Siber Güvenlik: Güvenliği sonradan eklemiyor, en baştan tasarlıyoruz.
Güvenliği yazılım geliştirme sürecinin ilk adımından itibaren ele alıyor, sistemlerinizi düzenli testlerle denetliyor ve uyum çalışmalarınıza teknik destek veriyoruz.
Canlı önizleme
Siber GüvenlikKısaca
Güvenli yazılım geliştirme, güvenliğin bir yazılımın yayından sonra eklenen bir katman değil, tasarımından kodlamasına ve dağıtımına kadar her adımın parçası olarak ele alınmasıdır. CoreTechs olarak uygulamalarınızı OWASP ilkelerine göre geliştiriyor, kod ve bağımlılık taramalarını sürüm hattına yerleştiriyor, mevcut yazılımlarınız için uygulama güvenliği denetimi yapıyor ve KVKK'nın gerektirdiği teknik tedbirleri yazılım ve altyapı tarafında hayata geçiriyoruz. Odağımız; web, mobil ve kurumsal uygulamaların ve bunların çalıştığı altyapının güvenliğidir.
Kapsam
Güvenli yazılım geliştirme
- OWASP ilkelerine uygun kodlama
- Kod güvenlik taramaları (SAST/DAST)
- Bağımlılık açığı takibi
Güvenlik testleri
- Yetkili ve sözleşmeli sızma testleri
- Zafiyet taraması
- Yapılandırma denetimi
Uyum desteği
- KVKK teknik tedbirleri
- ISO 27001 hazırlığına yönelik teknik destek
- Erişim ve kimlik yönetimi
Teslim edilenler
- Güvenlik değerlendirme raporu
- Önceliklendirilmiş iyileştirme planı
- Kontrol testleri
Kime uygun?
- Müşteri, hasta, çalışan veya finansal veri işleyen ve KVKK uyumlu yazılım altyapısına ihtiyaç duyan işletmeler
- Kurumsal müşterilerinden veya iş ortaklarından güvenlik soru formu, denetim raporu ya da güvenlik şartı gelen yazılım şirketleri
- Başka bir firmanın geliştirdiği veya yıllar içinde büyümüş bir uygulamanın güvenlik durumunu bilmeyen kurumlar
- Yeni bir ürün geliştirirken güvenliği baştan tasarlamak isteyen, sonradan maliyetli düzeltmelerle uğraşmak istemeyen ekipler
- ISO 27001 hazırlığı yapan ve bu süreçte yazılım ve altyapı tarafında teknik destek arayan şirketler
- Kod tabanında kullandığı açık kaynak bileşenlerin güvenlik açıklarını düzenli takip edemeyen yazılım ekipleri
Nasıl çalışıyoruz?
Kapsam ve tehdit modelleme
Uygulamanızın hangi veriyi işlediğini, kimlerin hangi yetkiyle eriştiğini ve dışarıya açık noktalarını birlikte çıkarıyoruz. Bu bilgiyle en olası tehditleri ve öncelikli denetim alanlarını belirliyor, kapsamı ve test kurallarını yazılı olarak onaylatıyoruz.
Uygulama güvenliği denetimi
Kaynak kodu statik analiz (SAST) araçları ve manuel kod incelemesiyle, çalışan uygulamayı dinamik tarama (DAST) ve yetkili manuel testlerle inceliyoruz. Kimlik doğrulama, yetkilendirme, veri doğrulama, oturum yönetimi ve hassas veri saklama gibi alanları OWASP rehberleri doğrultusunda değerlendiriyoruz.
Altyapı ve yapılandırma kontrolü
Sunucu, veritabanı, bulut hesabı ve konteyner yapılandırmalarını; açık portlar, gereksiz yetkiler, şifrelenmemiş veri, eksik loglama ve güncel olmayan bileşenler açısından denetliyoruz.
Raporlama ve önceliklendirilmiş iyileştirme
Bulguları risk seviyesi, etkisi ve somut düzeltme önerisiyle raporluyoruz. Teknik ekibe ayrıntılı bulgular, yönetime ise anlaşılır bir özet sunuyoruz. Düzeltmeleri sizin ekibiniz yapabilir veya yazılım ekibimizle biz uygulayabiliriz.
Kontrol testi ve süreklilik
Düzeltmelerin ardından bulguların gerçekten kapandığını kontrol testleriyle doğruluyoruz. Kalıcı koruma için SAST, bağımlılık ve imaj taramalarını CI/CD hattınıza yerleştiriyor, ekibinize güvenli kodlama eğitimi veriyoruz.
