01Sorun ve çözüm
Güvenlik denetiminde sistemlerinize saldırmıyoruz; yönetim panellerine, yapılandırmalara ve kayıtlara bakarak hangi kontrolün gerçekten çalıştığını kanıtıyla tespit ediyoruz. Kullanıcı hesaplarından yedekleme düzenine, e-posta güvenliğinden uç nokta korumasına kadar geniş bir alanı aynı ölçütle değerlendiriyoruz. Sonuçta bütçenizi ve ekibinizin kapasitesini hesaba katan, önce neyin yapılacağını söyleyen bir yol haritası teslim ediyoruz.
02Kimler için
Güvenlik denetimi yaptırması gereken işletmeler
Denetim, tam zamanlı bir güvenlik ekibi olmayan ama kaybedecek verisi olan kurumlar için bir başlangıç noktasıdır.
- BT işlerini bir iki kişinin ya da dış destek firmasının yürüttüğü, güvenlik durumunu hiç bağımsız bir gözle görmemiş KOBİ'ler
- Fidye yazılımı haberleri sonrası “bize olsa ne olurdu” sorusuna somut cevap arayan yöneticiler
- Yeni bir BT sorumlusu işe almış ve devraldığı yapının ne durumda olduğunu bilmek isteyen şirketler
- Kurumsal bir müşterinin ya da yatırımcının tedarikçi güvenlik değerlendirmesine hazırlanan firmalar
- Siber sigorta başvurusunda sorulan teknik önlemleri dürüstçe yanıtlamak isteyen işletmeler
03İhtiyaçlar
Denetimde en sık ortaya çıkan açıklar
Bulguların çoğu karmaşık saldırılarla değil, gözden kaçan temel bakım işleriyle ilgilidir.
- 01
Kapatılmamış hesaplar
Ayrılan çalışanların e-posta, VPN ya da muhasebe programı hesapları açık kalır; ortak kullanılan yönetici hesaplarının parolası yıllarca değişmez. Hesap listesinin personel listesiyle karşılaştırılması genellikle ilk bulguları verir.
- 02
Denenmemiş yedekler
Yedek alındığı söylenir ama geri yükleme hiç denenmemiştir, ya da yedek aynı ağdaki bir diskte durduğu için fidye yazılımı onu da şifreleyebilir. Çevrim dışı veya değiştirilemez bir kopyanın olup olmadığına bakılır.
- 03
Güncelleme açığı
Destek süresi bitmiş işletim sistemleri, güncellenmeyen güvenlik duvarı yazılımları ve bilinen açığı olan VPN cihazları saldırganların ilk aradığı hedeflerdir.
- 04
E-posta sahteciliği
Alan adınız için SPF, DKIM ve DMARC kayıtları eksikse, sizin adınıza sahte fatura veya ödeme talimatı göndermek kolaylaşır.
04Özellikler
Güvenlik denetimi hizmetinin kapsamı
Kapsamı kurumunuzun büyüklüğüne ve kullandığınız sistemlere göre birlikte belirliyoruz.
- 01
Kimlik ve erişim incelemesi
Dizin hizmeti, e-posta ve kritik uygulamalardaki hesaplar, yönetici yetkileri ve çok adımlı doğrulama kullanımı kontrol edilir.
- 02
Altyapı yapılandırması
Güvenlik duvarı kuralları, uzaktan erişim yöntemi, kablosuz ağ ayrımı ve sunucuların güncellik durumu incelenir; gereksiz açık servisler listelenir.
- 03
Yedekleme ve kurtarma
Yedekleme kapsamı, saklama süreleri, yedeklerin ağdan yalıtımı ve geri yükleme testinin varlığı belgelenir; gerekirse sizinle birlikte örnek bir geri yükleme denenir.
- 04
Uç nokta ve e-posta güvenliği
Bilgisayarlardaki koruma yazılımının merkezi olarak izlenip izlenmediği, disk şifreleme ve e-posta filtreleme ayarları gözden geçirilir.
- 05
Risk kaydı ve yol haritası
Her bulgu olasılık ve etki üzerinden puanlanır; hızlı kazanımlar, orta vadeli projeler ve kabul edilen riskler ayrı başlıklarda yazılır.
