"Güvenlik testi" istediler — tam olarak ne yapılıyor, bizden ne bekleniyor?

Filiz S***2 ay önce·40 mesaj·10 B görüntülenme#güvenlik testi #denetim #sözleşme şartı #kurumsal müşteri

Görev: Yazılım geliştirici
Sektör: Matbaa
Yapı: yeni kurulmuş girişim
Katılım: Nis 2026
Mesaj: 129

2 ay önce#1

Depo ve lojistik yönetimi üzerine bulut tabanlı bir yazılım geliştiren 9 kişilik bir yazılım şirketiyiz. Geçtiğimiz ay uluslararası faaliyet gösteren büyük bir perakende zinciriyle masaya oturduk ve yıllık 520.000 TL tutarında bir lisans sözleşmesi aşamasına geldik. Ancak müşterinin kurumsal bilgi güvenliği departmanı sözleşmeye "Canlıya geçiş öncesinde bağımsız bir güvenlik testi raporu sunulmalı ve yüksek riskli bulgular kapatılmalıdır" şartı ekledi.

Yazılım tarafında standart kodlama pratiklerine dikkat ediyoruz ama bugüne kdr resmi bir güvenlik testi sürecinden hiç geçmedik. Bu süreç başladığında karşı taraf veya denetim yapacak ekip bizden tam olarak ne isteyecek? Test canlı sunucuda mı yapılır yoksa test ortamı mı kurmamız gerekir? Kodlarımızı mı inceleyecekler yoksa dışarıdan sisteme sızmaya mı çalışacaklar? Sürecin işleyişi ve bizim tarafımızda gerektireceği mesai hakkında tecrübesi olanlar yol gösterebilirse çok sevinirim.

MerveKatılımcı

Görev: Operasyon müdürü
Yapı: kooperatif
Katılım: Mar 2024
Mesaj: 118

2 ay önce#2

Hemen müşterinizin bilgi güvenliği ekibine e-posta atıp kabul ettikleri standart test metodolojisini ve test kapsam formu şablonunu isteyin. Kendi kafanıza göre test yaptırırsanız raporu format uymuyor diye reddedebilirler.

BetülUzman

Görev: Yönetim danışmanı
Katılım: Eki 2023
Mesaj: 164

2 ay önceEn çok yardımcı olan#3

Kısa cevap: Müşterinizin talep ettiği güvenlik testi, yazılımınızın veri sızıntılarına yetkisiz erişimlere ve sistemsel açıklara karşı güvenli olduğunu bağımsız bi uzman kuruluşa teyit ettirme sürecidir. Test ekibi sisteminize hem dışarıdan bi saldırgan gibi hem de yetkili bi kullanıcı gibi davranarak zafiyet arar.

Büyük kurumsal müşterilerle çalışırken bu talep son derece doğaldır çünkü sizin yazılımınız üzerinden kendi iç ağlarına sızıntı olmasından veya kurumsal verilerinin çalınmasından çekinirler. Süreç başladığında sizden temelde üç şey beklenir: Sistemin mimari şeması, test edilecek ortamın erişim bilgileri ve kullanıcı rolleri.

Test kesinlikle canlı sunucuda yapılmaz. Test uzmanları sisteme yoğun istekler gönderir, veritabanına özel karakterler enjekte eder ve iş akışlarını zorlar; bu işlemler canlı verileri bozabilir. Bu nedenle gerçek verilerin maskelendiği veya temiz test verileriyle dolu birebir bir test (staging) ortamı kurmanız gerekir.

Hazırlık için şu adımları takip etmelisiniz: 1) Test firmasına her kullanıcı rolü için (örneğin depo sorumlusu, şube yöneticisi, sistem admini) ikişer adet test hesabı tanımlayın. 2) Testi yapacak ekibin IP adreslerini güvenlik duvarınızda ve koruma yazılımlarınızda beyaz listeye ekleyin ki engellenmeden derinlemesine tarama yapabilsinler. 3) Rapor çıktıktan snra ekibinizin zafiyetleri kapatması için 1-2 haftalık bi geliştirme süresi planlayın; zafiyetler yamandıktan sonra test firması tekrar tarama yapıp temiz raporu onaylar.

Burcu A***KatılımcıTopluluk üyesi

Katılım: May 2024
Mesaj: 146

2 ay önce#4

Genelde 'Gray Box' yani gri kutu testi yaparlar. Sizden kaynak kod istemezler ama kullanıcı adı ve şifre isterler. Amaç, standart bir depo çalışanının yetkilerini yükselterek yönetici fonksiyonlarına erişip erişemediğini doğrulamaktır.

Rıdvan B***KatılımcıTopluluk üyesi

Katılım: May 2023
Mesaj: 180

2 ay önce#5

Benzer ölçekte bir SaaS ürünümüz için geçen sene test yaptırdık. Test 5 iş günü sürdü, 1 kritik ve 3 orta düzey açık buldular. Yazılım ekibimiz düzeltmeler için yaklaşık 25 saat mesai harcadı. Temiz raporu müşteriye teslim ettikten sonra sözleşme sorunsuz imzalandı.

Zeynep K***KatılımcıTopluluk üyesi

Katılım: Şub 2024
Mesaj: 41

2 ay önce#6

Müşteri sözleşmesinde raporu bağımsız kuruluşun yapması gerektiği belirtilmiş ama test firması icin TSE onayı veya belirli uluslararası sertifikalara sahip olma zorunluluğu koymuşlar mı? valla buna dikkat etmezseniz rapor geçersiz sayılabilir.

Halil K***Katılımcı

Görev: Klinik yöneticisi
Sektör: Su ürünleri
Yapı: orta ölçekli işletme
Katılım: May 2024
Mesaj: 208

Doki · Arayüz tasarımı · 2026

2 ay önce#7

Teste başlamadan önce hazır bulundurmanız gerekenler: 1) API dokümantasyonu veya Swagger çıktısı, 2) Test ortamı giriş adresleri ve kullanıcı bilgileri, 3) Acil durumda testi durdurabilecek teknik sorumlunun telefon numarası.

Ahmet G***KatılımcıTopluluk üyesi

Katılım: Nis 2022
Mesaj: 30

2 ay önce#8

test ortami acarken canlidaki gercek musteri isimlerini ve telefonlarini mutlaka sifirlayin. test ortamina anonim veri yukleyin snra oradaki veriler de raporda acik olarak ekran goruntusuyle cikmasin

Bora Y***UzmanTopluluk üyesi

Katılım: Eki 2025
Mesaj: 127

2 ay önce#9

kurumsal müşteriyle tanışma merasimine hoş geldiniz. açıkçası güvenlik testinden sonra sıra 80 maddelik üçüncü taraf risk değerlendirme anketine gelecek kahvenizi şimdiden tazeleyin.