Sızma Testi Yapmaya Yetkili Firma Ne Demek?

Kamu ihalelerinin ve düzenlemeye tabi sektörlerin şartnamelerinde sık geçen bir ifadedir: “sızma testi yapmaya yetkili firma”. Tek başına okunduğunda, Türkiye’de sızma testi yapabilmek için genel bir ruhsat gerektiği izlenimini verir.

Böyle bir ruhsat yoktur. Sızma testi hizmeti vermek serbesttir ve ayrı bir izne bağlı değildir. Buradaki “yetkili” kelimesi mesleği icra etme iznini değil, belirli alıcıların tedarikçilerinde aradığı belgeyi tanımlar.

”Yetkili” kelimesi neyi işaret ediyor?

Uygulamada bu ifade genellikle iki şeyden birine karşılık gelir.

Belgelendirme. TSE, siber güvenlik hizmeti veren firmalar için bir belgelendirme programı yürütür. Firmanın personel yetkinliği, işleyişi ve raporlama kalitesi belirli kriterlere göre denetlenir. Kamu kurumlarının açtığı ihalelerde bu belge çoğu zaman katılım şartıdır.

Sektör düzenlemesi. Bankacılık gibi düzenlemeye tabi alanlarda, denetleyici kurumun bilgi sistemleri mevzuatı testin belirli niteliklere sahip ve kurumdan bağımsız bir tarafça yapılmasını şart koşar. Buradaki ölçüt hizmet sağlayıcının bağımsızlığı ve yetkinliğidir.

İkisi de sektöre özgüdür. Hiçbiri genel bir “sızma testi lisansı” değildir.

Kimin için gerçekten zorunlu?

Zorunluluk, testi yaptıran tarafın kim olduğuna göre değişir.

Kamu kurumları ve kritik altyapı. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi kapsamındaki kurumlar düzenli sızma testi yaptırmakla yükümlüdür ve tedarik şartnameleri genellikle belgeli firma arar.

Finans ve düzenlemeye tabi sektörler. Banka, ödeme kuruluşu ve benzeri kuruluşlarda testin kimin tarafından yapılabileceği mevzuatla çerçevelenmiştir.

Diğer herkes. Türkiye’deki şirketlerin büyük çoğunluğu bu iki kümenin dışında kalır ve hiçbir belge şartına tabi değildir.

KVKK belgeli firma şartı getirmiyor

En sık karşılaşılan yanlış anlama budur.

KVKK’nın 12. maddesi veri sorumlusuna kişisel verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Maddede tedbirin kim tarafından uygulanacağına veya doğrulanacağına dair bir belge şartı yer almaz. Denetimde sorulan soru tedarikçinin belgesi değil, tedbirin etkin olduğuna dair kanıttır.

Bu ayrım pratikte işe yarar: belgeli bir firmadan alınmış zayıf bir tarayıcı çıktısı, denetimde belgesiz bir firmadan alınmış ve bulgularını kanıtlayan bir sızma testi raporundan daha az iş görür. Belge tedarikçiyi niteler, raporu değil.

Aynı durum PCI-DSS için de geçerlidir. Standart, testi yapan tarafın yetkinliğini arar; Türkiye’ye özgü bir belgeyi değil.

Şartnamenizde belge şartı var mı?

Çoğu kurum bu soruyu tahminle cevaplar. Oysa cevap elinizdeki dokümanda yazılıdır ve bakılacak yer bellidir.

Şartnamenin yeterlik kriterleri veya istekliye ait belgeler başlığı altına bakın. Belge şartı varsa orada açık bir ifadeyle geçer: TSE belgesinin adı, sınıfı veya hizmet kapsamı yazılıdır. Metnin gövdesinde “yetkili firma tarafından yapılacaktır” gibi genel bir cümle varsa ama yeterlik kriterlerinde karşılığı yoksa, bu cümle çoğu zaman bir kalıptır ve tek başına bağlayıcı bir belge şartı doğurmaz.

Emin olamadığınız noktada doğru adım, ihaleyi açan kuruma yazılı soru sormaktır. Şartnameye açıklık getirme talebi standart bir uygulamadır ve cevabı bağlayıcıdır. Tahmine dayanarak belgeli bir tedarikçiye yönelmek, gerekmediği halde maliyeti yükseltir.

Kurumsal bir müşteriniz veya iş ortağınız test istiyorsa, sorunun cevabı genellikle daha basittir. Bu taleplerin büyük kısmı bir mevzuat şartından değil, sözleşmedeki güvenlik maddesinden doğar ve belge değil rapor ister.

Belge aranmıyorsa neye bakmalı?

Şartnameniz belge istemiyorsa seçim kriteriniz doğrudan kalite olur. Teklifleri karşılaştırırken şu beş soru ayırt edicidir:

Takip edilecek metodoloji yazılı olarak belirtilmiş mi (OWASP WSTG, PTES, NIST)?
Örnek rapordaki bulgular doğrulanabilir bir kavram kanıtı içeriyor mu?
Çözüm önerileri o sisteme özel mi, yoksa genel tavsiye mi?
Testi yapacak kişilerin doğrulanabilir bir geçmişi var mı (CVE kayıtları, üretici teşekkür listeleri, akademik yayınlar)?
Bulgular kapatıldıktan sonraki doğrulama testi fiyata dahil mi?

Bu beş sorunun cevabı, bir belgenin tek başına söyleyebileceğinden fazlasını söyler. Belge, firmanın işleyişinin denetlendiğini gösterir. Yukarıdaki sorular ise işin kendisinin nasıl yapıldığını gösterir. İkisi aynı şey değildir ve biri diğerinin yerine geçmez.

Önce şartnamenizi okuyun

Kapsam görüşmesinde sorulacak ilk soru şudur: test bir şartnameye mi dayanıyor, yoksa kurumun kendi ihtiyacından mı doğuyor? İki durum farklı bir yol gerektirir ve bunu sonradan öğrenmek iki taraf için de zaman kaybıdır.

Şartnamenizde açık bir belge şartı varsa, tedarikçi seçiminizi o şart belirler. Yoksa seçim kriteriniz yukarıdaki beş sorudur.

Özetle

Türkiye’de sızma testi yapmak genel bir izne bağlı değildir. “Yetkili firma” ifadesi kamunun ve düzenlemeye tabi sektörlerin tedarik şartıdır, bu kümelerin dışındaki şirketler için bağlayıcı değildir.

Şartnameniz belge istiyorsa belgeli bir firmaya gitmeniz gerekir. İstemiyorsa aradığınız şey belge değil, bulgularını kanıtlayan bir rapordur.

Raporun neye benzemesi gerektiğini Sızma Testi Raporu Nasıl Okunur? yazısında, testin KVKK denetiminde nasıl kanıt oluşturduğunu ise KVKK sızma testi sayfamızda anlattık.