BDDK Sızma Testi

BDDK sızma testi ile bankaların ağ, sistem, uygulama, ATM ve diğer kritik bilgi varlıklarındaki güvenlik açıklarını mevzuata uygun kapsam, metodoloji ve raporlama süreçleriyle değerlendirin.

BDDK Uyumlu Sızma Testi Başlatın

BDDK Mevzuatı Kapsamında Sızma Testi

BDDK Sızma Testi Nedir ve Neden Zorunludur?

BDDK sızma testi, bankaların bilgi sistemleri, ağ altyapıları, uygulamaları ve kritik dijital varlıklarındaki güvenlik açıklarının saldırgan bakış açısıyla değerlendirilmesini sağlayan düzenli bir güvenlik testidir.

Çalışmalar, BDDK Bilgi Sistemlerine İlişkin Sızma Testleri Hakkında Genelge kapsamında tanımlanan test alanları, metodoloji, bulgu sınıflandırması, raporlama ve takip gereklilikleri dikkate alınarak planlanır.

Testlerin amacı yalnızca teknik açıkları tespit etmek değildir. Bulguların önem derecesi, etkilenen varlıklar, olası iş etkileri ve gerekli düzeltme aksiyonları birlikte değerlendirilir; sonuçlar mevzuata uygun raporlama yapısıyla kuruma sunulur.

Lostar, BDDK uyumlu sızma testi hizmetini kapsam belirleme, yetkilendirme, teknik testler, bulgu doğrulama, risk önceliklendirmesi ve raporlama adımlarıyla uçtan uca yürütür.

Temel Gereklilikler

Sızma testleri bağımsız ekipler tarafından gerçekleştirilmelidir
Bilgi sistemlerinin güvenilirliği ve tutarlılığı düzenli olarak incelenmelidir
Güncel güvenlik gelişmeleri ve yeni açıklar takip edilmelidir
Gerekli yazılım güncellemeleri ve yamalar uygulanmalıdır
Test sıklığı yılda en az bir defa olacak şekilde planlanmalıdır

BDDK Sızma Testi

BDDK Sızma Testi Kapsamı

Altyapı ve Ağ Katmanı

İletişim Altyapısı ve Aktif Cihazlar
DNS Servisleri
Kablosuz Ağ Sistemleri
Dağıtık Servis Dışı Bırakma Testleri

Sistem ve Kullanıcı Ortamları

Etki Alanı ve Kullanıcı Bilgisayarları
E-posta Servisleri
Veritabanı Sistemleri
İç Penetrasyon Testi (Intranet Security Checkup)

Uygulama ve Servis Katmanı

Web Uygulamaları
Mobil Uygulamalar
ATM Sistemleri
Kod Analizi
Sosyal Mühendislik

Çalışma Modeli

Çalışma zamanları önceden bildirilmeyecektir. Yapılacak çalışma için kesin bir takvim verilmeyecektir. Ancak testlere dair anlaşma ve iş emrinin imzalanması ve iletilmesinin ardından resmi hesap açma işlemleri yapılacaktır.

Hesap açılış işlemlerinin tamamlanmasının ardından 30 gün içinde çalışma tamamlanacak ve BDDK Sızma Testleri veya Security Checkup raporu hazırlanacaktır.

Sızma testleri, banka içerisinden bilgi edinimi kısıtlı bir saldırganın uygulayacağı yöntemler kullanılarak kara kutu yöntemi ile gerçekleştirilecektir.

Test Derinliği ve Yaklaşımı

Sızma testlerinin sağlıklı bir şekilde gerçekleştirilebilmesi ve gerçek hayata uygun olması için, tanımlanan erişim noktalarına bu ortamların doğasına uyacak şekilde farklı kullanıcı profilleri ile testler gerçekleştirilir.

Temel sızma testleri; keşif, sistem tespiti, servis tespiti ve açıklık taraması / araştırması adımlarını içerir ve tüm bilgi sistemi varlıklarına uygulanır.

Detaylı sızma testleri ise önceki adımlarda elde edilen bilgilerin birleştirilmesi, yaratıcı yöntemlerle yeni saldırı vektörlerinin oluşturulması ve kurumlara özel zafiyetlerin ortaya çıkarılması ile sistemlere sızmanın yapıldığı tüm işlemleri kapsar.

