Penetration Test

Also known as: Pentest, Pen Test, Sızma Testi

In short

An authorised and controlled security test of an organisation's information systems using the methods a real attacker might use, aimed at uncovering vulnerabilities.

Sızma testi, bir kurumun ağlarına, uygulamalarına ve sistemlerine, gerçek bir saldırganın kullanabileceği yöntemlerle, kurumun izniyle ve kontrollü olarak yapılan güvenlik testidir. Amacı, kötü niyetli kişilerden önce güvenlik açıklarını ortaya çıkarmak ve giderilmesini sağlamaktır.

Hukuki Dayanaklar

KVKK: KVKK sızma testini açıkça saymaz; ancak veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kurul’un Kişisel Veri Güvenliği Rehberi, sızma testini bu tedbirler arasında sayar. Bir veri ihlali sonrasında yapılan incelemede düzenli test yapılıp yapılmadığı, tedbirlerin yeterliliğinin göstergelerinden biri olarak değerlendirilir.
Sektörel düzenlemeler: Bankacılık mevzuatı bankaların bilgi sistemlerinde en az yılda bir sızma testi yaptırmasını öngörür. Kamu kurumları ve kritik altyapılar için Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi de düzenli sızma testlerini gerektirir.
Siber Güvenlik Kanunu: Kanun kapsamındaki kişi ve kuruluşların mevzuatta öngörülen güvenlik tedbirlerini alması ve tespit ettikleri zafiyetleri Siber Güvenlik Başkanlığı’na bildirmesi gerekir.

Test Firması ve Sözleşme

Türk Standartları Enstitüsü, sızma testi hizmeti veren firmaları belgelendirmektedir; bazı düzenlemeler testlerin TSE belgeli firmalarca yapılmasını şart koşar. Test firmasıyla yapılan sözleşmede şunlar açıkça düzenlenmelidir:

Testin kapsamı, hedef sistemler ve test yöntemleri,
Test zamanı ve canlı sistemlerin etkilenmesine karşı alınacak önlemler,
Test sırasında erişilen kişisel verilere ilişkin gizlilik ve veri işleme hükümleri; test firması bu verileri işlediği ölçüde bir veri işleyendir,
Raporun içeriği, teslim süresi ve gizliliği,
Sorumluluk sınırları ve sigorta.

Sızma testi raporu, şirketin güvenlik açıklarını gösteren son derece hassas bir belgedir; erişimi sınırlandırılmalı ve bulguların giderilmesi takip edilmelidir.

Frequently Asked Questions

Is penetration testing mandatory under the KVKK?

The KVKK does not expressly require it, but the controller must ensure an appropriate level of security and the Board's Personal Data Security Guide lists regular penetration testing among the measures. In some sectors, sector-specific rules expressly require it.

Do you carry out penetration tests?

No. Penetration tests are carried out by specialist technical firms. We coordinate setting the scope of the test according to legal obligations, the contract with the testing firm and the assessment of findings under the KVKK.

← Glossary A–Z