Müşterimiz Sözleşmeye Güvenlik Denetimi Maddesi Eklemek İstiyor, Ne Demek Bu?

Müşteriyle masaya oturmadan önce şu 3 ayrımı netleştirmeniz şart: 1) Teknik zafiyet taraması mı istiyorlar yoksa sertifikasyon odaklı bir denetim mi? 2) Denetçi firmayı kim seçecek ve denetim ücretini kim ödeyecek? 3) Olası bir bulgu çıktığında düzeltme süresi ve canlıya geçiş takvimi nasıl etkilenecek? Bu üç maddeyi sözleşmede bağlamazsanız süreç kilitlenir.

Sözleşmeyi hemen reddetmeyin ama o cümleye bir sınırlama getirin. Metne 'müşterinin makul göreceği kapsamda ve yılda en fazla bir kez yapılacak uygulama seviyesinde sızma testi' ibaresini ekletin. Hatta denetçi ücretinin ilk yıl müşteri tarafından karşılanmasını ya da 55.000 dolarlık faturaya eklenmesini teklif edin. Genelde kurumsal satın alma bunu kabul eder.

Biz benzer bi durumda New York merkezli bi şirketle 40.000 dolarlık sözleşme yaparken bu maddeyle karşılaştık. Bağımsız bi test ekibiyle anlaşıp sadece API ve panel için gri kutu sızma testi yaptırdık. Süreç 8 iş günü sürdü, 4.200 dolar ödedik. Rapordaki 2 orta seviye açığı 3 günde kapatıp müşteriye sunduk, hemen kabul ettiler.

Müşterinin sisteminde hangi verileri tutacaksınız? Kredi kartı, kişisel sağlık bilgisi veya hassas çalışan verileri gibi regülasyona tabi alanlara giriyor musunuz? Eğer sadece operasyonel lojistik verisi ve rota bilgisi saklanıyorsa, müşterinin kurumsal uyumluluk birimi hazır güvenlik soru formlarıyla bile ikna olabilir. Onlara kendi altyapı güvenlik dokümanınızı sunmayı denediniz mi?

bizim basimiza da geldi kurumsal firmalarin hazir sozlesme sablonunda standart bulunuyor o madde... arayip sordugumuzda kendileri de ne istedigini tam bilmiyordu megerse sadece sirket ici guvenlik anketini dooldurmamiz yeterliymis... neyse bosuna disaridan pahali bi denetim hizmeti satin almayin once tam olarak ne beklediklerini yazili isteyin.

Çoğu kişi hemen ucuz bi sızma testi yaptırıp geçin diyor ama iş o kadar basit değil. Müşterinin IT departmanı kurumsal bi yerse raporun formatına, denetimi yapan firmanın akreditasyonuna kadar bakarlar. İnternetten alelacele bulacağınız 1.000 dolarlık otomatik tarama raporunu önlerine koyarsanız güvensizlik yaratırsınız. Kapsamı küçülteceğim derken profesyonel imajınızı zedelemeyin.

Kurumsal sözleşmelerde denetim hakkı maddesi yaygın bir uygulamadır. Ancak bu hakkın sınırları mutlaka çizilmelidir. Denetimin yalnızca olağan iş saatleri içinde yapılması, operasyonel süreçleri aksatmaması, gizlilik sözleşmesine tabi bağımsız bir kuruluşça yürütülmesi ve oluşacak maliyetlerin bütçelendirilmesi yönünde bir ek protokol düzenlenmesini tavsiye ederim.

peki bu denetim sırasında kaynak kodlarımızı müşteriye veya o denetimi yapan üçüncü tarafa teslim etmek zorunda kalıyor muyuz?? fikri mülkiyet açısından kodlarımızın dışarıya sızması gibi bi risk oluşur mu, yoksa sistem sadece dışarıdan mı test ediliyor??

doğru snra olayların çoğu zafiyetten dgl sızmış bi paroladan başlıyor

sorunuz olursa yazin, elimden geldigince cevaplarim.

Tartışma dağıldı toparlayayım. Test edilmemiş bi yedek, yedek değildir.

Tecrübeyle sabit.

Aynısını yaşadım.

anlamadigim bir yer var. bu arada herkesin yaptiig sey dogru oldugu anlamina gelmiyor.

bu kdr uzattısam kusura bakmayın.

emeğinize sağlık. yedeğin aynı ağda ve aynı kimikle erişilebilir olması, onu hedefin parçası yapıyor.

sonucu buraya yazarsaız başkalarına da faydası olur.

Üç ayrı görüş çıktı, hepsi birbirini tamamlıyor. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Yanlışım varsa düzeltin.

Katılıyorum.

Doğru.

Ucuz görünen yol genelde sonradan pahalıya patlıyor. Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Tam zamanında bir konu.