Hollanda'da Sızma Testi: Maliyetler, Türler ve Süreç

Sızma testiyle ne öğrenirsiniz?

Sızma testi veya pentest, yetkin bir test uzmanının belirli bir sisteme yönelik yazılı izin ve sınırlı süre içinde yaptığı saldırı simülasyonudur; hangi zayıflıkların gerçekten kullanılabildiğini gösterir ve düzeltmeleri raporlar. Eylül 2026 itibarıyla fiyat yayımlayan Hollandalı DongIT ve Warpnet, küçük web uygulamalarında 2.500-2.960 €, geniş kapsamda yaklaşık 5.000-7.500 €'dan başlar; belirtilen yerlerde KDV hariçtir. DongIT küçük web uygulaması için 16, geniş kapsam için 80 saat veya daha fazla aktif test; ilk kapsam görüşmesinden son rapora dört-sekiz hafta belirtir. Büyük yayınlarda, müşteri, denetçi veya sigortacı kanıt istediğinde ve kuruluş Cyberbeveiligingswet kapsamında güvenlik önlemlerinin etkinliğini düzenli değerlendirmek zorunda olduğunda test gündeme gelir.

Rehber; pentest, zafiyet taraması ve denetim farkını, temel test türlerini, kullanılan standartları, maliyet ve süreyi belirleyen etkenleri açıklar. Hukuki boyutu da ele alır: Hollanda'da izinsiz sisteme girmek suçtur. Bilgiler Eylül 2026 itibarıyla resmî Hollanda kaynaklarına ve yayımlanmış sağlayıcı bilgilerine dayanır. Fiyat ve düzenlemeler değişir; bütçe belirlemeden kaynakları kontrol edin.

• NCSC: teknik güvenlik önlemlerini test etmek (Felemenkçe)
• NCSC uzman yazısı: sızma testi yaptırmak (Felemenkçe)

Pentest nedir, zafiyet taraması veya denetimden farkı nedir?

Hollanda Ulusal Siber Güvenlik Merkezi NCSC üç teknik test tanımlar. Zafiyet değerlendirmesinde çoğunlukla otomatik tarama, bilinen açıkları, eksik yamaları ve zayıf ayarları arar. Sızma testinde eğitimli bir uzman saldırganın yapabileceklerini canlandırır, zayıflıkları arayıp kullanmayı dener. Kaynak kod incelemesinde uzman uygulama kodundaki programlama hatalarını inceler.

NCSC farkı şöyle özetler: zafiyet değerlendirmesi geniş bir alanı tarar, pentest ise seçilen alanları derinlemesine inceler. Tarama bir zayıflığın kuruluşunuz için anlamını nadiren söylediğinden derinlik önemlidir. Pentest, saldırganın gerçekten müşteri verilerine erişip erişemeyeceğini veya hesap ele geçirip geçiremeyeceğini gösterir; yetkilendirme ve iş mantığı hataları gibi bilinmeyen sorunları bulmaya daha uygundur.

NCSC önce zafiyet değerlendirmesi yapıp bulguları düzeltmeyi önerir. Daha önce hiç yapılmadıysa sızma testinden alacağınız fayda sınırlı kalabilir; uzman zamanını daha ucuz taramanın da bulacağı sorunlara harcar.

Güvenlik denetimi farklı soruyu yanıtlar. Örneğin ISO/IEC 27001 denetimi politika, süreç ve kontrollerin varlığını ve uygulanmasını inceler; normalde sistemlerinize saldırmayı içermez. Denetçi teknik önlemlerin çalıştığının kanıtı olarak güncel pentest raporu isteyebilir. Birleşik Krallık NCSC, testin yalnızca test günündeki durumu gösterebildiğini; testler arasında sürekli zafiyet yönetiminin gerekli olduğunu ekler.

• Birleşik Krallık NCSC: sızma testi rehberi
• Küçük işletmeler için site güvenliği kontrol listesi

Sızma testi türleri nelerdir?

