Mevzuata Göre Sızma Testi Gereklilikleri: Dünya Çapında Rehber (2026)

Mevzuat sızma testinden üç farklı şekilde söz eder ve bu fark, hem ne satın almanız gerektiğini hem de neyi yazılı hale getirmeniz gerektiğini değiştirir.

• Açık yükümlülük: metin testi adıyla anar ve bir sıklık ya da tetikleyici belirler. NYDFS §500.5(a)(1), PCI DSS 11.3 ve 11.4, kritik sistemler için Suudi CSCC, CMMC Level 3 ve belirlenen kuruluşlar için DORA TLPT. Aralık kaçırılırsa hiçbir risk değerlendirmesi bunu telafi etmez.
• Risk temelli yükümlülük: test veya zafiyet yönetimi bağlayıcıdır, ancak türü ve sıklığı risk değerlendirmenize göre belirlenir. NIS2 Art. 21, DORA test programı (kritik veya önemli işlevlerde yıllık alt sınır ve haftalık taramalarla), APRA CPS 234, HIPAA risk analizi ve değerlendirmesi, Suudi ECC 2-11 (“periyodik olarak”) ve İtalya'da temel kuruluşlar için ACN tedbirleri (“periyodik olarak ve canlıya geçişten önce”).
• Denetim beklentisi: yasa olmayan ama denetim otoritelerinin sizi kıyasladığı rehberler; örneğin MAS TRM bölüm 13, APRA CPG 234, NCSC Cyber Assessment Framework, NIST SP 800-66r2 ve sağlık sektörü için HHS 405(d) HICP.

Risk temelli kurallar daha gevşek değildir. Bir düzenleme sıklığı seçmenize izin verdiğinde, denetçi bu seçimin yazılı olduğunu, risk değerlendirmenizden çıktığını ve fiilen uygulandığını kontrol eder. Bu rehberdeki bir rejim ise hiç test şart koşmaz: SEC açıklama kuralları; bunlar yine de bir şirketin her yıl tarif ettiği süreçlerin gerçekten var olmasını bekler.

Aşağıdaki her madde, metni madde madde aktaran ve birincil kaynaklarını gösteren ayrıntılı bir rehbere bağlantı verir. Listelerde “Kim test edebilir” denildiğinde, en uygun kişinin kim olduğu değil, metnin ne şart koştuğu anlatılır.

NIS2, Uygulama Tüzüğü (AB) 2024/2690 ve İtalya'nın ACN tedbirleriyle birlikte. Ayrıntılı rehber: NIS2 sızma testi ve zafiyet değerlendirmesi gereklilikleri.

• Kapsam: Direktif (AB) 2022/2555 kapsamındaki temel ve önemli kuruluşlar. Tüzük 2024/2690, listelenen bir dijital sağlayıcılar grubunu bağlar: DNS, TLD kayıt kuruluşları, bulut, veri merkezleri, CDN'ler, MSP'ler, MSSP'ler, çevrimiçi pazar yerleri, arama motorları, sosyal ağlar ve güven hizmetleri.
• Ne gerekiyor: zafiyetlerin ele alınması ve ifşası ile tedbirlerin etkinliğini değerlendirmeye yönelik politikalar (Art. 21(2)(e) ve (f)); Direktif sızma testini hiçbir yerde adıyla anmaz. Tüzük 2024/2690 bir güvenlik testi politikası ve uygun olduğu durumlarda zafiyet taramaları ister. İtalya'da ACN tedbiri ID.RA-01, temel kuruluşların en azından ilgili sistemlerinde zafiyet değerlendirmesi ve/veya sızma testi yapmasını şart koşar.
• Sıklık: risk temelli; 2024/2690 uyarınca “planlı aralıklarla”; İtalya'da “periyodik olarak ve her durumda canlıya geçişten önce”; ACN tedbirlerinin son tarihi listeye alınma bildiriminden 18 ay sonrasıdır (2025'te listelenen kuruluşlar için Ekim 2026, ilk kez 2026'da listelenenler için 31 Temmuz 2027).
• Kim test edebilir: hiçbir metin dış veya sertifikalı test uzmanı şart koşmaz. Tüzük 2024/2690, denetim yetkinliği ve bağımsızlığı her test için değil, genel yaklaşımın bağımsız gözden geçirilmesi için ister.
• Kanıt: her zafiyeti ve etkisini açıklayan VA/PT raporları (ID.RA-01), yönetim kurulunca onaylanmış bir zafiyet yönetimi planı (ID.RA-08), bulgu bazında kritiklik ve azaltım (2024/2690 madde 6.5), iyileştirme ve yeniden test kayıtları.

