Siber güvenlik firması seçerken belirleyici olan marka büyüklüğü değil; firmanın sizin sistemlerinizi doğru kapsamla test edip edemeyeceği, bulguları önceliklendirilmiş ve uygulanabilir bir raporla teslim edip etmeyeceği ve verinize erişirken kendisinin de güvenli davranıp davranmadığıdır. Bunu ölçmek için yazılı kapsam, örnek rapor, ekip yetkinliği, gizlilik sözleşmesi ve yeniden test şartını birlikte değerlendirin.
Kısaca
- İyi bir siber güvenlik firması önce soru sorar: neyi, hangi sınırlarla ve hangi amaçla test edeceğini yazılı olarak sizinle belirler.
- Teklifleri fiyatla değil kapsamla karşılaştırın; "sızma testi" adı altında yalnızca otomatik tarama satılabilir.
- Verizon DBIR 2026'ya göre üçüncü taraf dahil ihlaller toplam ihlallerin %48'ine ulaştı; güvenlik firması da verinize erişen bir tedarikçidir.
- Örnek (anonimleştirilmiş) rapor isteyin; her bulgu için risk derecesi, kanıt ve düzeltme adımı görmelisiniz.
- Sözleşmede gizlilik, veri imhası, test penceresi ve düzeltme sonrası yeniden test açıkça yazılmalıdır.
Siber güvenlik firması seçimi neden bu kadar önemli?
Güvenlik firması, ağınıza, sunucularınıza ve çoğu zaman müşteri verinize erişen bir dış ekiptir. Yanlış seçimin iki maliyeti vardır: gerçek açıklar raporda görünmez ve şirket kendini güvende sanır; ya da test sırasında hassas veri, firmanın kendi zayıf süreçleri yüzünden yeni bir risk hâline gelir.
Bu risk teorik değil. Verizon 2026 Data Breach Investigations Report verilerine göre üçüncü taraf dahil ihlaller bir önceki yıla göre %60 artarak toplamın %48'ine ulaştı. Aynı raporda üçüncü taraf kurumların yalnızca %23'ü bulut hesaplarındaki eksik ya da zayıf MFA sorununu tamamen giderdi.
Saldırganın kapıyı nasıl bulduğu da seçimi etkiler. ENISA Threat Landscape 2025 raporuna göre incelenen olaylarda oltalama yaklaşık %60 ile en yaygın ilk sızma yolu oldu; yazılım zafiyetlerinin istismarı ise %21,3 ile yaygın sızma yollarından biri olmayı sürdürdü. Yani yalnızca sunucu tarayan bir firma resmin bir kısmını görür; insan ve süreç tarafını da ele alabilen bir ekip gerekir.
İşe başlamadan önce kendi ihtiyacınızı nasıl netleştirirsiniz?
Firma aramadan önce ne istediğinizi bir sayfaya yazın. "Bize siber güvenlik lazım" cümlesiyle gelen talep, her firmadan farklı kapsamda ve kıyaslanamaz teklifler toplar. Şu üç soruyu cevaplamak çoğu zaman yeterlidir: Neyi korumak istiyoruz, neden şimdi ve sonuçta elimizde ne olmalı?
Tetikleyici çoğu zaman bellidir: büyük bir müşterinin tedarikçi güvenlik anketi, ISO 27001 hazırlığı, yeni bir web portalı ya da yaşanmış bir olay. Müşteriniz anket gönderdiyse beklentiyi tedarikçi bilgi güvenliği değerlendirmesi yazısındaki sorularla karşılaştırın. Henüz temel önlemlerden emin değilseniz, önce KOBİ siber güvenlik kontrol listesi ile hızlı bir öz değerlendirme yapın.
Ardından varlık listesini çıkarın: internete açık web siteleri ve portallar, uzaktan erişim yöntemleri, bulut hesapları, e-posta ve varsa üretim ağı. Bu liste teklif isterken kapsamın temelidir ve aynı listeyi her firmaya göndermek teklifleri karşılaştırılabilir kılar.
Siber güvenlik firmalarının sunduğu hizmetler birbirinden nasıl ayrılır?
