Siber Güvenlik Değerlendirmesi (Cybersecurity Assessment)

Siber güvenlik değerlendirmesi, bir kuruluşun veya sistemin güvenlik duruşunun bağımsız olarak incelenmesidir. Belirli bir belgelendirme şemasına bağlı olmayabilir: sızma testi, zafiyet değerlendirmesi, mimari incelemesi, olgunluk değerlendirmesi (ör. NIST CSF, CIS Controls) veya kırmızı takım tatbikatı bu başlık altındadır. Çıktı bir belge değil, bulgu ve öneri raporudur.

• Güvenlik duruşunu ölçmek isteyen kuruluşlar
• Belgelendirme öncesi boşluk analizi yaptırmak isteyen firmalar
• Sözleşme gereği periyodik sızma testi yükümlülüğü olan şirketler
• Yeni bir sistem veya ürünü devreye almadan önce doğrulamak isteyen ekipler
• Bir olay sonrası duruşunu yeniden değerlendiren kuruluşlar

Kendi başına zorunlu değildir. Buna karşılık birçok çerçeve ve düzenleme periyodik test yükümlülüğü getirir: PCI DSS sızma testi ve tarama ister, ISO/IEC 27001 teknik uygunluk gözden geçirmesi bekler, NIS2 gibi düzenlemeler risk yönetimi tedbirlerinin etkinliğinin değerlendirilmesini şart koşar.

• Kapsam ve kuralların belirlenmesi (rules of engagement)
• Varlık envanteri ve saldırı yüzeyinin çıkarılması
• Zafiyet taraması ve doğrulama
• Sızma testi: dış ağ, iç ağ, web uygulaması, mobil uygulama, kablosuz
• Yapılandırma ve sertleştirme incelemesi
• Kimlik ve erişim yönetimi incelemesi
• Mimari ve segmentasyon değerlendirmesi
• Sosyal mühendislik ve farkındalık testleri (kapsama alınmışsa)
• Olgunluk değerlendirmesi (NIST CSF, CIS Controls gibi çerçevelere göre)
• Bulguların risk seviyesine göre önceliklendirilmesi ve raporlanması
• Düzeltme sonrası doğrulama testi

1. 1Kapsam ve Program BelirlenmesiDenetlenecek sahalar, süreçler ve şemanın gerektirdiği denetim günü belirlenir.
2. 2Ön Değerlendirmeİsteğe bağlı olarak boşluk analizi yapılır; asıl denetim öncesi eksikler görünür hâle gelir.
3. 3Saha DenetimiŞemanın soru listesi üzerinden kayıt incelemesi, saha gözlemi ve çalışan görüşmeleri yapılır.
4. 4Bulguların RaporlanmasıBulgular şemanın sınıflandırmasına göre raporlanır. Bu şemaların çıktısı belge değil, denetim raporudur.
5. 5Düzeltici Faaliyet ve TakipBulgular için düzeltici faaliyet planı sunulur; şemaya göre takip denetimiyle kapatılır.

Denetim raporlarının geçerlilik süresi şemaya göre belirlenir ve çoğunlukla bir ile iki yıl arasındadır. Rapor, alıcı markanın kabul ettiği süre boyunca kullanılır.

• Kuruluş ve saha bilgileri
• Çalışan sayısı ve vardiya düzeni
• Yasal izin ve ruhsatlar
• İlgili politika ve prosedürler
• Bordro, mesai ve personel kayıtları

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Denetlenecek saha sayısı ve çalışan sayısı
• Şemanın öngördüğü denetim günü
• Ön değerlendirme (boşluk analizi) istenip istenmediği
• Takip denetimi gerekip gerekmediği

Bu şemaların çoğu belge değil denetim raporu üretir ve şema sahibinin (ör. Sedex, amfori, RBA) kendi onay sistemine tabidir; klasik anlamda akreditasyon her şemada bulunmaz. Denetçi yetkinliği ve rapor geçerliliği şema sahibinin kurallarına göre belirlenir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• IEC 62443Endüstriyel Otomasyon Siber Güvenliği
• Common CriteriaOrtak Kriterler
• ISO/IEC 27001Bilgi Güvenliği Yönetimi
• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi
• SOC 1Finansal Raporlama Kontrolleri