Çalışma Akışı

BDDK Sızma Testi Süreci Nasıl İlerler?

Çalışma; kapsamın belirlenmesinden testlerin yürütülmesine, bulguların doğrulanmasından raporlama ve sonuç sunumuna kadar kontrollü ve izlenebilir bir süreç olarak yürütülür.

Kapsamın Belirlenmesi

Test edilecek sistemler, uygulamalar, IP adresleri, alan adları, erişim noktaları ve çalışma sınırları netleştirilir.

Hazırlık ve Yetkilendirme

Test hesapları, erişim bilgileri, kurum yetkilileri ve kritik durumlarda izlenecek iletişim süreci tanımlanır.

Testlerin Gerçekleştirilmesi

Kapsam dahilindeki varlıklar, saldırgan bakış açısıyla ve gerçekçi saldırı senaryoları üzerinden kontrollü biçimde test edilir.

Bulguların Doğrulanması

Tespit edilen güvenlik açıkları yeniden kontrol edilir, yanlış pozitifler ayıklanır ve risk seviyeleri belirlenir.

Raporlama ve Sunum

Teknik bulgular, olası etkiler, düzeltme önerileri ve öncelikli aksiyonlar raporlanarak ilgili ekiplere sunulur.

Çalışma Çıktıları

Test Sonunda Kurumunuza Ne Sunulur?

Çalışma çıktıları yalnızca güvenlik açıklarının listelendiği teknik bir rapordan oluşmaz. Bulgular; iş etkileri, risk seviyeleri ve uygulanabilir düzeltme adımlarıyla birlikte sunulur.

Yönetici Özeti

Kurumun genel güvenlik görünümü, kritik risk alanları ve öncelikli aksiyonlar teknik olmayan ve anlaşılır bir dille özetlenir.

Detaylı Teknik Rapor

Tespit edilen açıklar; teknik kanıtlar, etkilenen sistemler, tekrar üretim adımları ve kullanılan test yöntemleriyle birlikte raporlanır.

Risk Önceliklendirmesi

Bulgular teknik önem seviyesinin yanı sıra kurumun iş süreçlerine, veri güvenliğine ve operasyonel sürekliliğine etkileri açısından değerlendirilir.

Düzeltme ve İyileştirme Önerileri

Her bulgu için uygulanabilir çözüm önerileri, kontrol adımları ve teknik ekiplerin yararlanabileceği referanslar paylaşılır.

Test Öncesi Hazırlık

Çalışmanın Verimli İlerlemesi İçin Neler Gerekir?

Kapsam, erişimler ve iletişim süreçlerinin çalışma öncesinde açık biçimde tanımlanması; testlerin kontrollü ilerlemesine ve sonuçların daha sağlıklı değerlendirilmesine yardımcı olur.

Kapsamın test öncesinde netleştirilmesi önemlidir.

Eksik sistem listeleri, geciken erişim bilgileri veya tamamlanmamış onay süreçleri çalışma takvimini ve test kapsamının bütünlüğünü etkileyebilir.

✓

Güncel Sistem Envanteri

Test edilecek IP adresleri, alan adları, uygulamalar, sistemler ve ilgili varlık sahipleri belirlenmelidir.

✓

Test Hesapları ve Erişimler

Farklı kullanıcı profilleriyle gerçekleştirilecek çalışmalar için gerekli hesaplar ve bağlantı bilgileri hazırlanmalıdır.

✓

Yetkilendirme ve Onaylar

Test kapsamı, izin verilen faaliyetler ve çalışma yöntemleri kurumun yetkili ekipleri tarafından onaylanmalıdır.

✓

İletişim ve Eskalasyon Planı

Kritik bir bulgu veya beklenmeyen sistem davranışı halinde iletişime geçilecek teknik ve yönetsel sorumlular tanımlanmalıdır.

✓

Kritik Sistem Bilgilendirmesi

Kesinti toleransı düşük veya operasyon açısından kritik sistemler çalışma başlamadan önce test ekibine bildirilmelidir.

BDDK gerekliliklerini yalnızca karşılamakla kalmayın; bilgi sistemlerinizin güvenliğini ölçülebilir ve savunulabilir şekilde güçlendirin.

Uzman ekibimizle mevzuata tam uyum sağlayın.

BDDK Test Sürecini Başlatın