BDDK Sızma Testi

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanmış ve 1 Temmuz 2020'de yürürlüğe girmiştir. Bankaların bilgi sistemleri yönetimi, bilgi güvenliği, siber olay yönetimi ve elektronik bankacılık hizmetlerine ilişkin asgari esasları belirler.

Yönetmelik sızma testini, sistemdeki güvenlik açıklarını istismar edilmeden önce tespit etmek ve düzeltmek amacıyla yapılan güvenlik testleri olarak tanımlar. BDDK'nın denetimindeki diğer finansal kuruluşlar için ayrı bilgi sistemleri düzenlemeleri bulunabilir; kuruluş türünüze uygun metni birlikte belirleriz.

Yönetmeliğin sızma testine ilişkin hükümleri özetle şunlardır:

• Sıklık: Banka, bilgi sistemlerine yılda en az bir defa sızma testi yaptırır.
• Bağımsızlık: Test, bankanın bilgi sistemlerine dayalı hizmetlerinin tasarım, geliştirme, uygulama ve işletiminde görevi bulunmayan bağımsız ekiplerce yapılır.
• Süreklilik: Kurumsal siber olaylara müdahale ekibi (SOME), siber olay öncesinde bilgi işlem varlıkları üzerinde rutin sızma testi yapmak veya yaptırmakla görevlidir.
• Kapsam ve raporlama: Test kapsamı ve raporun iletimi, BDDK'nın ilgili düzenlemeleri ve bankanın kendi politikası çerçevesinde belirlenir.

Testi bankanızın bilgi sistemleri envanterinden yola çıkarak kurgularız. Kapsamı internet, iç ağ ve gerektiğinde şube ağı gibi erişim noktalarına göre ayırırız.

• Dış ağ, iç ağ / Active Directory, web, mobil bankacılık ve API sızma testleri (Sızma Testi sayfası).
• Gerektiğinde sosyal mühendislik ve DDoS dayanıklılık testleri.
• Yönetici özeti, CVSS puanlı bulgular ve çözüm önerileri içeren, denetimde izlenebilir rapor.
• Düzeltmelerin ardından doğrulama testi ve kapanış raporu.
• Regülasyon eşleştirmesi için Sektörel Uyum hizmetimiz.