Question 1

Hacklenmeyeceğimizi garanti eder misiniz?

Accepted Answer

Hayır ve bunu kimse edemez; garanti veren bir tedarikçi size bir şey satıyordur. Güvenlik risk azaltmadır: saldırının maliyetini yükseltmek, kolay açıkları kapatmak ve bir şey içeri sızdığında fark edip geri dönebilmek. Taahhüt edebileceğimiz şey, sizinkine benzer bir sisteme giden bilinen yolların kapatılmış, belgelenmiş ve her değişiklikten sonra yeniden test edilmiş olmasıdır.

Question 2

ISO 27001 veya SOC 2 belgeniz var mı?

Accepted Answer

Hayır. Böyle bir belgemiz yok, belgelendirme kuruluşu da değiliz ve süreçlerimizi bu izlenimi verecek şekilde sertifikalı ya da uyumlu diye tanıtmayız. Yaptığımız iş hazırlıktır: ilgili çerçeveye göre boşluk analizi, teknik kontrollerin kurulması ve denetçinin isteyeceği kanıtların üretilmesi. Denetimi ve belgeyi yetkili bağımsız bir kuruluş verir; bu ayrımın kendisi işin özüdür.

Question 3

Sitemizde SSL var, bu yeterli değil mi?

Accepted Answer

Geçerli bir sertifika tarayıcı ile sunucu arasındaki trafiği şifreler; gereklidir ama artık ayırt edici değildir ve giriş yapmış bir müşterinin başka bir müşterinin siparişlerini görüp göremeyeceği hakkında hiçbir şey söylemez. Gördüğümüz olayların çoğu gayet geçerli HTTPS üzerinden yaşanır: zayıf yönetici parolası, güncellenmemiş bir eklenti, kimin sorduğunu hiç kontrol etmeyen bir API ucu. Sertifikayı güvenlik duruşu değil, taban çizgisi olarak görün.

Question 4

Sızma testi tam olarak neyi kapsıyor?

Accepted Answer

Testi uygulama seviyesinde yaparız: web uygulamaları, API'ler ve mobil istemciler; hem kimliksiz hem de farklı kullanıcı rolleriyle. Enjeksiyon, hesaplar arası yetki aşımı, oturum ve kimlik doğrulama zayıflıkları, güvensiz dosya işleme ve yanlış yapılandırılmış bulut depolama başlıca konulardır. Kırmızı takım tatbikatı, fiziksel sızma, sosyal mühendislik kampanyası veya endüstriyel kontrol sistemi testi satmıyoruz. PCI DSS gibi düzenlemeye tabi kapsamlarda işi yetkili bir uzman yapmalıdır; kapsamı belirlemenize ve firmayı brieflemenize yardımcı oluruz.

Question 5

Test canlı sitemizi bozar mı?

Accepted Answer

Mümkün olan her yerde üretime benzer veriye sahip test ortamında çalışırız; amaç agresif kontrollerin ticari risk taşımamasıdır. Test canlı ortama dokunmak zorundaysa pencereyi, hız sınırlarını ve yapılacak kontrolleri önceden yazılı olarak belirleriz; zarar verme ihtimali olan denemeler ya kapsam dışında bırakılır ya da gözetim altında yapılır. Bir noktayı kanıtlamak için ödeme akışınızı durdurmaktansa biraz daha dar bir sonuç raporlamayı tercih ederiz.

Question 6

Çalışma sonunda elimize ne geçiyor?

Accepted Answer

Tekrarlanabilir kanıtlar ve dürüst kritiklik seviyeleriyle bir bulgu raporu, ekibinizin doğrudan alabileceği geliştirme görevleri biçiminde yazılmış önceliklendirilmiş iyileştirme planı, teknik olmayan paydaşlar için kısa bir özet ve neyin kapandığını doğrulayan bir yeniden test. Uyum çalışması kapsamdaysa kontrol dokümantasyonu ile hâlâ açık olan boşlukların sahipli listesini de alırsınız.

Question 7

KVKK uyumunu kim onaylıyor? VERBİS kaydı gerekiyor mu?

Accepted Answer

Uyum değerlendirmesini ve VERBİS kayıt yükümlülüğünüzün olup olmadığını hukuk danışmanınız veya veri sorumlusu olarak siz belirlersiniz; bu bir hukuki değerlendirmedir ve biz hukuki görüş vermeyiz. Bizim tarafımız tekniktir: hangi kişisel verinin nerede tutulduğunun çıkarılması, saklama süreleri, erişim kontrolü, şifreleme, loglama ve teknik tedbirlerin belgelenmesi. Bu çalışmanın ayrıntısı GDPR ve KVKK Uyumluluğu sayfamızdadır.

Question 8

Ne sıklıkla test yaptırmalıyız?

Accepted Answer

İstikrarlı bir site için yılda bir makul bir taban; ama asıl tetikleyici takvim değil değişikliktir: önemli bir sürüm, yeni bir ödeme veya giriş akışı, platform geçişi ya da müşteri verisine erişen yeni bir entegrasyon. Yıllık etkinlikten çok sürekli kontroller iş görür; CI hattındaki bağımlılık ve gizli anahtar taraması, aksi halde aylar sonra bulunacak sorunların büyük kısmını erkenden yakalar.

Question 9

Bizim gibi bir e-ticaret sitesine gerçek tehdit ne?

Accepted Answer

Neredeyse hiçbir zaman size özel bir saldırgan değil. Tehdit otomatiktir: başka sitelerden sızmış parolalarla giriş sayfanıza yapılan deneme saldırıları, güncellenmemiş eklenti ve paketlerdeki bilinen açıkları tarayan botlar, ödeme sayfanızda kart deneme trafiği ve yönetici hesabını kullanan kişiye gönderilen oltalama e-postaları. Öncelikler de buna göre belirlenir: yönetici hesaplarında MFA, hız sınırlama, düzenli güncelleme disiplini ve izleme, bu profil için egzotik savunmalardan çok daha etkilidir.

Question 10

Fidye yazılımı ve yedekler konusunda ne yapmalıyız?

Accepted Answer

Fidye yazılımının felaket mi yoksa kesinti mi olacağına karar veren kontrol yedeklemedir ve yedek ancak geri yüklediyseniz sayılır. Önem taşıyan her sistem için yedek olup olmadığını, en az bir kopyanın onu silebilecek kimlik bilgilerinden yalıtılmış olup olmadığını, saklama süresinin bir ihlalin fark edilmesi için gereken zamanı kapsayıp kapsamadığını kontrol eder ve uçtan uca bir geri yüklemeyi süresini kaydederek yaptırırız.

Question 11

Daha uzman konular hangi sayfalarda?

Accepted Answer

Bu sayfa genel çerçevedir, derinlik alt sayfalardadır. Güvenlik Denetimleri ve Uyumluluk çerçeve odaklı incelemeleri ve kanıt üretimini, Siber Güvenlik Denetimi sistem ve yapılandırmanın teknik denetimini, Sızma Testleri uygulama üzerinde yapılan pratik testleri, Kimlik ve Erişim Yönetimi tekil oturum açma ile rol ve MFA kurgusunu, GDPR ve KVKK Uyumluluğu ise kişisel veri tarafını kapsar. Çalışmaların çoğu bir denetimle başlar ve oradan dallanır.

Nasıl yardımcı olabiliriz?

Siber Güvenlik
SSS

Yararlı
bilgiler

Başlarken

Zaman Çizelgesi

Fiyatlandırma

Destek

Hala sorularınız mı var?

Siber GüvenlikSSS

Yararlıbilgiler