşivde? Sistemi sıfırdan ayağa kaldırmak gerektiğinde eksik olan genelde veri değil, sistemi çalışır hâle getiren o küçük parçalardır. Bir sunucunun tamamen kaybedildiği senaryoyu masada yürütmek bunu hemen gösterir: kurulum adımlarını kim biliyor, yazılı mı? Siber güvenlik denetimlerinde yedek başlığını yalnızca "alınıyor mu" sorusuyla kapatmıyoruz, "eksiksiz mi ve dönüyor mu" sorularıyla birlikte ele alıyoruz.

Kapsam ve yazılı yetkilendirme: testten önceki adım

Testler yalnız yazılı yetkilendirme ve kapsam sözleşmesiyle yürütülür. Bu cümle bir formalite değil, işin başlangıç koşuludur. Sözleşmede hangi alan adlarının, hangi sunucuların ve hangi uygulamaların kapsamda olduğu tek tek yazılır; kapsam dışındaki hiçbir varlığa dokunulmaz. Hangi yöntemlerin kullanılacağı, çalışma penceresi ve kimin bilgilendirileceği de aynı belgede yer alır.

Neden bu kadar katı? Çünkü kapsamı belirsiz bir çalışma hem hukuki risk üretir hem de teknik olarak yanlış hedefe gidebilir. Bulut sağlayıcıda barındırılan bir sistemde sağlayıcının kendi kurallarına da uymak gerekir. Sistem sizin değilse, örneğin bir tedarikçinin işlettiği panelse, yetkilendirmeyi imzalayacak makam o tedarikçidir. İmza yoksa çalışma başlamaz — istisnası yok. Bir kurumsal yazılım şirketi için bu sınır, teknik yetkinlik kadar temel bir mesleki ölçüdür.

Kapsam belirlemenin ikinci faydası beklenmedik olur: kurumlar kendi yüzey alanını çoğu zaman ilk kez burada görür. Yıllar içinde açılmış test ortamları, unutulmuş alt alan adları, bir kampanya için kurulup kapatılmayan sunucular. Envanterin kendisi, henüz tek bir test yapılmadan değer üretir.

Envanter çıkarıldığında sıkça gündeme gelen bir başlık da tedarikçi erişimi. Muhasebe yazılımını kuran firmanın hâlâ açık bir uzak bağlantısı olabilir; ajansın yıllar önce aldığı yönetici hesabı duruyordur; bakım anlaşması biten bir sağlayıcının anahtarı sunucuda kalmıştır. Üçüncü tarafa verilen her erişim, kendi güvenlik seviyesini de sisteminize taşır. Kimin hangi yetkiyle, hangi tarihe kadar erişebildiği yazılı bir tabloda tutulmalı ve düzenli gözden geçirilmeli. İstanbul yazılım tarafındaki çok sağlayıcılı kurumsal yapılarda bu tablo, denetim raporunun en çok tartışılan ekine dönüşüyor.

Keşiften rapora: denetimin yürüyüşü

Keşif aşamasında kapsamdaki varlıklar çıkarılır ve haritalanır. Hangi servisler çalışıyor, hangi sürümler kullanılıyor, hangi bağımlılıklar var, dış dünyaya ne açık. Bu adım yavaş ilerler ve acele edilmez; eksik envanterle yapılan test, olmayan bir güvenceyi satar.

Test aşaması mutabık kalınan kapsam içinde yürür. Uygulama tarafında girdi doğrulama, oturum yönetimi, yetkilendirme kontrolleri ve güvenlik başlıkları incelenir; sunucu tarafında açık portlar, gereksiz servisler, yama durumu ve erişim politikaları ele alınır. Üretimi etkileyebilecek adımlar önceden belirlenen bakım penceresine alınır, yıkıcı olabilecek hiçbir adım yazılı onay olmadan yürütülmez. Çalışmanın büyük bölümü inceleme ağırlıklıdır ve hizmeti kesintiye uğratmaz. Siber güvenlik denetiminde amaç sistemi devirmek değil, devrilebileceği yeri belgelemektir.

Raporlama son adım değil, sürecin dönüm noktası. Bulgular yazılırken iki ayrı okuyucu düşünülür: düzeltmeyi yapacak teknik ekip ve önceliği belirleyecek yönetim. Aynı bulgu iki dille anlatılır. Antalya yazılım ve altyapı ekiplerimizin ortak çalıştığı projelerde raporu sunumla birlikte teslim etmemizin sebebi bu — yazılı metin tek başına okunmuyorsa iş yarım kalır.

Raporun ne içermediği de tanımlıdır. Kötüye kullanım adımları, hazır saldırı yöntemleri ya da araç kullanım talimatı yazmayız; bulgu, etkisi ve düzeltmesi yazılır. Belgenin kendisi de hassas bir varlıktır — sistemin zayıf noktalarını tek yerde toplar. Bu yüzden şifreli kanalla iletilir, dağıtım listesi sınırlı tutulur ve düzeltmeler tamamlandıktan sonra saklama süresi mutabık kalınır. Siber güvenlik raporunu ortak bir sürücüde herkese açık bırakmak, raporun kendisini yeni bir risk kalemine dönüştürür.