Pentestler genellikle kapsamlarına göre adlandırılır. Küçük işletmenin tüm türleri aynı anda yaptırması nadiren gerekir. İhlalin en çok zarar vereceği sistemden başlayın: müşteri verisi tutan uygulama, uygulamanızın API'si veya her şeyi çalıştıran bulut hesabı.

Birçok çalışma web uygulaması ve onun kullandığı API gibi iki türü birleştirir. Müşteri verilerini okuyan veya güncelleyen yapay zekâ otomasyonu ekliyorsanız entegrasyonları da kapsama dahil edin.

Web uygulaması sızma testi

Uzman siteyi hem kullanıcı hem saldırgan gözüyle inceler: giriş ve parola sıfırlama, oturum yönetimi, girdi işleme, dosya yükleme, kullanıcılar ve roller arasındaki erişim hakları, sipariş veya onay gibi süreçlerin mantığı. Yaygın referans OWASP Web Security Testing Guide'dır. Mağaza, müşteri portalı veya SaaS ürününde genellikle ilk düşünülen testlerden biridir.

API sızma testi

Modern uygulamalar çoğunlukla mobil uygulama veya iş ortağı sistemleriyle API üzerinden veri alışverişi yapar. API testi, her uç noktanın kimlik doğrulama ve yetkilendirmeyi uygulayıp uygulamadığını, kimlik değeri değiştiren müşterinin diğer müşterinin kayıtlarına erişip erişemediğini, beklenmeyen girdilere ve çok sayıda isteğe nasıl yanıt verildiğini kontrol eder. Görünür arayüzleri olmadığından API'ler kolay gözden kaçar.

Mobil uygulama sızma testi

Mobil test uygulamanın kendisini ve sunucuyla iletişimini inceler: cihazda verinin saklanması, belirteç ve anahtarların korunması, sunucuya güvenin doğru kurulması. Uygulama sunucuya bağlı olduğundan mobil ve API testleri çoğu zaman birlikte yapılır.

Ağ ve altyapı sızma testi

Dış test; sunucu, VPN ağ geçidi ve e-posta hizmeti gibi internetten erişilen sistemleri hedefler. İç test, örneğin zararlı yazılım bulaşmış bir dizüstü bilgisayarla saldırganın zaten giriş noktası olduğunu varsayıp ağda ne kadar ilerleyebildiğini inceler. Kendi ofis ağı, sunucusu veya Active Directory'si olan kuruluşlarda iç testler özellikle önemlidir.

Bulut ve Kubernetes sızma testi

Burada özellikle sistem ayarları incelenir: kimlik ve erişim yönetimi, depolama izinleri, ağ kuralları, gizli bilgiler ve ortam ayrımı. Kubernetes'te küme erişimi, iş yükü izinleri ve konteyner yalıtımı incelenir. Bu katmanlardaki yanlış bir ayar, uygulama kodunda açık olmasa da veri ifşasına yol açabilir.

Sosyal mühendislik

Bazı saldırılar sistem yerine insanı hedefler; oltalama e-postası veya telefon görüşmesi gibi. Oltalama simülasyonu farkındalığı ve bildirim prosedürlerini sınar. Çalışanlar dahil olduğundan sonuçların nasıl raporlanacağını önceden kararlaştırın, kişileri isimle hedef göstermeyin ve gizlilik etkilerini veri koruma sorumlusuyla görüşün.

• Pixel Dev: uygulama güvenliği yetkinlikleri
• Önce hangi işi otomatikleştirmelisiniz?

Black box, grey box, white box: test uzmanıyla ne kadar bilgi paylaşılır?

Kapsamın yanında test uzmanına önceden ne kadar bilgi verileceğini belirlersiniz. NCSC üç bakış açısı ayırır. Her biri farklı soruya yanıt verir ve test zamanını farklı kullanır.

