BT Güvenliği ve Sızma Testi

BT güvenlik denetimi verileri, bir kuruluşun siber güvenlik duruşunu gösteren sızma testi raporlarını, güvenlik açığı tarama sonuçlarını, bilgi güvenliği denetim bulgularını ve güvenlik olayı kayıtlarını kapsar. Sızma testleri, sömürülebilir güvenlik açıklarını belirlemek için gerçek dünya saldırılarını simüle eder. Güvenlik açığı taramaları, sistemlerdeki ve yazılımlardaki bilinen güvenlik açıklarının otomatik olarak tanımlanmasını sağlar. ISO 27001 denetim raporları bilgi güvenliği yönetim sistemlerinin bağımsız değerlendirmesini sağlar. Olay müdahalesi, varlık güvenliği olaylarını ve kuruluşun müdahale yeteneğini kaydeder. Bu kanıt, AB Siber Dayanıklılık Yasası, DORA, GDPR Madde 32 ve sektöre özel siber güvenlik düzenlemeleri tarafından zorunludur.

Siber güvenlik düzenlemeleri, yalnızca politika ve prosedürlerin değil, giderek artan bir şekilde güvenlik uygulamalarının da kayıtlı kanıtlarını gerektiriyor. AB Siber Dayanıklılık Yasası, üreticilerin güvenlik açığı testleri yapmalarını ve kayıtlı test sonuçlarını saklamalarını gerektirmektedir. DORA, finansal kuruluşların düzenli olarak BİT risk değerlendirmeleri, sızma testleri ve güvenlik açığı yönetimi yapmalarını ve bunların tamamının kayıtlı kanıtlarla yapılmasını gerektirir. GDPR Madde 32, uygun teknik ve organizasyonel önlemleri gerektirir; güvenlik denetimi kanıtları, hangi önlemlerin mevcut olduğunu ve bunların etkili olduğunu gösterir. Kayıtlı BT güvenlik denetimi kanıtları olmadan kuruluşlar siber güvenlik yükümlülüklerini yerine getirdiklerini kanıtlayamaz.

Sızma testi raporları, CRA güvenlik açığı raporlaması ve DORA tehdit odaklı sızma testi (TLPT) için gerekli olan dahili ve harici sızma testi metodolojisini, bulguları, yararlanma yollarını, kanıtları ve iyileştirme durumunu kaydeder. Nessus, Qualys, OpenVAS ve Rapid7 gibi araçlardan elde edilen güvenlik açığı taraması sonuçları, önem dereceleri, etkilenen sistemler ve iyileştirme takibiyle güvenlik açıklarını tespit etti. Akredite belgelendirme kuruluşlarından alınan ISO 27001 denetim raporları, BGYS uygulaması ve etkinliğinin bağımsız değerlendirmesini sağlar. Olay müdahalesi, varlık güvenliği olay zaman çizelgelerini, tespit yöntemlerini, etki değerlendirmelerini, sınırlama eylemlerini ve olay sonrası incelemeleri kaydeder; GDPR, DORA ve CRA'nın gerektirdiği olay tespit ve müdahale kabiliyetine dair kanıt sağlar.

Güvenlik denetim raporları, sızma testi bulguları, güvenlik açığı taraması aktarımları ve olay müdahale kayıtları Sustalium'a yüklenir. Sonuçlar ilgili siber güvenlik uyumluluk çerçeveleriyle eşleştirilir: CRA uyumluluk kayıtlarına ve DORA ICT risk kayıtlarına yönelik sızma testi bulguları, DORA güvenlik açığı yönetimi gereksinimlerine ve ISO 27001 önleyici eylem kanıtlarına yönelik güvenlik açığı taramaları, GDPR ihlal bildirimine hazırlık ve CRA pazar sonrası izleme yükümlülüklerine ilişkin olay kayıtları. Sustalium, düzeltme son tarihlerini ve yeniden test programlarını takip ederek, belirlenen güvenlik açıklarının gerekli zaman dilimleri içerisinde ele alınmasını ve iyileştirme kanıtlarının kaydedilmesini sağlar.

AB Siber Dayanıklılık Yasası (CRA), üreticilerin ürün destek süresi boyunca güvenlik açığı testleri yapmalarını ve güvenlik açığı yönetimine ilişkin kayıtlı kanıtları saklamalarını gerektirir. DORA (Dijital Operasyonel Dayanıklılık Yasası), finansal kuruluşlar için düzenli BİT risk değerlendirmeleri, sızma testleri ve güvenlik açığı yönetimi gerektirir. GDPR Madde 32, kişisel verilerin işlenmesi risklerine uygun kayıtlı güvenlik önlemlerini gerektirir. AB Yapay Zeka Yasası, yüksek riskli yapay zeka sistemleri için güvenlik testi kanıtları gerektirir. ISO 27001, iç denetimler, yönetim incelemeleri ve düzeltici eylemlerin kanıtını gerektirir. Sektöre özel düzenlemelerin (finansal hizmetler, sağlık hizmetleri, kritik altyapı) ek siber güvenlik denetimi ve test gereksinimleri vardır. Kurumsal alıcılar, satın alma koşulu olarak güvenlik denetimi kanıtlarına giderek daha fazla ihtiyaç duyuyor.