Test öncesinde yasal gereklilikleri netleştirmek

Bir güvenlik çalışmasının ilk teknik adımı değil, ilk belge adımı vardır. Test başladıktan sonra tamamlanan bir onay kimseyi korumaz; çünkü o anda hem yetkinin hem kapsamın kanıtı eksiktir. Bu yazıda ücret ya da yöntem seçimi değil, kırtasiye yönü ele alınıyor: test başlamadan önce masa üzerinde bitirilmesi gereken sözleşme ve yetkilendirme paketi. Yasal çerçevenin ne zaman oluştuğunu Hacker işe almanın ne zaman yasal olduğunu anlamak: yasal ve güvenli yol rehberi anlatır, görüşmede sorulacak soruları Işe almadan önce doğru soruları sormak: yasal ve güvenli yol rehberi listeler; bu yazı ikisinin arasındaki boşluğu doldurur.

Belge paketi üç işi aynı anda yapar. Testi yasal bir zemine oturtur, teknik ekibin hareket alanını öngörülebilir sınırlar içinde tutar ve sonradan uyuşmazlık çıkarsa iki tarafın da dayanacağı kaydı üretir. Belgeler zayıf kurulduğunda yalnızca hukuki savunma zarar görmez; raporun denetimlerde, sigorta süreçlerinde ve yönetim sunumlarında geçerliliği de sorgulanabilir hâle gelir.

Testin hukuki temeli, imza atıldığı gün doğar; testin başladığı gün değil.

Sözlü onay neden yetki sayılmaz

Test öncesinde telefonda ya da sohbet penceresinde söylenen bir "onaylıyorum", uyuşmazlık anında dört soruya yanıt vermez. Onayı veren kişi bu kararı verebilecek konumda mıydı? Hangi varlıklar, hangi saat aralığında test edilecekti? Test sırasında açığa çıkan veriler kimin gözetiminde tutulacaktı? Ters giden bir adım olduğunda sorumluluk kime aitti? Kısa yazışmalar ve ekran görüntüleri bu soruların bazılarını destekler; hiçbirini tek başına kapatmaz. Belge olmadığında onayın tarihi bile tartışmaya açıktır.

Yetkilendirme mektubu bu boşluğu tek sayfayla dolduran belge olur. İçinde şunların tek tek yer alması beklenir:

Testi talep eden kurumun ticari unvanı; imzalayan kişinin adı, unvanı ve kararı verebilmesinin dayanağı
Test edilecek varlıkların tek tek listesi: alan adları, uygulamalar, IP aralıkları, cihazlar
Kapsam dışında bırakılan sistemler ve bırakma gerekçesi
Kesin başlangıç ve bitiş tarihleri ile günlük çalışma penceresi
İzin verilen tekniklerin kısa dökümü ve açık biçimde yasaklanan yöntemler
Acil iletişim kişisinin adı, görevi ve ulaşım kanalı
Geçerlilik süresi; süre dolduğunda revizyon numarasıyla güncelleme kuralı

İmza iki nüshada toplanır: biri sağlayıcının proje dosyasında, diğeri talebi gönderen tarafın arşivinde saklanır. Ekran görüntüleri ve e-posta onayları tamamlayıcı kayıt sayılır, belgenin yerine geçmez.

Kapsam ve eylem kuralları belgesi

Yetkilendirme mektubu "ne"yi tanımlar; eylem kuralları belgesi ise "nasıl"ı sınırlar. Teknik ekibin ağ trafiği üst sınırını, çalışma saatlerini ve acil durdurma yetkisinin kimde olduğunu bu belge belirler. Yazılmadığında ekip kendi ölçüsüne göre hareket eder ve belirsizlik iki tarafta birden risk bırakır. İçinde bulunması gerekenler:

