1. Ana sayfa
  2. Hizmetler
  3. Bilgi Güvenliği ve Uyum
Bilgi güvenliği danışmanlığı

Bilgi Güvenliği ve Uyum Danışmanlığı

Bilgi güvenliği danışmanlığı; kurumun bilgi varlıklarını koruyacak yönetim sistemini, teknik kontrolleri ve bunların kanıtlarını birlikte kurmayı kapsar. ISO 27001 belgelendirmesine hazırlıktan KVKK teknik ve idari tedbirlerine, sızma testinden iç denetime kadar politikayı ve uygulamayı aynı sistemde buluşturuyoruz.

Görüşme talep edin Ücretsiz değerlendirme
Örnek arayüz: ISO 27001 kontrol temalarına göre hazırlık durumu, risk matrisi ve zafiyet takip listesi ISO/IEC 27001 · hazırlık durumu Ek A kontrol temaları Organizasyonel 31/37 İnsan 8/8 Fiziksel 12/14 Teknolojik 27/34 risk matrisi olasılık → etki ↑ zafiyet yönetimi · açık kayıtlar son tarama: bugün Yüksek Güncel olmayan TLS yapılandırması çalışılıyor Orta Yönetim paneli herkese açık kapatıldı Orta Eksik güvenlik başlıkları kapatıldı Düşük Bilgi ifşa eden sunucu sürümü planlandı
Kapsam
ISO 27001, 27701, 22301 ve PCI DSS hazırlığı, KVKK tedbirleri, sızma testi, iç denetim, eğitim
Yaklaşım
Risk temelli; politika ve teknik kontrol bir arada
Çalışma modeli
Proje · dönemsel test · sürekli danışmanlık
İlk adım
Ücretsiz ön görüşme ve mevcut durum değerlendirmesi
Ne zaman gerekir

Güvenlik ve uyum çalışması ne zaman gündeme gelir?

Güvenlik gereksinimleri çoğu zaman bir müşteri talebi, denetim ya da büyüme adımıyla birlikte gündeme gelir. Çalışmayı bu hedefe göre kapsamlandırırız.

  • Bir müşteri ISO 27001 belgesi ya da güvenlik denetimi istiyor. Kapsamın, takvimin ve gerekli adımların netleşmesi gerekiyor.
  • KVKK'nın teknik tedbirlerinin uygulamaya yansıması gerekiyor. Erişim, kayıt, şifreleme ve imha süreçlerinin veri envanteriyle uyumlu çalışması.
  • Zafiyet tarama sonuçlarının takibi gerekiyor. Bulguların önceliklendirilmesi, sahiplerine atanması ve kapanışının izlenmesi.
  • Sistemlerin bağımsız bir gözle test edilmesi isteniyor. Dışarıdan ve içeriden erişilebilen sistemlerin belirli bir kapsamda sızma testiyle değerlendirilmesi.
  • Çalışanlara yönelik farkındalık eğitimi planlanıyor. Oltalama, parola ve cihaz güvenliği gibi konularda düzenli ve kayıt altına alınan eğitim.
Kapsam

Bilgi güvenliği ve uyumda neler yapıyoruz?

Yönetim sisteminden teknik teste, ihtiyacınıza göre seçilebilen başlıklar.

ISO 27001 belgelendirmesine hazırlık

Kapsam ve risk değerlendirmesi, politika ve prosedürler, Uygulanabilirlik Bildirgesi ve belgelendirme denetimine hazırlık.

ISO 27701, ISO 22301 ve PCI DSS

Kişisel veri gizliliği, iş sürekliliği ve kart verisi güvenliği için ayrı ya da mevcut sisteminizle birlikte yürütülen hazırlık.

Bilgi ve İletişim Güvenliği Rehberi

Varlık grupları ve kritiklik derecelerinin belirlenmesi, boşluk analizi, tedbirlerin uygulanması ve denetime hazırlık.

KVKK teknik ve idari tedbirler

Kişisel veri envanterine dayalı erişim, kayıt, şifreleme, yedekleme ve imha süreçlerinin uygulamada karşılanması.

İç denetim

Yönetim sisteminin, sistemi kuran ekipten bağımsız bir denetçiyle iç denetimi; bulgular ve düzeltici faaliyet takibi.

Sızma testi

Web, dış ağ, iç ağ ve bulut testleri; kara, gri veya beyaz kutu yaklaşımı, yazılı kurallar ve düzeltme sonrası tekrar test.

Zafiyet yönetimi

Düzenli tarama, bulguların önceliklendirilmesi, kapanış takibi ve yönetime anlaşılır, düzenli raporlama.

Farkındalık eğitimi

Çalışanlara oltalama, parola ve cihaz güvenliği gibi konularda uygulamalı eğitimler ve katılım kayıtları.

Süreç

Risk temelli, adım adım.

