"Pentest/sızma testi" dediler — ne demek, bizim gibi küçük işletmeye gerçekten gerekli mi?

Masada 1.800.000 TL'lik yıllık sözleşme varken 35.000 TL'lik sızma testini masraf olarak görmeyin. Büyük müşterilerin denetim ekipleri bu rapor olmadan asla sözleşme imzalamaz. Yaptırmazsanız masadan kalkarlar ve anlaşma doğrudan bu şartı sağlayan bir rakibinize gider.

Teklif alırken kapsamı (scope) iyi belirleyin. Fiyatı düşürmek için sadece bayilerin girdiği web portalı alan adını ve API uçlarını kapsama dahil edin; ofis ağınızı veya şirket e-posta sunucularını dışarıda bırakın. Testin mutlaka bir bayi kullanıcı hesabı verilerek 'gri kutu' (gray box) yöntemiyle yapılması gerekir.

Geçen sene biz de bi zincir marketle çalışabilmek için 40.000 TL verip yaptırdık. Test sırasında portalımızda bi bayinin diğerinin sipariş geçmişini tek bi parametreyle indirebildiği ortaya çıktı. İyi ki yaptırmışız; olası bi veri sızıntısında bayilerimizle yaşayacağımız ticari itibar kaybı o paranın katbekat üzerindeydi.

Firmayla anlaşırken dikkat edilecekler: 1) Hizmet verecek uzmanın geçerli siber güvenlik sertifikalarına (TSE veya uluslararası eşdeğerler) sahip olduğunu sözleşmeye yazdırın. 2) Testin veritabanını kilitlememesi için mesai saatleri dışında veya yedek sunucuda yapılmasını isteyin. 3) Açıklar kapatıldıktan sonra yapılacak doğrulama testinin fiyata dahil olduğunu teyit edin.

Piyasada otomatik bi yazılım çalıştırıp 15 sayfalık İngilizce çıktıyı rapor diye satan çok firma var. 35.000 TL verip sadece standart bi tarayıcı çıktısı alırsanız karşı tarafın bilgi güvenliği ekibi o raporu hemen geri çevirir. Teklif veren firmaya kaç saat manuel mantıksal test yapacaklarını açıkça sorun.

ilk çıkan raporu sakın müşteriye göndermeyin. neyse ilk raporda kesin kımrızı rentke kritik açıklar çıkacak ve yazılımcınız o açıkları kapatacak güvenlik firması tekrar kontrol edip onay verince çıkacak olan temiz yönetiici özetini müşteriye vereceksiniz

Kurumsal firmaların tedarikçi seçiminde bağımsız güvenlik denetimi talep etmesi KVKK ve bilgi güvenliği yönetim standartları gereği zorunludur. Talep edilen test maliyeti, potansiyel bir veri ihlali neticesinde doğabilecek idari para cezaları ve ticari tazminat riskleri yanında makul bir operasyonel güvencedir.

35.000 TL teklif veren firmaya kapsamı yazılı iletin, tekrar testi dahil sözleşmeyi bağlayın. Müşterinize de hemen resmi bi yazı yazıp 'Sızma testi planlanmış olup raporumuz 10 gün içinde tarafınıza iletilecektir' deyin. Böylece müşteri tarafındaki sözleşme takvimi aksamadan devam eder.

küçük bir işletmeyim, benim tarafımadn anlatayım ama güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

emeğğinize sağlık.

Burada bi tuzak var, söylemeden geçmeyeyim. Tek bi önleme güvenmeyin; katman katman gidin.

şunu yaşadıktan sonra bakışım değişti ve bir sorunu fark etme süreniz o sorunnun maliyetini doğrudan belirliyor.

pentest sızma testi nedir taraafında yapılan hata genelde geri dönülebilir ama pahalı.

Acele etmeyin derim. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.

Yanlışım varsa düzeltin.

Haklısınız, ben de aynı yoldan geçtim. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Bu yazılanlar bire bir bizim yaşadığımız. pentest sızma testi nedir tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

ben de aynı kanıdayım. bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor.

keendi duurumunuz farklıysa tabii değişir

Sonucu yazarsanız sevinirim. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

aynen öyle, üstelik bu kadar bilinmiyor. herkesin yapptığı şey doğru olduu anlamına gelmiyor