Riskli yöntemlerin her birinin ayrı ayrı durumu: parola denemeleri, yük denemesi, sosyal mühendislik, fiziksel erişim denemesi izinli mi, yasaklı mı
Üretim ortamına dokunulup dokunulmayacağı; dokunulmayacaksa kurulum kopyasının nasıl hazırlanacağı
İstek hız limiti ve iş dışı saatlerde çalışmanın durup durmayacağı
Test hesaplarının hangi yetkilerle açılacağı ve süre sonunda nasıl kapatılacağı
Bulgu bildirim kanalı: kritik bir açık görüldüğünde ilk kime haber verilecek, yanıt süresi ne olacak
Üçüncü taraf bulut hizmetleri kapsamdaysa sağlayıcının kullanım politikası onayı hangi belgeye bağlanacak

Bunların yanında her çalışma oturumunun kaydı proje klasörüne belirli bir formatta toplanır: kullanılan komutlar, saat damğaları ve ekran görüntüleri gibi. Bu kayıt düzeni, raporda geçen her satırın sonradan tek tek savunulabilmesini kolaylaştırır. Kapsam dışında bir sistem fark edildiğinde test anında durur ve kapsam yazılı revizyon olmadan güncellenmez; bu kural belge metnine açık biçimde yazılmalıdır.

Gizlilik sözleşmesi ve veri koruma maddesi

Gizlilik sözleşmesi genelde tek yönlü tasarlanır; içerik ise karşılıklı olmalıdır. Sağlayıcı müşteri bilgilerini koruma altına alırken kendi öğrendiği zafiyetleri de gizlilik kapsamına sokar: bulgular yalnızca kapsam içinde belirlenmiş kişilerle, belirlenmiş kanaldan paylaşılır. Süre (örneğin üç ilâ beş yıl), istisnalar, kopyaların iade ya da yok edilme koşulu ve alt yüklenici kullanılacaksa ona geçen yükümlülükler açıkça yazılır.

Kişisel veri işlenecekse sözleşmeye ayrı bir veri maddesi girilir. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupalı sistemlerde ise GDPR çerçevesi belirleyicidir; çatışan durumlarda hangi kuralın öncelik alacağı en başta karara bağlanır. Veri maddesinde şunlar netleşir:

Hangi veri kategorilerinin işleneceği ve hangi amaçla sınırlanacağı
Erişim yetkisi olan kişi listesi
Verinin saklanacağı ülke ve teknik önlemler
Saklama süresi ve süre sonunda silme ya da anonimleştirme kuralı
Bir ihlâl hâlinde hangi sürede kime haber verileceği
Proje sonunda silme belgesinin kime verileceği

Veri maddesi eksik kaldığında raporda yer alan örnek kayıtlar bile sorun üretir; gereksiz kişisel veri çoğaltımı baştan engellenmiş olur.

Teslimat, ödeme ve sonlandırma hükümleri

Teslimat listesi sözleşmede madde düzeyinde tanımlanır: yönetici özeti, teknik ek, kanıt eki, düzeltme önceliği ve yeniden test koşulları. Kanıt tarafında üç sorunun yanıtı yazılıdır: dosyalar nasıl şifrelenir, içeriğin değişmediğini gösteren özet kimin kontrolünde üretilir, proje sonunda hangi taraf ne kadar süre saklayıp nasıl temizler. Kanıt yönetimi belirsiz kalırsa raporun delil değeri de zayıflar.

Ödeme aşamalandırılır. Yaygın bir kalıp, ödemeyi üç eşiğe bağlar: kapsam onayı, ilk bulguların iletimi ve nihai raporun teslimi. Fatura koşulları da aynı eşiklere eklenir; böylece tam peşin ödeme baskısı doğal olarak ortadan kalkar. Kapsam dışı bir talep gündeme gelirse iş durur, kapsam revizyon numarasıyla değişir ve fiyat buna göre güncellenir; yazılı revizyon olmadan yeni sistemler test listesine girmez.

Sonlandırma maddeleri iki kapıyı ayarlar: olağan sonlandırma (yazılı bildirim ve bildirim süresi) ve olağanüstü sonlandırma (güvenlik ihlâli, kapsam ihlâli ya da ödemelerin durması gibi hâller). Sorumluluk sınırının hangi tutar ve hangi durumlarla geçerli olduğu, sağlayıcının mesleki masraflarını karşılayıp karşılamadığı ve uyuşmazlıklarda hangi hukukun uygulanacağı da tespit edilmelidir.

