ISO 27001 Belgesi İçin Penetrasyon Testi Zorunlu mu? Sızma Testi ve Zafiyet Yönetimi

ISO 27001 belgesi almak isteyen yazılım firmaları, bilişim şirketleri ve teknoloji hizmet sağlayıcılarının merak ettiği konulardan biri, belgelendirme öncesinde penetrasyon testi yaptırmalarının zorunlu olup olmadığıdır.

Özellikle ilk kez bilgi güvenliği yönetim sistemi kuran işletmeler, sızma testi raporu olmadan ISO 27001 belgesi alınıp alınamayacağını ve denetçilerin hangi teknik güvenlik testlerini talep edebileceğini öğrenmek istemektedir.

ISO/IEC 27001:2022 standardı, bütün işletmelerin mutlaka penetrasyon testi yaptırmasını genel bir şart olarak belirlemez. Ancak kuruluşların bilgi güvenliği risklerini değerlendirmesi, gerekli teknik güvenlik kontrollerini belirlemesi ve teknik zafiyetleri uygun şekilde yönetmesi gerekir.

İşletmenin faaliyetleri, kullandığı sistemler, risk değerlendirmesi veya müşteri sözleşmeleri nedeniyle penetrasyon testi gerekli hale gelebilir.

ISO 27001 Belgesi Almak İçin Sızma Testi Şart mı?

ISO 27001 standardı, bilgi güvenliği yönetim sisteminin kurulması ve uygulanmasına ilişkin gereklilikleri belirler.

Bu kapsamda işletmenin bilgi güvenliği risklerini değerlendirmesi ve riskleri yönetmek için uygun kontrolleri belirlemesi gerekir.

Ancak ISO 27001 standardında bütün kuruluşların yılda bir kez penetrasyon testi yaptırması gerektiğine ilişkin genel bir hüküm bulunmamaktadır.

Örneğin yalnızca danışmanlık hizmeti sunan ve sınırlı bilgi teknolojileri altyapısı kullanan bir işletmeyle internet üzerinden yazılım hizmeti sağlayan bir kuruluşun teknik güvenlik riskleri farklı olabilir.

İnternet üzerinden erişilebilen uygulamalar, müşteri veritabanları, bulut sistemleri ve kritik ağ altyapıları bulunan işletmelerde penetrasyon testi önemli bir güvenlik doğrulama yöntemi olabilir.

Bununla birlikte penetrasyon testinin gerekli olup olmadığı, risk değerlendirmesi ve ilgili gereklilikler doğrultusunda belirlenmelidir.

ISO 27001 belgelendirmesinde önemli olan yalnızca sızma testi raporuna sahip olmak değil, teknik güvenlik açıklarının sistematik biçimde yönetildiğini gösterebilmektir.

Penetrasyon Testi Nedir?

Penetrasyon testi, bilgi sistemlerinde bulunan güvenlik açıklarının kontrollü saldırı senaryolarıyla değerlendirilmesi amacıyla gerçekleştirilen teknik güvenlik testidir.

Sızma testi olarak da adlandırılan bu çalışma, sistemlerin yetkisiz erişim veya kötüye kullanım girişimlerine karşı ne ölçüde korunabildiğini değerlendirmeye yardımcı olur.

Örneğin internet üzerinden hizmet sunan bir yazılım firmasının web uygulamasında yetkilendirme eksiklikleri bulunabilir.

Penetrasyon testi sırasında bu tür güvenlik açıklarının belirli test senaryolarıyla doğrulanması mümkün olabilir.

Test sonucunda tespit edilen bulgular, önem dereceleri ve önerilen iyileştirme faaliyetleri raporlanır.

Ancak penetrasyon testi, sistemde hiçbir güvenlik açığı bulunmadığını kesin olarak kanıtlamaz.

Testin kapsamı, kullanılan yöntemler ve testin gerçekleştirildiği tarihteki sistem durumu sonuçları etkiler.

ISO 27001 ile Penetrasyon Testi Arasındaki İlişki Nedir?

ISO/IEC 27001:2022 standardının Ek-A bölümünde teknolojik güvenlik kontrolleri bulunmaktadır.

Bu kontroller arasında teknik zafiyetlerin yönetimi, yapılandırma yönetimi, ağ güvenliği, güvenli yazılım geliştirme ve güvenlik testleriyle ilişkili konular yer alır.

Özellikle A.8.8 Teknik Zafiyetlerin Yönetimi kontrolü, kullanılan bilgi sistemlerine ilişkin teknik zafiyetler hakkında bilgi edinilmesi, kuruluşun bu zafiyetlere maruziyetinin değerlendirilmesi ve uygun önlemlerin alınmasıyla ilgilidir.

Penetrasyon testi, teknik zafiyetlerin belirlenmesi ve güvenlik kontrollerinin doğrulanması amacıyla kullanılabilecek yöntemlerden biridir.

