Nerede durduğunuzu denetçiden ya da saldırgandan önce bilin.
Uygulamalarınızın, altyapınızın ve kontrollerinizin cevap verdiğiniz çerçevelere — ISO 27001, KVKK, GDPR, PCI DSS, müşteri güvenlik anketleri — göre teknik denetimi; bulgular riske göre sıralanır ve onları bulan mühendislerce düzeltilir.
- Kapsam ve erişim
- Değerlendirme
- Rapor ve plan
- Düzeltme
Biz belgelendirme yapmayız.
Denetim üç yoldan biriyle gelir: bir düzenleyici ya da belgelendirme kuruluşu sorar, büyük bir müşteri imzadan önce güvenlik anketi gönderir ya da bir olay herkese keşke biri daha önce baksaydı dedirtir. Üç durumda da soru aynıdır — sistemlerimiz ve kontrollerimiz hakkında gerçekte doğru olan ne — ve cevap genellikle kimsenin baştan sona okumadığı yapılandırmada, kodda ve kayıtlarda yaşar.
Kontrol listesi okuyucuları olarak değil, mühendisler olarak denetleriz. Çalışan sistemleri inceleriz: kimlik nasıl ele alınıyor, veri nerede yaşıyor ve nereye gidiyor, ne şifreli, ne kaydediliyor, canlıya kim ulaşabiliyor ve bir değişiklik oraya nasıl varıyor. Bulgular temsil ettikleri riske göre sıralanır, etkiledikleri çerçeve maddelerine eşlenir ve mühendislerinizin düzeltebileceği biçimde yazılır — ya da sizinle birlikte biz düzeltiriz, çünkü sistemleri kendimiz de geliştirip işletiyoruz.
Belgelendirmeye ya da anketi geçmeye ne kadar uzak olduğunuzu tam olarak söyler ve aradaki farkı sizinle kapatırız.
Dört katman, tek rapor.
Kapsam baştan anlaşılır; çalışmaların çoğu bir belgelendirmenin ya da müşteri sözleşmesinin kapsama aldığı sistemleri içerir.
Uygulama güvenliği
Kimlik doğrulama ve oturum yönetimi, her uç noktada yetkilendirme, girdi işleme, koddaki gizli anahtarlar, bağımlılık zafiyetleri. Kod incelemesi ve dinamik test; bulgular varsayılmaz, yeniden üretilir.
Altyapı ve bulut
Ağ maruziyeti, kimlik ve erişim yönetimi, durağan ve aktarım halinde şifreleme, yedekler ve geri yükleme testleri, kayıt tutma ve saklama, çerçevenizin atıf yaptığı kıyaslamalara göre sıkılaştırma.
Kontroller ve kanıt
Sistemlerin arkasındaki süreçler: değişiklik yönetimi, erişim incelemeleri, olay müdahalesi, tedarikçi yönetimi — ve bir belgelendirme kuruluşunun ya da denetçinin isteyeceği kanıtın gerçekten var olup olmadığı.
Çerçeve eşlemesi
Her bulgu etkilediği maddelere eşlenir — ISO 27001, KVKK ve GDPR teknik tedbirleri, kartların söz konusu olduğu yerde PCI DSS — ve cevaplamanız gereken müşteri anketindeki sorulara. Gizlilik tarafı için bkz. veri koruma.
İş günlük olarak nasıl yürür?
Riske göre sıralanmış, düzeltecek kişiler için yazılmış bulgular.
Her bulgu neyi gözlemlediğimizi, nasıl yeniden ürettiğimizi, bir saldırgana ya da denetçiye ne yapma imkânı vereceğini, hangi maddelere dokunduğunu ve düzeltmeyi — eforuyla — belirtir. Rapor önce yapılacak işlerle açılır. Ek, bir denetçinin isteyeceği kanıttır; zaten toplanmıştır.
- Riske göre sıralanmış, yeniden üretilmiş bulgular; düzeltmesi ve eforuyla
- Karşılaştığınız çerçeveler ve anketler için madde eşlemesi
- Mühendislerin üzerinde çalışmaya başlayabileceği bir düzeltme planı
Çalışma nasıl ilerler.
Kapsam ve erişim
Kapsamdaki sistemler, eşlenecek çerçeveler ve anketler, koda, buluta ve kayıtlara okuma erişimi. Kontrol sahipleriyle görüşmeler.
Değerlendirme
Kod incelemesi, yapılandırma incelemesi, dinamik test ve kanıt incelemesi. Kritik bulgular rapor için bekletilmez, doğrulandıkça raporlanır.
Rapor ve plan
Sıralanmış rapor, madde eşlemesi ve eforlu bir düzeltme planı. Mühendislik ve uyumun sahibiyle birlikte üzerinden geçilir.
Düzeltme
Sizin ya da bizim ekibimizce düzeltmeler, yeniden test; bir sonraki denetim bir proje değil bir sorgu olsun diye kanıt toplama kurulur.
Size kalanlar.
- Yeniden üretimler ve düzeltmelerle riske göre sıralanmış bir bulgu raporu
- Kapsamdaki çerçevelere ve anketlere madde eşlemesi
- Bulgu başına eforla bir düzeltme planı
- Denetçilerin istediği biçimde düzenlenmiş kanıt eki
- Düzeltme sonrası yeniden test sonuçları
Doğru tercih olduğu durumlar.
Bir belgelendirme, müşteri sözleşmesi ya da düzenleyici sistemleriniz hakkında bir cevap istiyorsa ve o cevabı bulduklarını düzeltebilen insanlardan almak istiyorsanız bunu seçin.
Resmî belgelendirme denetiminin kendisine ihtiyacınız varsa başka yere bakın — o akredite bir kuruluştan gelmelidir. Biz sizi ona hazırlar ve süreçte destekleriz.
Sık sorulan sorular
Bununla birlikte ilerleyen hizmetler.
Yaklaşan bir denetim ya da anket mi var?
Çerçeveyi ve son tarihi söyleyin. Bir güvenlik mühendisi okur ve değerlendirme için yazılı bir kapsamla yanıt verir.