DORA test programı, Madde 24 ve 25. Ayrıntılı rehber: TLPT ötesinde DORA sızma testi gereklilikleri.

• Kapsam: Tüzük (AB) 2022/2554 kapsamındaki tüm finansal kuruluşlar; daha hafif, risk temelli bir yaklaşımla test yapan mikro işletmeler hariç (Art. 25(3)).
• Ne gerekiyor: risk temelli bir test programı; Art. 25(1), zafiyet taramaları ve kaynak kod incelemelerinden sızma testine kadar öngördüğü testleri sıralar. Tüzük her sistemin her yıl sızma testine tabi tutulmasını şart koşmaz, ancak sorunun istismar edilebilirlik olduğu yerde yalnızca taramaları savunmak zordur.
• Sıklık: kritik veya önemli işlevleri destekleyen tüm BİT sistemleri ve uygulamalarında en az yılda bir uygun testler (Art. 24(6)); bu varlıklarda en az haftalık otomatik zafiyet taraması (RTS 2024/1774, Art. 10(2)).
• Kim test edebilir: kurum içi veya dışı bağımsız taraflar; kurum içi test uzmanlarının yeterli kaynağa sahip olması ve çıkar çatışması bulunmaması gerekir (Art. 24(4)).
• Kanıt: kritik veya önemli işlevlerden sistemlere uzanan eşleme, bir test matrisi, bağımsızlık kayıtları ve her düzeltmeyi doğrulayan bir onaylama adımı içeren bulgu sicili (Art. 24(5)).

DORA tehdit odaklı sızma testi (TLPT), Madde 26 ve 27. Ayrıntılı rehberler: DORA kapsamında TLPT ve DORA TLPT uygulama playbook'u.

• Kapsam: yalnızca otoritelerin RTS 2025/1190'ın ölçütleri ve varsayılan listesiyle belirlediği finansal kuruluşlar; örneğin G-SII ve O-SII kredi kuruluşları, merkezi menkul kıymet saklama kuruluşları, merkezi karşı taraflar ve en büyük ödeme ve elektronik para kuruluşları.
• Ne gerekiyor: kritik veya önemli işlevleri destekleyen canlı üretim sistemlerinde istihbarat odaklı bir red team testi; aktif red team aşaması en az 12 hafta sürer, ardından bir tekrar (replay) ve bir purple teaming çalışması gelir.
• Sıklık: en az üç yılda bir. Bildirimden onay belgesine kadar çalışma gerçekçi olarak 12 ila 18 ay sürer.
• Kim test edebilir: tehdit istihbaratı sağlayıcısı her zaman dışarıdandır; kurum içi test uzmanları yalnızca otoritenin onayıyla ve her üç testte bir dış test uzmanlarıyla; SSM kapsamındaki önemli kredi kuruluşları yalnızca dış test uzmanı kullanır. Sağlayıcılar RTS Art. 5(2)'deki deneyim, referans ve sigorta eşiklerini karşılamalıdır.
• Kanıt: yönetim organınca onaylanmış bir kapsam tanımı, red team ve blue team raporları, bir özet rapor, kök nedenleri içeren bir iyileştirme planı ve otoritenin onay belgesi (DORA Art. 26(7)).

GDPR Madde 32 (kişisel veriler, AB ve AEA). Ayrıntılı rehber: GDPR Madde 32 güvenlik testi.

• Kapsam: Tüzük (AB) 2016/679 kapsamındaki kişisel veri sorumluları ve işleyenler.
• Ne gerekiyor: uygun teknik ve idari tedbirler; uygun olduğu ölçüde bunların etkinliğini düzenli olarak test etme, ölçme ve değerlendirme süreci dahil (Art. 32(1)(d)); metin sızma testini hiçbir yerde adıyla anmaz. EDPB'nin ihlal bildirimi rehberi, düzenli zafiyet ve sızma testini önerilen tedbirler arasında sayar.
• Sıklık: “düzenli olarak”; aralık risk, teknolojinin geldiği düzey ve maliyetlere göre belirlenir.
• Kim test edebilir: belirtilmemiştir. Veri işleyenler, denetimler dahil olmak üzere veri sorumlusunun denetimlerine izin vermeli ve katkıda bulunmalıdır (Art. 28(3)(h)).
• Kanıt: veri sorumlusunun uyumu gösterebilmesini sağlayan test süreci, sonuçlar, iyileştirme ve yeniden testler (Art. 5(2)). İsveç'in IMY'si, güvenlik tedbirlerindeki eksiklikleri tespit edecek rutinlerin bulunmamasını ve yeni yazılım kurulurken yetersiz kontrolleri gerekçe göstererek Madde 32 kapsamında Sportadmin'e (6 milyon SEK, Ocak 2026) ve Miljödata'ya (1,8 milyon SEK, Eylül 2026) para cezası verdi.

