# Siber Güvenlik Firması Nasıl Seçilir? Kapsam, Yetkinlik, Rapor ve Sözleşme İçin Değerlendirme Rehberi

> Siber güvenlik firması seçerken neye bakılır? Kapsam, ekip yetkinliği, örnek rapor, gizlilik sözleşmesi ve yeniden test için tablolu değerlendirme rehberi.

Kaynak: https://digitalbridge.com.tr/blog/siber-guvenlik-firmasi-secimi.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-30 · Güncelleme: 2026-10-30

Siber güvenlik firması seçerken belirleyici olan marka büyüklüğü değil; firmanın sizin sistemlerinizi doğru kapsamla test edip edemeyeceği, bulguları önceliklendirilmiş ve uygulanabilir bir raporla teslim edip etmeyeceği ve verinize erişirken kendisinin de güvenli davranıp davranmadığıdır. Bunu ölçmek için yazılı kapsam, örnek rapor, ekip yetkinliği, gizlilik sözleşmesi ve yeniden test şartını birlikte değerlendirin.

## Kısaca

- İyi bir siber güvenlik firması önce soru sorar: neyi, hangi sınırlarla ve hangi amaçla test edeceğini yazılı olarak sizinle belirler.
- Teklifleri fiyatla değil kapsamla karşılaştırın; "sızma testi" adı altında yalnızca otomatik tarama satılabilir.
- Verizon DBIR 2026'ya göre üçüncü taraf dahil ihlaller toplam ihlallerin %48'ine ulaştı; güvenlik firması da verinize erişen bir tedarikçidir.
- Örnek (anonimleştirilmiş) rapor isteyin; her bulgu için risk derecesi, kanıt ve düzeltme adımı görmelisiniz.
- Sözleşmede gizlilik, veri imhası, test penceresi ve düzeltme sonrası yeniden test açıkça yazılmalıdır.

## Siber güvenlik firması seçimi neden bu kadar önemli?

Güvenlik firması, ağınıza, sunucularınıza ve çoğu zaman müşteri verinize erişen bir dış ekiptir. Yanlış seçimin iki maliyeti vardır: gerçek açıklar raporda görünmez ve şirket kendini güvende sanır; ya da test sırasında hassas veri, firmanın kendi zayıf süreçleri yüzünden yeni bir risk hâline gelir.

Bu risk teorik değil. [Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verilerine göre üçüncü taraf dahil ihlaller bir önceki yıla göre %60 artarak toplamın %48'ine ulaştı. Aynı raporda üçüncü taraf kurumların yalnızca %23'ü bulut hesaplarındaki eksik ya da zayıf MFA sorununu tamamen giderdi.

Saldırganın kapıyı nasıl bulduğu da seçimi etkiler. [ENISA Threat Landscape 2025](https://www.enisa.europa.eu/sites/default/files/2026-01/ENISA%20Threat%20Landscape%202025_v1.2.pdf) raporuna göre incelenen olaylarda oltalama yaklaşık %60 ile en yaygın ilk sızma yolu oldu; yazılım zafiyetlerinin istismarı ise %21,3 ile yaygın sızma yollarından biri olmayı sürdürdü. Yani yalnızca sunucu tarayan bir firma resmin bir kısmını görür; insan ve süreç tarafını da ele alabilen bir ekip gerekir.

## İşe başlamadan önce kendi ihtiyacınızı nasıl netleştirirsiniz?

Firma aramadan önce ne istediğinizi bir sayfaya yazın. "Bize siber güvenlik lazım" cümlesiyle gelen talep, her firmadan farklı kapsamda ve kıyaslanamaz teklifler toplar. Şu üç soruyu cevaplamak çoğu zaman yeterlidir: Neyi korumak istiyoruz, neden şimdi ve sonuçta elimizde ne olmalı?

Tetikleyici çoğu zaman bellidir: büyük bir müşterinin tedarikçi güvenlik anketi, [ISO 27001](https://digitalbridge.com.tr/sozluk.html#iso-27001) hazırlığı, yeni bir web portalı ya da yaşanmış bir olay. Müşteriniz anket gönderdiyse beklentiyi [tedarikçi bilgi güvenliği değerlendirmesi](https://digitalbridge.com.tr/blog/tedarikci-bilgi-guvenligi-degerlendirmesi.html) yazısındaki sorularla karşılaştırın. Henüz temel önlemlerden emin değilseniz, önce [KOBİ siber güvenlik kontrol listesi](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) ile hızlı bir öz değerlendirme yapın.

