BDDK sızma testi yükümlülüğü, Türkiye’de faaliyet gösteren bankaların ve düzenlemeye tabi finansal kuruluşların, bilgi sistemlerini belirli aralıklarla gerçek saldırı senaryolarıyla sınatmasını zorunlu kılan bir düzenlemedir. Kuruluşun kendi beyanı ya da içeriden yapılan bir kontrol yeterli sayılmaz; dış ve iç bakış açısıyla, saldırganın yöntemlerini taklit eden bağımsız testler beklenir.

Yükümlülük, güvenliğin bir kâğıt üzerinde beyan edilmesini değil, saldırgan gözüyle düzenli aralıklarla kanıtlanmasını ister.

Düzenlemenin Dayanağı

Sızma testi zorunluluğu, tek başına duran bir kural değil, daha geniş bir bilgi sistemleri çerçevesinin parçasıdır. BDDK Bilgi Sistemleri Yönetmeliği, kuruluşların bilgi güvenliği yönetiminden risk değerlendirmesine kadar bir dizi başlıkta sorumluluğunu tanımlar; sızma testi, bu çerçevenin teknik doğrulama ayağıdır. Testin kapsamı, sıklığı ve raporlama biçimi bu düzenlemenin beklentilerine göre kurgulanır.

Kapsam ve Test Türleri

Yükümlülük, kuruluşun dışa açık sistemlerinden iç ağına, internet bankacılığından çağrı merkezi altyapısına kadar geniş bir yüzeyi kapsar. Bu yüzey tek bir yöntemle değil, farklı bilgi seviyelerinden yürütülen testlerle sınanır; Sızma testi türleri arasından kara kutu bir dış saldırganı, beyaz kutu ise içeriden bilgi sahibi bir tehdidi taklit eder. Müşteriyle temas eden Web uygulama sızma testi, finansal kuruluşlarda bu kapsamın en kritik ve en sık tekrarlanan bileşenlerindendir.

Raporlama ve Bulgu Takibi

Test yapılmış olması tek başına yükümlülüğü karşılamaz; düzenleme, bulguların düzgün belgelenmesini ve giderilmesinin izlenmesini de bekler. Sızma testi raporlaması, her bulgunun risk düzeyini, teknik ayrıntısını ve önerilen çözümünü kayıt altına alır. Kritik bir bulgunun kapatıldığının, çoğu zaman bir doğrulama testiyle teyit edilmesi beklenir; böylece rapor bir formalite değil, kapatılan risklerin izlenebilir bir kaydı olur.

Uyumun Ötesindeki Değer

Yükümlülüğe yalnızca bir kutu işaretleme egzersizi olarak yaklaşmak, testin asıl faydasını harcar. Düzenli aralıklarla tekrarlanan testler, kuruluşun saldırı yüzeyindeki değişimi zaman içinde görünür kılar; yeni açılan bir servis ya da yamanmamış bir bileşen, bir sonraki teste kadar değil, o testte yakalanır.

Bu düzenliliği bir yılda bir kez yapılan zorunlu bir egzersiz olmaktan çıkarıp sürekli bir görünürlüğe çevirmek mümkündür; dış yüzeyin testler arasındaki dönemde de izlenmesi, iki resmi test arasında oluşan boşlukları kapatır. Bu sürekli takibi, Düzenli zafiyet tarama hizmetimiz ile sağlıyoruz.