Black box: kara kutu

Uzman IP adresi, alan adı veya şirket adı dışında ön bilgi almaz. Bu, kuruluşunuzu özellikle hedeflemeyen saldırganla örtüşür. Gerçekçi görünür, ancak bütçenin önemli kısmı uzmana doğrudan verebileceğiniz bilgiyi keşfetmeye gider. Önemli bölümler için daha az saat kalır.

Grey box: gri kutu

Uzman kısmi bilgi alır; genellikle bir veya birkaç kullanıcı rolü için giriş bilgisi. Bu, çalınmış hesapla saldırganın veya kötü niyetli müşteri ya da çalışanın neleri görebileceğini ve değiştirebileceğini gösterir. Hesaplı web uygulamaları ve API'lerde roller arası hakları kapsadığı için sık seçilir.

White box: beyaz kutu

Uzman kapsamlı bilgi alır: tasarım belgeleri, giriş bilgileri, örnek mesajlar ve tam kod incelemesi yapılmasa bile kaynak kod. OWASP Application Security Verification Standard, birçok gereksinim dışarıdan doğrulanamadığından belge veya kod odaklı testi güçlü biçimde teşvik eder. Aynı bütçeyle daha çok bilgi, genellikle uygulamanın daha fazlasının incelenmesini sağlar.

• NCSC: test bakış açısını seçmek (Felemenkçe)

Sızma testlerinde hangi yöntemler ve standartlar kullanılır?

Her sızma testi aynı kapsamı ve yöntemi kullanmaz. NCSC'ye göre piyasada tam olarak neyin test edildiği, nasıl raporlandığı ve testin neyi kanıtladığı konusunda henüz ortak anlayış yoktur. Bu nedenle sağlayıcının metodolojisini sormak en yararlı sorulardan biridir. En sık karşılaşacağınız referanslar şunlardır.

OWASP Web Security Testing Guide (WSTG)

WSTG; bilgi toplamadan kimlik doğrulama, yetkilendirme, oturum yönetimi ve iş mantığına kadar web uygulaması testlerini kapsayan açık rehberdir. Mevcut kararlı sürüm 4.2, geliştirilmekte olan sürüm 5.0'dır. WSTG kullanan sağlayıcı, hangi test alanlarının kapsandığını ve hangilerinin kapsanmadığını söyleyebilir.

OWASP Application Security Verification Standard (ASVS)

ASVS, uygulama güvenliği gereksinimlerini üç doğrulama seviyesinde listeler. En son kararlı sürüm 5.0.0'dır. Seviye 1 gereksinimlerin yaklaşık %20'sini kapsar ve başlangıç noktasıdır; standart çoğu uygulamanın Seviye 2'yi hedeflemesini belirtir. Geleneksel pentest raporları yalnızca başarısızlıkları listelerken ASVS değerlendirmesi kontrol edilen her gereksinimi raporlar.

Penetration Testing Execution Standard (PTES)

PTES testi yedi bölüme ayırır: çalışma öncesi görüşmeler, bilgi toplama, tehdit modelleme, zafiyet analizi, açık kullanımı, açık kullanımı sonrası ve raporlama. Teklifin teknik işten fazlasını, özellikle başlangıç anlaşmalarını ve son raporu kapsadığını kontrol etmeye yardımcı olur.

NCSC rehberi ve MIAUW

NCSC'nin teknik güvenlik önlemlerini test etme yayını müşteriyi testin yanıtlayacağı soru, kapsam, test türü, sağlayıcı seçimi, uygulama ve takip adımlarından geçirir; her aşama için kontrol listesi sunar. MIAUW (Methodiek voor Informatiebeveiligingsonderzoek met Auditwaarde), Hollanda kamu kurumlarında testleri yapılandırmak ve sonuçlarını denetlenebilir kılmak için geliştirilmiş açık kaynak metodolojidir. Mayıs 2025 tarihli NCSC uzman yazısı, test planını kararlaştırmak için bunu referans alır.