Ne kadar sürer?
Güvenlik denetimi ve iyileştirme çalışmasının süresi; uygulamanın büyüklüğüne, rol ve yetki çeşitliliğine, kaynak koda erişim olup olmadığına, entegrasyon sayısına ve bulguların ne kadar hızlı düzeltildiğine bağlıdır. Ücretsiz 30 dakikalık ön görüşmeden sonra keşfe genellikle bir hafta içinde başlıyoruz; kapsam netleştiğinde kesin teklifi yazılı olarak sunuyoruz. Yeni geliştirilen projelerde güvenlik adımları iki haftalık geliştirme dönemlerinin her birine dahil edilir.
Aşamalar
- Kapsam ve izinTest edilecek sistemler, test kuralları, zaman aralıkları ve yetkilendirme yazılı olarak belirlenir.
- DenetimKod incelemesi, otomatik taramalar, manuel testler ve yapılandırma kontrolleri yapılır.
- RaporlamaBulgular risk seviyesine göre sıralanır, düzeltme önerileri ve yönetici özeti hazırlanır.
- İyileştirmeÖncelikli bulgular sizin ekibiniz veya bizim tarafımızdan düzeltilir.
- Kontrol testi ve sürekli güvenlikKapatılan bulgular yeniden test edilir, otomatik taramalar sürüm hattına eklenir.
Maliyeti neye bağlı?
Güvenlik denetimi ve güvenli yazılım geliştirme hizmetinin maliyeti, test edilecek sistemin büyüklüğüne ve istenen derinliğe göre belirlenir. Ön görüşmede bütçe aralığını, kapsam netleştikten sonra kesin teklifi paylaşıyoruz. Mevcut yazılımınız için Teknik Denetim Paketi ile kod kalitesi, güvenlik ve performans raporuyla da başlayabilirsiniz.
| Etken | Maliyete etkisi |
|---|---|
| Uygulama büyüklüğü ve ekran sayısı | Daha fazla modül, API ucu ve iş akışı, daha fazla test senaryosu ve inceleme süresi demektir. |
| Rol ve yetki çeşitliliği | Her kullanıcı rolü için yetki aşımı kontrolleri ayrı ayrı yapıldığı için rol sayısı eforu artırır. |
| Kaynak koda erişim | Kaynak kod paylaşıldığında hem daha kapsamlı hem daha verimli bir denetim yapılabilir; yalnızca dışarıdan test daha sınırlı bir resim verir. |
| Platform sayısı | Web, mobil uygulama ve API'nin birlikte denetlenmesi tek platforma göre kapsamı büyütür. |
| Altyapı kapsamı | Sunucu, bulut hesabı ve ağ yapılandırmalarının da denetime dahil edilmesi ek inceleme gerektirir. |
| İyileştirme sorumluluğu | Bulguların düzeltilmesini de bizim üstlenmemiz, yalnızca raporlama yapılan modele göre ek geliştirme eforu getirir. |
| Süreklilik | Tek seferlik denetim ile her sürümde otomatik tarama ve dönemsel yeniden denetim içeren sürekli model farklı fiyatlandırılır. |
Teknoloji seçenekleri
Rehber ve standartlar
- OWASP Top 10
- OWASP ASVS
- OWASP MASVS (mobil)
- CIS Benchmarks
Statik kod analizi (SAST)
- Semgrep
- SonarQube
- CodeQL
Dinamik test (DAST)
- OWASP ZAP
- Burp Suite
Bağımlılık ve imaj taraması
- Dependabot
- OWASP Dependency-Check
- Trivy
Sır ve kimlik yönetimi
- HashiCorp Vault
- Gitleaks
- Keycloak
- OAuth 2.0 ve OpenID Connect
Altyapı güvenliği
- Linux ve Windows sıkılaştırma
- Bulut güvenlik yapılandırması
- Merkezi log ve denetim kaydı
Örnek çözüm senaryosu
Kurumsal müşteri şartına hazırlanan bir web uygulaması
Temsili senaryo, gerçek bir müşteri projesi değildir.
- Profil
- Kurumsal müşterilerine web tabanlı bir yazılım hizmeti sunan ve kişisel veri işleyen bir yazılım şirketi.
- İhtiyaç
- Büyük bir kurumsal müşteri, sözleşme öncesinde ayrıntılı bir güvenlik soru formu ve uygulama güvenliği değerlendirmesi istedi. Uygulama yıllar içinde farklı geliştiricilerle büyümüştü; yetki kontrolleri tutarsızdı, bazı açık kaynak bileşenler güncel değildi ve kişisel verilerin nerede, nasıl saklandığı belgelenmemişti.