Her kontrolü bir riske bağlar, önce en yüksek riskleri ele alırız. Böylece emek, en çok fark yaratacağı yere harcanır. Aşağıdaki akış uçtan uca bir çalışmayı gösterir; başlıklar ayrı ayrı da alınabilir.

Gözettiğimiz çerçeveler

Çalışmalar tanınmış standart ve düzenlemelere dayanır:

  • ISO/IEC 27001:2022 ve 27002
  • ISO/IEC 27701:2025, ISO 22301, PCI DSS v4
  • 6698 sayılı KVKK ve Kişisel Veri Güvenliği Rehberi
  • Bilgi ve İletişim Güvenliği Rehberi
  • OWASP test rehberleri
  • CIS Kontrolleri
1

Mevcut durum ve kapsam

Varlıkları, süreçleri ve mevcut kontrolleri inceler, kapsamı birlikte belirleriz.

Çıktı: Kapsam ve boşluk analizi
2

Risk değerlendirmesi

Tehditleri ve etkilerini değerlendirir, kontrolleri önceliklendiririz.

Çıktı: Risk değerlendirme raporu ve risk işleme planı
3

Kontrollerin uygulanması

Politika, süreç ve teknik tedbirleri birlikte hayata geçiririz.

Çıktı: Politika seti, uygulanmış kontroller
4

Test ve doğrulama

Zafiyet taraması ve sızma testiyle kontrollerin işlediğini doğrular; iç denetimi sistemi kuran ekipten bağımsız bir denetçiyle yaparız.

Çıktı: Test raporları, iç denetim raporu
5

Sürdürme

Dönemsel testler, kanıt takibi ve yönetim gözden geçirmesiyle sistemi güncel tutarız.

Çıktı: Dönemsel raporlar
Teslimatlar

Güvenlik ve uyum çalışmasının çıktıları.

Kapsama göre; denetçiye, müşteriye ya da yönetime gösterebileceğiniz somut çıktılar.

Boşluk ve risk analizi

Mevcut durum, riskler ve önceliklendirilmiş risk işleme planı.

Politika ve prosedür seti

Kurumunuza uyarlanmış, uygulanabilir belgeler.

İç denetim raporu

Bulgular, uygunsuzluklar ve düzeltici faaliyet planı.

Test raporları

Yönetici özeti, teknik bulgular, kanıtlar ve düzeltme önerileri.

Düzeltme doğrulaması

Kapatılan bulguların tekrar testle teyidi.

Eğitim materyali

Farkındalık eğitimi içerikleri ve katılım kayıtları.

Kimler için

Hedefinize göre başlangıç noktası.

Müşteri denetimine hazırlanan KOBİ'ler

Kurumsal müşterilerin güvenlik anketlerine ve tedarikçi denetimlerine hazırlanan işletmeler.

ISO 27001 belgesi hedefleyen şirketler

Belgelendirme sürecine aşamalı, gerçekçi bir takvimle ve kanıt üreten bir yapıyla girmek isteyenler.

Kamuya ve kritik altyapıya hizmet verenler

Bilgi ve İletişim Güvenliği Rehberi tedbirlerine uyum beklenen kamu kurumları ve tedarikçileri.

Başlamadan önce

İlk görüşmeyi verimli kılmak için.

Hiçbiri ön koşul değil; elinizde ne varsa ilk görüşmeyi o kadar somut kılar.

Varsa hazırlayabilecekleriniz

  • Sistem ve varlık listesi, eksik olsa da
  • Hedef: ISO 27001 belgesi, KVKK tedbirleri, müşteri anketi ya da denetim
  • Varsa önceki denetim, tarama ve test raporları
  • Süreç sahipleri ve iletişim kişileri
  • Kısıtlar: takvim, kesinti pencereleri, kapsam dışı tutulacak sistemler
Sık sorulan sorular

Bilgi güvenliği ve uyum hakkında

Kaynaklar ve standartlar

Kurumunuzun bilgi varlıklarını ve risklerini belirlemeyi, bu risklere karşı politika, süreç ve teknik kontrolleri kurmayı ve bunların işlediğini test ve denetimle doğrulamayı kapsar. Çalışma çoğu zaman ISO 27001 gibi bir standart ya da bir müşteri gereksinimi etrafında kapsamlandırılır.

Hayır. Belgeyi, belgelendirme denetimini yapan akredite kuruluş verir. Biz kurumunuzu bu denetime hazırlar, iç denetimi yapar ve süreç boyunca yanınızda oluruz.

Süreyi üç şey belirler: kapsamın genişliği, mevcut olgunluk düzeyi ve süreç sahiplerinin ayırabildiği zaman. Boşluk analizinden sonra gerçekçi ve aşamalı bir takvim çıkarırız.