• OWASP Web Security Testing Guide
• OWASP Application Security Verification Standard
• GitHub'da MIAUW metodolojisi (Felemenkçe ve İngilizce)

Sızma testine ne zaman ihtiyaç vardır?

Riskler değiştiğinde veya güvenlik önlemlerinizin çalıştığını göstermeniz gerektiğinde sızma testi özellikle faydalı olur. NCSC, testi yayından hemen önce planlamamayı önerir: bulguları düzeltmek zaman ister ve test sırasında sistem değişmemelidir. En yaygın gerekçeler şunlardır.

Büyük bir güncelleme veya yayına çıkış öncesinde ya da sonrasında

Yeni müşteri portalı, ödeme akışı, herkese açık API veya büyük yeniden geliştirme saldırı yüzeyini değiştirir. İşlevler kararlı olduğunda, canlı ortamı temsil eden ortamda test edin; yayından önce düzeltme ve tekrar test için zaman bırakın. Küçük yayınlarda güvenli geliştirme ve CI/CD otomatik kontrolleri, her seferinde tam penteste göre daha orantılıdır.

Müşteri, ihale veya iş ortağı gereksinimleri

Özellikle büyük kuruluşlar ve kamu kurumları, verilerini işliyorsanız güvenlik testi kanıtı isteyebilir. Güvenlik anketi veya ihalede güncel rapor, yönetici özeti veya tekrar test beyanı talep edilebilir. Tam gereksinimi kontrol edin: belirli kapsam, raporun azami yaşı veya sertifikalı sağlayıcı istenebilir.

ISO/IEC 27001 ve diğer denetimler

ISO/IEC 27001 pentesti adıyla zorunlu tutmaz; ancak denetçi teknik zafiyetleri nasıl yönettiğinizi ve önlemleri nasıl test ettiğinizi görmek ister. Pentest raporu yaygın kanıttır. Hollandalı sağlayıcılar sağlıkta NEN 7510 ve DigiD değerlendirmeleri gibi sektör çerçevelerine yönelik raporlar da sunar.

Siber sigorta

Sigortacılar siber poliçe alırken veya yenilerken güvenlik önlemlerini sorabilir. Aşağıda ele alınan CCV Keurmerk Pentesten, Hollanda Sigortacılar Birliği Verbond van Verzekeraars dahil taraflarla geliştirilmiştir. Poliçe veya aracı testten söz ediyorsa hangi kanıtı kabul ettiklerini sorun.

NIS2 ve Cyberbeveiligingswet

AB NIS2 direktifinin Hollanda uygulaması Cyberbeveiligingswet (Cbw), 15 Ağustos 2026'da yürürlüğe girdi. NCSC'ye göre belirlenmiş sektörlerde temel veya önemli hizmet sunan 8.000'den fazla kuruluşu kapsar; genellikle en az 50 tam zaman eşdeğeri çalışanı olanlar veya hem yıllık cirosu hem bilanço toplamı 10 milyon €'yu aşanlar. Madde 21, önlemlerin etkinliğini değerlendiren politika ve prosedürler ister. NCSC önlemleri örneğin yılda bir düzenli test etmeyi, teknik önlemleri de kendi test rehberine uygun değerlendirmeyi önerir.

Yasa her işletmenin pentest yaptırmasını zorunlu tutmaz. Ancak Cbw kapsamındaki kuruluşlar tedarik zinciri risklerini yönetmelidir. Böyle bir kuruluşa hizmet veriyorsanız sizden de kanıt istenebilir.

• NCSC: Cyberbeveiligingswet/NIS2 (Felemenkçe)
• NCSC: kuruluşunuz Cbw kapsamında mı? (Felemenkçe)
• NCSC: etkinlik testi dahil Cbw özen yükümlülüğü (Felemenkçe)
• Rijksoverheid: Cbw 15 Ağustos 2026'da yürürlükte (Felemenkçe)

Hollanda'da sızma testi ne kadar tutar?

