Sızma Testi Nedir ?

Sızma testi; bir uygulama, yazılım, sistem veya ağa yönelik gerçek siber saldırıların güvenli koşullar altında tespit edilmesi işlemidir. Bu, mevcut güvenlik önlemlerinin gerçek bir saldırıya karşı ne kadar başarılı olacağının değerlendirilmesine yardımcı olur.

Veri Gizliliği Nedir ?

Veri gizliliği, hassas veya kişisel bilgilerin izinsiz erişimi, kullanımı, ifşa edilmesi veya değiştirilerek sunulmasına karşın koruma sağlayan kavramdır. Bireylerin veya kurumların bu sayede sahip oldukları bilgilerin güvende kalmasını temin eder. 

Sızma Testi Uygulamaları Nelerdir ?

Ağ Sızma Testleri:

• Ağ güvenliği açıklarını ve zayıf noktalarını tespit etmek için gerçekleştirilir.
• Bu testleri yaparken Penetration Testing Execution Standard (PTES) baz alınması gerekmektedir.
• Sunucular, ağ cihazları, güvenlik duvarları ve ağ altyapısının güvenliğini değerlendirip önlem almamıza yardımcı olur.

Web Uygulama Sızma Testleri:

• Web uygulamalarının güvenlik açıklarını tespit etmek amacıyla yapılır.
• Web uygulama sızma testlerinde OWASP10 listesinde yayımlanan açıklara özellikle dikkat etmek gerekmektedir. Bu sayede ilerleyiş daha kararlı ve doğru olacaktır.

Fiziksel Güvenlik Testleri:

• Fiziksel güvenlik önlemlerinin yeterliliğini test etmek için kullanırız.
• Gözlem yaparak fiziksel ortamın incelenmesi, ortamda bulunan her şeye dikkat edilerek yapılır.

Sosyal Mühendislik Testleri:

• İnsanları kandırmaya yönelik yapılan uygulamadan bir tanesidir. Dikkatsizlik birincil öncüldür. 
• Telefonla arama, e-posta veya kişisel görüşmeler gibi yöntemler kullanabilir.

Kablosuz Ağ Sızma Testleri:

• Kablosuz ağlar üzerinden erişim sağlamaya yönelik testlerdir.
• Wi-Fi şifreleri ve ağ güvenliği açıkları üzerinde çalışır.

Uygulama Güvenliği Testleri:

• Mobil uygulamalar, masaüstü uygulamalar ve diğer yazılım uygulamalarının güvenliğini değerlendirmek için yapılır.
• Uygulama içinde bulunan açıkları bulmak için yaptığımız testlerdir.

Açık Kaynak Yazılım İstismarları:

• Açık kaynak yazılım ve platformlardaki güvenlik açıklarını değerlendirmek amacıyla yaparız.
• Açık kaynak projelerin düzeltmeleri yayınladığı güvenlik açıklarını tespit etmek önemlidir.

İç Tehdit Testleri:

• Test yapılan kurum veya kuruluşlar içerisinde bulunan çalışanlar tarafından gelecek olan kötü niyetli saldırıların test edilmesi için yaptığımız testlerdir.
• Bu test böyle bir durum olduğunda kurum veya kuruluş nasıl etkilenecek sorusuna cevap bulmak için yapılır.

Uzaktan Erişim Testleri:

• Uzaktan erişim noktalarını ve VPN bağlantılarını inceleyen sızma testleri.
• Günümüzde çoğu çalışanın kullandığı uzaktan çalışma modelindeki güvenlik durumunu test etmek için kulandığımız test modelidir.

Veri Gizliliği Uygulamaları

• Veri Gizliliği ile ilgili çalışmalar yaparken GDPR standartlarını da göz önünde bulundurmak faydalı olacaktır. 
• “GDPR, Avrupa Birliği’nde kişisel verilerin işlenmesi ve korunmasına ilişkin kuralları içerir ve dünya genelinde etkili bir veri gizliliği standartı olarak kabul edilir.”

Veri Şifreleme:

• Hassas verilerimizin 2. kişilerin ellerine geçmesine veya ifşa olmasına engel olmak için kullanılan bir veri gizliliği uygulamasıdır.
• Veritabanları, dosyalar ve iletişim araçları gibi farklı düzeylerde şifreleme yapılabilir.

Erişim Kontrolleri:

• Veriye erişim için sadece yetkili kişilerin erişmesini sağlamak için yapılan kontrollerdir.
• Rol tabanlı erişim kontrolü kullanmak, bu konuda etkili olabilir.

Veri Sınıflandırma:

• Verilerin hassasiyetine göre sınıflandırılması ve bu sınıflandırmalara göre işlemlerin uygulanması.
• Örneğin, çalışılan kurum verileri, iletişim verileri, kişisel veriler arasında ayrım yapılabilir.