NYDFS 23 NYCRR Part 500, §500.5. Ayrıntılı rehber: NYDFS Part 500 sızma testi.

• Kapsam: New York Bankacılık, Sigortacılık veya Finansal Hizmetler Kanunu uyarınca lisanslı ya da yetkili kapsamdaki kuruluşlar. §500.19(a) sınırlı muafiyetine sahip kuruluşlar §500.5'ten muaftır.
• Ne gerekiyor: bilgi sistemlerinin sınırlarının hem içinden hem dışından sızma testi; otomatik taramalar ve taramaların kapsamadığı sistemlerin manuel incelemesi; yeni zafiyetlerin izlenmesi; riske göre önceliklendirilmiş zamanında iyileştirme.
• Sıklık: en az yılda bir sızma testi; taramalar risk değerlendirmesinin belirlediği sıklıkta ve her önemli sistem değişikliğinden sonra derhal.
• Kim test edebilir: nitelikli bir iç veya dış taraf. Part 500 “nitelikli” kavramını tanımlamaz; bu nedenle deneyimi, bağımsızlığı ve metodolojiyi belgeleyin.
• Kanıt: her iki bakış açısını gösteren test raporları, tarama kayıtları ve en üst düzey yönetici ile CISO'nun imzaladığı, 15 Nisan'a kadar verilmesi gereken yıllık bildirimin dayanağı olan iyileştirme kayıtları; kayıtlar beş yıl saklanır.

HIPAA Security Rule. Ayrıntılı rehber: HIPAA sızma testi gereklilikleri.

• Kapsam: elektronik korunan sağlık bilgisi (ePHI) işleyen kapsamdaki kuruluşlar ve iş ortakları.
• Ne gerekiyor: bugün, doğru ve kapsamlı bir risk analizi (§164.308(a)(1)(ii)(A)) ve periyodik teknik ve teknik olmayan bir değerlendirme (§164.308(a)(8)); kural sızma testini veya taramayı hiçbir yerde adıyla anmaz. HHS'nin Ocak 2025 tarihli önerisi her ikisini de ekleyecektir.
• Sıklık: mevcut kuralda belirlenmiş bir sıklık yoktur. Öneri en az altı ayda bir tarama ve en az 12 ayda bir sızma testi şart koşacaktır; 30 Eylül 2026 itibarıyla kesinleşmemiştir ve en son düzenleme gündemi nihai işlemi Temmuz 2027 olarak gösterir.
• Kim test edebilir: hiçbir kural dış test uzmanı şart koşmaz. Öneri nitelikli bir kişi ister; HHS 405(d) HICP ise nitelikli kurum içi personele veya dış iş ortaklarına izin verir.
• Kanıt: envanter, risk analizi, tarama ve test sonuçları, iyileştirme ve yeniden testler; altı yıl saklanır (§164.316(b)). HHS, cezaları belirlerken önceki 12 ay boyunca uygulanan tanınmış güvenlik uygulamalarını dikkate almak zorundadır (Public Law 116-321).

PCI DSS v4.0.1, Gereklilik 11.3 ve 11.4 (kartlı ödemeler, dünya genelinde). Ayrıntılı rehber: PCI DSS 11.4 sızma testi gereklilikleri.

• Kapsam: ödeme kartı hesap verilerini saklayan, işleyen veya ileten kuruluşlar. Uyumu doğrulayıp doğrulamayacaklarını ve nasıl doğrulayacaklarını PCI SSC değil, kart markaları ve üye işyeri bankaları belirler.
• Ne gerekiyor: iç ve dış zafiyet taramaları (11.3); belgelenmiş bir metodolojiyle iç ve dış sızma testleri (11.4.1 ila 11.4.3); düzeltmeleri doğrulamak için tekrarlanan testler (11.4.4); segmentasyon testleri (11.4.5).
• Sıklık: taramalar en az üç ayda bir ve önemli değişikliklerden sonra; sızma testleri en az 12 ayda bir ve önemli değişikliklerden sonra; segmentasyon testleri 12 ayda bir, hizmet sağlayıcılar için altı ayda bir (11.4.6).
• Kim test edebilir: kurumsal bağımsızlığa sahip nitelikli bir kurum içi kaynak veya dış üçüncü taraf; QSA veya ASV olması gerekmez. Üç aylık dış taramalar bir PCI SSC Approved Scanning Vendor'dan gelmelidir.
• Kanıt: metodoloji, test uzmanı niteliklerini içeren 12 aylık test raporları, dört çeyreklik başarılı ASV taramaları ve iç taramalar, iyileştirme ve yeniden test kayıtları ile değişiklik kayıtları; sonuçlar en az 12 ay saklanır.

