Siber Güvenlik
Sızma Testi Ne Sıklıkla Yapılmalı?
Kısa cevap
Çoğu kurum için en az yılda bir kez ve her büyük değişiklikten sonra sızma testi yapılması önerilir. Bu sıklık; sektöre, verinin hassasiyetine ve sistemin ne kadar sık değiştiğine göre artar.
Standartlar ne diyor?
- PCI DSS: Kart verisi işleyen ortamlar için yılda en az bir kez ve önemli değişikliklerden sonra iç ve dış sızma testi ister.
- ISO 27001: Belirli bir sıklık dayatmaz; ancak teknik açıkların düzenli değerlendirilmesini ve risk temelli bir plan ister.
- KVKK: Kurul'un güvenlik rehberi düzenli sızma testini teknik tedbirler arasında sayar.
- Bankacılık ve finans: Sektörel düzenleyiciler genellikle yıllık veya daha sık test bekler.
“Büyük değişiklik” ne demek?
- Yeni bir uygulama veya modülün yayına alınması
- Kimlik doğrulama, ödeme veya yetkilendirme mantığında değişiklik
- Sunucu, bulut veya ağ mimarisinin değişmesi
- Yeni bir üçüncü taraf entegrasyonu
- Kullanılan çerçeve veya veritabanında ana sürüm geçişi
Risk temelli sıklık
| Sistem | Önerilen sıklık |
|---|---|
| Kurumsal tanıtım sitesi | Yılda 1 + düzenli tarama |
| Müşteri portalı, e-ticaret | Yılda 1-2 + her büyük sürüm |
| Ödeme, sağlık, finans verisi | Yılda 2+ ve sürekli tarama |
| Sık sürüm çıkaran SaaS | Sürekli test + periyodik derin test |
Testler arasında ne yapılmalı?
Sızma testi bir anın fotoğrafıdır. Arada kalan dönemde otomatik zafiyet taraması, bağımlılık taraması ve kod incelemesi gibi sürekli kontroller boşluğu doldurur.
Sonuç
Doğru sıklık sistemin riskine göre belirlenmelidir. Size uygun bir test takvimi oluşturmak için siber güvenlik testleri sayfamızı inceleyebilir veya teklif alabilirsiniz.