Penetrasyon testinde izin kağıdı

Sözlü ek, kapsamı büyütmez. Penetrasyon testi, imzalı formdan sonra başlar. Form yoksa takvime gün yazılmaz. Güncelleme: Kasım 2026. İşi okumak için sızma testi sayfasına bakın. Aşağıda formda kilitlenen satırlar duruyor.

Taraflar ve durdurma

Formda kurum, hizmeti veren ve test ekibi ayrıdır. Acil durduracak kişiler, telefonlarıyla yazılır. Kurum, beklenmeyen etki veya gerçek olay şüphesinde testi durdurur. Hizmeti veren, kapsam dışına taşarsa veya sistem kararsızlaşırsa durur ve aynı zinciri arar. Kritik bulgu, raporun bitmesi beklenmeden formdaki süre içinde bildirilir.

İzleme ekibi, testin kaynak adreslerini bilir. Duyurusuz işte bu bilgi sınırlı kişide kalır. Amaç, test trafiği ile gerçek saldırının karışmamasıdır.

Ne test edilecek

Amaç kutuları vardır: açık tespiti, uyumluluk, devreye alma öncesi, değişiklik sonrası, önceki maddelerin yeniden testi. Bilgi düzeyi kara kutu, gri kutu veya beyaz kutudur. Konum dış ağ, iç ağ veya VPN’dir. Duyuru, herkese açık veya sınırlı kişiyedir.

Alan kutuları web, mobil, API, dış ağ, iç ağ, bulut ve formda işaretlenen diğerleridir. İşaretlenmeyen alana gün yazılmaz. “He bir de şuna bakın” cümlesi, form eki imzalanmadan işe girmez.

Varlık satırı

Her varlık için ad, adres, ortam, barındırma, kritiklik ve kişisel veri olup olmadığı vardır. Ortam üretim, test veya geliştirmedir. Barındırma kurum, bulut veya üçüncü taraftır. Üçüncü taraftaysa o tarafın yazılı izni ekte durur. İzin yoksa o adrese istek gitmez.

Test hesabı, rolü, veriliş şekli ve geçerlilik süresiyle yazılır. Süre biten hesapla devam edilmez. Kapsam dışı varlıklar, gerekçesiyle ayrı tablodadır. Gerekçe “unuttuk” olamaz. Bilinçli olarak dışarıda bırakılan yer, sonra bulgu diye geri gelmez.

Yasaklar ve veri

Aksi kutu açılmadıkça yasaktır: hizmet engelleme, üretim verisini silmek veya dışarı çıkarmak, sosyal mühendislik, fiziksel giriş, kalıcılık, kapsam dışı üçüncü taraf, müşterinin kişisel hesabı. Parola denemesi ancak formdaki sınır ve kilitleme kuralıyla yapılır. Sınır yoksa deneme yapılmaz.

Kişisel veriden en az örnek alınır. Toplu çekim yapılmaz. Raporda kimlik, telefon, adres, kart ve parola maskelenir. Kanıt şifreli durur. Süre bitince imha tutanağıyla kapanır. Zafiyet, kurumun yazılı izni olmadan üçüncü kişiye, üreticiye veya kamuya anlatılmaz.

Teslim satırı

Form, dil ve biçimle birlikte şunları listeler: yönetici özeti, teknik rapor, düzeltme planı, yeniden test, kapanış sunumu. Risk sınıfı CVSS veya kurumun kendi matrisidir. Yeniden test hakkı dahil, ücretli veya yok diye işaretlenir. Raporun alıcıları formdadır. Alıcı dışında dosya gönderilmez.

İmza bölümü kurum ve hizmeti veren içindir. Bilgi güvenliği ve kişisel veri sorumlusu ayrıca onaylıyorsa onların satırı da vardır. Onay alınmadan faaliyet başlamaz.

Raporun içi: raporda ne yazar. Gün sırası: süreç.