Raporu okumak: kritiklik seviyeleri ve öncelik

İyi bir rapor uzun değil, sıralı olur. Her bulgu kritik, yüksek, orta ve düşük olarak etiketlenir. Etiketleme keyfi değildir; iki eksene bakılır. Birincisi etki: bu açık kullanılırsa hangi veriye, hangi ölçekte erişilir? İkincisi ulaşılabilirlik: açık internete açık bir yüzeyde mi duruyor, yoksa iç ağda ve kimlik doğrulamanın arkasında mı?

İnternete açık, kimlik doğrulaması olmayan ve kişisel veriye dokunan bir bulgu kritik sayılır. Aynı teknik zafiyet, yalnızca iç ağdan erişilebilen bir test sunucusunda ortada duruyorsa orta seviyeye düşer. Bu ayrım kurumun sınırlı mühendislik zamanını nereye harcayacağını belirler. Herkesin listesi uzundur, kimsenin zamanı sınırsız değildir.

Önceliklendirmede üçüncü bir ölçüt daha kullanıyoruz: düzeltme maliyeti. Bir güvenlik başlığı eklemek yarım saatlik iş; kimlik doğrulama mimarisini değiştirmek haftalar sürebilir. Kritik ama ucuz olan her şey ilk haftaya alınır. Kritik ve pahalı olanlar için geçici azaltıcı önlem tanımlanır — açık kapanana kadar riski düşüren bir ağ kısıtı gibi. İstanbul yazılım tarafındaki kurumsal müşterilerimizle bu yol haritasını rapor tesliminden sonraki hafta içinde oturup çıkarıyoruz.

Düşük seviyeli bulguları görmezden gelmek de ayrı bir tuzak. Tek başına zararsız görünen üç dört madde, birlikte kullanıldığında anlamlı bir yol açabilir: bilgi sızdıran bir hata mesajı, aşırı geniş bir izin, eski bir bileşen. Rapor bu ilişkileri de yazar, çünkü bulgular listesi bir tablo değil bir haritadır. Yönetimin sorması gereken soru "kaç kritik var" değil, "bu maddeler birleşince ne oluyor" olmalı. Siber güvenlik okumasını sayıya indirgeyen kurumlar, listenin altındaki maddeleri yıllarca taşıyor.

Düzeltme sonrası yeniden test ve denetim ritmi

Rapor teslim edildi, ekip düzeltmeleri uyguladı. İş bitti mi? Hayır. Düzeltmenin çalıştığı doğrulanmadan bulgu kapanmış sayılmaz. Yeniden test, aynı bulguların aynı yöntemle tekrar kontrol edilmesidir; kapanan maddeler işaretlenir, açık kalanlar için ikinci tur planlanır. Bu adımın atlandığı yerlerde şu tabloyla karşılaşıyoruz: düzeltme yapılmış ama başka bir ayar onu etkisiz bırakmış, kimse fark etmemiş.

Denetim ritmi kurumun değişim hızına bağlanır. Kod tabanı sürekli değişen, haftada birkaç kez yayın yapan bir ekip için yılda bir denetim geç kalır; yılda bir iki güncelleme alan durağan bir sistemde ise yıllık ritim yeterli olabilir. Değişimin kendisi tetikleyicidir: yeni bir ödeme entegrasyonu, yeni bir müşteri paneli, bulut sağlayıcı değişikliği ya da altyapının başka bir ekibe devri — her biri kapsamı yeniden gözden geçirmeyi gerektirir. Siber güvenlik bir kerelik proje değil, tekrarlayan bir bakım kalemidir.

Yeniden test de aynı kurala tabidir: testler yalnız yazılı yetkilendirme ve kapsam sözleşmesiyle yürütülür, ilk denetimde imzalanan kapsam genişleyecekse belge güncellenir. Alanya yazılım ekibimizin sürdürdüğü sözleşmelerde yeniden test hakkı ilk anlaşmanın içinde tanımlı olur, sonradan pazarlık konusu yapılmaz.

Sürekli izlemeye geçiş

Dönemsel denetim fotoğraf çeker. Fotoğraflar arasında geçen sürede sistem değişir, yeni zafiyet kayıtları yayınlanır, bağımlılıklar yaşlanır. Aradaki boşluğu kapatan şey sürekli izlemedir. Otomatik bağımlılık taraması geliştirme hattına eklenir; yeni bir zafiyet kaydı yayınlandığında ilgili paketi kullanan projeler kendiliğinden işaretlenir. Sertifika bitiş tarihleri uyarıya bağlanır. Yönetici girişleri, başarısız kimlik doğrulama denemeleri ve yapılandırma değişiklikleri merkezi log sistemine akar.

İzlemenin işe yaraması için kurulacak eşik dikkat ister. Fazla uyarı, uyarıya bakılmamasıyla sonuçlanır; az uyarı ise olayın kaçırılması demektir. Başlangıçta dar bir kural setiyle başlayıp gerçek olaylara göre genişletmek, en baştan yüzlerce kural yazmaktan daha sağlıklı ilerliyor. Bir kurumsal yazılım şirketi olarak burada tercihimiz net: az sayıda, gerçekten okunan uyarı.

