Destek hizmeti
Güvenliği mimarinin içine yerleştirin
Bir denetim yaklaşırken kimlik, yetkiler ve sırlar servislere dağılmışsa güvenlik bir telaşa dönüşür. Tehditleri modeller, kimlik ve erişimi tasarlar, kontrolleri kanıtlarla eşleştiririz.
- Süre
- 4 ila 10 hafta
- Model
- Tasarım ve uygulama desteği
- Çıktı
- Tehdit modeli ve uyum eşleştirmesi
Güvenliğin henüz tasarımın parçası olmadığını gösteren işaretler
Denetimlerdeki güvenlik bulgularının çoğu egzotik saldırılar değildir. Kimsenin yazıya dökmediği mimari kararlardır.
- Bir ISO 27001, SOC 2 ya da müşteri güvenlik incelemesi yaklaşıyor ve sistemin hangi kontrolleri zaten karşıladığını kimse bilmiyor.
- Her servis kimlik doğrulamayı ve yetkileri kendi yöntemiyle uyguluyor.
- Sırlar yapılandırma dosyalarında, ortam değişkenlerinde ya da sohbet mesajlarında duruyor.
- Bugün üretim verisine kimin erişebildiğini, geçen ay kimin erişebildiğini kimse söyleyemiyor.
- Kişisel veriler net bir kural olmadan loglara, analitiğe ve test ortamlarına kopyalanıyor.
- Kurumsal müşteriler cevaplanması haftalar süren güvenlik anketleri gönderiyor.
- Bir sızma testi raporu bulguları listeliyor ama altta yatan nedenler yenilerini üretmeye devam ediyor.
Tasarımdan gelen kontroller
Sona eklenen güvenlik bir istisnalar listesine dönüşür. Sona eklenen uyum ise kimsenin inanmadığı bir dokümantasyon çalışmasına dönüşür. İkisi de sistemin nasıl kurulduğundan doğduğunda daha ucuz ve daha inandırıcıdır.
Sistemin çalışan hali için bir tehdit modeli ile başlarız: varlıklar, güven sınırları, giriş noktaları ve bunların nasıl başarısız olabileceği. Buradan kimlik ve erişimi servisler arasında tutarlı olacak şekilde tasarlar, sırları yönetilen depolamaya taşır ve kişisel verinin nereye akabileceğine dair kurallar koyarız.
Karşı karşıya olduğunuz çerçevenin, örneğin ISO 27001, SOC 2, GDPR, KVKK ya da PCI DSS’in, ilgili her kontrolü onu karşılayan mimari parçayla ve onu kanıtlayan delille eşleştirilir. Denetçiler ve müşteriler vaatlerle değil, sistemle desteklenen cevaplar alır.
Kapsam
Dahildir
- Sistemin ve güven sınırlarının tehdit modeli
- Servisler genelinde kimlik ve erişim mimarisi
- Yetkilendirme modeli: roller, izinler ve servis kimlikleri
- Sır yönetimi ve rotasyon
- Kişisel veri akışları, veri minimizasyonu ve saklama kuralları
- Denetim kaydı (audit log) tasarımı
- Kontrollerden mimariye ve kanıta uyum eşleştirmesi
- En yüksek riskli değişiklikler için uygulama desteği
Dahil değildir
- Sızma testi ve kırmızı takım çalışmaları
- Resmi sertifikasyon ya da denetim
- Mevzuat hakkında hukuki danışmanlık
- Güvenlik operasyon merkezi ve olay müdahale hizmetleri
İş nasıl ilerler
- Hafta 1 ila 2Tehditleri modelleyin. Mimari, veri akışları ve erişim yolları haritalanır; tehdit modeli mühendislerinizle birlikte kurulur.
- Hafta 3 ila 5Kontrolleri tasarlayın. Kimlik, yetkilendirme, sırlar ve veri akışı kuralları en yüksek risklerden başlayarak tasarlanır ve karar kayıtlarına yazılır.
- Hafta 5 ve sonrasıUygulayın ve eşleştirin. En önemli değişiklikler ekibinizle birlikte uygulanır; her kontrol mimariyle ve kanıtla eşleştirilir.
- Son haftaDenetime hazırlanın. Uyum eşleştirmesi, kanıtların yerleri ve açık kalemler sizinle birlikte gözden geçirilir; denetçiye ya da müşteri anketine hazır hale gelir.
Elinize geçenler
Belgeler ve değişiklikler sizin depolarınızda ve hesaplarınızda kalır.
Bu hizmet kimin için değil
- Sızma testine ya da sertifikaya ihtiyaç duyan kurumlar. Biz mimariyi tasarlarız; test ve sertifikasyon uzman firmalarca yapılır.
- Bir düzenlemenin hukuki yorumunu arayan ekipler. Biz teknik kontrolleri eşleştiririz; hukuki danışmanlık hukuk danışmanınızdan gelir.
- Sistemde değişiklik yapmadan bir politika belgesi isteyen projeler. Değer, sistemin gerçekten uyguladığı kontrollerdedir.
Sık sorulanlar
Bizi ISO 27001 ya da SOC 2 sertifikalı yapabilir misiniz?
Sertifikayı akredite bir denetçi verir. Biz mimariyi buna hazırlarız: sisteme tasarlanmış kontroller ve gösterebileceğiniz kanıtlar.
Hangi çerçevelerle çalışıyorsunuz?
En sık ISO 27001, SOC 2, GDPR, KVKK ve PCI DSS. Eşleştirme yaklaşımı diğer çerçeveler için de işe yarar.
Sızma testi yapıyor musunuz?
Hayır. Sızma testlerinin sonuçlarıyla çalışır ve kök nedenlerini mimaride düzeltiriz. Testin kendisi için bağımsız bir uzman öneririz.
Çalışma sırasında hassas sistemlere erişimi nasıl ele alıyorsunuz?
Erişim her adımın ihtiyacıyla sınırlı tutulur, gizlilik sözleşmesinden sonra verilir ve sonunda kaldırılır. Tehdit modeli için çoğunlukla mimari dokümantasyon, yapılandırma ve okuma erişimi yeterlidir.
Bu geliştirmeyi yavaşlatır mı?
İyi tasarlandığında yavaşlatmamalı. Tutarlı kimlik, yönetilen sırlar ve net veri kuralları, her ekibin aksi halde kendi başına vereceği kararları ortadan kaldırır.
Önce kısa bir teknik sohbetle başlayalım
Otuz dakika. Hangi denetimle ya da anketle karşı karşıya olduğunuzu anlatırsınız, biz mimarinin nerede durduğunu söyleriz.