Bilişim Teknolojileri Sızma Testleri

Sızma testi istemeden önce hangi sistemlerin değerlendirileceğini ve bu sistemlerde kimin yetkili olduğunu netleştirin. “Bütün altyapımıza bakılsın” ifadesi tek başına test sınırı oluşturmaz. Resmî kapsam formu, ağ yönünü ve seçilecek test türlerini belirlemenize yardımcı olur.

Hizmetin değerlendirdiği alanı tanımlayın

TSE hizmet sayfası sistem/ağ güvenliği yanında web ve masaüstü yazılımlardaki güvenlik açıklıklarının değerlendirilmesini anlatır; testlerin TS 13638 kapsamında yürütüldüğünü belirtir. TSE Sızma Testleri, Bilgi

Hazırlık önerisi olarak size ait alan adlarını, IP aralıklarını, uygulama adlarını ve dışarıdan hizmet alınan bileşenleri ayrı listeleyin. Bir sağlayıcının altyapısını kendi mülkünüzmüş gibi kapsama eklemeyin. Test kapsamının yetkili taraflarla kararlaştırılması, işi doğru sınırda yürütmenin başlangıcıdır.

İç ve dış ağ yaklaşımını ayrı seçin

Kamuya açık BTBD-02-01-FR-05 kapsam belgesi, iç ağ testini kurum içindeki erişim noktasından yerel ağ ve bağlı sistemler; dış ağ testini internetten erişilebilen kuruma ait sistemler üzerinden açıklar. Sızma Testi Kapsamı, 27.03.2023 tarihli sunum, s.2

Dışarıdan görünen uygulamalarla yalnız çalışanların eriştiği kaynakları aynı erişim düzeniyle değerlendiremezsiniz. Talebinizde hangi tarafın kapsandığını, erişimi kimin sağlayacağını ve hizmetin kesilmesine hassas işlerinizi belirtin.

Destek verecek personeli ve seçili testleri belirleyin

Form, istenen test türleri ve seçmeli test kutularının işaretlenmesini ister. Beyaz kutu kısmında bilgi işlem personeli desteğiyle veya destek olmadan yürütülecek seçenekler bulunur. Sızma Testi Kapsamı, s.3 — seçim alanları

Test süresince kimin teknik soru yanıtlayacağını ve değişiklik talebini kimin onaylayacağını belirleyin. Bir parola veya gerçek müşteri verisini gelişigüzel e-posta ekine koymak yerine erişim paylaşımını ilgili birimle kararlaştırın. Kapsam belgesindeki boş alanları sizin ihtiyacınız için doldurmadan genel listeyi tamamlanmış sözleşme saymayın.

Kapsam görüşmesine götürebileceğiniz hazırlık örneği

Aşağıdaki çalışma TSE Başvuru’nun editoryal hazırlık örneğidir; resmî başvuru formu veya test yetkisi değildir. Köşeli parantezleri kendi kayıtlarınızla doldurabilirsiniz. Gerçek bir işletmeye ait sonuç, sistem adresi veya parola içermez.

• Dış ağ adayı: [kuruluşun uygulama/envanter kodu] → internetten erişilen [uygulama veya hizmet] → kapsamda görüşülecek bileşenler [liste] → kuruluşun yetkili irtibatı [görev/unvan]. Bir hizmet sağlayıcıya ait bileşen varsa sahiplik ve izin durumunu ayrıca not edin; kendiliğinden kapsamda saymayın.
• İç ağ adayı: [tesis ve ağın kuruluş içi adı] → erişimin sağlanacağı [yer/ortam] → değerlendirilecek [sistem grubu] → test sırasında destek verecek [ekip veya görev]. İç ve dış ağ taleplerini aynı satırda birleştirmek yerine ayrı gösterin.
• Görüşmede kararlaştırılacaklar: [istenen test türleri] → [bilgi işlem desteği tercihi] → [yetkili onayı bekleyen kapsam] → [görüşmede açıklanacak hizmet sürekliliği hassasiyeti]. Henüz kararlaştırılmamış alanı “onaylandı” diye işaretlemeyin.

Örneğin uygulama size ait, onu barındıran ortak altyapı başka bir sağlayıcıya aitse iki bileşeni ayrı satıra yazabilirsiniz. Böylece uygulama talebi, sağlayıcının diğer sistemlerine yönelik bir talep gibi görünmez. Adres, erişim bilgisi ve yetki kayıtlarını kamuya açık bu örneğe yazmayın; ilgili taraflarla belirlediğiniz teslim kanalını kullanın.