Veri Yedeklemesi ve Kurtarma:

• Verilerin yedeklenmesi, veri kaybı durumunda verilerin geri yüklenmesine yardımcı olur.
• Veri kurtarma planları ve süreçleri oluşturmak önemlidir.

Ağ Güvenliği:

• Firewal, antivirüs yazılımları ve güvenlik duvarları gibi ağ güvenlik önlemleri kullanarak veri trafiğini korumak oldukça önemlidir.
• Güvenlik yamaları ve güncellemeleri düzenli olarak uygulamak da gereklidir.

Kullanıcı Eğitimi ve Farkındalık:

• İşletme çalışanlarının veri gizliliği konusunda eğitilmesi ve farkındalıklarının artırılması gerekmektedir.
• Sosyal mühendislik saldırılarına karşı dikkatli olmaları gerektiği konusunda bilinçlendirmek oldukça önemlidir.

Veri İmha Politikaları:

• Gereksiz verilerin belirli bir süre sonra imha edilmesini düzenleyen politikalardır.
• Veri gereksinimlerini karşılamayan veya yasa gerekliliklerine uymayan verilerin güvenli bir şekilde silinmesini sağlar.

Güvenlik İzleme ve Günlüklemesi:

• Ağ ve sistem günlüklerinin düzenli olarak izlenmesi ve değerlendirilmesi, potansiyel tehditleri tanımak ve hızlı müdahalede bulunulmasında yardımcı olur.

Güvenlik Yazılımları ve Aracılar:

• Intrusion Detection Systems (IDS), Intrusion Prevention Systems (IPS), ve güvenlik yazılımları gibi araçların kullanılması gereklidir.

Mobil Cihaz Yönetimi:

• Mobil cihazlardaki verilerin korunması ve uzaktan silme yetenekleri gibi güvenlik özelliklerinin kullanılması.

Sızma testi uygulamaları ve veri gizliliği uygulamaları NIST Rehberine uygun olarak ilerlenmeli. NIST kapsamında aşağıdaki rehberleri baz almak oldukça faydalı olacaktır:

• NIST Cybersecurity Framework: NIST Siber Güvenlik Çerçevesi, organizasyonların siber güvenlik risklerini anlamalarına, yönetmelerine ve azaltmalarına yardımcı olan bir rehberdir.
• NIST SP 800–53: “Güvenlik ve Gizlilik Kontrolleri Kılavuzu” olarak bilinen SP 800–53, federal bilgi sistemlerinin güvenliğini sağlamak için kullanılan kapsamlı bir rehberdir.
• NIST SP 800–171: “Kontroller ve Güvenlik Tedbirleri Kılavuzu” olarak bilinen SP 800–171, federal taşeronlar ve tedarikçileri için tasarlanmıştır. Bu rehber, federal verilerine erişen veya saklayan dış kaynaklı organizasyonların bilgi güvenliği gereksinimlerini karşılamalarına yardımcı olur.
• NIST SP 800–30: “Risk Yönetimi Rehberi” olarak bilinen SP 800–30, organizasyonların siber güvenlik risklerini yönetmelerine yardımcı olur. Risk değerlendirmesi, risk azaltma ve risk izleme süreçlerini kapsar.
• NIST SP 800–137: ”Mobil Cihazlarda Bilgi Güvenliği Rehberi” olarak bilinen SP 800–137, mobil cihazlarla ilgili güvenlik konularını ele alır ve organizasyonlara mobil cihazlarının güvende tutulmasına yönelik stratejiler sunar.

Sızma Testi Uygulamaları ve Veri Gizliliği Uygulamalarının Ortak Noktası 

Güvenlik Değerlendirmesi: Hem sızma testi hem de veri gizliliği uygulamaları, organizasyonun güvenlik durumunu değerlendirmeyi amaçlar. 

Siber Saldırılara Karşı Savunma: Her iki yaklaşım da siber saldırılara karşı organizasyonları daha savunmasız hale getiren zayıf noktaları tanımlamayı ve bu açıkları kapatmayı amaçlar. 

Bilinçlendirme ve Eğitim: Her iki yaklaşım da organizasyon içinde bilinç ve eğitimin önemini vurgular. Çalışanlar, siber tehditlere karşı eğitilmeli ve veri gizliliği politikalarına uygun davranmalıdır.

Politika ve Yönetmelik Uyumluluğu: Her iki yaklaşım da sıklıkla yerel ve ulusal düzenlemelere uyum sağlama gerekliliğini içerir. 

Risk Azaltma: Sızma testleri ve veri gizliliği uygulamaları, organizasyonların risklerini azaltmalarına yardımcı olur. 

Sürekli İyileştirme: Her iki yaklaşım da organizasyonların sürekli olarak güvenliklerini iyileştirme amacını taşır.