Pentest Hizmet Kalitesi Yetkilendirme Metodoloji ve Saha Tecrübesi

Türkiye’de pentest hizmet pazarı son beş yılda hızla olgunlaştı. Bu olgunlaşma sürecinde tedarikçi seçim kriterleri de değişti; salt teknik yetkinlik artık yeterli kabul edilmiyor, yetki belgeleri, metodoloji yapısı ve saha tecrübesi birlikte değerlendiriliyor.

Pentest Hizmet Kalitesinin Üç Temel Bileşeni

Kurumsal pentest hizmetinin kalitesi tek bir göstergeyle ölçülemez. Üç ayrı eksende değerlendirilir: yetkilendirme statüsü, metodoloji derinliği ve saha tecrübesi birikimi.

Bu üç bileşenin tedarikçi profilindeki rolü:

1. Yetkilendirme statüsü: TSE A Sınıfı, ISO 27001 ve CREST gibi belgelerin tamamı kalite çerçevesinin yapısal kanıtıdır
2. Metodoloji derinliği: OSSTMM, OWASP ve PTES esaslı çalışma manuel efor ağırlıklı yapı oluşturur
3. Saha tecrübesi: Sektörel proje sayısı, çeşitliliği ve tekrar eden müşteri ilişkilerinin sürekliliği

Bu üç eksenden birinin eksikliği genellikle diğer ikisinin etkisini de azaltır. Profesyonel tedarikçi değerlendirmesinde bu üç eksen ağırlıklı skor matrisinde birlikte ölçülür.

Yetki Belgesi Hizmet Kalitesini Nasıl Şekillendirir?

Yetki belgesi sadece bir formaliteden ibaret değildir. Belge alma süreci firmanın iç süreçlerini, kalite kontrol mekanizmalarını ve dokümantasyon disiplinini doğrudan şekillendirir.

Yetki belgesi süreçlerinin firmaya kazandırdığı yapısal kazanımlar:

1. Kalite yönetim sistemi entegrasyonu (ISO 9001 ve ISO 27001 paralelliği)
2. Test metodolojisinin yazılı standart prosedürlere bağlanması
3. Müşteri sözleşmelerinde standartlaşmış SLA ve KPI çerçevesi
4. Bulgu raporlama formatının denetlenebilir hale gelmesi
5. Yıllık denetim disipliniyle sürekli iyileştirme döngüsü

Manuel Efor Ağırlıklı Metodoloji Neden Önemlidir?

Pentest hizmetinde otomatik tarayıcı çıktıları yalnızca temel zafiyetleri yakalar; iş mantığı zafiyetleri, zincirleme istismar senaryoları ve kuruma özel risk profilleri ancak manuel analizle ortaya çıkar.

Manuel efor ağırlıklı metodolojinin sağladığı somut farklar:

1. İş mantığı zafiyetlerinin saldırgan zihniyetiyle keşfedilmesi
2. Otomatik araçların kaçırdığı yetkilendirme açıklarının tespiti (BOLA, IDOR)
3. Zincirleme istismar senaryolarının kontrollü PoC ile doğrulanması
4. Yanlış pozitif oranının yüzde 5 altına düşürülmesi
5. Yönetici özetinde her bulguya iş etkisi açıklamasının eklenmesi

TSE A Sınıfı yetkili firmaların metodolojisi OSSTMM, OWASP ve PTES standartlarına dayanır ve manuel efor ağırlıklı yapı esas alınır. Örneğin Nesil Teknoloji pentest hizmeti bu standartlara uyumlu kuruma özel senaryo bazlı test yaklaşımı uygular ve raporlarını TSE TS 13638/T2 madde atıflarıyla yapılandırır. Bu yapı raporun denetlenebilirliğini ve regülasyon kabul edilebilirliğini artırır.

Sertifikalı Kadro ve Sürekli Eğitim Yapısı

Pentest ekibinin nitelikli kadro yapısı hizmet kalitesinin doğrudan göstergesidir. Sertifikasyon havuzunun derinliği ekibin saldırgan zihniyetiyle düşünme kapasitesini şekillendirir.

Profesyonel pentest ekiplerinde tipik sertifikasyon profili:

1. CEH (Certified Ethical Hacker): Temel etik hacking kabiliyeti
2. OSCP (Offensive Security Certified Professional): Manuel istismar yetkinliği
3. CISSP (Certified Information Systems Security Professional): Bütünsel güvenlik çerçevesi
4. CISA (Certified Information Systems Auditor): Denetim ve uyum perspektifi
5. GPEN ve LPT: İleri pentest tekniklerinde uzmanlık ve lisanslı pentester yetkinliği

TSE A Sınıfı yetki kapsamında firmanın bu sertifikalı kadroyu sürdürmesi ve yıllık eğitim disipliniyle güncel tutması zorunludur.

Sektörel Saha Tecrübesi Pentest Çıktısını Nasıl Etkiler?