Ardından varlık listesini çıkarın: internete açık web siteleri ve portallar, uzaktan erişim yöntemleri, bulut hesapları, e-posta ve varsa üretim ağı. Bu liste teklif isterken kapsamın temelidir ve aynı listeyi her firmaya göndermek teklifleri karşılaştırılabilir kılar.

## Siber güvenlik firmalarının sunduğu hizmetler birbirinden nasıl ayrılır?

Aynı adı taşıyan hizmetlerin içeriği firmadan firmaya değişir. Aşağıdaki tablo en sık karşılaşılan hizmetleri, neyi cevapladıklarını ve teklifte neye bakmanız gerektiğini özetler.

| Hizmet | Cevapladığı soru | Teklifte bakılacak nokta |
|---|---|---|
| Zafiyet taraması | Bilinen açıklar nerede? | Hangi sistemlerin tarandığı, bulguların CVSS ile sıralanıp sıralanmadığı |
| Sızma testi (pentest) | Bir saldırgan bu açıklarla gerçekten nereye ulaşır? | Elle doğrulama yapılıp yapılmadığı, test türü (dış, iç, web, kablosuz) |
| Web uygulama güvenlik testi | Portal ve API'ler güvenli mi? | OWASP Top 10 kapsamı, oturum ve yetki testleri |
| OT/IoT güvenlik denetimi | Ofisten üretim ağına yol var mı? | PLC ve SCADA deneyimi, üretimi durdurmayan test yöntemi |
| Farkındalık eğitimi ve oltalama simülasyonu | Çalışanlar tuzağı fark ediyor mu? | Ölçüm yöntemi, tekrar sıklığı, raporlama |
| Uyum danışmanlığı (KVKK, ISO 27001) | Tedbirlerimizi belgeleyebiliyor muyuz? | Teknik ve idari tedbirlerin birlikte ele alınması |

En sık yapılan hata, taramayı sızma testi sanmaktır. Tarama otomatik bir araçla bilinen açıkları listeler; sızma testi ise bu açıkların birleştirilerek gerçekten istismar edilip edilemeyeceğini insan eliyle doğrular. Farkı ve test türlerini [sızma testi nedir](https://digitalbridge.com.tr/blog/sizma-testi-nedir.html) rehberinde ayrıntılı anlattık.

## Bir siber güvenlik firmasını değerlendirirken hangi kriterlere bakmalısınız?

Teklif toplandıktan sonra her firmayı aynı ölçütlerle puanlayın. Aşağıdaki sıralama, pratikte en çok fark yaratan kriterlerden en aza doğru ilerler.

1. **Kapsamı yazılı belirleme yaklaşımı.** İyi bir firma ilk görüşmede fiyat söylemez; varlıklarınızı, test penceresini ve sınırları sorar, yazılı izin ve kapsam belgesi önerir.
2. **Örnek rapor.** Anonimleştirilmiş bir rapor isteyin. Her bulguda risk derecesi, kanıt (ekran görüntüsü, istek/yanıt), etkilenen sistem ve somut düzeltme adımı olmalı; yönetici özeti teknik olmayan okura da anlaşılır gelmeli.
3. **Ekibin yetkinliği.** Testi kimin yapacağını sorun. Sertifikalar bir gösterge olabilir ama tek başına yeterli değildir; benzer ölçekte ve sektörde yapılmış iş deneyimi daha çok şey anlatır.
4. **Elle doğrulama oranı.** Raporun ne kadarının araç çıktısı, ne kadarının elle doğrulanmış bulgu olduğunu öğrenin. Ham tarama çıktısını "sızma testi raporu" diye teslim eden firmadan uzak durun.
5. **Kendi güvenlik pratikleri.** Test verilerini nerede sakladıklarını, iş bitince nasıl imha ettiklerini, ekip erişimlerinde [MFA](https://digitalbridge.com.tr/sozluk.html#mfa) kullanıp kullanmadıklarını sorun.
6. **Düzeltme desteği ve yeniden test.** Raporu bırakıp giden değil, düzeltme sonrasında kapanan bulguları yeniden test eden bir firma seçin.
7. **Sektör ve ortam bilgisi.** Fabrikanız varsa OT deneyimi, e-ticaret yapıyorsanız web uygulama deneyimi şarttır.

Bu kriterler AB'deki yaklaşımla da uyumludur. [NIS2 Direktifi'nin 21(3) maddesi](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022L2555), kapsamdaki kuruluşların tedarik zinciri güvenliği tedbirlerini belirlerken her doğrudan tedarikçi ve hizmet sağlayıcının kendine özgü zafiyetlerini, ürünlerinin genel kalitesini ve güvenli geliştirme prosedürleri dahil siber güvenlik uygulamalarını dikkate almasını öngörür. Dışarıdan aldığınız güvenlik hizmeti de bu değerlendirmenin içindedir. AB'li müşterilere hizmet veriyorsanız [NIS2 tedarikçi gereksinimleri](https://digitalbridge.com.tr/blog/nis2-tedarikci-gereksinimleri.html) yazısına da göz atın.