Fiyat test saatlerine bağlı olduğundan sağlayıcıların çoğu kapsam görüşmesinden sonra iş bazında teklif verir. Birkaç Hollandalı sağlayıcının paket fiyatı yararlı referanstır. Eylül 2026 itibarıyla DongIT (Web Security Scan), basit web uygulaması için Quick Pentest'i KDV hariç 2.960 €, Expert Pentest'i 5.040 €, Extensive Pentest'i 7.200 €'dan listeler. Warpnet sayfa, uç nokta, rol ve sunucu sayısına göre 2.500 €, 5.000 € ve 7.500 €'dan başlayan paketler sunar; KDV'nin dahil olup olmadığı belirtilmez.

Fiyat kapsamını kontrol edin. Warpnet tekrar testi dahil eder; DongIT bulgu sayısına göre ayrıca ücretlendirir. DongIT'in KDV hariç 1.480 € Basic Scan'i sınırlı elle doğrulama içeren yarı otomatik zafiyet taramasıdır; sağlayıcı bunu daha ucuz pentest değil, farklı inceleme türü olarak tanımlar.

Karmaşık ortamlar, çoklu uygulamalar ve büyük ağlar için özel teklif verilir. Hollanda pentest kalite belgesini yöneten CCV de maliyetin test türü, kapsam ve sağlayıcıya göre değiştiğini belirtir. Bölüm sonundaki tablo yayımlanan paketleri özetler.

Kapsam ve büyüklük

Sayfa, uç nokta, kullanıcı rolü, API çağrısı, IP adresi ve bulut hesabı sayısı gerekli saatleri belirler. Örneğin Warpnet'in en küçük paketi 30'dan az web sayfası veya uç nokta ve bir-iki rol varsayar.

Derinlik ve ön bilgi

Gri ve beyaz kutu testler zamanı kara kutudan daha verimli kullanır. Tüm rol kombinasyonlarının testi veya kaynak kod incelemesi gibi ek derinlik süreyi artırır. DongIT statik kod analizini ayrı hizmet olarak, gösterge niteliğinde KDV hariç 3.500 €'dan listeler.

Karmaşıklık ve entegrasyonlar

Ödeme sağlayıcıları, tek oturum açma, dosya işleme, yapay zekâ özellikleri ve başka sistemlere bağlantılar test senaryoları ekler. Entegrasyon üçüncü tarafa aitse o taraf izin vermedikçe kapsam dışında kalır.

Raporlama gereksinimleri

Bulguları ISO/IEC 27001, NEN 7510 veya müşteri anketiyle eşleştiren rapor standart teknik rapordan daha çok zaman ister. Teklifin bunları içermesi için kapsam görüşmesinde belirtin.

Zamanlama ve tekrar test

Mesai dışında, kısa sürede veya birkaç turda test daha pahalı olabilir. Fiyata dahil veya ayrı olsun, düzeltme sonrası tekrar test için bütçe ayırın.

• DongIT: pentest paketleri ve fiyatları (Felemenkçe)
• Warpnet: pentest paketleri ve fiyatları (Felemenkçe)
• Özel yazılım ne kadar tutar?
• Hollanda'da site ne kadar tutar?

Sızma testi ne kadar sürer?

Testin kendisi çoğu zaman en kısa bölümdür. DongIT, küçük web uygulamasında 16; geniş ağ veya kurumsal uygulamada 80 saat ve üzeri aktif test belirtir. Kapsam görüşmesinden son rapora genellikle dört-sekiz hafta gerekir: üç iş gününde teklif, bir-iki hafta hazırlık, kapsama göre beş-25 iş günü uygulama ve sonrasında beş iş gününde rapor.

NFIR, hazırlık, analiz ve rapor açıklaması dahil genel sürenin iki-dört hafta olduğunu belirtir. KPN, test edilenin büyüklük ve karmaşıklığına göre günler, haftalar hatta aylar sürebileceğini söyler.