Aynı adı taşıyan hizmetlerin içeriği firmadan firmaya değişir. Aşağıdaki tablo en sık karşılaşılan hizmetleri, neyi cevapladıklarını ve teklifte neye bakmanız gerektiğini özetler.
| Hizmet | Cevapladığı soru | Teklifte bakılacak nokta |
|---|---|---|
| Zafiyet taraması | Bilinen açıklar nerede? | Hangi sistemlerin tarandığı, bulguların CVSS ile sıralanıp sıralanmadığı |
| Sızma testi (pentest) | Bir saldırgan bu açıklarla gerçekten nereye ulaşır? | Elle doğrulama yapılıp yapılmadığı, test türü (dış, iç, web, kablosuz) |
| Web uygulama güvenlik testi | Portal ve API'ler güvenli mi? | OWASP Top 10 kapsamı, oturum ve yetki testleri |
| OT/IoT güvenlik denetimi | Ofisten üretim ağına yol var mı? | PLC ve SCADA deneyimi, üretimi durdurmayan test yöntemi |
| Farkındalık eğitimi ve oltalama simülasyonu | Çalışanlar tuzağı fark ediyor mu? | Ölçüm yöntemi, tekrar sıklığı, raporlama |
| Uyum danışmanlığı (KVKK, ISO 27001) | Tedbirlerimizi belgeleyebiliyor muyuz? | Teknik ve idari tedbirlerin birlikte ele alınması |
En sık yapılan hata, taramayı sızma testi sanmaktır. Tarama otomatik bir araçla bilinen açıkları listeler; sızma testi ise bu açıkların birleştirilerek gerçekten istismar edilip edilemeyeceğini insan eliyle doğrular. Farkı ve test türlerini sızma testi nedir rehberinde ayrıntılı anlattık.
Bir siber güvenlik firmasını değerlendirirken hangi kriterlere bakmalısınız?
Teklif toplandıktan sonra her firmayı aynı ölçütlerle puanlayın. Aşağıdaki sıralama, pratikte en çok fark yaratan kriterlerden en aza doğru ilerler.
- Kapsamı yazılı belirleme yaklaşımı. İyi bir firma ilk görüşmede fiyat söylemez; varlıklarınızı, test penceresini ve sınırları sorar, yazılı izin ve kapsam belgesi önerir.
- Örnek rapor. Anonimleştirilmiş bir rapor isteyin. Her bulguda risk derecesi, kanıt (ekran görüntüsü, istek/yanıt), etkilenen sistem ve somut düzeltme adımı olmalı; yönetici özeti teknik olmayan okura da anlaşılır gelmeli.
- Ekibin yetkinliği. Testi kimin yapacağını sorun. Sertifikalar bir gösterge olabilir ama tek başına yeterli değildir; benzer ölçekte ve sektörde yapılmış iş deneyimi daha çok şey anlatır.
- Elle doğrulama oranı. Raporun ne kadarının araç çıktısı, ne kadarının elle doğrulanmış bulgu olduğunu öğrenin. Ham tarama çıktısını "sızma testi raporu" diye teslim eden firmadan uzak durun.
- Kendi güvenlik pratikleri. Test verilerini nerede sakladıklarını, iş bitince nasıl imha ettiklerini, ekip erişimlerinde MFA kullanıp kullanmadıklarını sorun.
- Düzeltme desteği ve yeniden test. Raporu bırakıp giden değil, düzeltme sonrasında kapanan bulguları yeniden test eden bir firma seçin.
- Sektör ve ortam bilgisi. Fabrikanız varsa OT deneyimi, e-ticaret yapıyorsanız web uygulama deneyimi şarttır.
Bu kriterler AB'deki yaklaşımla da uyumludur. NIS2 Direktifi'nin 21(3) maddesi, kapsamdaki kuruluşların tedarik zinciri güvenliği tedbirlerini belirlerken her doğrudan tedarikçi ve hizmet sağlayıcının kendine özgü zafiyetlerini, ürünlerinin genel kalitesini ve güvenli geliştirme prosedürleri dahil siber güvenlik uygulamalarını dikkate almasını öngörür. Dışarıdan aldığınız güvenlik hizmeti de bu değerlendirmenin içindedir. AB'li müşterilere hizmet veriyorsanız NIS2 tedarikçi gereksinimleri yazısına da göz atın.
Teklifleri karşılaştırırken hangi uyarı işaretlerine dikkat etmelisiniz?
Bazı işaretler, teklifin gerçek bir güvenlik değerlendirmesi olmadığını erkenden gösterir. Kapsam sormadan sabit fiyat veren, "tüm açıklarınızı bulacağız" gibi kesin vaatlerde bulunan ya da test yöntemini açıklamaktan kaçınan firmalara temkinli yaklaşın.
Korku dili de bir uyarıdır. Güvenlik satışı sık sık "yarın saldırıya uğrayabilirsiniz" baskısıyla yapılır; oysa iyi bir danışman riski ölçer, önceliklendirir ve bütçenizi en çok riski kapatan işe yönlendirir. Teklifte hangi bulgunun neden önce geleceği anlatılmıyorsa, rapor da muhtemelen aynı eksiği taşır.
