Müşteri raporu İngilizce istiyor zafiyet yönetimi belgelerini nasıl hazırlamalıyız?

Ceren G***9 ay önce·48 mesaj·11,6 B görüntülenme#zafiyet yönetimi #güvenlik raporu #sızma testi #bilgi güvenliği

Görev: Yönetim kurulu üyesi
Sektör: Matbaa
Yapı: 8 kişilik ekip
Katılım: Eki 2022
Mesaj: 131

Doki · Sızma testi · 2026

9 ay önce#1

Münih merkezli kurumsal bir yazılım ve altyapı müşterimizle yeni bir hizmet sözleşmesi imzaladık. Yılda iki kez düzenli zafiyet yönetimi ve sızma testi taramaları yapıp rapor sunmamız gerekiyor. Ekibimizin teknik uzmanlığı çok yüksek ve tüm operasyonu şimdiye kadar Türkçe dokümante ettik. Ancak müşterinin teftiş kurulu ve siber güvenlik direktörlüğü tüm zafiyet yönetimi çıktılarını İngilizce olarak talep ediyor.

Elimizde onlarca sayfalık Türkçe tespit şablonu, bulgu açıklaması ve risk matrisi var. Ekip bunları Türkçeden İngilizceye çevirerek mi ilerlemeli, yoksa doğrudan global bir güvenlik şablonu üzerinden mi çalışmalıyız? Bir de güvenlik terminolojisinde çeviri hatası yapmaktan çekiniyoruz; örneğin istismar edilebilirlik, yanlış pozitif veya hafifletici önlem gibi kavramların uluslararası denetimlerde kabul gören standart karşılıkları nedir?

Raporun yapısı ve terminoloji tutarlılığı konusunda nasıl bir yol izlemeliyiz?

GamzeKatılımcı

Görev: İK uzmanı
Yapı: 120 kişilik şirket
Katılım: Tem 2024
Mesaj: 104

9 ay önceEn çok yardımcı olan#2

Kısa cevap: Zafiyet yönetimi raporlarını sonradan Türkçeden İngilizceye çevirmeye çalışmak ciddi teknik anlam kayıplarına yol açar; doğrudan uluslararası standartlara uygun İngilizce bir şablon üzerinden çalışmalı ve bulguları baştan İngilizce yazmalısınız. Global denetimlerde kabul gören CVSS skorlaması, CVE kodları ve endüstri standardı başlıklar kullanıldığında hem ek çeviri maliyetinden kurtulursunuz hem de müşterinizin güvenlik birimiyle aynı dili konuşursunuz.

Hazırlayacağınız rapor temelde iki ana bölümden oluşmalıdır. İlki yönetim kademesi icin Executive Summary bölümüdür. Burada teknik ayrıntıya boğulmadan genel güvenlik duruşu, kritik bulgu sayısı ve iş riskleri özetlenir. İkinci bölüm ise teknik ekipler icin Technical Findings kısmıdır. Her bi güvenlik açığı icin standart bi kart yapısı oluşturmalısınız: Vulnerability Title, Severity / CVSS v3.1 Score, Affected Component Vulnerability Description, Proof of Concept (PoC), Business Impact ve en önemlisi çözüm adımlarını içeren Remediation veya Mitigation Guidance.

Türkçe kavramları motamot çevirmek yerine siber güvenlik terminolojisinin yerleşik kalıplarını kullanın. İstismar edilebilirlik için exploitability, yanlış pozitif icin false positive, hafifletici önlem icin compensating control veya mitigation, kök neden icin root cause terimleri kullanılır. Zafiyetleri tanımlarken mutlaka genel geçer zafiyet veritabanı numaralarına (CVE) ve zafiyet sınıflandırma kodlarına (CWE) atıf yapın. Bu yaklaşım Alman denetçilerin raporu doğrudan kendi iç risk takip sistemlerine aktarmasını kolaylaştırır.

Özge T***Uzman

Görev: Marka danışmanı
Yapı: bölge bayisi
Katılım: Haz 2023
Mesaj: 164

Doki · E-ticaret altyapısı · 2023

9 ay önce#3

Kurumsal müşterilerde özellikle denetim komiteleri yerel dilden ziyade ortak İngilizce formatlara bakar. Türkçe yazıp tercüme bürosuna göndermek gibi bir hataya sakın düşmeyin; teknik terimleri bilmeyen bir çevirmen güvenlik açıklamalarını tanınmaz hale getirebilir. Ekip doğrudan İngilizce dokümante etmeye alışmalı.