Hayır. Denetçi, politikanın uygulandığını gösteren kayıt ve kanıt ister: erişim gözden geçirmeleri, yedekleme testleri, eğitim kayıtları, olay kayıtları gibi. Bu yüzden belgelerle birlikte kanıtın nasıl üretileceğini de kurarız.

Evet, başlıklar ayrı ayrı alınabilir. Yalnız sızma testinde çıktı; yönetici özeti, teknik bulgular ve düzeltme önerilerini içeren test raporu ile düzeltmelerin tekrar testle doğrulanmasıdır. Yalnız iç denetimde bulguları ve düzeltici faaliyet planını içeren iç denetim raporu, yalnız hazırlık çalışmasında ise boşluk analizi, risk işleme planı ve politika seti teslim edilir.

Evet. Standart, denetçinin kendi kurduğu sistemi denetlememesini ister; bu yüzden iç denetimi sistemi kuran ekipten bağımsız bir denetçiyle yaparız.

Evet; her biri farklı bir ihtiyaca yanıt verir. ISO/IEC 27701:2025, kişisel verilerin işlenmesi için bir gizlilik bilgi yönetim sisteminin (PIMS) gereksinimlerini tanımlar; tek başına uygulanabilir, mevcut bir ISO 27001 sisteminiz varsa onunla birlikte de yürütülebilir. ISO 22301, kesintilere karşı iş sürekliliği yönetim sistemini kapsar. PCI DSS ise kart verisini işleyen, ileten ya da saklayan kuruluşlar için bir güvenlik standardıdır; kuruluşun seviyesine ve çalıştığı bankanın ya da kart markalarının gereksinimlerine göre öz değerlendirme (SAQ) ya da yetkili değerlendirici (QSA) denetimi gerekir. Her durumda kurumunuzu değerlendirmeye hazırlarız.

Rehber, Siber Güvenlik Başkanlığı tarafından yayımlanır; kamu kurum ve kuruluşları ile kritik altyapı işletmecilerine uygulanır. Bu kurumlara hizmet veren tedarikçilerden de sözleşmeler yoluyla uyum beklenebilir. Uyum çalışmasını varlık gruplarının belirlenmesinden yıllık denetime hazırlığa kadar yürütüyoruz. Yıllık uyum denetimini ise mevzuatın öngördüğü yetkinliğe sahip denetçiler yapar; uyum danışmanlığı veren firma aynı kurumu belirli bir süre denetleyemez.

Hizmetimiz KVKK'nın teknik ve idari tedbirlerine odaklanır. Aydınlatma metinleri, rıza ve sözleşmeler gibi hukuki konular hukuk danışmanınızın alanındadır; teknik tedbirleri onunla aynı belgeler üzerinden, uyumlu biçimde yürütürüz.

Testler başlamadan önce kurallar yazılı olarak belirlenir: yazılı yetki, kapsam ve kapsam dışı sistemler, test zamanları, iki taraftan iletişim kişileri ve testin hangi durumda durdurulacağı. Üretim ortamında kesinti riski taşıyan adımlar sizinle ayrıca planlanır.

Kara kutu testinde test eden kişi dışarıdan bir saldırgan gibi bilgi verilmeden başlar. Gri kutuda sıradan bir kullanıcı hesabı gibi sınırlı bilgi verilir. Beyaz kutuda mimari, kaynak kod ya da yapılandırma da paylaşılır. Hangisinin uygun olduğu, neyi ölçmek istediğinize göre seçilir.

Yaygın uygulama yılda en az bir kez ve büyük değişikliklerden sonradır; regülasyon veya müşteri gereksinimleri daha sık test isteyebilir. Değişiklik sıklığı yüksek uygulamalarda dönemsel testi DevSecOps kontrolleriyle tamamlamak önerilir.

Evet. Gerektiğinde çalışmaya gizlilik sözleşmesiyle başlarız; raporlar yalnız sizin belirlediğiniz kişilerle, güvenli kanaldan paylaşılır.

İlgili hizmetler

DevSecOps

Güvenli CI/CD ve yazılım tedarik zinciri

BT Mimarisi ve Bulut

Buluta geçiş, hibrit mimari, maliyet yönetimi
Ücretsiz ön görüşme

Güvenlik ve uyum hedeflerinizi birlikte ele alalım.

Ücretsiz ön görüşmede mevcut durumunuzu ve hedeflerinizi ele alıyor; ilk izlenimimizi ve olası sonraki adımları aynı görüşmede paylaşıyoruz.

Görüşme talep edin +90 216 203 01 21
  • Konunuza uygun uzmanlarla teknik bir görüşme
  • Durumunuza ilişkin ilk izlenim ve olası yaklaşımlar
  • Uygunsa sonraki adım: değerlendirme, proje önerisi ya da danışmanlık
  • Gerektiğinde görüşme öncesinde gizlilik sözleşmesi
  • Taleplere mesai saatlerinde 4 saat içinde dönüş