Penetrasyon Testi – Kapsam Bilgi Formu

Test Talep Bilgileri

Kurum ve iletişim bilgileri.

Test Türü

White / Gray / Black Box yaklaşımı.

Talep Edilen Hizmetler

Seçtikçe ilgili bölüm aşağıda açılır.

Tarihler ve Doğrulama

Raporlama

Malware Kurulum İzinleri

Sorumlu Personel

Acil durumlarda ulaşılacak ilk kişiyi ekleyin.

Test IP Plan

Yetkilendirilmiş Bilgi / İmza

Acil Durum ve Rapor Saklama

Ek: Bilgilendirme, Yetkilendirme ve Kapsam Onayı

Bu metin, formda beyan edilen kapsamın doğruluğunu, testlerin yürütülme esaslarını ve tarafların sorumluluklarını özetler.

1) Amaç ve Çalışma Tanımı

Bu form; seçilen hizmetler için test kapsamını, test yaklaşımını (White/Gray/Black Box), zaman kısıtlarını, erişim ihtiyaçlarını ve raporlama beklentilerini kayıt altına almak amacıyla hazırlanmıştır. Güvenlik testleri; hedef sistemlerde hizmet kesintisi yaratmaksızın, kontrollü ve planlı şekilde zafiyetlerin tespiti, doğrulanması ve raporlanmasını hedefler.

2) Kapsam ve Hariç Tutulanlar

• Kapsam, bu formda seçilen hizmetler ve ilgili bölümlerde beyan edilen varlıklar (IP/Subnet, FQDN, uygulama, API, SSID vb.) ile sınırlıdır.
• Kapsam dışı varlıklar için test yapılması istenirse ayrıca yazılı onay ve kapsam güncellemesi gerekir.
• Kontrolsüz servis dışı bırakma (DoS) etkisi yaratabilecek işlemler, açıkça talep edilmedikçe ve yazılı onay alınmadıkça uygulanmaz.
• Sosyal mühendislik, DDoS, web yük testi ve sürekli zafiyet analizi gibi hizmetlerde doğrulama (retest) genel kural olarak dahil değildir; ayrıca talep edilmelidir.

3) Yetkilendirme ve İzin

• Kurum/Firma, test edilecek sistemler üzerinde test yapılması için gerekli yetkiyi verdiğini; ilgili varlıkların kendisine ait olduğunu veya yetkilendirilmiş kullanım hakkı bulunduğunu beyan eder.
• Test sırasında tespit edilen açıklıkların istismar edilmesi (kanıt üretimi), yalnızca güvenlik değerlendirmesi amacıyla ve gerekli asgari etkiyle yürütülür.
• “Kötücül yazılım yükleme izni” alanındaki seçime göre hareket edilir; izin verilmedikçe kötücül yazılım bırakma/kalıcılık sağlama yapılmaz.

4) Ön Koşullar ve Müşteri Sorumlulukları

• Gray/White Box testlerinde güvenlik cihazlarında (WAF/IPS/NAC vb.) test IP’lerinin engellenmeyecek şekilde yapılandırılması gerekir.
• Yerel ağ testlerinde çalışma ortamı, ağ erişimi ve gerekli teknik koordinasyon Kurum/Firma tarafından sağlanır.
• Uygulama/API testleri için gerekli kullanıcı profilleri, test hesapları, erişim izinleri ve dokümantasyon (ör. Swagger) Kurum/Firma tarafından sağlanır.
• Mobil uygulama testlerinde, talep edilen teknik gereksinimler (ör. uygun build/SSL pinning koşulları) sağlanmadıkça test kapsamı daralabilir veya süre uzayabilir.

5) Veri İşleme, Kayıtlar ve Rapor Saklama

• Test sırasında elde edilen bulgular, kanıtlar ve loglar raporlama amacıyla işlenir ve yalnızca yetkili kişilerle paylaşılır.
• Rapor teslimi parola korumalı şekilde yapılır.
• “Rapor saklama” süresi alanındaki seçime göre rapor saklama/imtihan (imha) süreci uygulanır; doğrulama testi yapılacaksa rapor Kurum/Firma’dan talep edilebilir.

6) Operasyonel Riskler ve Acil Durum Prosedürü

• Her güvenlik testinde belirli operasyonel riskler bulunur (servis performansı etkisi, beklenmeyen davranışlar, üçüncü taraf bağımlılıkları vb.).
• Acil durumda iletişim kişisi/numarası bu formda belirtilir; gerektiğinde test derhal durdurulabilir.
• Kritik iş sürekliliği kısıtları (mesai dışı, belirli saat aralığı vb.) “Saat kısıtlaması” alanında belirtilmelidir.

7) Sorumluluğun Sınırı

Güvenlik testi; formda beyan edilen kapsam ve sağlanan erişim/ön koşullar çerçevesinde yürütülen bir değerlendirme faaliyetidir. Kapsam dışı sistemler, belirtilmeyen varlıklar, üçüncü taraf servis sağlayıcı kaynaklı kesintiler ve Kurum/Firma tarafından sağlanmayan ön koşullardan doğan sonuçlardan CASPISEC sorumlu tutulamaz.

“PDF Olarak Kaydet” butonu tarayıcının yazdır penceresini açar. Çıkan ekranda “PDF olarak kaydet” seçeneğini kullanın.