Sızma testi firması seçimi çoğu kurumda üç teklifin fiyat satırının yan yana konmasıyla biter; oysa bu üç teklif çoğu zaman aynı işi tarif etmiyordur. Bir tedarikçi otomatik tarayıcı çıktısını biçimlendirip teslim ederken, diğeri aynı kapsamda iş mantığı zafiyetlerini elle avlıyor olabilir. Satın alma tarafında bu fark görünmez, çünkü iki teklifin de başlığı “kurumsal sızma testi”dir ve ikisi de aynı sayıda IP’yi kapsar.
Farkı görünür kılmanın tek yolu, teklif aşamasında doğru soruları sormaktır. Aşağıdaki başlıklar, teknik ekibi olmayan bir satın alma biriminin bile teklifleri anlamlı biçimde ayrıştırabilmesi için hazırlandı: metodolojiden ekip yapısına, rapor formatından yeniden test şartlarına kadar sözleşmeye yazılması gereken maddeler ve teklifte görüldüğünde durup düşünmeniz gereken işaretler.
“Kaç IP” değil “kaç adam/gün” sorusu
Teklifleri kıyaslanabilir hale getiren asıl birim kapsamdaki varlık sayısı değil, o kapsama ayrılan uzman gün sayısıdır. 200 IP’lik bir dış yüzey testi için 4 gün ayıran teklifle 12 gün ayıran teklif aynı işi tarif etmiyordur; ilki tarama ve doğrulama, ikincisi manuel istismar ve zincirleme denemesi anlamına gelir.
Sorulacak somut sorular şunlardır:
- Kapsam için kaç uzman, kaç gün çalışacak ve bu süre içinde otomatik tarama ile manuel çalışma nasıl bölünecek?
- Test penceresi mesai saatleri içinde mi, dışında mı? Üretim sistemlerinde hangi saatlerde çalışılacak?
- Adam/gün aşımı olursa süreç nasıl işleyecek; ek kapsam ayrı teklifle mi fiyatlanacak?
- Kapsamın hangi bölümü kimlik doğrulamalı (authenticated), hangi bölümü doğrulamasız test edilecek?
Kimlik doğrulamalı test kalemi teklifte yoksa, uygulamanın oturum açtıktan sonraki tüm yüzeyi test dışı kalıyor demektir; bu, çoğu web uygulamasında riskin büyük bölümünün bulunduğu alandır.
Metodoloji sözleşmede yazıyor mu
Teklifte “sektör standartlarına uygun” ifadesi geçiyorsa, hangi standarda uygun olduğunu açıkça sorun. Ciddi bir tedarikçi kapsamına göre PTES, OWASP Testing Guide, OWASP API Security Top 10 ve MITRE ATT&CK gibi çerçevelerden hangilerini kullandığını, hangi aşamada hangi tekniği uyguladığını anlatabilir. Metodoloji adı sözleşmede geçiyorsa, teslim edilen raporun içeriğini de bu çerçeveyle denetleyebilirsiniz.
Metodoloji sorusunun cevabı aynı zamanda kapsam uygunluğunu gösterir: web uygulaması için OWASP başlıklarını sayamayan, iç ağ testinde Active Directory saldırı zincirlerine değinmeyen bir ekip, o kapsamda deneyimli değildir. Kapsamı belirlemekte zorlanan kurumlar için, teklif sürecinden önce bağımsız bir kurumsal siber güvenlik danışmanlığı desteğiyle varlık envanteri ve risk önceliği çıkarmak, sonradan yapılacak kapsam pazarlıklarının önüne geçer.
Testi kim yapacak, raporu kim yazacak
Satış görüşmesine gelen kıdemli uzmanla sahada çalışacak kişinin aynı olmadığı sık görülür. Bunu teklif aşamasında netleştirin:
- Ekipte kaç kişi olacak, her birinin bu kapsamdaki rolü nedir?
- Ekibin sertifikasyonları ve benzer sektördeki deneyimi nedir?
- Bulgu doğrulaması testi yapan kişi dışında biri tarafından gözden geçiriliyor mu?
- Alt yüklenici kullanılacak mı; kullanılacaksa gizlilik yükümlülüğü nasıl aktarılıyor?