CMMC, 32 CFR Part 170. Ayrıntılı rehber: CMMC Faz 2 değerlendirme kanıtları.

• Kapsam: bilgi sistemleri FCI veya CUI işleyen, saklayan ya da ileten savunma yüklenicileri. 10 Kasım 2026'dan itibaren sözleşme şartı olarak Level 2 (C3PAO) statüsünü zorunlu kılacak olan Faz 2, 13 Temmuz 2026'da Department of War (DoD) tarafından askıya alındı; öz değerlendirmeler ve NIST SP 800-171 geçerliliğini korur.
• Ne gerekiyor: Level 2'de (NIST SP 800-171 Rev. 2) zafiyet taraması (3.11.2), riske göre iyileştirme (3.11.3) ve periyodik kontrol değerlendirmeleri (3.12.1); Level 3 sızma testini ekler (3.12.1e).
• Sıklık: “periyodik olarak”, sizin tanımladığınız ve bir yılı geçmeyen bir aralık anlamına gelir; Level 3 sızma testi en az yılda bir veya önemli güvenlik değişiklikleri yapıldığında.
• Kim test edebilir: testleri yüklenici yürütür; Level 2'yi bir C3PAO, Level 3'ü DCMA DIBCAC değerlendirir. 3.12.1e için NIST, doğru becerilere sahip ve değerlendirmesinde nesnel bir ekip bekler.
• Kanıt: nihai biçimdeki, hash'lenmiş ve altı yıl saklanan belgeler (§170.17(c)(4)); tanımlanmış sıklıklar, tarama sonuçları, eylem planları ve test raporları dahil.

SEC siber güvenlik açıklama kuralları. Ayrıntılı rehber: SEC Form 8-K Item 1.05 playbook'u.

• Kapsam: Securities Exchange Act of 1934 uyarınca raporlama yapan şirketler.
• Ne gerekiyor: test yok. Bir olayın önemli olduğuna karar verilmesinden itibaren dört iş günü içinde Form 8-K Item 1.05 bildirimi ve Regulation S-K Item 106 kapsamında siber güvenlik risk yönetiminin yıllık açıklaması.
• Sıklık: test için yok; Item 106 açıklaması her yıllık raporda yer alır.
• Kim test edebilir: ele alınmamıştır. Item 106, şirketin değerlendiriciler, danışmanlar, denetçiler veya başka üçüncü taraflarla çalışıp çalışmadığını sorar.
• Kanıt: yıllık rapor şirketin düzenli sızma testleri yaptığını söylüyorsa, bunu gösteren tarihli raporları, iyileştirme kayıtlarını ve yönetim kurulu raporlamasını saklayın.

CBEST, Bank of England, PRA ve FCA'nın istihbarat odaklı değerlendirmesi. Ayrıntılı rehber: Birleşik Krallık'ta CBEST ve CAF sızma testi.

• Kapsam: düzenleyicilerin denetim döngüsünde seçtiği, düzenleyicinin onayıyla CBEST talep eden veya bir olaydan sonra CBEST yapması istenen firmalar ve finansal piyasa altyapıları.
• Ne gerekiyor: önemli iş hizmetlerinin arkasındaki canlı sistemlerde istihbarat odaklı bir sızma testi ve ardından düzenleyicinin takip ettiği bir iyileştirme planı. CBEST geçti/kaldı esasına dayanmaz.
• Sıklık: talep edildiğinde, sabit bir döngü olmaksızın. Bir CBEST ortalama 9 ila 12 ay sürer; bunun yaklaşık 14 haftası sızma testidir.
• Kim test edebilir: CREST üyesi olan, sertifikalı kişilerce yönetilen CBEST akreditasyonlu tehdit istihbaratı ve sızma testi sağlayıcıları.
• Kanıt: kapsam tanımı, sağlayıcı akreditasyon ve sertifika kayıtları, test ve risk yönetimi planları, nihai rapor, iyileştirme planı ve düzenleyiciye gönderilen güncellemeler.

NCSC Cyber Assessment Framework (CAF) v4.0. Aynı ayrıntılı rehber.