Ancak A.8.8 kontrolünün uygulanması, her durumda mutlaka penetrasyon testi yapılması gerektiği anlamına gelmez.

İşletme, risklerine ve kullandığı teknolojilere uygun farklı zafiyet yönetimi yöntemlerinden yararlanabilir.

ISO 27001 Zafiyet Taraması ile Penetrasyon Testi Aynı Şey mi?

Zafiyet taraması ve penetrasyon testi birbiriyle ilişkili ancak farklı amaçlara hizmet eden teknik güvenlik faaliyetleridir.

Zafiyet taraması, sistemlerde bilinen güvenlik açıklarının ve yapılandırma eksikliklerinin belirlenmesine yönelik otomatik veya yarı otomatik kontroller içerebilir.

Penetrasyon testi ise belirlenen kapsam dahilinde güvenlik açıklarının kontrollü saldırı senaryolarıyla değerlendirilmesini ve bazı durumlarda istismar edilebilirliğinin doğrulanmasını amaçlar.

Bu iki yöntem birbirinin tamamen yerine geçmez.

Örneğin düzenli zafiyet taramalarıyla bilinen güvenlik açıkları takip edilirken belirli dönemlerde penetrasyon testi gerçekleştirilerek kritik sistemlerin güvenliği daha ayrıntılı değerlendirilebilir.

ISO 27001 İçin Penetrasyon Testi Hangi Firmalarda Önemlidir?

Penetrasyon testi ihtiyacı, işletmenin faaliyetlerine ve bilgi güvenliği risklerine göre değişir.

Özellikle internet üzerinden hizmet sunan yazılım firmalarında web uygulamalarının ve uygulama programlama arayüzlerinin (API) güvenliği önemli olabilir.

Bulut hizmeti sağlayan işletmelerde erişim kontrolleri, kimlik doğrulama mekanizmaları ve sistem yapılandırmaları değerlendirilebilir.

E-ticaret firmalarında müşteri hesapları, ödeme süreçleri ve kişisel verilerin korunmasıyla ilgili güvenlik riskleri bulunabilir.

Çağrı merkezlerinde müşteri bilgilerine erişim sağlayan uygulamalar ve dış bağlantılar önem taşıyabilir.

Ancak belirli bir sektörde faaliyet göstermek, bütün işletmeler için aynı penetrasyon testi kapsamının uygulanması gerektiği anlamına gelmez.

Test ihtiyacı, sistemlerin kritikliği ve risk değerlendirme sonuçları dikkate alınarak belirlenmelidir.

ISO 27001 Penetrasyon Testi Kaç Ayda Bir Yapılmalı?

ISO 27001 standardı, bütün işletmeler için geçerli sabit bir penetrasyon testi sıklığı belirlemez.

Örneğin penetrasyon testinin her altı ayda veya yılda bir yapılması gerektiğine ilişkin genel bir ISO 27001 zorunluluğu bulunmamaktadır.

Ancak işletmenin risk değerlendirmesi, müşteri sözleşmeleri veya uygulanabilir düzenlemeleri belirli test aralıkları gerektirebilir.

Örneğin internet üzerinden kritik hizmet sağlayan bir işletme, düzenli penetrasyon testleri planlayabilir.

Bunun yanında yeni bir uygulamanın devreye alınması, önemli altyapı değişiklikleri veya ciddi güvenlik açıklarının tespit edilmesi ek test ihtiyacı oluşturabilir.

Test sıklığı belirlenirken sistemlerin kritikliği, tehdit ortamı, önceki test sonuçları ve değişikliklerin niteliği dikkate alınmalıdır.

Penetrasyon testinin belirli aralıklarla yapılması faydalı olabilir ancak test sıklığı işletmenin gerçek riskleriyle uyumlu olmalıdır.

ISO 27001 Penetrasyon Testi Raporunda Neler Bulunmalı?

Penetrasyon testi raporunun içeriği, gerçekleştirilen testin kapsamına ve yöntemine göre değişebilir.

Uygun bir raporda test edilen sistemler, test tarihleri, kullanılan yaklaşım, tespit edilen bulgular ve risk seviyeleri açıklanabilir.

Ayrıca güvenlik açıklarının olası etkileri ve önerilen düzeltici faaliyetler de raporlanabilir.

Örneğin bir web uygulamasında yetkilendirme eksikliği tespit edilmişse bu bulgunun hangi sistemde bulunduğu, olası etkileri ve giderilmesine yönelik öneriler açıklanmalıdır.

Ancak raporun hazırlanması tek başına yeterli değildir.

Tespit edilen güvenlik açıklarının değerlendirilmesi, gerekli iyileştirme faaliyetlerinin planlanması ve uygun durumlarda düzeltmelerin doğrulanması önemlidir.