Son tarihten geriye planlayın. Yayına iki ay varsa kapsamı belirlemeye başlayın, uygulamanın kararlı kalacağı bir test dönemi belirleyin, yayından önce düzeltme ve tekrar test için zaman bırakın. Sağlayıcıların takvimleri de olduğundan teklif isterken bekleme süresini sorun. Önemli yayında kapsam netleşir netleşmez test için takvim oluşturmanızı öneririz.

• DongIT: pentest süreci ve süresi (Felemenkçe)
• NFIR: pentest hakkında bilmeniz gerekenler (Felemenkçe)
• KPN: pentest açıklaması (Felemenkçe)

Kapsamdan tekrar teste pentest süreci nasıl işler?

İyi planlanmış bir testin adımları baştan bellidir. NCSC'nin teknik güvenlik önlemlerini test etme yayını ve uzman yazısı, müşteri olarak her adımda düzenlemeniz gerekenleri anlatır. Hazırlığınız sonucu önemli ölçüde etkiler.

1. Kapsam ve testin yanıtlayacağı soru

Sistem listesiyle değil, soruyla başlayın. NCSC örnek verir: A uygulamasındaki açık nedeniyle bütün müşteri verilerim sızabilir mi? Sonra sistem sahibi, geliştiriciler ve sağlayıcıyla kapsamı, hariç tutulanları, test ortamını ve uzmana verilecek bilgiyi belirleyin.

Birden fazla sağlayıcıyla kapsam görüşmesi yapın. NCSC'ye göre hedef, kapsam ve mimari hakkında çok soru soran sağlayıcı olumlu işarettir. Hassas ayrıntıları paylaşmadan gizlilik anlaşması imzalayın.

2. Yazılı yetkilendirme ve test kuralları

Hollanda Ceza Kanunu 138ab maddesine göre otomatik sisteme kasıtlı ve hukuka aykırı giriş, bilgisayara izinsiz erişim suçudur (computervredebreuk). Temel suç iki yıla kadar hapis veya dördüncü kategori para cezası, ağırlaştırılmış hâller daha yüksek yaptırımlar taşır. Yetkili taraf önceden izin verdiği için pentest hukuka uygundur.

İzni; kapsam, IP ve URL'ler, test dönemi, izin verilen teknikler ve irtibat kişileriyle yazılı kaydedin. Uygulama barındırma, bulut veya SaaS sağlayıcısında çalışıyorsa şartlarını kontrol edip gerektiğinde izin alın. NCSC ayrıca tazminat/sorumluluk maddesi, GDPR kapsamındaki kişisel veri anlaşmaları ve test verisiyle raporun saklanma, silinme ve paylaşılma kurallarını önerir.

3. Test zamanı ve ortamı

Testin ne zaman, canlı sitede mi yoksa kabul testi ortamında mı yapılacağını kararlaştırın. Canlı ortam en gerçekçi resmi verir; ancak pentest sistemi aksatabilir. Bu nedenle NCSC, kaba kuvvet ve hizmet reddine yol açabilecek testlere izin verilip verilmediğinin önceden belirlenmesini önerir. Test süresince büyük bir değişiklik, yedekleme/geri yükleme işlemi veya başka test yapmayın; barındırma ve kimlik sağlayıcısı gibi paydaşları bilgilendirin.

4. Test sırasında

Uzmanın iletişim biçimini belirleyin: kısa ilerleme bildirimleri ve acil bulgular için doğrudan iletişim. Kritik bir açık bulunduğunda bunu son raporu beklemeden, aynı gün öğrenmek istersiniz. Raporun gerçekten test edilenleri yansıtması için kapsam değişikliklerini açıkça kaydedin.

5. Rapor ve risk dereceleri

İyi rapor kimin neyi ne zaman test ettiğini, test edilemeyenleri, her bulgunun kanıtını, etkisini ve önerisini, başlangıç sorusunu yanıtlayan yönetici özetini içerir. Birçok sağlayıcı FIRST tarafından sürdürülen Common Vulnerability Scoring System (CVSS) kullanır.