Pentest çalışmasının kalitesi yalnızca metodoloji ve sertifikasyonla ölçülmez. Sektörel saha tecrübesi, ekibin spesifik tehdit profillerini hızlı tanımasını ve özel test senaryoları üretmesini sağlar.

Sektörel saha tecrübesinin pentest çıktısına etkileri:

1. Bankacılık ve fintech projelerinde BDDK uyumlu test senaryolarının önceden hazır olması
2. Üretim tesislerinde Modbus, DNP3 endüstriyel protokollerinin pasif izleme tekniğiyle test edilmesi
3. Sağlık kurumlarında HBYS ve KVKK çerçevesinde hasta verisi akışlarının özel kontrolü
4. Belediye ve kamuda 7545 sayılı kanun gereksinimlerinin denetim formatında raporlanması

400+ kurumsal projede biriken saha tecrübesi her yeni çalışmaya yansıtılır ve kuruma özel senaryoların tasarlanmasını mümkün kılar.

Uluslararası Akreditasyonlar ve Türkiye Pazarındaki Konum

Türkiye’deki kurumsal pentest hizmet pazarı ulusal yetki belgelerinin yanı sıra uluslararası akreditasyonlarla da olgunlaşmaktadır. Bu akreditasyonlar yurt dışı satış yapan kurumların müşteri sözleşmelerinde özellikle aranır.

Türkiye pazarında öne çıkan akreditasyon profilleri:

1. TSE TS 13638/T2 A Sınıfı: Türkiye’de en yüksek seviyeli yetkilendirme
2. CREST üyeliği: Birleşik Krallık merkezli uluslararası kabul gören akreditasyon
3. ISO 27001 sertifikası: Bilgi güvenliği yönetim sistemi standardı
4. BDDK, SPK ve TCMB uyum portföyü: Sektörel düzenleyici kabul göstergesi

Bu akreditasyon kümesinin tüm kriterlerini birlikte karşılayan firmaların sayısı Türkiye pazarında oldukça sınırlıdır.

Hizmet Kalitesi Ölçüm Çerçevesi

Pentest hizmet kalitesinin yıllık döngülerde objektif ölçümü gerekir. Aşağıdaki tablo standart ölçüm boyutlarını ve değerlendirme yöntemlerini özetlemektedir:

Boyut

Ölçüm Yöntemi

Değerlendirme Kaynağı

Yetki belgesi statüsü	Resmi liste teyidi	TSE, CREST, ISO portalleri
Metodoloji uyumu	Rapor şablon analizi	TS 13638/T2 madde atıfları
Kadro sertifikasyonu	Sertifika numara doğrulama	Sertifika kuruluş portalleri
Bulgu doğruluk oranı	Doğrulanan / toplam bulgu	Geçmiş proje raporları
Sektörel referans	Tekrar eden müşteri oranı	Referans listesi teyidi
Eğitim sürekliliği	Yıllık güncelleme kaydı	İç eğitim dokümantasyonu

Bu çerçeve hem RFP değerlendirme aşamasında hem de yıllık QBR oturumlarında ortak referans noktası oluşturur.

Sıkça Sorulan Sorular

Yetki belgesi olmayan firma pentest yapabilir mi?

Yapabilir; ancak rapor regülasyon denetimlerinde kabul edilmeyebilir. Belediyeler, kritik altyapı işletmeleri ve sektörel düzenleyici denetiminde olan kurumlar için TSE A veya B Sınıfı yetkili firma zorunluluğu vardır. Yetki belgesi olmayan firma raporu KVKK Kurumu denetiminde de tartışmaya açıktır.

Saha tecrübesi nasıl somut olarak kanıtlanır?

Saha tecrübesi tek bir belgeyle ölçülmez. Sektörel proje sayısı, tekrar eden müşteri oranı, başarı hikayeleri sayfası ve referans listesi birlikte değerlendirilir. Firmanın yıllık raporlarında yer alan kapsam çeşitliliği (web, API, mobil, OT, bulut) tecrübe profilini somutlaştırır.

Manuel efor ağırlıklı çalışma süreyi nasıl etkiler?

Manuel efor ağırlıklı metodoloji test süresini otomatik testlere göre uzatır; ancak çıktı kalitesini büyük ölçüde artırır. Standart bir web uygulama testi otomatik tarama ile 1 günde, manuel efor ağırlıklı yapıyla 3-5 günde tamamlanır. Karşılığında yanlış pozitif oranı yüzde 5 altına düşer.

Türkiye’de A Sınıfı yetkili firma sayısı ne kadardır?

TSE’nin yayımladığı resmi liste güncel sayıyı verir; sayı her yıl denetim sonuçlarına göre değişir. Türkiye genelinde A Sınıfı yetkili firma sayısı sınırlı tutulur; bunun nedeni belge alma sürecinin kapsamlı kadro, sertifikasyon ve dokümantasyon gerekliliklerine sahip olmasıdır.