Kamu ihalesi için sızma testi genelgesi şartı geldi bizim boyutta neyi karşılıyoruz?

Aslı G***16 gün önce·37 mesaj·5,6 B görüntülenme#sızma testi genelgesi #kamu ihalesi #bilgi güvenliği #tse belgesi

Aslı G***UzmanTopluluk üyesi

Katılım: Oca 2023
Mesaj: 1

16 gün önce#1

Ankara'da kamu kurumlarına yönelik arşiv ve dijital kayıt yönetim yazılımları geliştiren 12 kişilik bir ekibiz. Önümüzdeki ay gireceğimiz bir bakanlık ihalesinin şartnamesinde, Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Genelgesi kapsamında güncel sızma testi raporu sunulması zorunlu tutulmuş.

Geçen yıl özel bi proje için serbest çalışan kıdemli bi uzmana 35.000 TL ödeyerek sızma testi yaptırmıştık ve elimizde buna dair teknik bi rapor var. Ancak ihale dosyasındaki genelge maddelerini incelediğimizde testin kapsamı testi yapan kurumun yetkisi ve raporun resmi geçerliliği konusunda kafamız çok karıştı.

Kamu ihalelerinde atıf yapılan bu sızma testi genelgesi tam olarak neyi emrediyor? Bizim gibi orta ölçekli bir yazılım tedarikçisinin alması gereken asgari hizmet nedir, kurumu ikna etmek ve ihaleden elenmemek için hangi sertifikalara bakmalıyız?

Recep Y***Katılımcı

Görev: Sistem yöneticisi
Sektör: Spor ve fitness
Yapı: butik ajans
Katılım: Haz 2022
Mesaj: 9

16 gün önceEn çok yardımcı olan#2

Kısa cevap: Kamu şartnamelerinde atıf yapılan sızma testi genelgesi gereğince, bağımsız şahıslardan veya yetkisiz bilişim firmalarından alınan test raporları resmi olarak geçersizdir. İhalede elenmemek için testin Türk Standardları Enstitüsü (TSE) tarafından onaylanmış sızma testi kuruluşu unvanına sahip yetkili bir firma tarafından yapılmış olması zorunludur.

Süreci doğru yönetmek için şu adımları izlemelisiniz: 1) Yetki Belgesi Kontrolü: Teklif alacağınız firmanın TSE onaylı Sızma Testi Firması belgesini (A veya B seviyesi) mutlaka isteyin ve güncelliğini resmi listeden teyit edin. Bireysel sertifikalar kurumsal şartı karşılamaz.

2) Test Kapsamının Belirlenmesi: Genelge doğrultusunda sadece web arayüzü değil; yazılımın çalıştığı sunucular, veritabanı, ağ katmanı ve varsa API uç noktaları gri kutu (gray box) yöntemiyle test edilmelidir. Kurum sistemine entegre olacak her parça test kapsamına dahil edilir.

3) Doğrulama Testi (Retest): İlk test sonucunda kritik ve yüksek seviyeli güvenlik açıkları tespit edilirse rapor bu haliyle verilemez. Yazılımcılarınızın açıkları kapatması için genellikle 15-30 gün süre tanınır, ardından firma doğrulama testi yaparak temiz rapor tanzim eder.

4) Bütçe ve Zamanlama: Orta ölçekli bir kamu yazılımı ve ilişkili iki sunucu için TSE onaylı piyasa test bedelleri ortalama 60.000 TL ile 110.000 TL bandındadır. Raporlama ve doğrulama en az üç hafta sürdüğü için ihale tarihine göre derhal harekete geçmelisiniz.

Mustafa G***Katılımcı

Görev: Kurucu ortak
Sektör: Makine imalatı
Yapı: butik ajans
Katılım: May 2022
Mesaj: 155

16 gün önce#3

İhale komisyonları genelge denetimlerinde oldukça katıdır. TSE onaylı kuruluş kaşesi ve test uzmanlarının sertifika sicil numaraları raporda yer almadığı takdirde dosyanız teknik değerlendirme aşamasında doğrudan elenir. Elinizdeki serbest uzman raporunu kesinlikle sunmayınız.

Furkan A***Veteran

Görev: Tedarik zinciri yöneticisi
Sektör: Eğitim
Yapı: butik ajans
Katılım: Eki 2023
Mesaj: 1

15 gün önce#4

Geçtiğimiz ay benzer bir ihale için üç TSE onaylı firmadan teklif topladık. Kapsam iki web uygulaması ve tek sunucu iken fiyatlar 55.000 TL, 75.000 TL ve 90.000 TL olarak geldi. İhale gününe 15 günden az varsa firmalar acil durum primi de talep edebiliyor.

