ALGOFACT
Güvenli mimari, erişim ve loglama tasarımı, zafiyet taraması ve yama yönetimi, bulguların kodda ve altyapıda kapatılması, olay müdahale planının ve tatbikatların hazırlanması.
Siber güvenlik
Geliştirdiğiniz ve işlettiğiniz sistemler için mühendislik odaklı güvenlik.
ALGOFACT, yazılım ve bulut ortamlarının güvenliğini bir mühendislik işi olarak ele alır: güvenli mimari tasarlar, kimlik ve erişim yönetimini düzenler, merkezi loglama ve zafiyet yönetimi kurar, ekibinizi olası bir güvenlik olayına hazırlarız. Sızma testlerini bağımsız test firmalarıyla koordine eder, çıkan bulguları kodda ve altyapıda kapatırız. Çalışma, ISO 27001:2022 sertifikalı bilgi güvenliği yönetim sistemimiz altında Adana ve Ankara TEKMER’deki mühendislik ekibimizce yürütülür.
Kısa bilgiler
Son güncelleme:
- Odak
- Uygulama, bulut ve CI/CD güvenliği
- Kimlik ve erişim
- En az yetki, çok faktörlü doğrulama, rol bazlı erişim
- Sızma testi
- Bağımsız test firmalarıyla koordinasyon
- Olay hazırlığı
- Müdahale planı, runbook ve tatbikat
- Kişisel veri
- KVKK gereksinimleri tasarım aşamasında
- Bilgi güvenliği
- ISO 27001:2022 sertifikalı bilgi güvenliği yönetimi
Bu hizmet ne zaman doğru seçimdir?
Kurumsal bir müşteri güvenlik anketi gönderdiğinde, bir denetim yaklaştığında, sızma testi raporlarında kapatılmamış bulgular biriktiğinde veya bulut hesabında kimin neye eriştiğini kimse net söyleyemediğinde güvenlik, yazılım ve altyapı ekibinin işidir. Bu hizmet tam bu noktada devreye girer: riskleri mimari, kod ve yapılandırma değişiklikleriyle kapatırız.
Kapsamımızı açık tutarız. ALGOFACT bir güvenlik operasyon merkezi (SOC) veya yönetilen güvenlik hizmeti sağlayıcısı (MSSP) olarak konumlanmaz. Sızma testlerini bağımsız firmalar yapar; biz kapsamı hazırlar, testi koordine eder ve bulguları kapatırız. Kesintisiz güvenlik izlemesi gerekiyorsa logları seçtiğiniz SOC sağlayıcısına aktaracak entegrasyonu kurarız.
Güvenlik çalışması tek başına bir proje olabileceği gibi, geliştirdiğimiz bir sistemin, bir bulut geçişinin veya ISO 27001 ve KVKK uyum hazırlığının teknik ayağı olarak da yürüyebilir. /work sayfasındaki örnekler arasında Letoon için hastane yönetim sistemi yazılımı ve güvenlik altyapısı çalışması bulunur.
Neleri ele alırız
Saldırganın yazılım ve bulut tarafında en sık kullandığı kapılar.
- 01
Güvenli mimari ve tehdit modelleme
Yeni bir sistem veya büyük bir değişiklik için veri akışlarını çizer, saldırganın nereden girebileceğini ve neyin korunması gerektiğini belirleriz. Kararlar sonradan yamayla değil, tasarım aşamasında alınır. - 02
Kimlik ve erişim yönetimi
Bulut hesapları, kod depoları, veritabanları ve yönetim panelleri için en az yetki ilkesi, çok faktörlü doğrulama, tekil oturum açma ve ayrılan çalışanların erişimlerinin zamanında kapatılması. - 03
Loglama ve denetim izi
Uygulama, altyapı ve erişim loglarını merkezi bir yerde, değiştirilemeyecek ve gereken süre boyunca saklanacak şekilde toplarız. Şüpheli oturum açma veya yetki değişikliği gibi olaylar için alarm kurarız. - 04
Zafiyet yönetimi
Bağımlılık ve konteyner imajı taraması, statik kod analizi, bulut yapılandırma denetimi ve yama takvimi. Bulgular önem derecesine göre sıralanır ve kapanana kadar takip edilir. - 05
Sızma testi koordinasyonu
Testin kapsamını ve kurallarını yazar, test ortamını ve erişimleri hazırlarız. Bağımsız test firmasının raporundaki bulguları kodda ve altyapıda kapatır, sistemi yeniden teste hazırlarız. - 06
Olay müdahalesine hazırlık
Olay müdahale planı, iletişim zinciri, yedekten dönme prosedürü ve masa başı tatbikatlar. Bir olay yaşandığında kimin ne yapacağı önceden yazılıdır.
