BDDK Sızma Testi

BDDK sızma testi neden gerekli?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, bankaların bilgi sistemlerinin güvenliğini düzenli sızma testleriyle değerlendirmesini ve tespit edilen açıkların giderilmesini takip etmesini gerektirir. Testlerin uygulamada en az yılda bir kez ve önemli sistem değişikliklerinin ardından yapılması beklenir; sonuçlar bağımsız denetimlerde kanıt olarak incelenir.

Benzer gereklilikler ödeme ve elektronik para kuruluşları için TCMB düzenlemelerinde, aracı kurumlar ve diğer sermaye piyasası kuruluşları için SPK’nın bilgi sistemleri yönetimi düzenlemelerinde de yer alır.

Kurumunuzun tabi olduğu düzenlemenin güncel şartlarını (test sıklığı, kapsam ve raporlama formatı) kapsam görüşmesinde birlikte mevzuat üzerinden teyit ederiz.

BDDK sızma testi kapsamı

• İnternet ve mobil bankacılık: web ve mobil kanallar, müşteri kimlik doğrulama ve işlem güvenliği, arka uç API’ler.
• Dış ağ ve İnternet’e açık servisler: çevre güvenliği, uzaktan erişim, e-posta ve DNS altyapısı.
• İç ağ ve Active Directory: yetki yükseltme, yatay hareket, kritik sistemlere erişim yolları ve segmentasyon.
• Kart ve ödeme sistemleri: kart işlem altyapısı ve PCI DSS kapsamındaki ortamlar.
• Kritik bankacılık uygulamaları: çekirdek bankacılık arayüzleri, şube ve çağrı merkezi uygulamaları, entegrasyon servisleri.
• Sosyal mühendislik: kapsam dahilinde e-posta oltalama ve farkındalık testleri.

Nasıl çalışıyoruz?

1. Kapsam ve mevzuat eşlemesi: test kapsamını yönetmelik maddeleri ve iç denetim beklentileriyle eşleştiririz.
2. Test planı ve angajman kuralları: canlı bankacılık sistemlerinde hizmet sürekliliğini koruyan test pencereleri ve iletişim planı belirlenir.
3. Test ve doğrulama: bulgular manuel olarak istismar edilerek doğrulanır, yanlış pozitifler ayıklanır.
4. BDDK formatında raporlama: yönetici özeti, teknik bulgular ve düzeltme önerileri denetime sunulabilir yapıda hazırlanır.
5. Bulgu kapanış takibi ve doğrulama testi: düzeltmeler yeniden test edilir, kapanış durumu raporlanır.
6. Denetim desteği: bağımsız denetim sürecinde kanıt dosyası ve teknik açıklamalarla destek veririz.

Neden Omniverse?

• TSE TS 13638 belgeli sızma testi firması: metodoloji, personel ve raporlama süreçlerimiz bağımsız olarak denetlenir.
• Sertifikalı ekip: TSE kıdemli sızma testi uzmanları ile OSCP, OSCE, CRTO ve CISSP sertifikalı danışmanlar.
• Manuel doğrulama: otomatik tarama çıktısı değil; her bulgu istismar edilerek kanıtlanır, yanlış pozitifler ayıklanır.
• Denetime hazır raporlama: yönetici özeti ve CVSS puanlı teknik rapor; BDDK, TCMB, PCI DSS, ISO 27001 ve DORA denetimlerinde kanıt olarak kullanılabilir.
• Kapanışa kadar destek: düzeltmeler tamamlandığında doğrulama testi (retest) ile bulguların kapandığını raporlarız.
• Sektör deneyimi: bankacılık ve finans, sigorta, enerji ve kritik altyapı, otomotiv, perakende ve sağlık başta olmak üzere 50’den fazla kurumsal müşteri.

İlgili hizmetler