Belgelendirme denetiminde de yalnızca test raporunun varlığı değil, bulguların nasıl yönetildiği değerlendirilebilir.

ISO 27001 Denetiminde Penetrasyon Testi Raporu İstenir mi?

ISO 27001 belgelendirme denetiminde denetçi, işletmenin teknik zafiyetleri nasıl yönettiğini değerlendirebilir.

Bu kapsamda zafiyet tarama sonuçları, güvenlik testleri, yama yönetimi kayıtları ve ilgili teknik kontrol kanıtları incelenebilir.

İşletme penetrasyon testi gerçekleştiriyorsa test raporu ve bulguların takibine ilişkin kayıtlar da değerlendirilebilir.

Ancak bütün ISO 27001 denetimlerinde penetrasyon testi raporunun zorunlu olarak talep edilmesi gerektiği söylenemez.

Denetçi, kuruluşun faaliyetlerini, risklerini ve uyguladığı kontrolleri dikkate alır.

Örneğin işletmenin risk değerlendirmesinde kritik bir web uygulamasına yönelik güvenlik testinin gerekli olduğu belirlenmişse bu faaliyetin gerçekleştirilip gerçekleştirilmediği sorgulanabilir.

Benzer şekilde müşteri sözleşmesinde penetrasyon testi şartı bulunuyorsa bu gerekliliğin nasıl karşılandığı değerlendirilebilir.

Penetrasyon Testi Yapılmadan ISO 27001 Belgesi Alınabilir mi?

Penetrasyon testi yapılmadan ISO 27001 belgesi alınması bazı kuruluşlar için mümkün olabilir.

Ancak bunun için işletmenin bilgi güvenliği risklerini uygun şekilde değerlendirmesi ve gerekli teknik güvenlik kontrollerini uygulaması gerekir.

Örneğin işletmenin teknik zafiyetleri düzenli taramalar, güvenlik güncellemeleri, yapılandırma kontrolleri ve diğer uygun yöntemlerle yönetmesi söz konusu olabilir.

Bununla birlikte risk değerlendirmesi sonucunda penetrasyon testinin gerekli olduğu belirlenmişse bu faaliyetin gerçekleştirilmemesi uygunsuzluğa neden olabilir.

Ayrıca müşteri sözleşmeleri veya ilgili düzenlemeler penetrasyon testi yapılmasını gerektirebilir.

Bu nedenle penetrasyon testi gerekliliği yalnızca ISO 27001 standardı açısından değil, işletmenin bütün ilgili yükümlülükleri açısından değerlendirilmelidir.

ISO 27001 İçin Penetrasyon Testini Kim Yapmalı?

Penetrasyon testi, test edilecek sistemler ve kullanılacak yöntemler konusunda gerekli teknik yeterliliğe sahip kişiler tarafından gerçekleştirilmelidir.

Testi gerçekleştirecek kişilerin sistem güvenliği, uygulama güvenliği ve ilgili test yöntemleri konusunda bilgi ve deneyime sahip olması önemlidir.

Test faaliyetlerinin yetkilendirilmiş ve kontrol altında yürütülmesi gerekir.

Özellikle canlı sistemlerde gerçekleştirilecek testlerde kapsamın, izinlerin ve olası operasyonel etkilerin önceden belirlenmesi önemlidir.

ISO 27001 standardı, bütün penetrasyon testlerinin mutlaka aynı tür dış hizmet sağlayıcısı tarafından yapılmasını genel bir şart olarak belirlemez.

Ancak işletmenin faaliyetleri, müşteri sözleşmeleri veya ilgili düzenlemeler testin bağımsız bir kuruluş tarafından gerçekleştirilmesini gerektirebilir.

Bu nedenle test hizmeti alınmadan önce teknik yeterlilik, bağımsızlık ihtiyacı ve sözleşmesel şartlar değerlendirilmelidir.

ISO 27001 Penetrasyon Testi Sonucunda Açık Bulunursa Ne Olur?

Penetrasyon testi sonucunda güvenlik açığı bulunması, işletmenin otomatik olarak ISO 27001 belgesi alamayacağı anlamına gelmez.

Önemli olan tespit edilen açıkların risklerinin değerlendirilmesi ve uygun şekilde yönetilmesidir.

Örneğin kritik seviyede bir güvenlik açığı tespit edilmişse işletmenin bu açığın etkisini değerlendirmesi ve gerekli düzeltici faaliyetleri planlaması gerekir.

Güvenlik açığının giderilmesinden sonra uygun doğrulama testleri gerçekleştirilebilir.

Bazı durumlarda teknik veya operasyonel nedenlerle belirli bir açığın hemen giderilmesi mümkün olmayabilir.

Bu durumda riskin nasıl yönetileceği ve hangi geçici kontrollerin uygulanacağı değerlendirilmelidir.