Çalışma nasıl ilerler
- 01
Mevcut durum incelemesi
Mimari, erişimler, loglama, yedekleme ve açık bulgular incelenir. Daha önce yapılmış sızma testi raporları ve denetim bulguları varsa başlangıç noktası olur. - 02
Risk sıralaması
Bulgular olasılık ve etkiye göre sıralanır. Hızla kapatılabilecek riskler ile mimari değişiklik gerektirenler ayrı planlanır. - 03
İyileştirme
Yapılandırma, kod ve altyapı değişiklikleri pipeline üzerinden ve incelemeden geçerek uygulanır. Her değişiklik, kapattığı riskle birlikte kayda geçer. - 04
Doğrulama
Kapatılan bulgular yeniden test edilir; gerekirse bağımsız firmayla yeniden test planlanır. - 05
Sürekli kontroller
Taramalar ve yapılandırma denetimleri pipeline’a eklenir; güvenlik tek seferlik bir proje olarak kalmaz.
Teslim edilenler
- 01
Güvenlik değerlendirme raporu
Bulgular, risk sıralaması ve iyileştirme planı. - 02
Tehdit modeli ve mimari kararlar
Veri akışları, güven sınırları ve alınan güvenlik kararlarının gerekçeleri. - 03
Erişim matrisi
Hangi rolün hangi sisteme hangi yetkiyle eriştiğinin güncel listesi. - 04
Log kaynakları ve alarm kuralları
Toplanan loglar, saklama süreleri ve alarm koşulları. - 05
Olay müdahale planı
Olay sınıfları, sorumlular, iletişim adımları ve teknik müdahale prosedürleri. - 06
Denetim için kanıt dosyası
ISO 27001, KVKK veya müşteri güvenlik anketleri için yapılandırma ve süreç kanıtları.
Kim neyi yapar
Güvenlikte sorumluluk sınırları baştan yazılmazsa en kritik iş arada kalır.
Bağımsız test firması
Sızma testi. Kamu ve finans gibi düzenlemeye tabi alanlarda testin yetkili bir firma tarafından yapılması gerekebilir; firma seçimi sizindir, koordinasyonu biz üstleniriz.
SOC sağlayıcısı
Kesintisiz güvenlik izlemesi ve alarm triyajı. Bu ihtiyaç varsa log aktarımını ve alarm akışını biz kurarız.
Siz
Risk kabulü, bütçe önceliği ve hangi bulgunun ne zaman kapatılacağı kararı. Kararlar yazılı olarak kayda geçer.
Yazılım ve bulut güvenliği hakkında sorular
Yaklaşım01Sızma testini siz mi yapıyorsunuz?
Hayır. Sızma testini bağımsız bir test firması yapar; bu, bulguların tarafsızlığı için de doğru yaklaşımdır. Biz test kapsamını, ortamı ve erişimleri hazırlar, rapordaki bulguları kapatır ve sistemi yeniden teste hazırlarız.
02Kesintisiz güvenlik izleme hizmeti veriyor musunuz?
Kesintisiz izleme ve alarm triyajı bir SOC hizmetidir ve bunu sunmuyoruz. Bu ihtiyaç varsa log kaynaklarını ve alarm kurallarını, seçtiğiniz SOC sağlayıcısının sistemine aktaracak şekilde kurarız.
03ISO 27001 belgemiz yok; bu çalışma yardımcı olur mu?
Erişim yönetimi, loglama, zafiyet yönetimi, yedekleme ve olay müdahalesi gibi teknik kontrollerin önemli bir kısmını uygulamaya geçirir ve kanıtlarını hazırlarız. Yönetim sistemi kurulumu ve belgelendirme hazırlığı ise ayrı bir Teknolojik Değerlendirme çalışmasıdır.
04Bir güvenlik olayı yaşarsak ne yaparsınız?
Hazırlanan müdahale planı devreye girer. Geliştirdiğimiz veya destek verdiğimiz sistemlerde erişimlerin kapatılması, sistemin izole edilmesi, yedekten dönme ve kök neden analizi gibi teknik adımlara katılırız; müdahale kapsamı sözleşmede tanımlanır. Adli bilişim incelemesi gerekiyorsa uzman bir firmayla çalışılmasını öneririz.
05Müşterilerimizin güvenlik anketlerine hazırlanmamıza yardım eder misiniz?
Evet. Kurumsal müşterilerin anketleri çoğunlukla erişim, şifreleme, loglama ve olay yönetimi sorularından oluşur. Gereken kontrolleri uygular, yanıtları destekleyecek kanıtları hazırlarız.
06Güvenlik çalışmasının süresini ve maliyetini ne belirler?
Sistem ve bulut hesabı sayısı, mevcut kontrollerin olgunluğu, açık bulgu sayısı, uyum hedefi (ISO 27001, KVKK veya bir müşteri gereksinimi) ve iyileştirmenin ne kadarının ekibinizce yapılacağı. İnceleme sonrasında risk sıralamasını, iyileştirme planını ve aşamaları yazılı olarak sunarız.
İlgili sayfalar
Projenizi anlatın
Sorunu kısaca yazın; 30 dakikalık keşif görüşmesi için bir zaman önerisiyle size dönelim.
Keşif görüşmesi planlayın