Örnek: üç sayfalık yetkilendirme paketi

Aşağıdaki üç sayfalık yapı bir düzen örneğidir; hukuki metin değildir. Şablonu imzalamadan önce kendi hukuk danışmanınıza gösterin.

Sayfa 1 — Yetkilendirme beyanı

Talebi yapan kurumun unvanı, imzalayanın görevi ve yetki dayanağı, varlık listesi, test penceresi ve acil iletişim kişisi bu sayfada toplanır. Alt satırlarda iki tarafın ad-soyad, unvan, tarih ve imza alanları bulunur.

Sayfa 2 — Kapsam ve eylem kuralları

İzinli teknikler tablosu ve kapsam dışı sistemler üst kısma gelir. Ardından acil durdurma prosedürü, bildirim kanalı ve "kuralları okudum, anlaştım" teyit satırı yer alır.

Sayfa 3 — Veri, rapor ve ödeme şartları

Gizlilik süresi, veri maddesine atıf, teslimat listesi, aşamalı ödeme eşikleri, fatura koşulları ve sonlandırma satırları bu sayfadadır; ayrıntılar ana sözleşmeye ek olarak bağlanır.

Üç sayfa tek dosyada toplandığında yetkilendirme paketi tamamlanmış olur. Sayfa sırası önemli değildir; asıl olan, pencere uzadığında ya da yeni bir sistem eklendiğinde paketin yazılı revizyon numarasıyla güncellenmesidir.

İmza günü için kısa bir teyit listesi şöyle kurulabilir:

Her belgede iki tarafın imzası ve tarihi açık biçimde bulunuyor
Pencere ya da kapsam değiştiyse revizyon numarası işlendi
Kapsam dışındaki üçüncü taraf sistemler için ayrı izin kaydı dosyada
Kişisel veri işleniyorsa kategori, süre, saklama ülkesi ve silme belgesi yazılı
Ödeme eşikleri ve fatura koşulları rapor teslimine bağlandı
Acil iletişim kişisi ve yanıt süresi iki tarafça onaylandı
İmzalı paket proje kayıtlarıyla birlikte güvenli arşive alındı

Test başlamadan bu satırlardan biri bile boşsa pencereyi ertelemek, riskli alanda test sürdürmekten küçük bir bedeldir.

Sözleşmede bulunması gereken hukuki kayıtlar

Yetkilendirme belgesi, testi talep eden kişinin sistem adına karar verme hakkını göstermelidir. Varlık listesi, kapsam dışı sistemler, test penceresi ve izin verilen yöntemler sözleşmeye eklenmelidir. Kişisel veri işlenecekse hangi verinin toplanacağı, nerede saklanacağı, kimlerin erişeceği ve ne zaman silineceği açıklanmalıdır. Alt yüklenici kullanılacaksa aynı gizlilik ve güvenlik yükümlülükleri ona da uygulanmalıdır.

Olay sırasında üretim hizmeti etkilenirse iletişim zinciri ve durdurma yetkisi önceden belirlenmelidir. Nihai raporun dağıtımı, kanıt dosyalarının şifrelenmesi, sorumluluk sınırları ve yeniden test koşulları da satın alma kararından önce netleşmelidir. Sağlayıcı, üçüncü kişilerin hesaplarına veya cihazlarına izinsiz erişim talebini kabul ediyorsa sözleşme yapılmamalıdır. Sınır ötesi projelerde yerel mevzuat farklı olabileceğinden, yüksek riskli kapsam için bağımsız hukuk danışmanlığı alınması en güvenli seçenektir.

Sözleşme imzalanmadan önce sigorta, sorumluluk sınırı ve yürürlükteki hukuk maddelerini şirketinizin risk düzeyine göre değerlendirin. Kritik altyapı, sağlık veya finans sistemleri ek düzenleyici bildirimler gerektirebilir. Sağlayıcının olay sırasında öğrendiği açıkları nasıl koruyacağı ve kime açıklayabileceği de belirtilmelidir. Net hükümler, teknik ekibin hızını azaltmadan hukuki belirsizliği ve sonradan çıkabilecek anlaşmazlıkları önemli ölçüde düşürür.