Kurum içinde sahiplik de tanımlanmalı. Uyarı kime düşecek, mesai dışında ne olacak, kim karar verecek? Teknik altyapı ne kadar iyi kurulursa kurulsun, uyarının düştüğü kutuyu kimse açmıyorsa sistem çalışmıyor demektir. Antalya yazılım ve altyapı tarafında dış kaynak destek verdiğimiz kurumlarda bu sahiplik zincirini yazılı olarak tanımlıyoruz.

Sürekli izlemenin dönemsel denetimin yerine geçmediğini de belirtelim. Otomatik araçlar bilinen kalıpları yakalar; iş mantığındaki yetki hatasını, yanlış kurgulanmış bir onay akışını ya da mimarideki güven ilişkisi sorununu yakalayamaz. Bir kullanıcının başkasının siparişini görüp göremediğini anlamak için o iş kuralını bilen bir insanın bakması gerekir. İkisi birbirini tamamlar: izleme boşluğu daraltır, denetim derinliği sağlar. Siber güvenlik bütçesini yalnız araca ya da yalnız insana ayırmak, iki tarafta da eksik bir savunma bırakıyor.

Sıkça sorulan sorular

Denetim için nasıl bir izin gerekiyor?
Testler yalnız yazılı yetkilendirme ve kapsam sözleşmesiyle yürütülür. Sözleşmede hangi varlıkların kapsamda olduğu, hangi yöntemlerin kullanılacağı ve çalışma penceresi açıkça yazılır. Kapsam dışına çıkılmaz. Sistem sizin değilse ya da yetkilendirmeyi imzalayacak makam yoksa çalışma başlamaz. Bulut sağlayıcının kendi kuralları varsa onlara da uyulur.
Test sırasında sistemimiz kesintiye uğrar mı?
Çalışmanın büyük kısmı inceleme ağırlıklıdır ve hizmeti durdurmaz. Üretimi etkileyebilecek adımlar önceden mutabık kalınan bakım penceresine alınır; yıkıcı olabilecek hiçbir adım yazılı onay olmadan yürütülmez. Riskli görülen bir test varsa önce kopya ortamda denenir. İstanbul yazılım tarafındaki yoğun trafikli sistemlerde pencereyi gece saatlerine çekmek standart uygulamamız.
KVKK denetim yaptırmayı zorunlu kılıyor mu?
Kanun belirli bir hizmeti adıyla zorunlu tutmaz; uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Denetim, bu tedbirlerin yeterli olup olmadığını ölçmenin ve eksikleri kayda geçirmenin somut yoludur. Yani zorunlu olan tedbirdir, denetim ise tedbiri gösterilebilir kılan araçtır. Kurumunuzun özel durumu için hukuk danışmanınızla değerlendirme yapmanızı öneririz. Alanya yazılım ekibimiz teknik tarafı raporlar, hukuki yorumu hukukçuya bırakır.
Bulguları kendi ekibimiz kapatabilir mi?
Evet, rapor bunun için yazılır. Her bulgunun yanında somut düzeltme adımı ve düzeltmenin işe yarayıp yaramadığını kontrol etme yöntemi yer alır. İç ekibi olan kurumların çoğu maddelerin büyük bölümünü kendisi kapatıyor; biz yalnızca mimari değişiklik gerektiren kalemlerde devreye giriyoruz. Siber güvenlik tarafında hedefimiz kurumu bağımlı kılmak değil, ekibinizin kendi başına ilerleyebileceği bir yol haritası bırakmak.
Ne sıklıkla denetim gerekiyor?
Değişim hızına bağlı. Sürekli yayın yapan bir ürün ekibinde altı aylık ritim mantıklı olurken, yılda birkaç kez güncellenen durağan bir sistemde yıllık denetim yeterli olabilir. Bunun dışında olay bazlı tetikleyiciler var: yeni ödeme entegrasyonu, yeni müşteri paneli, bulut sağlayıcı değişikliği ya da altyapının devri. Antalya yazılım tarafındaki sezonluk yoğunluk yaşayan işletmelerde denetimi sezon öncesine almak, kesinti riskini en yoğun döneme denk getirmemek açısından işe yarıyor.
Yedeklerimiz var, yine de risk taşır mıyız?
Taşırsınız. Yedek, veri kaybına karşı işe yarar; veriye yetkisiz erişime karşı bir şey yapmaz. Kişisel veri sızdıysa yedekten dönmek olayı geri almaz, bildirim yükümlülüğünü de ortadan kaldırmaz. Kaldı ki yedeğin kendisi de korunması gereken bir varlık — şifresiz ve aynı ağda duran bir yedek, riski azaltmak yerine çoğaltır. Denetimde yedek dayanıklılığına bu yüzden ayrı bakıyoruz. Kurumsal yazılım şirketi seçerken sorulacak ilk sorulardan biri de budur: yedeğimin geri döndüğünü en son ne zaman kim doğruladı?