Yetkinlik · Siber Güvenlik ve Danışmanlık

Kurumsal siber güvenlik ve uyum danışmanlığı

Sızma testinden ISO 27001 sertifikasyon hazırlığına, KVKK (Kişisel Verilerin Korunması Kanunu) uyumundan olay müdahalesine kadar kurumsal güvenlik ihtiyaçlarınız için danışmanlık ve uygulama hizmeti veriyoruz.

İş geliştirme ile görüşün Yetkinlik alanlarını inceleyin

Yetkinlik alanları

Sızma testinden mevzuat uyumuna

Sızma testi (pentest)

Web, mobil, API ve altyapı için OWASP ve PTES metodolojileriyle sızma testi. Ayrıntılı rapor, iyileştirme planı ve düzeltme sonrası tekrar test kapsama dahildir.

Güvenlik denetimi

Statik kod analizi (SAST), bağımlılık taraması (SCA) ve yapılandırma denetimi. Sürekli entegrasyon ve dağıtım (CI/CD) hattına yerleştirilen otomatik güvenlik kontrolleri.

ISO 27001 hazırlığı

Bilgi güvenliği yönetim sistemi (BGYS) kurulumu, risk değerlendirmesi, kontrol listeleri ve denetim öncesi boşluk analizi (gap analysis).

Olay müdahalesi (Incident Response)

Saldırı sonrası adli analiz, kayıt (log) toplama, kanıt zinciri, kök neden analizi ve toparlanma planı. 24 saat içinde devreye gireriz.

Kimlik & erişim yönetimi (IAM)

Tek oturum açma (SSO), çok faktörlü kimlik doğrulama (MFA), rol tabanlı erişim (RBAC), SCIM ve sıfır güven ağ erişimi (ZTNA) uygulamaları. Microsoft Entra ID, Okta, Auth0 ve Keycloak ile çalışırız.

KVKK ve veri koruma

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı, veri envanteri, aydınlatma metni, açık rıza ve KVKK uyum analizi; veri sorumlusu ve veri işleyen rolleri için ayrı ayrı.

Müşteri kullanım senaryoları

Müşteri projelerinden güvenlik senaryoları

Üretim sistemlerinde saldırgan bakış açısıyla test yapar, tespit edilen zafiyetlerin giderilmesini sağlarız. Raporlarımız sahada yürütülen testlere dayanır.

Web uygulaması sızma testi

Müşterinin SaaS (hizmet olarak yazılım) ürünü için üretim ve hazırlık (staging) ortamlarında periyodik sızma testi; yetkilendirme zafiyetleri, IDOR, XSS ve SQL enjeksiyonu taraması.

Sonuç: Kritik bulgular yayın öncesinde tespit edilir, sızma riski azalır.

Mobil uygulama güvenlik denetimi

iOS ve Android uygulamalarında API güvenliği, sertifika sabitleme (pinning), kurcalama önleme (anti-tamper), jailbreak/root tespiti ve anahtar saklama analizi.

Sonuç: Tersine mühendislik ve API'nin kötüye kullanımı sınırlanır.

ISO 27001 sertifikasyon süreci

Tedarik şirketinin BGYS kurulumu; politikalar, prosedürler, risk değerlendirme matrisi, iç denetim raporları ve sertifikasyon hazırlığı.

Sonuç: Kurumsal müşteri ihalelerinde aranan sertifika şartına hazırlık.

Fidye yazılımı (ransomware) sonrası olay müdahalesi

Ağ saldırısına uğrayan şirkette 24 saat içinde devreye girilerek kayıt analizi, sistem temizliği ve KOBİ ölçeğinde toparlanma planı uygulandı.

Sonuç: Veri kaybı sınırlanır, operasyon kısa sürede normale döner.

Teknoloji yığını

Kullandığımız güvenlik araç seti

Sızma testi araçları

Burp Suite Pro + ZAP
Metasploit + Cobalt Strike
Nuclei + Nessus
Wireshark + tcpdump
Frida + MobSF (mobil)

Sürekli güvenlik

SonarQube + Semgrep (SAST)
Snyk + Dependabot (SCA)
Trivy + Anchore (konteyner)
GitGuardian (gizli anahtar taraması)
Falco (çalışma zamanı tehdit tespiti)

Yönetim ve izleme

Wazuh / ELK (SIEM)
CrowdStrike / SentinelOne (EDR)
Microsoft Entra ID + Conditional Access
Cloudflare WAF + DDoS
HashiCorp Vault (gizli anahtar yönetimi)

Yaklaşımımız

Saldırgan bakış açısı ve mühendislik disiplini

Sürekli güvenlik kültürü

Periyodik sızma testini geliştirici eğitimi, kod inceleme (code review) pratikleri ve CI/CD hattına yerleştirilen güvenlik testleriyle tamamlarız; güvenlik, geliştirme sürecinin sürekli bir parçası olur.

Kırmızı takım (red team) yaklaşımı

Kurumsal müşteriler için saldırgan bakış açısıyla çalışırız: gerçekçi saldırı senaryoları, sosyal mühendislik ve fiziksel sızma simülasyonları.

Mevzuat uyumu ve operasyon dengesi

ISO 27001, KVKK ve PCI DSS uyumunu iş süreçlerinizi aksatmayacak bir planla kurarız; plan sahada uygulanabilir adımlardan oluşur.

Mevcut ekiple çalışma

Müşterinin geliştirici ve sistem yöneticisi ekibiyle birlikte çalışırız. Bilgi transferi, eğitim ve dokümantasyon önceliklidir.

Proje örnekleri

Farklı sektörlerde güvenlik projeleri

Müşteri gizliliği gereği proje detayları anonim olarak paylaşılır. Örnekler, çalıştığımız sektörleri ve hizmet kapsamını gösterir.

SaaS

Yayın öncesi sızma testi ve olay müdahale planı

B2B SaaS ürünü ilk müşterilerine açılmadan önce kapsamlı sızma testi; OWASP Top 10 taraması ve olay müdahale uygulama kılavuzu (runbook) hazırlığı.

Burp Suite Pro
OWASP ASVS
Masa başı tatbikat

Finansal hizmetler

ISO 27001 sertifikasyon

Finansal teknoloji şirketinin BGYS kurulumu ve ISO 27001 sertifikasyon hazırlığı; boşluk analizinden sertifika alımına kadar.

BGYS dokümantasyon
Risk değerlendirme
İç denetim

Sağlık

KVKK uyumu ve veri envanteri

Klinik zincirinin KVKK uyum süreci; veri envanteri, hasta açık rızası, VERBİS kaydı ve çalışan eğitim programı.

VERBİS bildirim
Veri akış haritası
Çalışan eğitim modülü

Üretim & lojistik

Endüstriyel ağ güvenliği denetimi

Üretici şirkette operasyonel teknoloji (OT) ve bilgi teknolojisi (IT) ağ ayrımı, SCADA güvenliği ve USB tabanlı saldırı önleme; ağ segmentasyonu ve sıkılaştırma (hardening) önerileri.

Nessus tarama
OT'ye özgü kontroller
Ağ segmentasyonu

Güvenlik durumunuzu birlikte değerlendirelim

İlk görüşmede mevcut güvenlik durumunuza, uyum hedeflerinize ve risk profilinize göre uygulanacak adımları planlarız.

İş geliştirme ile görüşün Sertifikalarımızı görün

Diğer yetkinliklerimiz