Kurumsal Sızma Testi
Kurumsal sızma testi; bankacılık, finans, holding ve kritik altyapı kurumlarında gerçek saldırı senaryolarıyla güvenlik açıklarını tespit eder. Siber güvenlik firması Secunnix, BDDK, ISO 27001 ve KVKK uyumlu yönetim + teknik raporlama sunar.
- Kapsam
- Dış Ağ / Perimeter, İç Ağ, Web / API, Mobil Uygulama, Bulut & SaaS
- Uyum
- BDDK, KVKK, ISO 27001:2022, PCI DSS ve EPDK gereksinimleri
- Süre
- Kapsama göre genellikle 2–6 hafta
- Çıktı
- Yönetici özeti, teknik rapor ve kapanış testi (retest)
- 01Kapsam & Keşif
- 02Zafiyet Analizi
- 03İstismar & Doğrulama
- 04Yönetim Raporu
Tanım
Kurumsal Sızma Testi Nedir?
Kurumsal sızma testi, büyük ölçekli organizasyonların web, ağ, mobil, bulut ve kritik iş uygulamalarını gerçek saldırgan yöntemleriyle test eden profesyonel bir sızma testi programıdır. Amaç yalnızca teknik açık bulmak değil; iş etkisi, regülasyon uyumu ve yönetim kararları için önceliklendirilmiş risk üretmektir.
Secunnix kurumsal sızma testi; NIST, OWASP, PTES ve TS-13638 metodolojileriyle yürütülür. Bankacılık ve finansta BDDK denetim beklentilerine, ISO 27001 kontrol setine ve KVKK veri güvenliği yükümlülüklerine uygun kanıt üretir.
Kimler için?
Kurumsal Sızma Testi Kimler İçin Zorunlu?
Periyodik bağımsız test ihtiyacı olan, çoklu sistem ve lokasyon yöneten kurumlar için tasarlanmıştır.
Bankalar ve Finans Kuruluşları
BDDK Bilgi Sistemleri Yönetmeliği kapsamında yıllık bağımsız sızma testi ve kapanış (retest) ihtiyacı.
Holding ve Büyük Ölçekli Şirketler
Çoklu şirket, veri merkezi ve bulut hesabı olan yapılarda merkezi risk görünürlüğü.
Kritik Altyapı ve Enerji
EPDK ve OT/IT sınırında kontrollü test gerektiren üretim ve SCADA çevreleri.
ISO 27001 ve Denetim Odaklı Kurumlar
Sertifikasyon, iç denetim ve siber sigorta süreçlerinde teknik kanıt ihtiyacı.
Kapsam
Kurumsal Sızma Testi Kapsamı
Kapsam kurum envanterine göre özelleştirilir. Genel sızma testi türleri kurumsal programda birleştirilir.
| Test Alanı | Ne Test Edilir? | Kurumsal Çıktı |
|---|---|---|
| Dış Ağ / Perimeter | İnternete açık IP, firewall, VPN, reverse proxy | Dış saldırı yüzeyi risk skoru |
| İç Ağ | Segmentasyon, Active Directory, yatay hareket | İç tehdit ve yetki yükseltme senaryoları |
| Web / API | Kurumsal portaller, internet bankacılığı, API gateway | OWASP odaklı iş etkisi analizi |
| Mobil Uygulama | iOS/Android kurumsal uygulamalar | Kimlik bilgisi ve veri sızıntı riski |
| Bulut & SaaS | Azure/AWS kimlik, depolama, yanlış yapılandırma | Bulut güvenlik duruşu özeti |
Süreç
Kurumsal Sızma Testi Nasıl Yapılır?
Kurumsal program beş aşamada ilerler; her aşama denetim izi ve yönetim görünürlüğü üretir.
- 1
Adım 1
Kapsam ve Kurallar
Hedef sistemler, yasaklı işlemler, iletişim hattı ve acil durum prosedürü yazılı olarak netleştirilir.
- 2
Adım 2
Keşif ve Haritalama
OSINT, DNS, port ve servis keşfiyle kurumsal saldırı yüzeyi çıkarılır.
- 3
Adım 3
Zafiyet Analizi
Otomatize tarama + manuel doğrulama ile yanlış pozitifler elenir; CVSS ve iş etkisi atanır.
