Etik Hacker Nereden Bulunur? Güvenli Seçim

Etik hacker arayan bir kurumun ilk karşılaştığı yer genellikle arama motoru oluyor. Sonuç listesi hızlı ama güvenilir değil: aynı sayfada sertifikalı bir test firması, tek kişilik bir danışman, yurt dışı bir platform ve iletişim bilgisi dışında hiçbir şey paylaşmayan bir profil yan yana duruyor.

Bu yazı, seçenekleri kapsam ve sorumluluk açısından karşılaştırıyor; hangi modelin hangi ihtiyaca uyduğunu, kimlik doğrulamasının nasıl yapıldığını ve sözleşmede hangi maddelerin bulunması gerektiğini anlatıyor. Amaç en ucuz teklifi değil, yetkisi ve kaydı olan bir çalışmayı satın almak.

Önce ihtiyacı tanımlayın

Doğru tedarikçiyi seçmek, doğru soruyu sormakla başlar. Aşağıdaki üç yanıt, hangi modele bakmanız gerektiğini büyük ölçüde belirliyor:

Ne test edilecek? Tek bir web uygulaması mı, iç ağ mı, bulut hesabı mı, yoksa çalışan farkındalığı mı?
Hangi belge gerekiyor? Denetim için imzalı rapor mu, yoksa düzenli izleme ve düzeltme takibi mi?
Ne sıklıkla? Tek seferlik bir doğrulama mı, yoksa yıl boyunca süren bir program mı?

Bu üç sorunun yanıtı netleşmeden teklif istemek, karşılaştırılamayan fiyatlar üretir. Kapsamı olmayan bir teklif, en düşük rakamla bile pahalıya gelebilir.

Dört tedarik modeli

Yönetilen güvenlik firması

Kapsamı sözleşmeyle belirlenmiş, ekibi ve sigortası olan bir şirketle çalışırsınız. Rapor kalitesi genellikle yüksektir, denetimde kabul gören belge üretimi kolaydır. Dezavantajı fiyat ve takvim: yoğun dönemlerde sıra beklemeniz gerekebilir.

Test platformu

Bulut tabanlı bir panel üzerinden sürekli tarama, test talebi ve rapor takibi yapılır. Küçük ekipler için uygundur, çünkü aylık maliyet öngörülebilirdir. Ancak insan yönetiminde derin test beklentisi varsa kapsamı sözleşmede ayrıca netleştirmek gerekir.

Doğrulanmış serbest çalışan ağı

Kimliği ve sertifikası platform tarafından kontrol edilmiş uzmanlarla çalışılır. Esneklik yüksektir, maliyet ajansa göre düşebilir. Sorumluluk ve sigorta tarafını ayrıca sormanız gerekir; platformun doğrulaması, sizin sözleşmenizin yerini tutmaz.

Genel serbest çalışan pazarı

En riskli seçenek. Profil, puan ve yorumlar kolayca üretilebilir; kimlik, sertifika ve sigorta doğrulanmamış olabilir. Bu kanaldan ilerleyecekseniz en azından yazılı kapsam, kimlik kontrolü ve ödeme planı olmadan işe başlamayın.

Sertifika ve kimlik doğrulaması

Sertifika tek başına yetkinlik kanıtı değil, ama kapıyı açan asgari belgedir. Bakmanız gerekenler:

Sertifika türü: OSCP uygulamalı test becerisini, CEH kavramsal çerçeveyi, CISSP yönetişim tarafını öne çıkarır. Hangi işi alıyorsanız o işe uygun belgeyi arayın.
Kayıt doğrulaması: sertifika numarasını veren kurumun sorgu sayfasından kontrol edin; ekran görüntüsü yeterli değildir.
Şirket kaydı: tüzel kişilik, vergi numarası ve faaliyet alanı kamuya açık kayıtlardan teyit edilebilir.
Referans: benzer sektörde yapılmış, isimleri gizlenmiş en az iki rapor isteyin.
Sigorta: mesleki sorumluluk poliçesi, test sırasında oluşabilecek zararı tartışılabilir hâle getirir.

Adım adım doğrulama listesi için hacker kimlik bilgileri rehberimiz ve sertifika karşılaştırması için CEH ve sızma testi uzmanlığı yazımız yol gösterir.

Teklif karşılaştırma tablosu

Model	Kapsam esnekliği	Rapor kalitesi	Öngörülebilir maliyet	Kim doğrular
Yönetilen firma	Orta	Yüksek	Orta	Sözleşme ve sigorta
Test platformu	Düşük	Orta	Yüksek	Platform
Doğrulanmış ağ	Yüksek	Orta	Orta	Platform ve siz
Genel pazar	Yüksek	Değişken	Belirsiz	Yalnızca siz

Tabloyu bir kalite sıralaması olarak okumayın; her satır farklı bir ihtiyaca yanıt veriyor. Tek bir uygulama için yıllık sözleşme imzalamak ne kadar gereksizse, düzenlediğiniz bir denetim için genel pazardan uzman aramak da o kadar riskli.

Maliyet neye göre değişir

Kapsam büyüklüğü: alan adı, uygulama, IP ve hesap sayısı doğrudan işçilik demek.
Uzmanlık düzeyi: ödeme akışı, kimlik doğrulama veya çok kiracılı mimari gibi alanlar deneyimli uzman gerektirir.
Test derinliği: otomatik tarama ile insan yönetimindeki doğrulama arasındaki fark, fiyatın en büyük kalemi.
Raporlama ve yeniden test: düzeltmelerin doğrulanması ayrı bir iş kalemidir; sözleşmede baştan yer almalı.
Takvim: acil teslim talebi, normal planlamaya göre daha yüksek ücretle karşılanır.

