ISO 27001 Sızma Testi

ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) gereksinimlerini tanımlayan uluslararası standarttır. Güncel sürüm Ekim 2022'de yayımlanan ISO/IEC 27001:2022'dir; 2024'te iklim değişikliğine ilişkin bir tadil (Amd 1:2024) eklenmiştir.

Standart, sektör ve büyüklükten bağımsız olarak BGYS kuran her kuruluşa uygulanabilir. Belgelendirme, akredite belgelendirme kuruluşlarının yaptığı denetimle verilir.

Standart, kontrollerin risk değerlendirmesine göre seçilmesini ve Uygulanabilirlik Bildirgesi'nde (SoA) gerekçelendirilmesini ister. Sızma testi bu nedenle bir zorunluluk değil, seçilen kontrollerin çalıştığını gösteren risk temelli bir kanıttır.

• Ek A 8.8 Teknik zafiyetlerin yönetimi: Zafiyetler hakkında zamanında bilgi edinilmesi, maruziyetin değerlendirilmesi ve uygun önlemlerin alınması.
• Ek A 8.29 Geliştirme ve kabulde güvenlik testi: Yeni sistemlerin ve değişikliklerin canlıya alınmadan önce güvenlik açısından test edilmesi.
• Ek A 5.35 Bilgi güvenliğinin bağımsız gözden geçirilmesi: Kontrollerin bağımsız olarak değerlendirilmesi.
• Madde 9 Performans değerlendirmesi: Kontrollerin etkinliğinin izlenmesi, ölçülmesi ve iç denetim.

Test kapsamını risk değerlendirmenize ve SoA'nıza göre belirler, bulguları ilgili Ek A kontrolleriyle eşleriz. Belgelendirme denetimini akredite belgelendirme kuruluşları yapar; biz teknik kanıt tarafına odaklanırız.

• Dış ağ, iç ağ, web ve mobil uygulama sızma testi.
• Yazılım geliştiren kurumlar için kaynak kod analizi (Ek A 8.29 ve 8.28).
• Sürekli takip için zafiyet yönetimi hizmeti.
• Kontrollere eşlenmiş rapor, düzeltme sonrası doğrulama testi ve kapanış kaydı.