- 4
Adım 4
İstismar ve Kanıt
Kontrollü istismar ile risk kanıtlanır; üretimde zarar verilmez, her adım kayıt altına alınır.
- 5
Adım 5
Raporlama ve Retest
Yönetici özeti + teknik rapor sunulur; kapatılan bulgular için kapanış testi yapılır.
Mevzuat
Türkiye'de Kurumsal Sızma Testini Zorunlu Kılan Düzenlemeler
Aşağıdaki çerçeveler kurumsal sızma testini zorunlu veya güçlü biçimde beklenen bir kontrol haline getirir.
- BDDK Bilgi Sistemleri Yönetmeliği — bağımsız periyodik sızma testi ve retest.
- KVKK Madde 12 — kişisel veri güvenliği için teknik tedbir ve ihlal önleme kanıtı.
- ISO 27001:2022 — A.8 ve ilgili kontrollerde güvenlik testi beklentisi.
- PCI DSS — kart verisi işleyen sistemlerde yıllık penetrasyon testi.
- EPDK / kritik altyapı — OT/IT sınırında güvenlik değerlendirme gereksinimleri.
Karşılaştırma
Kurumsal Sızma Testi ile Diğer Hizmetler Arasındaki Fark
Standart sızma testi teknik zafiyet tespitine odaklanır. Kurumsal sızma testi bunu yönetim dili, regülasyon kanıtı, çoklu varlık ve yıllık program disipliniyle genişletir.
Red Team tespit ve yanıt kabiliyetini ölçer; kurumsal sızma testi ise kontrol edilen kapsamda zafiyet ve risk önceliği üretir. İkisi birlikte Purple Team döngüsünde kullanılabilir.
Kazanımlar
Kurumsal Sızma Testinin Kuruma Kazandırdıkları
Yönetim Görünürlüğü
Teknik bulgular iş etkisi ve öncelik skoruyla yönetim özetine dönüşür.
Denetim Hazırlığı
BDDK, ISO ve iç denetim için izlenebilir rapor ve retest kanıtı.
Gerçek Risk Doğrulama
Yalnızca tarayıcı çıktısı değil; kontrollü istismarla doğrulanmış bulgular.
Öncelikli Yol Haritası
Kritik, yüksek, orta sınıflandırma ile aksiyon planı netleşir.
Savunma Entegrasyonu
Bulgular SOC, Blue Team ve yama yönetimi süreçlerine bağlanır.
Süreklilik
Yıllık program + değişiklik sonrası testlerle güvenlik duruşu ölçülür.
Birlikte değerlendirin
İlgili Hizmetler
Kurumsal sızma testi programınızı genel sızma testi, Red Team ve ISO 27001 danışmanlığıyla birlikte planlayabilirsiniz.
SSS
Kurumsal Sızma Testi Hakkında Sıkça Sorulan Sorular
Kapsam, süre, BDDK uyumu ve teklif süreci hakkında merak edilenler.
Kurumsal sızma testi; bankacılık, finans, holding ve büyük ölçekli kurumların kritik altyapısını gerçek saldırı senaryolarıyla değerlendiren, yönetim ve denetim odaklı raporlama sunan sızma testi hizmetidir.
Kurumsal sızma testi çoklu lokasyon, kritik iş uygulamaları, regülasyon uyumu ve yönetim özeti odaklıdır. Standart sızma testi genellikle tek sistem veya dar kapsamlı teknik zafiyet tespitine odaklanır.
BDDK Bilgi Sistemleri Yönetmeliği bankalar ve ilgili kuruluşlar için periyodik bağımsız sızma testi zorunluluğu getirir. Kurumsal sızma testi bu denetim beklentisine uygun kapsam ve raporlama ile yürütülür.
Kapsama göre genellikle 2–6 hafta sürer. Çoklu lokasyon, web/mobil/ağ kombinasyonu ve retest ihtiyacı süreyi etkiler. Net süre iletişim sonrası kapsam analiziyle belirlenir.
Kurumsal sızma testi programınızı planlayalım
Kapsam analizi, BDDK uyumlu raporlama ve retest dahil kurumunuza özel teklif için ekibimizle görüşün.
Müşteri Portföyümüz
