Güven Damgası Sızma Testi

Güven Damgası sızma testi (penetration test), TOBB'dan Güven Damgası almak veya damgasını korumak isteyen e-ticaret sitelerinin yaptırması gereken güvenlik testidir. TSE onaylı bir firma, siteyi son bir yıllık işlem hacmine göre belirlenen kapsamda test eder, bulunan açıklar kapatılır ve sonuç doğrulama testiyle teyit edilir.

Dayanağı, Elektronik Ticarette Güven Damgası Hakkında Tebliğ'in 5. maddesidir. Tebliğ, testin başvurudan en fazla üç ay önce ve her takvim yılında en az bir kez yapılmasını, alınan önlemlerin de doğrulama testiyle gösterilmesini ister. Test içeriği ise TOBB'un güvenlik testi dokümanında tanımlanır. Secunnix, sızma testi deneyimini bu kapsama uygular.

Güven Damgası almak zorunlu değildir. Ancak damga almak veya korumak isteyen e-ticaret siteleri, Elektronik Ticarette Güven Damgası Hakkında Tebliğ gereği güvenlik testi şartını karşılamalıdır.

• Kendi yazılımınızı kullanıyorsanız: Testi siteniz için TSE onaylı bir firmaya yaptırmanız gerekir.
• Hazır altyapı kullanıyorsanız: Sağlayıcınızın başarılı test sonucunu başvurunuzda kullanırsınız. Bu sonuç, testin yapıldığı tarihten itibaren 3 ay geçerlidir.
• Altyapı sağlayıcısıysanız: Testi, bünyenizdeki en yüksek işlem hacimli siteye göre yaptırır ve sonucu en geç 3 ay içinde TOBB'a iletirsiniz.
• Damganız varsa: Testi her takvim yılında en az bir kez yenilemeniz gerekir.

Test, TOBB'un belirlediği kapsama ve uluslararası kabul görmüş standartlara göre yürütülür.

• OWASP ASVS: Uygulama tarafındaki kontrol noktaları bu standarda göre değerlendirilir.
• TS 13638: Sızma testi çalışması bu standarttaki metodolojiye uygun yürütülür.
• CVSS: Bulgular etkisine göre skorlanır, sonuç TOBB'un eşiğiyle karşılaştırılır.
• TOBB güvenlik testi dokümanı: Test kapsamı ve geçme şartı sitenizin işlem hacmine göre bu dokümandan belirlenir.

Bulgu çıkması başvurunuzun bittiği anlamına gelmez. Test zaten açıkları bulup kapatmanız için yapılır.

• Bulgular önem sırasıyla raporlanır, önce sonucu etkileyenler kapatılır.
• Yazılım ekibiniz düzeltmeleri yaparken bulgular üzerine sorularını iletebilir.
• Düzeltmelerden sonra doğrulama testi planlanır ve sonuç yeniden değerlendirilir. Doğrulama testi ana teklife dahil değildir.
• Damganız varsa ve şartlar sağlanmıyorsa TOBB 15 gün süre verir, sonrasında damga askıya alınabilir. Askı tarihinden itibaren 30 gün içinde şartlar sağlanmazsa damga iptal edilebilir.

Her e-ticaret sitesinin yapısı farklı olduğu için teklif, kapsam görüşmesinden sonra hazırlanır.

• Yıllık işlem hacmi ve buna bağlı test seviyesi
• Sitedeki sayfa, rol ve kullanıcı akışı sayısı
• Mobil uygulama olup olmadığı
• API ve üçüncü taraf entegrasyon sayısı. Doğrulama testi ana teklifin dışındadır, ayrıca planlanır.

Güvenlik testi başvurunun bir parçasıdır. TOBB başvuru sürecinde şu belgeleri de ister. Güncel listeyi başvurudan önce guvendamgasi.org.tr üzerinden kontrol edin.

• Sızma testi firmasının imzalı ve kaşeli güvenlik testi sonucu
• Yazılı beyan, yetki metni, üyelik sözleşmesi ve EV SSL formu
• Vergi levhası ve son altı ay içinde alınmış imza sirküleri
• Yönetim kurulu üyeleri ve yetkili temsilciler için adli sicil belgeleri
• Başvuru ücretinin ödendiğini gösteren dekont

Güven Damgası testini yalnızca bir belge işi olarak değil, sitenizin gerçek güvenliği için yapıyoruz.

• TSE onaylı sızma testi firmasıyız.
• OWASP ve TS-13638 uyumlu metodoloji kullanıyoruz.
• Testleri Ankara Cyberpark merkezli kendi uzman ekibimiz yürütüyor.
• Damgayı TOBB verir. Biz güvenlik testi şartını karşılamanız için hizmet veririz ve bulguları kapatana kadar yanınızda oluruz.