Sızma Testi

Sızma testi, bir kurumun ağlarına, uygulamalarına ve sistemlerine, gerçek bir saldırganın kullanabileceği yöntemlerle, kurumun izniyle ve kontrollü olarak yapılan güvenlik testidir. Amacı, kötü niyetli kişilerden önce güvenlik açıklarını ortaya çıkarmak ve giderilmesini sağlamaktır.

Hukuki Dayanaklar

• KVKK: KVKK sızma testini açıkça saymaz; ancak veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kurul’un Kişisel Veri Güvenliği Rehberi, sızma testini bu tedbirler arasında sayar. Bir veri ihlali sonrasında yapılan incelemede düzenli test yapılıp yapılmadığı, tedbirlerin yeterliliğinin göstergelerinden biri olarak değerlendirilir.
• Sektörel düzenlemeler: Bankacılık mevzuatı bankaların bilgi sistemlerinde en az yılda bir sızma testi yaptırmasını öngörür. Kamu kurumları ve kritik altyapılar için Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi de düzenli sızma testlerini gerektirir.
• Siber Güvenlik Kanunu: Kanun kapsamındaki kişi ve kuruluşların mevzuatta öngörülen güvenlik tedbirlerini alması ve tespit ettikleri zafiyetleri Siber Güvenlik Başkanlığı’na bildirmesi gerekir.

Test Firması ve Sözleşme

Türk Standartları Enstitüsü, sızma testi hizmeti veren firmaları belgelendirmektedir; bazı düzenlemeler testlerin TSE belgeli firmalarca yapılmasını şart koşar. Test firmasıyla yapılan sözleşmede şunlar açıkça düzenlenmelidir:

• Testin kapsamı, hedef sistemler ve test yöntemleri,
• Test zamanı ve canlı sistemlerin etkilenmesine karşı alınacak önlemler,
• Test sırasında erişilen kişisel verilere ilişkin gizlilik ve veri işleme hükümleri; test firması bu verileri işlediği ölçüde bir veri işleyendir,
• Raporun içeriği, teslim süresi ve gizliliği,
• Sorumluluk sınırları ve sigorta.

Sızma testi raporu, şirketin güvenlik açıklarını gösteren son derece hassas bir belgedir; erişimi sınırlandırılmalı ve bulguların giderilmesi takip edilmelidir.