Sertifika tek başına yeterlilik göstergesi değildir, ancak ekibin hiç sertifikası olmaması ve referans bir çalışma anlatamaması birlikte değerlendirildiğinde anlamlı bir sinyaldir. Referans isterken müşteri adı değil, anonimleştirilmiş bir bulgu anlatımı isteyin: “Benzer bir kurumda bulduğunuz en kritik zincir neydi ve nasıl kurdunuz?” sorusuna verilen cevap, ekibin gerçek seviyesini fiyat listesinden daha iyi gösterir.
Angajman kuralları ve kapsam sınırları netleştirildi mi
Angajman kuralları (rules of engagement), testin nerede duracağını tanımlayan belgedir ve teklif aşamasında taslağı görülmelidir. İçinde şunlar yer almalıdır: test edilecek ve edilmeyecek varlıklar, servis dışı bırakma denemelerinin yapılıp yapılmayacağı, sosyal mühendislik izni, veri sızdırma simülasyonunun sınırı, acil durumda testi durduracak iletişim kanalı ve saat.
Özellikle üretim ortamında çalışılacaksa, hangi test tekniğinin uygulanmayacağı yazılı olmalıdır. Kritik altyapı ve sağlık gibi alanlarda bu belge, testin kendisinden daha önemli bir güvence kalemidir.
Rapor kalitesini teklif aşamasında nasıl anlarsınız
Örnek rapor istemek en ayırt edici adımdır. Anonimleştirilmiş bir örnek raporu paylaşmayan tedarikçi listeden çıkarılabilir. Paylaşılan raporda aranacaklar:
| Kontrol edilecek unsur | Zayıf teklifin göstergesi | Güçlü teklifin göstergesi |
|---|---|---|
| Rapor yapısı | Tek katman, doğrudan bulgu listesi | Yönetici özeti ve teknik detayın ayrıştığı çift katmanlı rapor |
| Bulgu içeriği | Tarayıcı açıklaması kopyalanmış | Yeniden üretim adımları, kanıt görüntüsü, etkilenen uç nokta |
| Risk puanlaması | Yalnızca tarayıcı skoru | CVSS ile birlikte kurumdaki iş etkisi yorumu |
| Saldırı zinciri | Bulgular birbirinden bağımsız | Bulguların birleşerek oluşturduğu zincir anlatılmış |
| Öneri kısmı | “Yamayı uygulayın” düzeyinde | Yapılandırma örneği, kalıcı çözüm ve geçici önlem ayrımı |
| Ölçüm | Yok | Tespit edilebilirlik notu, MTTD ve MTTR için girdi |
Raporun yönetici özeti bölümünü teknik olmayan bir yöneticiye okutun. Beş dakikada “nerede risk altındayız ve ilk üç işimiz ne” sorusunun cevabını alamıyorsa, o rapor yönetim kuruluna taşınamaz.
Yeniden test, gizlilik ve veri işleme şartları
Bu üç kalem sözleşmede eksik kalırsa proje bittikten sonra sorun çıkarır:
- Yeniden test: Kritik ve yüksek bulgular kapatıldıktan sonra doğrulama testi kaç gün içinde, kaç kez ve hangi ücretle yapılacak?
- Veri işleme: Test sırasında elde edilen kanıtlar nerede saklanacak, ne zaman imha edilecek, imha tutanağı verilecek mi? Kişisel veri içeren örnekler alınacaksa KVKK uyumu için hangi tedbirler uygulanacak?
- Gizlilik: Bulgular referans olarak kullanılacak mı; kullanılacaksa anonimleştirme yöntemi nedir?
- Sorumluluk: Test kaynaklı bir kesinti yaşanırsa sorumluluk sınırı nasıl tanımlanmış?
Kapsam genişletme ihtimali varsa, teklif aşamasında ileride alınabilecek çalışmaların da fiyat mantığını sorun. Örneğin savunma ekibinin tespit kabiliyetini ölçen ve iki ila altı hafta süren bir red team hizmeti, sızma testinden farklı bir metodoloji ve farklı bir raporlama gerektirir; aynı tedarikçiyle ilerleyecekseniz bu kabiliyetin bugünden var olup olmadığını bilmek işinize yarar.
