KOBİ'yiz, sızma testi bize mevzuat gereği zorunlu mu yoksa gönüllü mü?

Müşteri sözleşmesi masadaysa mevzuatın ne dediğinin bir önemi kalmıyor o rapor olmadan ihaleyi veya sözleşmeyi bağlayamazsınız. Teklif alırken firmalara sadece dış IP ve web uygulamasını kapsama almalarını söyleyin. yani iç ağ testini şimdilik hariç tutarsanız 65.000 TL olan rakamı 35.000-40.000 TL seviyelerine çekebilirsiniz.

Geçen yıl 30 kişilik ekibimizle benzer bir süreç yaşadık. Müşteri şartnamesi yüzünden mecburen 50.000 TL verip yaptırdık. Test sırasında veritabanı portumuzun dışarıya yetkisiz açık olduğunu ve eski bir API ucunun kimlik doğrulamasız çalıştığını gördük. Başta gereksiz masraf diyorduk ama o açıklar yüzünden yaşayacağımız itibar kaybı o paranın katbekat üstünde olurdu.

Piyasada 15.000 TL'ye otomatik tarama yazılımı çalıştırıp 80 sayfalık raporu önünüze atan yüzlerce aracı türedi. Kurumsal müşterinizin bilgi güvenliği ekibi biraz anlıyorsa o raporu anında çöpe atar ve paranız boşa gider. Alacağınız hizmetin mutlaka manuel doğrulama ve senaryo bazlı sızma içerdiğinden emin olun.

Konuyu dört temel çerçevede değerlendirebilirsiniz: 1) Doğrudan sektörel zorunluluk yoksa kanuni zorunluluk oluşmaz. 2) KVKK kapsamında teknik tedbir sayıldığı için olası bir veri sızıntısında test yaptırmamış olmak kusur sayılır. 3) ISO 27001 sahibi kurumsal müşteriler sözleşmeye şart koyabilir. 4) Siber sorumluluk sigortası yaptırmak isterseniz poliçe şartı olarak karşınıza çıkar.

rapor çıktığında tamamınnı müşteriye göndermeyin bu arada. güvenlik firasından yönetici özeti (executive summary) isteyin. tüm açıkları ve istismar adımlarını içeren teknik detayı müşteriye vermek başka güvenlik riskleri doğurur

Tedarikçi denetim süreçlerinde karşı tarafın risk matrisine tabisiniz. Sözleşme öncesi gizlilik taahhütnamesi imzalayarak, denetim bulgularının sadece belirlenen kapsamla sınırlı tutulacağını belirten bir kapsam doğrulama belgesi istemeniz haklarınızı koruyacaktır.

Müşteriniz raporda TSE standardı ya da belirli bir sertifikasyon şartı koştu mu? Eğer sadece bağımsız bir üçüncü taraf raporu yeterliyse kapsamı web paneliyle sınırlayıp maliyeti düşürebilirsiniz, şartnameyi tam okudunuz mu?

başlangıçta herkese çok anlamsız bi masraf gibi geliyor ama büyümek isteyen her B2B yazılımcının geçtiği eşik burası. bir kere yaptırıp metodolojiyi öğrenince sonraki yıllarda süreç çok daha hızlı ve stressiz ilerliyor gözünüz korkmasın.

Bu yazılanlar bire bir bizim yaşadığımız. Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.

Kendi durumunuz farklıysa tabii değişir.

Bunun bi de ölçüm tarafı var. valla küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Tam zamanında bir konu. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

kaydettim ve iki hafta boyunca not tutmak alti aylik tahminden iyi sonuc veriyor

sornuuz olursa yazın elimedn geldğiince cevaplarım.

Tam olarak böyle. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor bunu geç öğrendim.

Başka türlü yapan varsa onu da merak ederim.

bu cevabı okuyunca rahatladım demek sadece bende değilmiş. kobi sızma testi zorunlu tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Şunu yaşadıktan sonra bakışım değişti. Karar verirken en kötü senaryoyu da yazın, sadece iyisini deil.

Bu kadar, uzattıysam kusura bakmayın.

Bunu yaparken bakılacak üç şey var. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Sorunuz olursa yazın elimden geldiğince cevaplarım.

Ben de merak ediyorum.

Yanlış anlamadıysam şunu diyorsunuz: Bir sorunu fark etme süreniz o sorunun maliyetini doğrudan belirliyor.

Yanlışım varsa düzeltin.