Bu listenin amacı kapsam sorularını görünür kılmaktır. Resmî kapsam belgesinin iç/dış ağ ayrımı ve seçim alanları ayrıca doldurulur; burada önerilen envanter başlıkları zorunlu TSE alanları veya kabul ölçütleri olarak sunulmaz.

Dayanak: TSE Sızma Testi Kapsamı, s.1–3

Raporu düzeltme ve kontrol testiyle tamamlayın

Kapsam belgesi, bulunan zafiyetlerin ayrıntılı raporlanmasını, giderme önerilerini ve düzeltmeden sonra gerekli kontrol testlerini işin kapsamında açıklar. Sızma Testi Kapsamı, s.2

Kapsam belgesi, kurumun kontrol testlerinin ilk raporun tesliminden sonra altı ay içinde yapılabilmesi için gerekli çalışmaları yürütmesini ister. İlk testin üzerinden altı aydan fazla geçerse sistemlerin yeniden test edilmesi gerektiği ayrıca belirtilir. Bu nedenle ilk test tarihi ile rapor teslim tarihini ayrı izleyin. Sızma Testi Kapsamı, s.9 — Kontrol Testleri

Rapor geldiğinde her bulgu için sorumlu, yapılacak değişiklik ve kontrol edilecek sonucu kayda almanız önerilir. Sadece raporu arşivlemek açıkların kapandığını göstermez. Kapatıldığı bildirilen bulguları kontrol testi sonucuyla eşleştirerek takip listenizi güncelleyin. Sızma testi yapan firma belgelendirmesi bu hizmetten farklıdır: biri sizin sisteminizdeki değerlendirme, diğeri testi sunan firmanın şartlarıdır.

Zafiyet analizi ve yapılandırma incelemesi aynı hizmet mi?

Kapsam belgesi yapılandırma incelemesini, zafiyet analizini ve sızma testi seçeneklerini ayrı açıklar. Zafiyet analizinde bulunan açıklığın kullanılması ve kullanım sonrası işlemler yürütülmediği belirtilir. Başka bir test türü talebi ise laboratuvarın imkânları yönünden değerlendirilir. Bu nedenle yalnız “güvenlik testi” diyerek üç farklı çalışmanın aynı çıktıyı üreteceğini varsaymayın. Kapsam belgesi, sayfa 8

Talep notunda aradığınız sonucu açıklayabilirsiniz: mevcut yapılandırmanın incelenmesi mi, açıklıkların belirlenmesi mi, üzerinde anlaşılan sızma testi mi? Kapsam ve izin sürecinde hangi yöntemin kullanılacağı ilgili birimle belirlenir. Bu rehber, üretim sisteminde test başlatma veya üçüncü taraf sistemlerini deneme yetkisi vermez.

Hariç sistemler, IPv6 ve çalışma zamanı

Form yalnız kapsama alınacak sistemleri sormaz; test yapılmayacak bileşenler için de alan içerir. IPv6 altyapısının varlığı ve teste dahil edilip edilmeyeceği ayrı sorulardır. Beyaz kutu çalışması için ağ planı, çalışma saatleri, uzaktan veya müşteri yerinde yürütme tercihleri de bulunur. Kapsam belgesi, sayfalar 9–11

Örneğin müşteri uygulaması kapsamda, paylaşımlı barındırma yönetimi kapsam dışındaysa ikisini açıkça ayırın. Hariç tutulan bileşeni raporu okuyan kişiye görünmez hale getirmeyin. Testte destek verecek ekibin çalışma zamanı ile planlanan test zamanı çakışmıyorsa görüşme aşamasında çözün. Bu bilgiler değerlendirme sınırını tarif eder; başvuru sahibinin tek başına teknik test planını onayladığı anlamına gelmez.

Raporda yalnız sonuç cümlesini okumayın

Formun rapor yapısı yönetici özeti, test sonuçları, giderme önerileri ve değerlendirme notlarını ayrı ele alır. İncelenmemiş alanlar ve ileride doğabilecek risklerle ilgili yorumlar da yer alabilir. Kullanılan acil/kritik/yüksek/orta/düşük sınıflandırmasını raporun kendi açıklamasıyla okuyun; başka bir puanlama ölçeğine kendiliğinden çevirmeyin. Kapsam belgesi, sayfalar 11–12

Bir bulguya düzeltme yapılması, kapsam dışındaki bütün sistemlerin de güvenli olduğu sonucunu vermez. Rapor sürümünü, test edilen ortamı ve kontrol testi sonucunu birlikte tutun. 2026 tarife kontrol testini ayrıca ücretlendirir; ilk test bedelinin her tekrar çalışmayı kapsadığı varsayımıyla bütçe oluşturmayın. 2026 bilişim tarifesi, EK-1.19, sayfa 27