• Kapsam: temel işlevlere yönelik siber risk yönetimi kendileri veya düzenleyiciler gibi bağımsız değerlendiriciler tarafından değerlendirilen kuruluşlar. NCSC'nin düzenleyici yetkisi yoktur; bu nedenle CAF'ın size uygulanıp uygulanmadığını ve nasıl uygulandığını düzenleyicinize sorun.
• Ne gerekiyor: B4.d sonucu (zafiyet yönetimi), zafiyetleri tam olarak anlamak için düzenli test ve hızlı azaltım bekler; A2.c (güvence), operasyonel ortamlarda sızma testinin riskleri dahil, sınırları anlaşılarak seçilmiş yöntemler bekler.
• Sıklık: “düzenli olarak” ve “yakın zamanda”, sabit bir aralık olmaksızın.
• Kim test edebilir: düzenli testler için kendi ekibiniz; B4.d'de “achieved” düzeyi ayrıca üçüncü taraf testiyle doğrulama gerektirir. NCSC, Birleşik Krallık kamu (HMG) kuruluşları için CHECK test uzmanlarını önerir.
• Kanıt: bilinen zafiyetlere maruziyet kaydınız, takip ve azaltım tarihleri, kendi testlerinizin sonuçları, üçüncü taraf test raporları ve her güvence yönteminin gerekçesi.

Singapur: MAS Technology Risk Management Guidelines, bölüm 13. Ayrıntılı rehber: MAS TRM sızma testi gereklilikleri.

• Kapsam: MAS denetimindeki finansal kuruluşlar. Guidelines yasa değildir, ancak MAS bir kuruluşun bunların ruhuna ne ölçüde uyduğunu dikkate alır; bankalar için bağlayıcı Notice FSM-N06, her zafiyetin riskine göre belirlenen yama sürelerini şart koşar.
• Ne gerekiyor: asgari kapsamlı düzenli zafiyet değerlendirmesi; uygun güvencelerle üretim ortamında sızma testi; çevrimiçi finansal hizmetler için black-box ve gray-box testleri; düşmanca saldırı simülasyonu tatbikatları; ciddiyete göre süreleri olan bir iyileştirme süreci.
• Sıklık: internetten doğrudan erişilebilen sistemler en az yılda bir ve büyük değişikliklerden geçtiklerinde (13.2.4); diğer testler kritiklik ve maruziyete göre belirlenen sıklıkta.
• Kim test edebilir: belirli bir test uzmanı türü öngörülmemiştir; testin 13.2.1'in istediği derinlemesine değerlendirmeyi sağlaması gerekir.
• Kanıt: VA kayıtları, test türünü ve üretim güvencelerini içeren PT raporları, test tarihleriyle birlikte internete açık sistemlerin envanteri, tatbikat kayıtları ve iyileştirme sicili.

Avustralya: APRA Prudential Standard CPS 234. Ayrıntılı rehber: APRA CPS 234 güvenlik testi gereklilikleri.

• Kapsam: ADI'ler, genel sigortacılar, hayat sigortası şirketleri, özel sağlık sigortacıları ve RSE lisans sahipleri dahil APRA düzenlemesine tabi tüm kuruluşlar ile bunların faaliyet göstermeyen holding şirketleri.
• Ne gerekiyor: bilgi güvenliği kontrolleri için sistematik bir test programı; 1 Temmuz 2019'dan beri bağlayıcıdır. CPS 234 sızma testini hiçbir yerde adıyla anmaz; APRA'nın rehberi CPG 234, sızma testlerini ve red team testlerini teknikler arasında sayar.
• Sıklık: tehditler, kritiklik, sonuçlar, güvenilmeyen ortamlara maruziyet ve değişiklikle orantılı (para 27); program en az yılda bir gözden geçirilir (para 31). CPG 234, yeterli sayıda kontrolün en az yılda bir, güvenilmeyen ortamlara açık kontrollerin ise yıl boyunca test edilmesini bekler.
• Kim test edebilir: uygun becerilere sahip ve işlevsel olarak bağımsız uzmanlar (para 30). Dış test uzmanı şart değildir; CPG 234 bağımsızlığı, test ettikleri kontroller üzerinde operasyonel sorumluluğu olmayan test uzmanları olarak yorumlar.
• Kanıt: program ve gerekçesi, test uzmanı rollerini içeren test raporları, bağımsızlık kayıtları, bulgular ve eskalasyonlar. Zamanında giderilemeyen önemli bir kontrol zafiyeti 10 iş günü içinde APRA'ya bildirilmelidir (para 36).

Suudi Arabistan: NCA Essential Cybersecurity Controls (ECC-2:2024) ve Critical Systems Cybersecurity Controls (CSCC). Ayrıntılı rehber: Suudi NCA ECC sızma testi gereklilikleri.