## Teklifleri karşılaştırırken hangi uyarı işaretlerine dikkat etmelisiniz?

Bazı işaretler, teklifin gerçek bir güvenlik değerlendirmesi olmadığını erkenden gösterir. Kapsam sormadan sabit fiyat veren, "tüm açıklarınızı bulacağız" gibi kesin vaatlerde bulunan ya da test yöntemini açıklamaktan kaçınan firmalara temkinli yaklaşın.

Korku dili de bir uyarıdır. Güvenlik satışı sık sık "yarın saldırıya uğrayabilirsiniz" baskısıyla yapılır; oysa iyi bir danışman riski ölçer, önceliklendirir ve bütçenizi en çok riski kapatan işe yönlendirir. Teklifte hangi bulgunun neden önce geleceği anlatılmıyorsa, rapor da muhtemelen aynı eksiği taşır.

Son olarak ürün bağımlılığına bakın. Değerlendirme sonunda tek çözüm olarak yalnızca kendi sattığı yazılımı ya da cihazı öneren bir firma tarafsız değildir. Bulgu "yamayı uygulayın" diyorsa çözüm bir lisans değil, düzenli bir [yama yönetimi süreci](https://digitalbridge.com.tr/blog/yama-yonetimi-sureci.html) olabilir.

## Sözleşmede ve iş sırasında nelere dikkat edilmelidir?

Sözleşme, testin hem hukuki hem teknik çerçevesidir. Kapsam belgesi, yazılı test izni, test penceresi (tarih ve saat aralığı), acil durumda iletişim kişileri ve testin durdurulma koşulları açıkça yazılmalıdır.

Gizlilik tarafında karşılıklı gizlilik sözleşmesi şarttır. Firma test sırasında kişisel veriye erişecekse, KVKK açısından veri işleyen konumunda olabilir; bu durumda erişimin sınırları, saklama ve imha yükümlülükleri yazılı hâle getirilmelidir. Maddeleri [veri işleyen sözleşmesi](https://digitalbridge.com.tr/blog/veri-isleyen-sozlesmesi-kvkk.html) rehberindeki kontrol listesiyle karşılaştırabilirsiniz.

İş sırasında tek bir sorumlu atayın ve kritik bulgunun rapor beklenmeden size hemen bildirilmesini şart koşun. Test bittiğinde raporla birlikte bir kapanış toplantısı yapın; bulguların sahiplerini ve düzeltme tarihlerini o toplantıda belirleyin.

## Rapordan sonra ne olmalı?

Raporun değeri, kapanan bulgu sayısıyla ölçülür. Kritik ve yüksek riskli bulgular için kısa bir düzeltme takvimi çıkarın, orta ve düşük bulguları normal bakım akışına alın. Düzeltmeden sonra yeniden test yaptırın; böylece "kapattık" sanılan açığın gerçekten kapandığını belgelersiniz.

Tek seferlik test, belirli bir andaki fotoğraftır. Yeni bir uygulama devreye girdiğinde, altyapı değiştiğinde ya da yılda en az bir kez değerlendirmeyi tekrarlamak iyi bir pratiktir. Olası bir olaya hazırlık için [KVKK veri ihlali 72 saat](https://digitalbridge.com.tr/blog/kvkk-veri-ihlali-72-saat.html) rehberindeki bildirim adımlarını da müdahale planınıza ekleyin.

## Digital Bridge siber güvenlik danışmanlığında nasıl çalışır?

Digital Bridge'in [siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) bu rehberdeki ilkelerle çalışır: kapsam, zaman aralığı ve sınırlar yazılı olarak belirlenir, gizlilik ve yetki sözleşmesi imzalanır. Ardından keşif ve tarama yapılır, bulunan açıkların gerçekten istismar edilebilir olup olmadığı hizmeti kesmeden kontrollü biçimde doğrulanır.

Bulgular kritiklik sırasıyla raporlanır ve her biri için düzeltme adımı verilir; isterseniz düzeltme sonrasında yeniden test yapılır. 2013'ten beri yazılım ve donanımı aynı ekipte geliştirdiğimiz için ofis BT'sinin yanında PLC, SCADA ve IoT cihazları gibi operasyonel teknolojiyi de tanıyoruz. Örneğin muhasebedeki bir bilgisayara oltalama e-postasıyla zararlı yazılım bulaşırsa ofis ağından üretim hattına uzanan bir yolun tesisinizde gerçekten açık olup olmadığını kontrollü biçimde doğruluyor; ağ ayrımı ve erişim kuralları için hangi adımın önce atılacağını raporluyoruz.