Küçük bir kurumun yıllık güvenlik bütçesinde sızma testi genellikle tek kalem değil; izleme, yedekleme ve eğitimle birlikte planlanır. Bu yüzden teklif alırken toplam sahip olma maliyetine bakın: rapor sonrası düzeltmeler için gereken iç efor da bütçenin parçasıdır. Ayrıntılı aralıklar için etik hacker tutmanın maliyeti yazısına bakabilirsiniz.

Yetki belgesi ve sözleşme kontrol listesi

Satın aldığınız işin yasal zemini bu belgelere dayanıyor. İmzadan önce aşağıdaki maddelerin hepsinin yazılı olduğundan emin olun:

Taraflar: testi yapacak ekip, sözleşmeyi imzalayan kurum ve varsa altyapı sağlayıcısı.
Kapsam: alan adları, IP aralıkları, uygulamalar ve kapsam dışı bırakılan sistemler.
Zaman penceresi: testin başlangıç ve bitiş saatleri, acil durdurma yetkisi olan kişi ve iletişim bilgisi.
Kabul edilmeyen yöntemler: hizmet dışı bırakma, gerçek müşteri verisiyle çalışma, üçüncü taraflara yönelme.
Veri işleme: kanıtın saklanacağı yer, saklama süresi, silme yöntemi ve raporlama kanalı.
Sorumluluk: kesinti veya veri kaybı hâlinde izlenecek süreç, sigorta bilgisi ve bildirim süresi.
Gizlilik: bulguların üçüncü kişilerle paylaşılmayacağına dair karşılıklı taahhüt.

Bu maddelerin hukuki çerçevesi ve hangi durumda hangi onayın gerektiği etik hacker istihdamının yasal koşulları yazısında ayrıntılı olarak ele alınıyor. Kısaca: izin, hedef sistemin sahibinden gelmeli; üçüncü taraf altyapıda o tarafın da onayı yazılı olmalı.

KVKK ve veri işleme tarafı

Test sırasında kişisel veriye erişilmesi kaçınılmaz olabilir. Bu durumda test ekibi veri işleyen sayılır ve iki yükümlülük doğar: kişisel veriyi yalnızca test amacıyla kullanmak, iş bitiminde silmek. Sözleşmede şunları arayın:

Kanıt dosyalarının şifreli saklanması ve erişim kaydı.
Ekran görüntülerinde kişisel verinin maskelenmesi.
İş bitiminden sonra tanımlı süre içinde silme ve yazılı teyit.
Alt yüklenici kullanılacaksa bunun önceden bildirilmesi.

Bu maddeler yoksa, ihlal iddiası ortaya çıktığında hangi verinin nerede olduğunu açıklamak zorlaşır.

Kırmızı bayraklar

Sözleşmesiz başlangıç: kapsam belgesi olmadan testi başlatan taraf, sizi de riske atar.
Garantili sonuç: tüm açıkları buluruz veya ihlal edilmezsiniz gibi cümleler teknik olarak savunulamaz.
Belirsiz kapsam: yazılı olmayan, sözlü olarak genişletilen kapsam; sonradan anlaşmazlık üretir.
Tek kişiye bağlı süreç: izinli olduğunu iddia eden ama şirket bilgisi, fatura ve sigorta sunamayan muhatap.
Baskı ile satış: aynı gün imza ve ödeme talebi; aciliyet, doğrulama adımlarını atlatmak için kullanılıyorsa dikkatli olun.
Rapor sonrası sessizlik: düzeltme önerisi ve yeniden test teklifi olmayan çalışma.

Bu işaretlerden biri bile varsa teklifi yeniden değerlendirin. White hat ile gri şapka arasındaki farkı merak ediyorsanız şapka renkleri yazımız konuyu sözleşme tarafından anlatıyor.

Sık sorulan sorular

Sertifikası olmayan bir uzmanla çalışabilir miyim? Çalışabilirsiniz, ancak doğrulama yükü tamamen size kalır. Bu durumda örnek rapor, referans, yazılı kapsam ve sigorta şartlarını daha sıkı kontrol edin.

Platform üzerinden alınan hizmet denetimde kabul edilir mi? Genellikle evet, çünkü önemli olan hizmetin nereden alındığı değil, raporun kapsamı, yöntemi ve imzalı yetki belgesi. Denetçiye sunacağınız dosyada bu üç unsur bulunmalı.

En ucuz teklif neden riskli olabilir? Düşük fiyat çoğu zaman kapsamın daralmasıyla elde edilir: daha az gün, daha az senaryo, yeniden test yok. Kapsamı eşitlemeden fiyat karşılaştırmak yanıltıcı sonuç verir.

Yurt dışından bir ekiple çalışmak sorun olur mu? Teknik olarak mümkün, ancak verinin yurt dışına aktarılması KVKK kapsamında ayrı bir değerlendirme gerektirir. Sözleşmede veri lokasyonu ve aktarım şartları açıkça yazılmalı.

Test sonrası hangi belgeleri saklamalıyım? Yetki belgesi, kapsam dokümanı, nihai rapor, yeniden test sonucu ve veri silme teyidi. Denetimde istenen dosya genellikle bu beş belgeden oluşur.

Sonuç

Etik hacker bulmak, doğru soruyu sormakla başlıyor: hangi kapsam, hangi belge, hangi sıklık. Ardından gelen üç adım değişmiyor: kimliği ve sertifikayı doğrulayın, kapsamı yazılı hâle getirin, veri işleme ve sorumluluk maddelerini sözleşmeye ekleyin. Bu üç adım tamamlandığında model seçimi ikincil bir karar hâline geliyor.

Kapsamınıza uygun tedarik modelini birlikte değerlendirmek isterseniz ekiple görüşün.

Etik hacker nereden bulunur? Güvenli seçim rehberi