• Kapsam: Krallık içinde ve dışındaki devlet kurumları ile bunlara bağlı şirketler ve kuruluşlar ve Kritik Ulusal Altyapıya sahip olan, bunu işleten veya barındıran özel kuruluşlar. CSCC, kuruluşun kritik saydığı sistemler için ek kontroller getirir.
• Ne gerekiyor: ciddiyete göre iyileştirmeyle periyodik zafiyet değerlendirmesi (ECC 2-10); en azından dışarıya sunulan tüm hizmetleri ve bunların teknik bileşenlerini kapsayan sızma testleri (ECC 2-11). Kritik sistemler için CSCC kapsamı tüm iç ve dış hizmetlere genişletir.
• Sıklık: ECC uyarınca “periyodik olarak”. CSCC uyarınca kritik sistemlerde en az ayda bir zafiyet değerlendirmesi ve en az altı ayda bir sızma testi.
• Kim test edebilir: ECC bu konuda sessizdir, CSCC nitelikli bir ekip ister. ECC 1-8, kontrollerin siber güvenlik birimi dışındaki taraflarca bağımsız olarak gözden geçirilmesini ve denetlenmesini şart koşar.
• Kanıt: onaylanmış gereklilik belgeleri, kritik sistemler listesi, aylık düzeni gösteren VA kayıtları, kapsam, tarih ve ekip bilgisini içeren sızma testi raporları ve bağımsız denetim sonuçları.

BAE ve diğer Körfez ülkeleri henüz bu rehberin kapsamında değildir.

Bunlar yasa değildir. Müşteriler, denetçiler ve bazı düzenleyiciler bunları ister ve hiçbiri sızma testini zorunlu bir kontrol olarak adıyla anmaz.

ISO/IEC 27001:2022 (bilgi güvenliği yönetim sistemleri, dünya genelinde). Ayrıntılı rehber: ISO 27001 sızma testi gerektirir mi?

• Kapsam: bilgi güvenliği yönetim sistemi uygulayan her kuruluş; akredite bir belgelendirme kuruluşu tarafından belgelendirme isteğe bağlıdır.
• Ne gerekiyor: risk işleme ve Ek A'daki 93 kontrole karşı bir Uygulanabilirlik Bildirgesi dahil 4 ila 10. maddeler. Testler genellikle 8.8 Teknik zafiyetlerin yönetimi ve 8.29 Geliştirme ve kabulde güvenlik testi kontrollerinin kanıtıdır; hiçbir kontrolün adı sızma testi değildir.
• Sıklık: belirlenmiş bir sıklık yoktur; risk işleme planınızca belirlenir ve denetçi tarafından kontrol edilir. 2013 sürümüne göre verilmiş tüm sertifikaların süresi, 31 Ekim 2025'teki geçiş döneminin sonunda dolmuş veya geri çekilmiştir.
• Kim test edebilir: teknik testler için belirtilmemiştir. Kontrol 5.35 bilgi güvenliğinin bağımsız gözden geçirilmesini, madde 9.2 ise bir iç denetim programını kapsar.
• Kanıt: Uygulanabilirlik Bildirgesi, risk işleme planı, tarama ve test sonuçları, iyileştirme ve yeniden testler, iç denetim ve yönetimin gözden geçirmesi kayıtları.

SOC 2 (AICPA Trust Services Criteria, dünya genelinde hizmet kuruluşları). Ayrıntılı rehber: SOC 2 sızma testi gerektirir mi?

• Kapsam: sistemleri üzerindeki kontrollerin Trust Services Criteria'ya göre incelenmesi için bir CPA firmasıyla çalışan hizmet kuruluşları.
• Ne gerekiyor: kontroller değil, kriterler. Bir CC4.1 odak noktası olası değerlendirmeler arasında sızma testini sayar, bir CC7.1 odak noktası ise zafiyet taramalarını tarif eder; odak noktaları gereklilik değildir.
• Sıklık: belirlenmiş bir sıklık yoktur; taramalar periyodik olarak ve önemli değişikliklerden sonra (CC7.1 odak noktası). Hizmet denetçisinin test ettiği aralık, sistem tanımınızda belirttiğiniz aralıktır.
• Kim test edebilir: ayrı değerlendirmeleri nesnel geri bildirim sağlayan, yeterli bilgiye sahip değerlendiriciler; dış test uzmanı şart değildir.
• Kanıt: inceleme dönemine ait sızma testi raporları ve tarama sonuçları, iyileştirme ve yeniden test kayıtları ve eksikliklerin yönetime raporlanması (CC4.2).