Murat Ç***Uzman

Görev: Proje yöneticisi
Sektör: Muhasebe ve müşavirlik
Yapı: orta ölçekli işletme
Katılım: Eki 2022
Mesaj: 246

15 gün önce#5

Şartnamedeki sızma testi maddesini olduğu gibi kopyalayıp en az iki TSE onaylı firmaya iletin. Onlar kapsam belirleme formunu size iletir. yani formu doldururken gereksiz modülleri hariç tutarsanız hem test süresi kısalır hem de maliyetiniz düşer.

Gökhan G***KatılımcıTopluluk üyesi

Katılım: Mar 2023
Mesaj: 4

15 gün önce#6

Yazılımınız kamu kurumunun kendi veri merkezindeki yerel sunuculara mı kurulacak yoksa siz buluttan hizmet mi vereceksiniz? Kurum içi kurulumlarda bazen sadece kaynak kod analizi ve uygulama testi yeterli olurken, dış barındırmada altyapı testi de istenir.

Tülay Y***KatılımcıTopluluk üyesi

Katılım: Oca 2025
Mesaj: 412

15 gün önce#7

Piyasada sitesine TSE logosu koyup aslında taşeron çalışan çok yer var. Sözleşme yapmadan önce firmanın TSE sitesindeki aktif kayıtlı sızma testi kuruluşları listesinde yer alıp almadığını kendiniz kontrol edin, aracı firmalara komisyon kaptırmayın.

Yasemin K***UzmanTopluluk üyesi

Katılım: Mar 2023
Mesaj: 201

15 gün önce#8

İlk kamu ihale tecrübemizde usulü bilmediğimiz için sıradan bi siber güvenlik şirketinden aldığımız raporu sunduk... İhale komisyonu belge standardı eksikliğinden dolayı teklifimizi iptal etti... İtiraz bile edemedik; hem ödediğimiz 30.000 TL boşa gitti hem de 6 aylık ihale hazırlığımız yandı. Kamu işinde kural ne yazıyorsa harfiyen uymak zorundasınız.

Mert Ş***Katılımcı

Görev: Müşteri ilişkileri müdürü
Sektör: Perakende
Yapı: bölge bayisi
Katılım: May 2025
Mesaj: 195

14 gün önce#9

TSE onaylı firma şartı kesindir; ayrıca rapordaki test tarihinin şartnamede belirtilen geriye dönük son 6 veya 12 aylık geçerlilik süresi içinde kalmış olmasına dikkat edin.

Hüsniye D***Katılımcı

Görev: Müşteri ilişkileri müdürü
Sektör: Hukuk
Yapı: aile şirketi
Katılım: Tem 2024
Mesaj: 384

14 gün önce#10

Doğru söylüyorsunuz. Envanter çıkarmadan alınan önlem görmediğiniz kapıyı açık bırakıyor.

Ben olsam bu yoldan giderdim.

Gamze Ç***UzmanTopluluk üyesi

Katılım: May 2023
Mesaj: 20

14 gün önce#11

Soracağım şey biraz acemice olacak, kusura bakmayın. Kararı geri almak ne kadar zorsa, o kadar yavaş verin.

Başka türlü yapan varsa onu da merak ederim.

Mustafa M***Katılımcı

Görev: Kalite kontrol elemanı
Sektör: Gıda toptancılığı
Yapı: bölge bayisi
Katılım: Şub 2024
Mesaj: 106

14 gün önce#12

Tam zamanında bir konu. Tek bir önleme güvenmeyin; katman katman gidin.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Tolga G***Veteran

Görev: Sekreter
Sektör: Plastik
Yapı: bölge bayisi
Katılım: Oca 2024
Mesaj: 138

14 gün önce#13

uygulamada nsl yapıldığını yazayım sonra yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

umarım işiniez yarar

Hasan K***Katılımcı

Görev: Yazılım geliştirici
Sektör: Mücevherat
Yapı: imalathane
Katılım: Eyl 2025
Mesaj: 212

14 gün önce#14

Haklısınız.

Ferhat A***UzmanTopluluk üyesi

Katılım: Mar 2026
Mesaj: 124

14 gün önce#15

Uzun süre bu işle uğraştım. Bunu tek başına yapmaya çalışmak en pahalı yol.

Tecrübeyle sabit.

Burcu E***KatılımcıTopluluk üyesi

Katılım: Şub 2023
Mesaj: 94

14 gün önce#16

katılıyorum, hatta altını çizek isterim... kayıt tutmayan hiçbbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz

bldirim yolu uzunsa bildirim gelmiyor; gelmeyen bidirim gec fark edilen olay demek. ya ben olsam bu yoldan giderdim.

Sultan G***KatılımcıTopluluk üyesi

Katılım: Haz 2024
Mesaj: 153

14 gün önce#17

Katılıyorum.

Veli A***KatılımcıTopluluk üyesi

Katılım: Kas 2023
Mesaj: 43

14 gün önce#18

sızma testi genelgesi konusunda hiç tecrübem yok, o yüzden soryorum bir de bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

kolya gelsin.