05Entegrasyonlar
Denetimde incelenen sistemler
Kanıtı, kullandığınız yönetim araçlarının kendi raporlarından ve ayar ekranlarından topluyoruz.
- 01
Ofis ve e-posta platformu
Microsoft 365 veya Google Workspace yönetim panelinde paylaşım ayarları, yönetici rolleri, dış iletim kuralları ve oturum açma kayıtları incelenir.
- 02
Dizin hizmeti
Active Directory ya da Entra ID üzerinde parola politikası, etkin olmayan hesaplar ve ayrıcalıklı grup üyelikleri raporlanır.
- 03
Güvenlik duvarı ve VPN
Kullandığınız güvenlik duvarının kural tabanı, yazılım sürümü ve yönetim arayüzünün nereden erişilebildiği değerlendirilir.
- 04
Yedekleme ve uç nokta konsolları
Yedekleme yazılımının iş geçmişi ile antivirüs veya EDR konsolundaki korumasız cihaz listesi kanıt olarak kullanılır.
06Süreç
Güvenlik denetimi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Güvenlik denetiminde dayandığımız çerçeveler
Kontrol listesini CIS Controls ve ISO 27002 gibi yaygın kabul görmüş çerçevelerden, kurumunuzun büyüklüğüne uygun bir alt küme seçerek oluşturuyoruz. Küçük bir ofiste kurumsal ölçekli bir güvenlik operasyon merkezi beklemek gerçekçi değildir; bu yüzden her kontrol sizin için uygulanabilir olup olmadığı sorusuyla birlikte değerlendirilir.
Devamını okuDaha az göster
Kişisel veri işleyen işletmelerde bulgular KVKK kapsamındaki veri güvenliği tedbirleriyle de eşleştirilir; erişim yetkilendirmesi, kayıt tutma ve yedekleme gibi teknik tedbirlerin hangisinin eksik olduğu görülür. Denetim boyunca topladığımız ekran görüntüsü ve yapılandırma çıktıları şifreli tutulur, parola ya da gizli anahtar gibi bilgiler rapora yazılmaz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Güvenlik denetimi hakkında sık sorulan sorular
Güvenlik denetimi ile sızma testi aynı şey mi?
Değil. Sızma testi seçilen sistemlere saldırgan gibi girmeyi dener ve derinlemesine ilerler. Güvenlik denetimi ise saldırı yapmadan, geniş bir alandaki ayarları ve süreçleri kanıta dayalı inceler. Temel önlemleri henüz oturmamış bir kurum için denetim daha doğru ilk adımdır.
Denetim çalışanlarımızın işini aksatır mı?
Çoğunlukla aksatmaz. İnceleme yönetim panelleri ve BT sorumlunuzla yapılan görüşmeler üzerinden yürür; kullanıcı bilgisayarlarına dokunulması gerekirse mesai planına göre örnekleme yapılır.
Güvenlik denetimi fiyatları neye göre değişir?
Kullanıcı ve sunucu sayısı, lokasyon sayısı, bulut ve yerel sistemlerin birlikte kullanılıp kullanılmadığı, yerinde çalışma gerekip gerekmediği ve raporun belirli bir çerçeveye eşlenip eşlenmeyeceği kapsamı ve teklifi belirler.
Dış destek aldığımız BT firması bu denetimden rahatsız olur mu?
Denetim kişileri değil kontrolleri değerlendirir. BT firmanızla birlikte çalışmak bulguların daha doğru anlaşılmasını sağlar; bazen onların da bütçe isteyip alamadığı işleri görünür kılar.
Güvenlik denetimi firması bulguları düzeltiyor mu?
Rapor, düzeltmeyi kimin yapacağından bağımsız olarak uygulanabilir adımlar içerir. İsterseniz danışmanlık modeliyle düzeltme sürecine eşlik ediyor, tamamlanan maddeleri yeniden kontrol ediyoruz.
Ne sıklıkla tekrarlanmalı?
Altyapıda büyük bir değişiklik olmadıkça yılda bir kapsamlı denetim yaygın bir yaklaşımdır. Yol haritasındaki maddeler tamamlandıkça daha dar kapsamlı ara kontroller yapılabilir.
10İlgili hizmetler