İlk kez Kasım 2023'te yayımlanan CVSS 4.0 beş derece kullanır: Yok (0,0), Düşük (0,1-3,9), Orta (4,0-6,9), Yüksek (7,0-8,9), Kritik (9,0-10,0). CVSS teknik ciddiyeti ölçer. FIRST, düzenleyici gereksinimler, etkilenen müşteri sayısı ve itibar etkisinin CVSS dışında olduğunu belirtir; öncelikleri kendi bağlamınızda belirleyin.

6. Düzeltme ve tekrar test

NCSC raporların sıklıkla uygulamaya geçirilmeden kaldığı konusunda uyarır. Her bulguya sorumlu ve son tarih atayın; tekil belirtiler yerine yapısal nedenleri giderin, ardından tekrar test isteyin; düzeltme ilk seferde her zaman doğru olmayabilir. Birleşik Krallık NCSC, risk değerlendirmesi ve düzeltme kararlarının uzmanın değil sizin sorumluluğunuz olduğunu vurgular.

• Hollanda Ceza Kanunu, Madde 138ab (Felemenkçe)
• FIRST: CVSS v4.0 tanımı
• NCSC uzman yazısı: kapsamdan takibe (Felemenkçe)

Pentest sağlayıcısı nasıl seçilir?

Fiyat değerlendirilecek konulardan yalnızca biridir. NCSC; birden fazla teklif karşılaştırmayı, yaklaşım, deneyim, sertifika ve eğitimi sormayı, özellikle çalışma sonunda elinizde kalan somut belge rapor olduğu için örnek rapor istemeyi önerir. Şu noktalar karşılaştırmaya yardımcı olur.

Açık kapsam ve metodoloji

İyi teklif kapsamdaki sistemleri, yaklaşımı (kara, gri veya beyaz kutu), test gün/saat sayısını, metodolojiyi ve açıkça hariç tutulanları belirtir. Belirsiz teklifler karşılaştırmayı imkânsızlaştırır.

CCV Keurmerk Pentesten

Centrum voor Criminaliteitspreventie en Veiligheid (CCV); polis, VNO-NCW/MKB-Nederland, Cyberveilig Nederland, Digital Trust Center ve Verbond van Verzekeraars dahil taraflarla geliştirilmiş kalite belgesini yönetir. Bireysel uzmanları değil şirketleri sertifikalandırır.

Uzmanlar yıllık güncellenen listedeki uygulamalı sertifikalardan birine sahip olmalı; sistem üç yıldan eski olmayan davranış belgesi (VOG) ister. Sertifikalandırma yasal zorunluluk değildir. CCV sertifikalı şirketler kaydı yayımlar ve müşterinin sağlayıcının geçmişini kontrol etme sorumluluğunun sürdüğünü belirtir.

Bireysel yeterlilikler

Uzmanlar sıklıkla uygulamalı sertifikalar taşır. OffSec OSCP'de adaylar, laboratuvarda açıkları tespit edip kullandıkları ve raporladıkları 24 saatlik gözetimli sınavı geçer. CREST, Birleşik Krallık'ta kayıtlı, üye şirketleri akredite eden ve mesleki sertifikalar sunan kâr amacı gütmeyen kuruluştur.

CCV, CEH ve LPT gibi giriş düzeyi belgeleri yeterlilik için fazla hafif bulur. Sertifika beceriler hakkında bilgi verir; örnek rapor ve uzmanla görüşme, sisteminizde nasıl çalışacağı konusunda daha fazlasını söyler.

Sigorta, gizlilik ve veri işleme

Sağlayıcının mesleki ve genel sorumluluk sigortasını, testte bulgu ve giriş bilgilerinin nasıl saklandığını, verilerin ne zaman silindiğini sorun. İşi kimin yapacağını, alt yüklenici olup olmadığını ve acil bulguların nasıl bildirildiğini kontrol edin.

