Pentest firmalari arasından seçim yapmak, kurumsal şirketlerin dijital varlıklarını, müşteri verilerini ve ticari sırlarını güvence altına alırken vereceği en kritik kararlardan biridir.
Çünkü sızma testi (penetrasyon testi) yaptırmak, şirketinizin tüm kapılarını, kaynak kodlarını ve network altyapısını harici bir ekibe tamamen açmak anlamına gelir.
Yanlış, yetkinliği olmayan veya merdiven altı siber güvenlik ekipleriyle çalışmak, zafiyetlerinizin doğru tespit edilememesine yol açar. Hatta bu durum, canlı sistemlerinizin çökmesiyle veya hassas verilerinizin sızdırılmasıyla sonuçlanabilir.
Peki, holdinglerin, e-ticaret devlerinin ve yazılım evlerinin siber güvenlik bütçelerini doğru yönetmesi için doğru partneri nasıl bulması gerekir? Sektörde faaliyet gösteren kurumsal pentest firmalari arasından seçim yaparken mutlaka aramanız gereken teknik kriterleri masaya yatırıyoruz.
İçerik
Profesyonel Siber Güvenlik Şirketlerinde Hangi Belgeler Aranmalı?
İlk olarak, bir firmanın sadece “biz bu işi çok iyi yapıyoruz” demesi kurumsal dünyada hiçbir şey ifade etmez. Teknik yetkinliğin uluslararası ve ulusal standartlarla kanıtlanmış olması şarttır.
Türkiye’de kurumsal düzeyde hizmet veren pentest firmalari ile el sıkışmadan önce şu belge ve yetkinlikleri sorgulamalısınız:
- Regülasyonun Beklediği Belgeler: Kurumunuz BDDK, SPK veya EPDK gibi bir düzenleyiciye tabiyse, sızma testi yapacak firmadan belirli belgeler istenip istenmediğini kendi mevzuatınızdan ve düzenleyicinin rehberlerinden kontrol edin.
- Uluslararası Uzmanlık Sertifikaları: Testi bizzat yürütecek olan siber güvenlik uzmanlarının CEH, OSCP, OSCE veya CISSP gibi dünya çapında kabul görmüş akreditasyonlara sahip olup olmadığını kontrol edin.
- ISO/IEC 27001:2022 BGYS Sertifikası: Hizmet alacağınız firmanın kendi içinde bilgi güvenliğini nasıl sağladığını gösteren bu belge, kurumsal iş ortaklığının en temel şartıdır.
Bu belgelere sahip olmayan ekiplere sistemlerinizi emanet etmek, şirketinizin siber hijyen profilini büyük bir riske atmak demektir.
Pentest Firmaları Seçiminde Referans ve Gizlilik Sözleşmesi Neden Önemlidir?
İkinci olarak, sızma testi süreçlerinde en kritik aşamalardan biri de veri güvenliği ve hukuki korumadır. Çünkü test sırasında kurumsal ağınızdaki tüm açıklar ve gizli datalar uzmanların önüne dökülecektir.
Hizmet alacağınız pentest firmalari ile masaya oturduğunuzda yasal süreçleri şu şekilde garanti altına almalısınız:
- Ağır Yaptırımlı Gizlilik Sözleşmesi (NDA): Test sırasında elde edilen tüm bulguların, sistem açıklarının ve şirket içi yazışmaların asla üçüncü taraflarla paylaşılamayacağını taahhüt eden yasal sözleşmeler imzalanmalıdır.
- Sektörel Referans Kontrolü: Firmanın daha önce sizinle aynı sektörde (Örn: Finans, Sağlık, Yazılım) faaliyet gösteren kurumsal yapılara hizmet verip vermediğini, başarı hikayelerini mutlaka inceleyin.
- Raporlama Kalitesi: Firmanın geçmişte sunduğu örnek (anonimleştirilmiş) sızma testi raporlarını talep edin. Raporda sadece açıkların yazılması yetmez; teknik kapatma (yama) adımlarının da net şekilde gösterilmesi gerekir.
Sıkça Sorulan Sorular (FAQ)
Sızma Testi Fiyatları Neye göre Belirlenir?
Fiyatlar sabit değildir. Kurumsal pentest firmalari bütçelendirmeyi yaparken şirketinizin sahip olduğu canlı IP adresi sayısına, web uygulamalarınızın (domain) karmaşıklığına, kullanıcı sayısına ve testin metodolojisine (White, Grey, Black Box) göre adam/gün hesabı yapar.
Belirli bir belgeye sahip sızma testi firmasıyla çalışmak zorunlu mudur?
Genel bir zorunluluk yoktur. Ancak finans, enerji veya kamu gibi düzenlemeye tabi sektörlerde ilgili kurumların (BDDK, SPK, EPDK vb.) sızma testi firmasından belirli belgeler beklediği durumlar olabilir. Bu nedenle tabi olduğunuz güncel mevzuatı ve düzenleyicinin rehberlerini kontrol etmeniz gerekir.
Test Sırasında Sistemlerimizin Yedeği Alınmalı Mıdır?
Evet, her ne kadar profesyonel firmalar sistemlerinize zarar vermeden kontrollü sızma operasyonları yürütse de, test başlamadan önce BT altyapınızın tam bir yedeğini (backup) almak kurumsal iş sürekliliği açısından hayati bir siber hijyen kuralıdır.
👉 ilgili sayfaları inceleyebilirsiniz: Pentest Hizmeti & White Box & Grey Box & Black Box
Kaynak kodlarınızdan altyapı mimarinize kadar tüm sisteminizin derinlemesine incelendiği, firmanıza en yüksek siber olgunluğu kazandıracak White Box Pentest süreçlerimiz hakkında detaylı bilgi almak veya yazılım altyapınıza özel teknik analiz teklifi talep etmek için bizimle hemen iletişime geçebilirsiniz.
Sonraki adımları planlarken ISO 27001 danışmanlık hizmetimizi inceleyebilirsiniz.
🔗 +90 533 370 01 43 | info@iso27001danismanlik.com