Sıkça Sorulan Sorular
Bu sayfada Nokta Guard'ın sızma testi ve adli bilişim hizmetleri, proje süreci, gizlilik, fiyatlandırma ve raporlama hakkında en sık sorulan soruların yanıtlarını bulabilirsiniz. Sorular altı başlık altında gruplanmıştır ve her yanıt kendi başına anlaşılır şekilde yazılmıştır.
Sürükleyip bırakın veya tıklayın.01
Genel & Firma
Nokta Guard hangi hizmetleri sunuyor?
Nokta Guard; sızma testi ve diğer ofansif güvenlik testleri, adli bilişim, zafiyet ve maruziyet yönetimi, risk ve uyumluluk danışmanlığı ile eğitim ve farkındalık hizmetleri sunar. Hizmetleri tek tek veya bir program halinde birleştirerek alabilirsiniz.
Nokta Guard nerede bulunuyor, hangi bölgelere hizmet veriyor?
Merkezimiz İstanbul Kartal'dadır. Türkiye'nin her yerindeki kurumlara yerinde ve uzaktan, yurt dışındaki kurumlara ise uzaktan hizmet veriyoruz. Yerinde çalışma gerektiren işler kapsam aşamasında planlanır.
Hangi büyüklükteki kurumlarla çalışıyorsunuz?
Tek bir web uygulamasını test ettirmek isteyen küçük işletmelerden çok sayıda sistemi olan büyük kurumlara kadar farklı ölçeklerde çalışıyoruz. Kapsamı ve test derinliğini kurumunuzun büyüklüğüne ve risk seviyesine göre belirliyoruz.
Ekibinizin hangi sertifikaları var?
Sızma testi ekibimiz ulusal ve uluslararası sertifikalara sahip uzmanlardan oluşur: OSCP, OSEP, CRTO, CEH, eMAPT, eCPTXv2, eWPTX / eWPTXv2 ile TSE Kıdemli Sızma Testi Uzmanı ve TSE Sertifikalı Sızma Testi Uzmanı personel belgeleri. Projeye atanan uzmanların özgeçmişlerini talep halinde teklifle birlikte paylaşabiliriz.
Tek seferlik test dışında sürekli hizmet veriyor musunuz?
Evet. Zafiyet yönetimi, CTEM programı ve yama doğrulama hizmetlerimizle açıklarınızı haftalık veya aylık periyotlarla takip edebiliyoruz. Bu yaklaşım, iki sızma testi arasındaki dönemde ortaya çıkan yeni riskleri de görmenizi sağlar.
02
Sızma Testi
Sızma testi nedir?
Sızma testi, sistemlerinizin yetkili uzmanlar tarafından gerçek saldırgan yöntemleriyle kontrollü biçimde test edilmesidir. Amaç, açıkları bir saldırgandan önce bulmak, istismar edilebilirliğini kanıtlamak ve nasıl kapatılacağını raporlamaktır.
Zafiyet taraması ile sızma testi arasındaki fark nedir?
Zafiyet taraması, bilinen açıkları otomatik araçlarla listeler ve çoğu zaman yanlış pozitif içerir. Sızma testinde ise uzmanlar bulguları manuel olarak doğrular, iş mantığı hatalarını arar ve açıkların birlikte kullanılarak ne kadar ilerlenebileceğini gösterir.
Sızma testi ne sıklıkla yapılmalı?
Genel öneri, en az yılda bir kez ve her büyük sistem veya uygulama değişikliğinden sonra test yaptırılmasıdır. BDDK, SPK, EPDK veya PCI DSS gibi düzenlemelere tabi kurumlarda sıklık ilgili mevzuat tarafından da belirlenebilir.
Kara kutu, gri kutu ve beyaz kutu test arasındaki fark nedir?
Kara kutu testte ekibe hedef hakkında bilgi verilmez; dışarıdaki bir saldırgan simüle edilir. Gri kutu testte kullanıcı hesabı gibi sınırlı bilgi paylaşılır, beyaz kutu testte ise mimari doküman veya kaynak koda erişim sağlanır. Bilgi arttıkça aynı sürede daha derin bir inceleme yapılabilir.
Sızma testi ne kadar sürer?
Süre kapsama bağlıdır. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız.
Test sırasında kritik bir açık bulunursa ne oluyor?
Kritik bir açık tespit ettiğimizde raporu beklemeden, kural setinde belirlenen irtibat kişinize hemen bildiriyoruz. Böylece acil bir risk için test bitimini beklemeden önlem alabilirsiniz.
03
Adli Bilişim
Adli bilişim incelemesi nedir, hangi durumlarda gerekir?
Adli bilişim incelemesi, bilgisayar, telefon, depolama birimi veya sunuculardaki dijital izlerin, delil bütünlüğü korunarak incelenip raporlanmasıdır. İç soruşturmalar, veri sızıntıları, ticari uyuşmazlıklar, iş hukuku ve aile hukuku süreçleri en sık karşılaşılan durumlardır.
Silinen veriler kurtarılabilir mi?
Silinen verilerin incelenip incelenemeyeceği; cihazın türüne, silme yöntemine, cihazın silme sonrası kullanılıp kullanılmadığına ve şifreleme durumuna bağlıdır. Teknik olarak mümkün olduğunda silinmiş dosya ve kayıtlar incelenebilir, ancak sonuç önceden garanti edilemez. Ön değerlendirmede olasılığı sizinle paylaşırız.
Adli bilişim raporunuz mahkemede delil olarak kullanılabilir mi?