• CCV: Keurmerk Pentesten (Felemenkçe)
• CCV: kalite belgesi hakkında sık sorulanlar (Felemenkçe)
• CCV: kalite belgesinin arkasındaki taraflar (Felemenkçe)
• OffSec: OSCP sertifikası
• CREST: akreditasyon ve sertifikalandırma

Pentest hazırlığı: sekiz maddelik liste

Testten önce bu maddeleri tamamlayın. Her biri test saati kazandırır veya gecikmeyi önler. Testi engelleyecek veya sonuçları kullanmayı zorlaştıracak konularla başlayın.

İşaretlemeler geçicidir; yanıtlar kaydedilmez veya gönderilmez. Liste hazırlığa yardımcı olur, sağlayıcıyla anlaşmaların yerine geçmez.

• Testin yanıtlayacağı soru net mi? Testin hangi soruyu yanıtlayacağını tek cümlede söyleyebiliyorsunuz; örneğin müşteri verisinin sızıp sızamayacağını.
• Kapsam yazılı mı? URL'ler, API'ler, IP adresleri, ortamlar ve açıkça kapsam dışı olanlar listelenmiş.
• Yazılı test izni alındı mı? Gerektiğinde barındırma/bulut sağlayıcısı dahil kapsamdaki her sistemin sahibi onay vermiş.
• Test hesapları hazır mı? Kapsamdaki her rol için gerçekçi fakat hassas olmayan test verili hesaplar var.
• Ortam kararlı mı? Test aralığında büyük yayın, taşıma veya yedekleme/geri yükleme planlanmamış.
• Barındırma ve izleme ekipleri bilgilendirildi mi? Barındırma, güvenlik izleme ve kimlik sağlayıcıları test zamanını ve uzmanların IP'lerini biliyor.
• Kritik bir sorunda ulaşılacak kişi belli mi? Test saatlerinde ulaşılabilen ve kritik bulguda ne yapacağını bilen biri var.
• Düzeltme ve tekrar teste zaman ayrıldı mı? Rapor sonrasında geliştirici kapasitesi var ve tekrar test tarihi kararlaştırılmış.

• NCSC: güvenlik testi yaptırma kontrol listeleri (Felemenkçe)

Sızma testi için nereden başlamalı?

Önce bir güvenlik ihlalinde en çok zarar görebileceğiniz uygulamayı veya API’yi seçin. Testte neyi öğrenmek istediğinizi yazın; gerekli belgeleri, test hesaplarını ve kısıtları hazırlayın. İki ya da üç sağlayıcıdan teklif alın. Fiyatla birlikte kapsamı, yöntemi, örnek raporu ve düzeltme sonrası tekrar test koşullarını karşılaştırın.

Pixel Dev olarak yazılı anlaşma ve kapsamı belirlenmiş web uygulaması ve API sızma testleri yapıyoruz. Bulut ve Kubernetes güvenliğini güçlendirme, CI/CD süreçlerine güvenlik kontrolleri ekleme konularında da çalışıyoruz. Bulguları, geliştiricinizin kullanabileceği doğrulama bilgileri ve düzeltme önerileriyle raporluyoruz. Kapsamı nasıl belirlediğimizi, hangi yöntemi kullandığımızı ve nasıl rapor hazırladığımızı bize de sorabilirsiniz.

Henüz sızma testi planlamıyorsanız ücretsiz yapay zekâ görünürlüğü ve güvenlik taramamızla başlayabilirsiniz. Bu taramada herkese açık sayfaları, yanıt başlıklarını, sertifikaları ve DNS kayıtlarını pasif olarak inceliyoruz. Giriş denemesi, port taraması veya açık kullanımı yapmıyoruz; bu hizmet bir sızma testi değil. Daha kapsamlı teste geçmeden hangi temel eksikleri ele almanız gerektiğini görmenize yardımcı olabilir.

• Pixel Dev: web ve API sızma testi
• Sızma testini Pixel Shield ile görüşün
• Ücretsiz pasif site taraması isteyin
• Site güvenliği kontrol listesi