- Yaklaşım
- Uygulamanın veri akışı ve kişisel veri envanteri çıkarıldı, roller ve yetkiler haritalandı.
- Kaynak kod SAST araçları ve manuel incelemeyle, çalışan uygulama DAST ve yetkili manuel testlerle denetlendi.
- Bulgular risk seviyesine göre önceliklendirildi; yetki kontrolleri merkezi bir yapıya taşındı ve eski bileşenler güncellendi.
- Hassas alanlar için şifreleme, erişim loglaması ve veri saklama süreleri KVKK teknik tedbirleriyle uyumlu hâle getirildi.
- Kontrol testleriyle düzeltmeler doğrulandı; bağımlılık ve kod taramaları CI/CD hattına eklendi.
- Teknolojiler
- OWASP ASVS
- Semgrep
- OWASP ZAP
- Trivy
- Dependabot
- HashiCorp Vault
- Sonuç
- Şirket, güvenlik soru formunu belgeye dayalı yanıtlarla doldurabildi ve değerlendirme raporunu müşterisiyle paylaşabildi. Kritik bulgular kapatıldı, yeni açıklar artık her sürümde otomatik olarak yakalanıyor ve ekip güvenli kodlama ilkelerini günlük işine dahil etti.
Sıkça sorulan sorular
Güvenli yazılım geliştirme pratikte ne anlama geliyor?
Gereksinim aşamasında tehdit modelleme, kodlamada OWASP ilkeleri ve kod incelemesi, sürüm hattında otomatik kod ve bağımlılık taraması, yayın öncesinde güvenlik testleri demektir. Böylece açıklar canlıya çıkmadan, düzeltmesi daha kolay olduğu aşamada yakalanır.
KVKK uyumlu yazılım için siz neyi üstleniyorsunuz?
KVKK'nın teknik tedbirlerini yazılım ve altyapı tarafında uyguluyoruz: erişim yetkilendirmesi, şifreleme, loglama, veri minimizasyonu, saklama ve imha süreçlerinin teknik altyapısı gibi. Aydınlatma metinleri, VERBİS kaydı ve hukuki değerlendirme hukuk danışmanınızın alanıdır; onunla koordineli çalışıyoruz.
Mevcut uygulamamızı geliştiren siz değilseniz de denetleyebilir misiniz?
Evet. Başka bir firmanın veya kendi ekibinizin geliştirdiği uygulamaları denetleyebiliyoruz. Kaynak koda erişim sağlanırsa denetim çok daha kapsamlı olur; sağlanamazsa çalışan uygulama üzerinden dışarıdan test yapılır ve rapor bu sınırı açıkça belirtir.
Testler canlı sistemimizi etkiler mi?
Testleri mümkün olduğunda canlıya benzer bir test ortamında yapıyoruz. Canlı ortamda test gerekiyorsa kapsamı, zaman aralığını ve yasaklı işlemleri önceden yazılı olarak sizinle belirliyor, hizmet kesintisine yol açabilecek testleri yapmıyoruz.
Resmi belge gerektiren bir sızma testi zorunluluğumuz varsa ne yapmalıyız?
Bazı düzenlemeler sızma testinin belirli yetkinlik belgelerine sahip kurumlarca yapılmasını şart koşar. Böyle bir zorunluluğunuz varsa bunu ön görüşmede netleştiriyoruz. Biz uygulama güvenliği denetimi, bulguların düzeltilmesi ve güvenli geliştirme tarafında destek veriyor, resmi testin öncesinde uygulamanızı hazırlıyoruz.
Rapordaki bulguları kim düzeltecek?
Seçim sizin. Ayrıntılı bulgular ve düzeltme önerileriyle kendi ekibiniz ilerleyebilir ya da düzeltmeleri yazılım ekibimiz üstlenebilir. Her iki durumda da kontrol testiyle bulguların kapandığını doğruluyoruz.
Bulgular ve raporlar gizli tutuluyor mu?
Evet. Çalışma başlamadan gizlilik sözleşmesi (NDA) imzalanır. Bulgular yalnızca sizin belirlediğiniz kişilerle, şifreli kanallar üzerinden paylaşılır ve test sırasında elde edilen veriler iş bitiminde imha edilir.
Son güncelleme:
Bulut, Altyapı ve Güvenlik
Bu alandaki diğer çözümler
Bu çözüm için teklif alın
İhtiyacınızı kısaca anlatın, en geç bir iş günü içinde size dönelim. İlk 30 dakikalık ön görüşme ücretsizdir.