Teklifleri değerlendirmek için adım adım süreç
- Kapsamı siz tanımlayın. Envanteri ve kritiklik sınıflandırmasını tedarikçiye bırakmayın; aynı kapsam belgesini tüm tedarikçilere gönderin.
- Soru listesini standartlaştırın. Metodoloji, ekip, rapor, yeniden test ve veri işleme başlıklarında aynı soruları sorun; cevapları yazılı isteyin.
- Örnek rapor puanlayın. Yukarıdaki tablodaki altı unsuru her tedarikçi için not verin ve bu notu fiyattan önce karşılaştırın.
- Teknik görüşme yapın. Sahada çalışacak uzmanla 30 dakikalık bir görüşme talep edin; kapsamınıza özel bir saldırı senaryosunu nasıl kurgulayacağını anlatmasını isteyin.
- Adam/gün başına maliyeti hesaplayın. Toplam fiyatı uzman gün sayısına bölün; en ucuz teklif çoğu zaman en az gün ayıran tekliftir.
- Yeniden test ve teslim tarihlerini sözleşmeye yazın. Rapor teslim süresi, düzeltme sonrası doğrulama penceresi ve gecikme yaptırımı sözleşmede yer almalıdır.
Teklifte gördüğünüzde durmanız gereken işaretler
- Kapsamı görmeden verilen sabit fiyat ve “yarın başlarız” vaadi.
- Rapor örneği paylaşmama, metodoloji adını netleştirmeme.
- Testin tamamının tek bir otomatik araçla yapılacağının ima edilmesi.
- Bulgu sayısı üzerinden fiyatlama veya “sıfır bulgu garantisi” gibi ifadeler.
- Sertifika belgesi paylaşılan kişinin projede çalışacak kişi olup olmadığının belirsiz bırakılması.
- Angajman kuralları belgesinin sözleşme ekinde bulunmaması.
Sık sorulan sorular
Sızma testi firması seçerken sertifikalara bakmak yeterli mi?
Sertifikalar bir taban yeterlilik gösterir ama tek başına karar kriteri değildir. Sertifikanın yanında ekibin sizin sektörünüzdeki deneyimi, örnek raporun derinliği ve sahada çalışacak uzmanla yapılan teknik görüşme birlikte değerlendirilmelidir.
En ucuz teklifi seçmek neden riskli?
Fiyat farkının büyük bölümü ayrılan uzman gününden gelir. Az gün ayrılan bir testte otomatik tarama sonuçları doğrulanır, iş mantığı zafiyetleri ve zincirleme senaryolar denenmez. Bu durumda elinizde denetime gösterilecek bir belge olur ama gerçek saldırı yüzeyi test edilmemiş kalır.
Aynı firmayla her yıl devam etmek doğru mu?
Devam etmenin avantajı kurumu tanıyan bir ekiple çalışmaktır; dezavantajı zamanla aynı bakış açısının kör noktalar üretmesidir. Birkaç döngüde bir tedarikçi değiştirmek ya da farklı kapsamları farklı ekiplere vermek bu riski dengeler.
Teklifte hangi belgeleri istemeliyim?
Anonimleştirilmiş örnek rapor, metodoloji dokümanı, angajman kuralları taslağı, ekip özgeçmişleri, gizlilik ve veri işleme taahhüdü ile yeniden test şartlarını içeren sözleşme taslağı asgari settir. Bunların hepsini teklif aşamasında talep etmek olağandışı bir istek değildir.
Testin üretim ortamını etkilememesi nasıl garanti edilir?
Tam garanti mümkün değildir; risk yönetilir. Servis dışı bırakma denemelerinin kapsam dışı bırakılması, yoğun saatler dışında çalışma penceresi, testi anında durdurabilecek bir iletişim kanalı ve yedek/geri dönüş planı sözleşmede tanımlanmalıdır.
Sonuç
Sızma testi satın alırken karşılaştırdığınız şey aslında bir hizmet değil, bir yöntemdir: aynı kapsama kaç uzman günü ayrıldığı, hangi çerçeveyle çalışıldığı, bulgunun nasıl doğrulandığı ve raporun yönetime ne söylediği. Teklifleri fiyat satırından önce bu dört başlıkta puanlayan kurum, hem bütçesini doğru yere harcar hem de bir yıl sonra elinde dosyalanacak bir rapor değil kapatılmış riskler bulur.
Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.