Ancak kritik güvenlik açıklarının yalnızca raporda belirtilmesi ve herhangi bir faaliyet gerçekleştirilmemesi, bilgi güvenliği yönetim sisteminin etkinliği açısından sorun oluşturabilir.

ISO 27001 Penetrasyon Testi Hakkında Sık Sorulan Sorular

ISO 27001 belgesi için penetrasyon testi zorunlu mu?

ISO 27001 standardı bütün işletmelerin mutlaka penetrasyon testi yaptırmasını genel bir şart olarak belirlemez. Ancak risk değerlendirmesi, müşteri sözleşmeleri veya ilgili gereklilikler nedeniyle penetrasyon testi gerekli olabilir.

ISO 27001 için sızma testi raporu olmadan belge alınabilir mi?

Uygun koşullarda mümkündür. Ancak işletmenin gerekli bilgi güvenliği kontrollerini uygulaması ve teknik zafiyetleri uygun şekilde yönetmesi gerekir.

ISO 27001 penetrasyon testi yılda bir yapılmalı mı?

ISO 27001 standardı bütün işletmeler için sabit bir yıllık penetrasyon testi zorunluluğu getirmez. Test sıklığı risklere ve ilgili gerekliliklere göre belirlenmelidir.

ISO 27001 zafiyet taraması yeterli mi?

Zafiyet taramasının yeterliliği işletmenin risklerine ve teknik güvenlik ihtiyaçlarına bağlıdır. Bazı durumlarda penetrasyon testi veya ilave güvenlik değerlendirmeleri gerekli olabilir.

ISO 27001 denetçisi penetrasyon testi raporu ister mi?

Denetçi teknik zafiyetlerin yönetimine ilişkin kanıtları inceleyebilir. Penetrasyon testi raporu bulunuyorsa veya testin yapılması gerekli görülmüşse ilgili kayıtlar değerlendirilebilir.

ISO 27001 penetrasyon testini firma kendi yapabilir mi?

Gerekli teknik yeterlilik ve yetkilendirme sağlanıyorsa iç kaynaklarla test gerçekleştirilmesi mümkün olabilir. Ancak bağımsızlık, müşteri şartları ve ilgili düzenlemeler ayrıca değerlendirilmelidir.

ISO 27001 penetrasyon testinde açık çıkarsa belge alınamaz mı?

Güvenlik açığı tespit edilmesi tek başına belgelendirmeyi otomatik olarak engellemez. Ancak açıkların risklerinin değerlendirilmesi ve gerekli faaliyetlerin gerçekleştirilmesi gerekir.

ISO 27001 ile ISO 27002 penetrasyon testi açısından farklı mı?

ISO 27001 bilgi güvenliği yönetim sistemi gerekliliklerini belirler. ISO 27002 ise bilgi güvenliği kontrollerinin uygulanmasına yönelik rehberlik sağlar. Penetrasyon testi ihtiyacı kuruluşun riskleri ve ilgili kontrol gereklilikleri doğrultusunda değerlendirilir.

ISO 27001 Teknik Kontroller ve Belgelendirme Danışmanlığı – YYS Danışmanlık

ISO 27001 belgelendirme sürecinde teknik güvenlik kontrollerinin işletmenin faaliyetlerine ve bilgi güvenliği risklerine uygun değerlendirilmesi önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, risk değerlendirmesi, SOA hazırlanması, teknik güvenlik kontrol gerekliliklerinin değerlendirilmesi, dokümantasyon, eğitim, iç tetkik ve belgelendirme hazırlığı konularında danışmanlık hizmetleri sunuyoruz.

Penetrasyon testi, zafiyet yönetimi ve diğer teknik güvenlik faaliyetlerine ilişkin ihtiyaçların bilgi güvenliği yönetim sistemi kapsamında belirlenmesine destek sağlıyoruz.

ISO 27001 belgelendirme hazırlığı, teknik kontrol değerlendirmesi veya danışmanlık hizmetleri hakkında bilgi almak için YYS Danışmanlık üzerinden bizimle iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi almak için bütün işletmelerin penetrasyon testi yaptırması gerektiğine ilişkin genel bir standart şartı bulunmamaktadır.

Ancak kuruluşların bilgi güvenliği risklerini değerlendirmesi, teknik zafiyetleri yönetmesi ve gerekli güvenlik kontrollerini uygulaması gerekir.

Penetrasyon testi, bu faaliyetlerin desteklenmesi amacıyla kullanılabilecek önemli teknik güvenlik yöntemlerinden biridir.

ISO 27001 belgelendirmesinde doğru yaklaşım, yalnızca sızma testi raporu hazırlatmak değil, işletmenin bilgi güvenliği risklerine uygun ve sürdürülebilir bir teknik zafiyet yönetimi oluşturmaktır.