Kurumsal BT müdürüyüm. Yönetim kuruluna sızma testi bütçesi sunacağım ve doğru soruları sormak istiyorum.
Şu an aldığım teklifler çok farklı fiyatlarda ve içerikleri karşılaştırılabilir değil. Biri "tam kapsamlı test" diyor, diğeri "otomatik tarama raporu" veriyor, aradaki fark beş kat.
Bu alanda deneyimli arkadaşlardan ricam: neyi sormalıyım, neyi istemeliyim, hangi çıktıyı beklemeliyim?
Sızma testi yapan biri olarak, önce kendi sektörümün en yaygın yanıltmacasını söyleyeyim: otomatik tarama raporuna sızma testi denmesi.
Otomatik tarama, bilinen zafiyetleri araçla tarar ve liste çıkarır. Faydalıdır, ucuzdur, tekrarlanabilir. Ama testçi orada durursa, o rapordaki bulguların çoğu doğrulanmamıştır; yanlış pozitif oranı yüksektir. Beş kat fiyat farkının açıklaması genelde budur.
Teklifi karşılaştırmak için sorulacak sorular:
Bulgular elle doğrulanıyor mu? Yani rapordaki her madde gerçekten sömürülebilir olduğu gösterilerek mi yazılıyor, yoksa aracın çıktısı mı aktarılıyor?
Kapsam nedir ve kim belirliyor? Hangi adresler, hangi uygulamalar, dahil olan ve olmayan sistemler yazılı mı?
Test türü ne? Hiçbir bilgi verilmeden mi, kısmi bilgiyle mi, tam erişimle mi yapılacak? Üçü farklı süre ve farklı bulgu üretir.
Yeniden test dahil mi? Siz düzelttikten sonra aynı bulguların kapandığını kim, ne zaman doğrulayacak? Dahil değilse rapor yarım kalır.
Rapor kime hitap ediyor? İyi raporda hem yönetici özeti hem teknik ayrıntı bulunur; ikisi aynı dilde yazılmışsa biri işe yaramaz.
Son olarak zamanlama: testi canlıya çıkmadan önce yaptırın. Çıktıktan sonra bulunan her şey, düzeltilmesi daha pahalı ve daha risklidir.
Bilgi güvenliği müdürü olarak, alıcı tarafın hazırlığına dair birkaç husus eklemek isterim.
Birincisi, test öncesi yazılı izin. Kapsam dışında kalan bir sisteme dokunulması hem teknik hem hukuki sorun doğurur. Test penceresi, iletişim kanalı ve acil durdurma usulü yazılı olmalıdır.
İkincisi, testin ne zaman yapılacağı. Yoğun dönemde yapılan test, gerçek bir kesinti riskini de beraberinde getirir. Bunu iş birimleriyle önceden paylaşın.
Üçüncüsü ve en önemlisi: bulguların kapatılması için kaynak ayırmadan test yaptırmayın. Elinde kapatılmamış bir bulgu raporuyla beklemek, hiç test yaptırmamaktan daha kötü bir konumdur. Bütçeyi sunarken testin bedeli kadar düzeltme eforunu da kalemlendirin.
İzleme tarafından bir öneri: test sırasında kendi tespit yeteneğinizi de ölçün.
Testçi sisteme girmeye çalışırken sizin izleme sisteminiz bunu fark etti mi, ne kadar sürede fark etti, kime uyarı gitti? Bu bilgi, raporda çıkan zafiyet listesinden bazen daha değerli.
Pratik yöntem: testçiden yaptığı işlemlerin zaman damgalı listesini isteyin. Sonra kendi loglarınızla karşılaştırın. Hangi adımı görmediğinizi tam olarak öğrenirsiniz.
Veri koruma tarafına da değinmek isterim, çünkü bu aşama sıklıkla atlanıyor.
Test sırasında kişisel veri işlenmesi gündeme gelebilir. Test ortamında gerçek veri kullanılması, üretim verisinin kopyalanması, ekran görüntülerinin rapora eklenmesi gibi durumlar ayrıca değerlendirilmelidir.
Önerim, test sağlayıcısıyla imzalanacak sözleşmeye gizlilik ve veri işleme hükümlerinin ayrıca eklenmesi, mümkün olduğu ölçüde maskelenmiş veri kullanılmasıdır. Raporun saklanma süresi ve imhası da yazılı olmalıdır.
Bir soru: "tam kapsamlı test" diyen teklifte kaç gün adam-gün yazıyor?
Sebebi şu: bu iş süreyle ölçülür. Beş gün süren bir testle on beş gün süren bir testin bulacağı şeyler aynı değildir ve fiyat farkının büyük kısmı burada saklıdır. Adam-gün yazmayan teklif karşılaştırılamaz.
Teşekkür ederim, bu başlığı bütçe sunumumun eki yapacağım.
Adam-gün sorusunu sorduğumda üç teklifin ikisi revize geldi, biri cevap vermedi. Karşılaştırma tablosu şimdi gerçekten karşılaştırılabilir oldu.
Bir de Yavuz Bey'in "düzeltme eforunu da kalemlendirin" uyarısını doğrudan sunuma aldım. Geçen sefer tam da orada takılmıştık.
bu yaklaşımın bi bdeli var o da konuşulmuyor. yani sızma testi tarafında yapılan hata genelde geri dönülebilir ama pahalı
benim gorusum bu, kein doggru diye yazmiyorum.
Aynen öyle, üstelik bu kadar bilinmiyor. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.
Umarım işinize yarar.
Doki · Yedekleme kurulumu · 2026
Geçen yıl neredeyse aynısını yaşadık... Bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor.
Kolay gelsin.
bu cevabı okuunca rahatladım demek sadece bende değilmiş. ya sızma testi tarafında yapılan hata genelde geri dönülebilir ama pahalı.
başka türlü yaapn varsa onu da merak ederim.
Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.
sızma testi tarafında yapılan hata genelde geri dönülebilir ama pahalı. Kolay gelsin.
Çok teşekkürler, bugün deneyeceğim. Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.
Benim görüşüm bu kesin doğru diye yazmıyorum.
Doki · Kurumsal web sitesi · 2023
katılıyorum, hatta altını çizmk isterim bir de yani bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.
bunun cevabı sektöre göre çok değişiyor, genel geçer bi kuarl yok ama açıkçası kendi durumunuz farklıysa tabii değişir.
bu cevabı okuyunca rahatladım, demek sadece bende değilmiş sonra ya ikinci doğrulama açıksa çalınn parola tek başına işe yaramıyor.
asıl mesele rakam değl o rakamın neye göre çıktığı ama ya tecrübeyle sabit.
bradaan gidecekseniz sunu bastan halledin. bunu tek basina yapmaya calsmak en pahali yol.
başa türlü yapan varsa onu da merak ederim
detaya inersek şöyle: Bizde en çok zaman kaybettiren şey, kmin karar vereceğnin belli olmamasıydı
umarim issniize yarar.
Detaya inersek şöyle: İnsanlar süreci deil alışkanlığı savunur. yani direnç oradan gelir.
Bunu tek başına yapmaya çalışmak en pahalı yol. Umarım işinize yarar.
Doki · Log yönetimi kurulumu · 2024
İki yıl önce aynısını yaşadım. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.