Yukarıdaki rejimlerin çoğu, farklı sözcüklerle aynı altı şeyi ister. Programı bir kez bunların etrafında kurun, ardından her rejimin sıklık ve test uzmanı kurallarını üzerine ekleyin.

1. Tek bir envanterden kapsam. Her rejim bir listeyle başlar: ilgili sistemler (ACN), kritik veya önemli işlevleri destekleyen sistemler (DORA), kart sahibi veri ortamı ve kritik sistemler (PCI DSS), ePHI'ye temas eden sistemler (HIPAA), internetten doğrudan erişilebilen sistemler (MAS TRM), kritik sistemler (CSCC). Tek bir varlık envanteri tutun, her varlığı geçerli rejimlerle etiketleyin ve her hariç tutmayı gerekçesiyle birlikte yazın.
2. Yazılı bir metodoloji. PCI DSS 11.4.1 bunu adıyla şart koşar, Tüzük 2024/2690 belgelenmiş bir metodolojiyle test ister ve TLPT RTS'yi izler. İçeriden ve dışarıdan testi (NYDFS, PCI DSS), black-box ve gray-box testi (MAS TRM), angajman kurallarını ve üretim sistemleri için güvenceleri kapsayın.
3. Geçerli en katı rejimin belirlediği sıklık. Bir varlık birden fazla rejime tabi olduğunda en kısa aralık geçerlidir: örneğin DORA kritik işlev varlıklarında haftalık taramalar, PCI DSS kapsamında üç aylık taramalar, Suudi kritik sistemlerinde aylık değerlendirme ve altı aylık testler ve NYDFS ile PCI DSS kapsamında en az yıllık bir sızma testi. Tetikleyici olayları da kaydedin: PCI DSS, NYDFS ve MAS TRM kapsamında önemli değişiklikler yeni taramalar veya testler gerektirir.
4. Kayıt altına alınmış bağımsızlık. Her test için testi kimin yaptığı, nitelikleri ve test edilen sistemlerden neden bağımsız olduğu. Bir rejimin akredite veya dış bir tarafı adıyla andığı yerde (ASV taramaları, CBEST sağlayıcıları, TLPT tehdit istihbaratı sağlayıcısı, CAF üçüncü taraf doğrulaması) o taraf isteğe bağlı değildir.
5. Tek bir bulgu sicili. İstismar edilebilirlik, risk temelli öncelik, sorumlu, hedef tarih ve onayıyla birlikte kabul edilen her risk. DORA Art. 24(5), NYDFS §500.5(c), MAS TRM 13.6 ve CMMC 3.12.2'nin hepsi bu kaydı ister.
6. Önce yeniden test, sonra onay. Bir bulgu, yeniden test başarılı olduğunda kapanır (PCI DSS 11.4.4, DORA Art. 24(5)). Onay her rejimde farklı görünür: yönetim kurulunca onaylanmış bir zafiyet yönetimi planı (ACN), yönetim organınca onaylanmış bir TLPT kapsamı (DORA), en üst düzey yönetici ve CISO tarafından imzalanan yıllık bildirim (NYDFS), Yönetim Kuruluna veya üst yönetime eskalasyon (APRA), yıllık teyit (CMMC). Onayları kanıtlarla birlikte saklayın.

Saklama süresi de aynı kuralı izler: en uzun süre geçerlidir. HIPAA belgeleri ve CMMC belgeleri için altı yıl, NYDFS kayıtları için beş yıl, PCI DSS test sonuçları için en az 12 ay.

Zero Hunt, ağlar ve altyapı için on-premise bir appliance üzerinde, özel yapay zekâ ile ve human-in-the-loop (insan denetiminde) çalışan otonom bir yapay zekâ red team'idir. Tüm bu rejimlerde aynı işi görür: düzenleyicilerin ve değerlendiricilerin adı belirtilmiş taraflardan istediği testler arasındaki aylarda test kanıtı üretir. Kategorinin kendisi için bkz. otomatik sızma testi.