Teknik bulguların kişisel veri tarafını bütüncül ele almak isteyen kurumlar için [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) da sunuyoruz. Diğer alanlardaki desteklerimizi [danışmanlık hizmetleri](https://digitalbridge.com.tr/danismanlik.html) sayfasında bulabilirsiniz.

## Sonraki adım ne olmalı?

Bu hafta varlık listenizi çıkarın ve hedefinizi bir cümleyle yazın: müşteri anketi, ISO 27001 hazırlığı ya da internete açık portalın testi. Bu iki belgeyle görüştüğünüz her firmadan karşılaştırılabilir teklif alırsınız. Güvenlik ve KVKK üzerine diğer rehberler [güvenlik ve KVKK konu sayfasında](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) toplanıyor.

Kapsamı birlikte belirlemek isterseniz [iletişim sayfasından](https://digitalbridge.com.tr/iletisim.html) ya da 0850 346 41 09 numaralı telefondan bize ulaşın; ihtiyaç analizinin ardından kapsamı, aşamaları ve bedeli içeren yazılı bir teklif hazırlarız.

## Sık Sorulan Sorular

### Siber güvenlik firması seçerken ilk neye bakılmalı?

İlk bakılacak şey firmanın kapsamı nasıl belirlediğidir. İyi bir firma fiyat vermeden önce hangi sistemlerin, hangi zaman aralığında ve hangi sınırlarla test edileceğini sorar ve bunu yazılı hâle getirir. Ardından anonimleştirilmiş örnek rapor isteyin; bulguların risk derecesi, kanıtı ve düzeltme adımıyla verilip verilmediği, firmanın işini nasıl yaptığını en net gösteren belgedir.

### Zafiyet taraması ile sızma testi aynı şey mi?

Hayır. Zafiyet taraması, otomatik araçlarla bilinen açıkları listeleyen ve sık tekrarlanabilen bir kontroldür. Sızma testi ise bu açıkların gerçekten istismar edilip edilemeyeceğini ve saldırganın nereye kadar ilerleyebileceğini uzman eliyle doğrular. İkisi birbirini tamamlar; ancak teklifte "sızma testi" yazıyorsa elle doğrulama yapılacağının açıkça belirtilmesi gerekir.

### Sertifikalı ekip tek başına yeterli bir ölçüt mü?

Tek başına yeterli değildir. Sertifikalar ekibin belirli bir bilgi düzeyinden geçtiğini gösterebilir, ancak testin kalitesi deneyime, metodolojiye ve raporlama disiplinine bağlıdır. Testi kimin yapacağını, benzer ölçekte ve sektörde hangi işleri yürüttüğünü ve örnek raporun ne kadar somut olduğunu birlikte değerlendirmek daha güvenilir bir sonuç verir.

### Sızma testi sistemleri durdurur mu?

Doğru planlanan bir test genellikle hizmeti kesmez. Test penceresi iş yükünün düşük olduğu saatlere konur, kritik sistemler için daha temkinli yöntemler seçilir ve istismar denemeleri kontrollü biçimde yapılır. Sözleşmede acil durum iletişim kişileri ve testin durdurulma koşulları yazılırsa, beklenmedik bir etki görüldüğünde çalışma hemen askıya alınabilir.

### Siber güvenlik değerlendirmesi ne sıklıkla yapılmalı?

Yaygın pratik, yılda en az bir kez kapsamlı değerlendirme yapmak ve önemli değişikliklerden sonra testi tekrarlamaktır. Yeni bir web uygulaması yayına aldığınızda, altyapıyı buluta taşıdığınızda ya da ağ yapısını değiştirdiğinizde ek test gerekir. Otomatik zafiyet taraması ise daha sık, örneğin aylık ya da çeyreklik aralıklarla çalıştırılabilir.

### Güvenlik firması verilerimize eriştiğinde KVKK açısından ne yapılmalı?

Firma test sırasında kişisel veriye erişebilecekse, erişimin amacı ve sınırları yazılı olarak tanımlanmalıdır. Gizlilik sözleşmesine ek olarak verinin nasıl saklanacağı, kimlerin göreceği ve iş bitince nasıl imha edileceği sözleşmede yer almalıdır. Mümkünse test, gerçek kişisel veri yerine test hesapları ve maskelenmiş verilerle yürütülmelidir.