Hüseyin T***Veteran

Görev: Klinik yöneticisi
Sektör: Gıda toptancılığı
Yapı: yeni kurulmuş girişim
Katılım: Haz 2024
Mesaj: 378

9 ay önce#4

Rapor hazırlarken şu beş standardı eksiksiz tutmanızı öneririm: 1) Executive summary mutlaka risk odaklı olmalı, 2) Her bulguda resmi CVSS vektör dizesi bulunmalı, 3) Proof of Concept adımları ekran görüntüleriyle açıkça gösterilmeli, 4) Çözüm önerisi genel tavsiye değil uygulanabilir komut veya kod düzeltmesi içermeli, 5) İlgili CWE ve CVE numaraları referans verilmelidir.

edit: yukarıda yanlış yazmışım, kusura bakmayın.

Polat K***KatılımcıTopluluk üyesi

Katılım: May 2023
Mesaj: 329

9 ay önce#5

Terminolojide en çok hata yapılan yer risk derecelendirmesidir. Kendi inisiyatifinizle orta veya yüksek demek yerine CVSS Base Score ve Temporal Score parametrelerini açıkça belirtin. Örneğin Attack Vector: Network veya Privileges Required: Low gibi vektör bileşenlerini İngilizce metinde orijinal formatıyla bırakmak denetçinin işini çok kolaylaştırır.

Damla Y***UzmanTopluluk üyesi

Katılım: Şub 2025
Mesaj: 57

9 ay önce#6

Geçen yıl benzer bir taleple karşılaştık ve başlangıçta Türkçe raporu profesyonel teknik çeviriye verdik. 40 sayfalık tek bir raporun çevirisi 850 avro tuttu ve ekibimiz terim hatalarını düzeltmek için iki tam gün harcadı. Sonrasında hazır İngilizce güvenlik şablonuna geçtik, raporlama süremiz ilk başta biraz uzasa da maliyeti sıfırladık.

İlker T***Katılımcı

Görev: Kurucu ortak
Sektör: Güvenlik hizmetleri
Yapı: 20 kişilik firma
Katılım: Nis 2022
Mesaj: 73

9 ay önce#7

Ekibinizin İngilizce seviyesine dikkat edin. Eğer güvenlik uzmanlarınız İngilizce yazarken zorlanıyorsa, teknik bulgunun etkisi veya çözüm yöntemi eksik ya da yanlış aktarılabilir. Şablon İngilizce olsa bile bulgu metinlerinin kurum içi kıdemli biri tarafından dil ve teknik tutarlılık kontrolünden geçmesi şart.

Zerrin S***Uzman

Görev: Satış müdürü
Sektör: Yazılım
Yapı: 120 kişilik şirket
Katılım: Nis 2023
Mesaj: 43

9 ay önce#8

yönetiiciler genelde teknik ayrıntıyı okumuyor zaten.. bir de ilk sayfaya renkli bi risk dağılım grafiği ve 3 paragraflık temiz bi executive summary koyduğunuzda müşteri tarafındaki yönetim hemen ikna oluyor alt detayları zatten kendi teknik eipleri inceliyor

Recep T***Veteran

Görev: İnsan kaynakları uzmanı
Sektör: Catering
Yapı: 8 kişilik ekip
Katılım: Mar 2025
Mesaj: 1

9 ay önce#9

Müşteri ile imzalanan gizlilik sözleşmesi ve veri güvenliği protokollerine dikkat edilmelidir. Güvenlik açıklarını ve sistem zafiyetlerini içeren hassas belgelerin çeviri amacıyla üçüncü taraf yapay zeka araçlarına veya dış servis sağlayıcılara aktarılması yasal risk doğurabilir; tüm dokümantasyon şirket içi güvenli ortamda hazırlanmalıdır.

Jülide G***KatılımcıTopluluk üyesi

Katılım: Tem 2023
Mesaj: 166

9 ay önce#10

ingilizce raporda tepsit ettiğimiz her küçük yapılandırma hatasını bildirmek zorunda mıyız? ya yoksa sadee CVSS skoru 7 ve üzeri olan kritik ve yüksek seviyeli bulguları mı rapora yazmak gerekir?