Son olarak ürün bağımlılığına bakın. Değerlendirme sonunda tek çözüm olarak yalnızca kendi sattığı yazılımı ya da cihazı öneren bir firma tarafsız değildir. Bulgu "yamayı uygulayın" diyorsa çözüm bir lisans değil, düzenli bir yama yönetimi süreci olabilir.
Sözleşmede ve iş sırasında nelere dikkat edilmelidir?
Sözleşme, testin hem hukuki hem teknik çerçevesidir. Kapsam belgesi, yazılı test izni, test penceresi (tarih ve saat aralığı), acil durumda iletişim kişileri ve testin durdurulma koşulları açıkça yazılmalıdır.
Gizlilik tarafında karşılıklı gizlilik sözleşmesi şarttır. Firma test sırasında kişisel veriye erişecekse, KVKK açısından veri işleyen konumunda olabilir; bu durumda erişimin sınırları, saklama ve imha yükümlülükleri yazılı hâle getirilmelidir. Maddeleri veri işleyen sözleşmesi rehberindeki kontrol listesiyle karşılaştırabilirsiniz.
İş sırasında tek bir sorumlu atayın ve kritik bulgunun rapor beklenmeden size hemen bildirilmesini şart koşun. Test bittiğinde raporla birlikte bir kapanış toplantısı yapın; bulguların sahiplerini ve düzeltme tarihlerini o toplantıda belirleyin.
Rapordan sonra ne olmalı?
Raporun değeri, kapanan bulgu sayısıyla ölçülür. Kritik ve yüksek riskli bulgular için kısa bir düzeltme takvimi çıkarın, orta ve düşük bulguları normal bakım akışına alın. Düzeltmeden sonra yeniden test yaptırın; böylece "kapattık" sanılan açığın gerçekten kapandığını belgelersiniz.
Tek seferlik test, belirli bir andaki fotoğraftır. Yeni bir uygulama devreye girdiğinde, altyapı değiştiğinde ya da yılda en az bir kez değerlendirmeyi tekrarlamak iyi bir pratiktir. Olası bir olaya hazırlık için KVKK veri ihlali 72 saat rehberindeki bildirim adımlarını da müdahale planınıza ekleyin.
Digital Bridge siber güvenlik danışmanlığında nasıl çalışır?
Digital Bridge'in siber güvenlik danışmanlığı bu rehberdeki ilkelerle çalışır: kapsam, zaman aralığı ve sınırlar yazılı olarak belirlenir, gizlilik ve yetki sözleşmesi imzalanır. Ardından keşif ve tarama yapılır, bulunan açıkların gerçekten istismar edilebilir olup olmadığı hizmeti kesmeden kontrollü biçimde doğrulanır.
Bulgular kritiklik sırasıyla raporlanır ve her biri için düzeltme adımı verilir; isterseniz düzeltme sonrasında yeniden test yapılır. 2013'ten beri yazılım ve donanımı aynı ekipte geliştirdiğimiz için ofis BT'sinin yanında PLC, SCADA ve IoT cihazları gibi operasyonel teknolojiyi de tanıyoruz. Örneğin muhasebedeki bir bilgisayara oltalama e-postasıyla zararlı yazılım bulaşırsa ofis ağından üretim hattına uzanan bir yolun tesisinizde gerçekten açık olup olmadığını kontrollü biçimde doğruluyor; ağ ayrımı ve erişim kuralları için hangi adımın önce atılacağını raporluyoruz.
Teknik bulguların kişisel veri tarafını bütüncül ele almak isteyen kurumlar için KVKK uyum danışmanlığı da sunuyoruz. Diğer alanlardaki desteklerimizi danışmanlık hizmetleri sayfasında bulabilirsiniz.
Sonraki adım ne olmalı?
Bu hafta varlık listenizi çıkarın ve hedefinizi bir cümleyle yazın: müşteri anketi, ISO 27001 hazırlığı ya da internete açık portalın testi. Bu iki belgeyle görüştüğünüz her firmadan karşılaştırılabilir teklif alırsınız. Güvenlik ve KVKK üzerine diğer rehberler güvenlik ve KVKK konu sayfasında toplanıyor.
Kapsamı birlikte belirlemek isterseniz iletişim sayfasından ya da 0850 346 41 09 numaralı telefondan bize ulaşın; ihtiyaç analizinin ardından kapsamı, aşamaları ve bedeli içeren yazılı bir teklif hazırlarız.