Raporlarımız yöntem, araç ve hash değerleriyle birlikte denetlenebilir biçimde hazırlanır. Raporun delil olarak değerlendirilip değerlendirilmeyeceği ve hukuki değeri ilgili merciğin takdirindedir. Nokta Guard bilirkişi değildir; uzman görüşü ve teknik danışmanlık hizmeti sunar.
Mevcut bir bilirkişi raporunu inceletebilir miyim?
Evet. Uzman görüşü hizmetimiz kapsamında mevcut bir bilirkişi raporunun teknik yöntemlerini, delil bütünlüğüne ilişkin tespitlerini ve sonuçlarının dayanaklarını inceleyebiliriz. Değerlendirmemizi teknik bir uzman görüşü olarak raporluyoruz.
Bireysel başvuruları kabul ediyor musunuz?
Evet. Kurumların yanı sıra veri kaybı yaşayan, hukuki bir süreç yürüten veya dijital bir delilin incelenmesine ihtiyaç duyan bireylerin başvurularını da değerlendiriyoruz. Ön değerlendirme için bizi telefonla arayabilir veya iletişim formunu doldurabilirsiniz.
04
Süreç & Gizlilik
Bir projeye nasıl başlanır?
İletişim formu, e-posta veya telefonla bize ulaştıktan sonra kısa bir ön görüşme yapıyoruz. Ardından kapsam formunu birlikte dolduruyor, teklifi hazırlıyor ve onayınızla sözleşme ile yetkilendirme belgelerini imzalıyoruz.
Gizlilik sözleşmesi (NDA) imzalıyor musunuz?
Evet. Kapsam ayrıntıları paylaşılmadan önce gizlilik sözleşmesi imzalanabilir. Projeye ait tüm bilgiler, bulgular ve raporlar yalnızca projede görevli ekip üyelerinin erişebildiği ortamlarda tutulur.
Teste başlamak için hangi yetkilendirme gerekiyor?
Teste başlamadan önce sistem sahibinin yazılı yetkilendirmesi ve testin sınırlarını belirleyen kural seti (rules of engagement) imzalanır. Bulut veya barındırma hizmeti kullanıyorsanız sağlayıcının test politikalarına da uyulur. Bu belgeler olmadan test başlatılmaz.
Verilerimiz ve test bulguları nasıl saklanıyor?
Raporlar, kanıtlar ve adli imajlar şifreli ortamlarda, erişimi yetkili ekip üyeleriyle sınırlandırılarak saklanır. Veriler tercihinize göre hiç saklanmaz ya da 3 veya 6 ay saklanır; süre sonunda güvenli biçimde imha edilir.
Testler mesai saatleri dışında yapılabilir mi?
Evet. Canlı hizmetleri etkileme olasılığı olan testleri gece, hafta sonu veya bakım pencerelerinde planlayabiliyoruz. Test zamanları kural setinde yazılı olarak belirlenir.
05
Fiyatlandırma & Teklif
Sızma testi fiyatı neye göre belirlenir?
Fiyat; test edilecek uygulama, IP adresi ve kullanıcı rolü sayısına, test türüne (web, mobil, iç ağ vb.), test yaklaşımına ve raporlama gereksinimlerine göre belirlenir. Bu bilgiler gerekli uzman eforunu, dolayısıyla teklifi doğrudan etkiler.
Adli bilişim inceleme ücreti neye göre belirlenir?
Ücret; incelenecek cihaz sayısı ve türü, depolama kapasitesi, cihazın fiziksel ve şifreleme durumu, istenen inceleme derinliği ve rapor türüne göre belirlenir. Chip-off gibi ileri yöntemler gerektiren durumlar ayrıca değerlendirilir.
Teklif almak için hangi bilgileri paylaşmalıyım?
Sızma testi için test edilecek sistemlerin listesini, yaklaşık büyüklüğünü, test türünü ve varsa regülasyon gerekliliğinizi paylaşmanız yeterlidir. Adli bilişim için ise cihazların türünü, durumunu ve incelemenin amacını kısaca anlatmanız ön değerlendirme için yeterlidir.
Doğrulama testi teklife dahil mi?
Doğrulama testinin kapsamı ve hangi süre içinde yapılacağı teklifte açıkça belirtilir. Böylece bulguları giderdikten sonra hangi koşullarda yeniden test yapılacağını baştan bilirsiniz.
06
Raporlama
Sızma testi raporunda neler yer alır?
Rapor; yönetici özeti, kapsam ve yöntem bilgisi, risk matrisi ve her bulgu için etki, CVSS puanı, kanıt, tekrarlama adımları ve çözüm önerisinden oluşur. Düzeltmelerin ardından ayrı bir doğrulama raporu teslim edilir.
Rapor ne zaman ve nasıl teslim ediliyor?
Rapor teslim süresi kapsamın büyüklüğüne göre teklifte belirtilir. Raporlar şifreli olarak teslim edilir ve şifre farklı bir iletişim kanalıyla iletilir. Sonuçları ekibinizle bir sunum toplantısında birlikte değerlendiriyoruz.
Rapor İngilizce hazırlanabilir mi?
Evet. Raporlar talebinize göre Türkçe veya İngilizce hazırlanabilir. Dil tercihinizi kapsam aşamasında belirtmeniz yeterlidir.
Raporu denetçiye veya regülatöre sunabilir miyiz?
Raporlarımız kapsam, yöntem, bulgular ve doğrulama sonuçlarını denetimde sunulabilecek düzende içerir. Raporun belirli bir denetimde kabul edilmesi, ilgili düzenlemenin test firmasına ve rapora ilişkin şartlarına bağlıdır. Bu şartları kapsam aşamasında birlikte değerlendiriyoruz.