• Sürekli black-box ve gray-box testi. Dışarıdan ve standart kullanıcı erişimiyle yürütülen kampanyalar bir kez, günlük, haftalık, aylık veya özel bir takvimle ve değişikliklerden sonra çalışır; böylece tetikleyiciye bağlı testler bir angajman zamanını beklemez.
• İstismar edilebilirliği kanıtlanan, ardından yeniden test edilen bulgular. Her bulgu, ortamınızda istismar edilip edilmediğini kaydeder; bu, risk temelli iyileştirmenin ihtiyaç duyduğu girdidir ve her düzeltme aynı kanıtla yeniden test edilebilir.
• 34 çerçeveye eşlenmiş kanıtlar. Bunlar arasında NIS2, DORA ve TIBER-EU, NYDFS Part 500, HIPAA, PCI DSS 4.0.1, CMMC, SEC kuralları, MAS TRM, APRA CPS 234, CBEST, UK CAF ve Suudi NCA vardır; dışa aktarılabilir uyum raporlarıyla birlikte. Motor İtalyan ACN tedbir kodlarına eşleme yapmaz ve bazı kontrol referansları düzenleyicilerin numaralandırmasını izlemez; bu nedenle raporları kendi belgelerinizdeki paragraflara bağlayın.
• Riskli adımların insan onayı. Beş otonomi seviyesi, neyin bir operatörü bekleyeceğini tanımlar ve exploit kavram kanıtları inceleme için bekletilebilir. Bkz. human in the loop.
• Dayanıklı kayıtlar. Her saldırı denemesi, kampanya başına bir SHA-256 hash zincirinde Ed25519 ile imzalanmış bir kayıttır, çevrimdışı doğrulanabilir; dışa aktarılan raporlar ECDSA ile imzalanır.
• Hiçbir müşteri verisi appliance'tan çıkmaz. Modeller harici bir yapay zekâ hizmeti olmadan cihaz üzerinde çalışır; böylece test, değerlendirmeniz gereken yeni bir üçüncü taraf eklemez; air-gap (izole ağ) modunda ayrıca genel kaynaklardan indirmeleri de durdurur. Bkz. on-premise yapay zekâ red team.

Neyin yerini tutmadığı: PCI ASV, bir QSA veya bir C3PAO, CBEST akreditasyonlu sağlayıcılar, TLPT test uzmanları ve dış tehdit istihbaratı sağlayıcısı, CAF B4.d'nin istediği üçüncü taraf doğrulaması, Tüzük 2024/2690 ve Suudi ECC 1-8'in şart koştuğu bağımsız gözden geçirmeler veya birçok rejimin adıyla andığı nitelikli, bağımsız test uzmanı. Ekibinizi bağımsız kılmaz ve uyumlu olup olmadığınıza karar vermez. Bu rejimlerden hangilerinin size uygulandığını ve kanıtlarınızda nerede boşluklar olduğunu kontrol etmek için 30 dakikalık bir hazırlık görüşmesi planlayın.

Bu rehberdeki her bilgi, yukarıda bağlantısı verilen ve her biri birincil kaynaklarının tam listesini gösteren ayrıntılı rehberlerden alınmıştır. Başlıca metinler:

• Direktif (AB) 2022/2555 (NIS2) (EUR-Lex)
• Komisyon Uygulama Tüzüğü (AB) 2024/2690 (EUR-Lex)
• ACN Allegato 2, temel kuruluşlar için temel tedbirler (PDF, acn.gov.it)
• Tüzük (AB) 2022/2554 (DORA) (EUR-Lex)
• Komisyon Yetki Devrine Dayalı Tüzüğü (AB) 2024/1774, BİT risk yönetimi çerçevesine ilişkin RTS (EUR-Lex)
• Komisyon Yetki Devrine Dayalı Tüzüğü (AB) 2025/1190, TLPT'ye ilişkin RTS (EUR-Lex)
• İkinci Değişiklikle değiştirilmiş hâliyle 23 NYCRR Part 500 (NYDFS, PDF)
• 45 CFR Part 164, Subpart C, Security Standards (eCFR)
• HIPAA Security Rule önerilen kural, 90 FR 898 (Federal Register)
• PCI Data Security Standard (PCI SSC)
• 32 CFR Part 170, CMMC Program (eCFR)
• Release 33-11216, Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure (SEC)
• MAS Technology Risk Management Guidelines, Ocak 2021 (PDF, mas.gov.sg)
• APRA Prudential Standard CPS 234 Information Security (apra.gov.au)
• CBEST Implementation Guide 2024 (Bank of England)
• NCSC CAF v4.0, Principle B4 System security (ncsc.gov.uk)
• NCA Essential Cybersecurity Controls ECC-2:2024 (PDF, nca.gov.sa)
• NCA Critical Systems Cybersecurity Controls CSCC-1:2019 (PDF, nca.gov.sa)
• ISO/IEC 27001:2022 (ISO)
• 2017 Trust Services Criteria, revize edilmiş odak noktalarıyla, 2022 (AICPA & CIMA)
• Tüzük (AB) 2016/679 (GDPR) (EUR-Lex)