# Geliştirdiğiniz ve işlettiğiniz sistemler için mühendislik odaklı güvenlik. > Uygulama ve bulut ortamları için siber güvenlik: güvenli mimari, kimlik ve erişim yönetimi, loglama, zafiyet yönetimi ve olaylara hazırlık. Source: https://www.algofact.tech/tr/services/cloud/cybersecurity Language: tr-TR Updated: 2026-10-26 Languages: en-US, tr-TR ALGOFACT, yazılım ve bulut ortamlarının güvenliğini bir mühendislik işi olarak ele alır: güvenli mimari tasarlar, kimlik ve erişim yönetimini düzenler, merkezi loglama ve zafiyet yönetimi kurar, ekibinizi olası bir güvenlik olayına hazırlarız. Sızma testlerini bağımsız test firmalarıyla koordine eder, çıkan bulguları kodda ve altyapıda kapatırız. Çalışma, ISO 27001:2022 sertifikalı bilgi güvenliği yönetim sistemimiz altında Adana ve Ankara TEKMER’deki mühendislik ekibimizce yürütülür. ## Key facts - **Odak:** Uygulama, bulut ve CI/CD güvenliği - **Kimlik ve erişim:** En az yetki, çok faktörlü doğrulama, rol bazlı erişim - **Sızma testi:** Bağımsız test firmalarıyla koordinasyon - **Olay hazırlığı:** Müdahale planı, runbook ve tatbikat - **Kişisel veri:** KVKK gereksinimleri tasarım aşamasında - **Bilgi güvenliği:** ISO 27001:2022 sertifikalı bilgi güvenliği yönetimi ## Bu hizmet ne zaman doğru seçimdir? Kurumsal bir müşteri güvenlik anketi gönderdiğinde, bir denetim yaklaştığında, sızma testi raporlarında kapatılmamış bulgular biriktiğinde veya bulut hesabında kimin neye eriştiğini kimse net söyleyemediğinde güvenlik, yazılım ve altyapı ekibinin işidir. Bu hizmet tam bu noktada devreye girer: riskleri mimari, kod ve yapılandırma değişiklikleriyle kapatırız. Kapsamımızı açık tutarız. ALGOFACT bir güvenlik operasyon merkezi (SOC) veya yönetilen güvenlik hizmeti sağlayıcısı (MSSP) olarak konumlanmaz. Sızma testlerini bağımsız firmalar yapar; biz kapsamı hazırlar, testi koordine eder ve bulguları kapatırız. Kesintisiz güvenlik izlemesi gerekiyorsa logları seçtiğiniz SOC sağlayıcısına aktaracak entegrasyonu kurarız. Güvenlik çalışması tek başına bir proje olabileceği gibi, geliştirdiğimiz bir sistemin, bir bulut geçişinin veya ISO 27001 ve KVKK uyum hazırlığının teknik ayağı olarak da yürüyebilir. /work sayfasındaki örnekler arasında Letoon için hastane yönetim sistemi yazılımı ve güvenlik altyapısı çalışması bulunur. ## Neleri ele alırız Saldırganın yazılım ve bulut tarafında en sık kullandığı kapılar. ### Güvenli mimari ve tehdit modelleme Yeni bir sistem veya büyük bir değişiklik için veri akışlarını çizer, saldırganın nereden girebileceğini ve neyin korunması gerektiğini belirleriz. Kararlar sonradan yamayla değil, tasarım aşamasında alınır. ### Kimlik ve erişim yönetimi Bulut hesapları, kod depoları, veritabanları ve yönetim panelleri için en az yetki ilkesi, çok faktörlü doğrulama, tekil oturum açma ve ayrılan çalışanların erişimlerinin zamanında kapatılması. ### Loglama ve denetim izi Uygulama, altyapı ve erişim loglarını merkezi bir yerde, değiştirilemeyecek ve gereken süre boyunca saklanacak şekilde toplarız. Şüpheli oturum açma veya yetki değişikliği gibi olaylar için alarm kurarız. ### Zafiyet yönetimi Bağımlılık ve konteyner imajı taraması, statik kod analizi, bulut yapılandırma denetimi ve yama takvimi. Bulgular önem derecesine göre sıralanır ve kapanana kadar takip edilir. ### Sızma testi koordinasyonu Testin kapsamını ve kurallarını yazar, test ortamını ve erişimleri hazırlarız. Bağımsız test firmasının raporundaki bulguları kodda ve altyapıda kapatır, sistemi yeniden teste hazırlarız. ### Olay müdahalesine hazırlık Olay müdahale planı, iletişim zinciri, yedekten dönme prosedürü ve masa başı tatbikatlar. Bir olay yaşandığında kimin ne yapacağı önceden yazılıdır. ## Çalışma nasıl ilerler ### Mevcut durum incelemesi Mimari, erişimler, loglama, yedekleme ve açık bulgular incelenir. Daha önce yapılmış sızma testi raporları ve denetim bulguları varsa başlangıç noktası olur. ### Risk sıralaması Bulgular olasılık ve etkiye göre sıralanır. Hızla kapatılabilecek riskler ile mimari değişiklik gerektirenler ayrı planlanır. ### İyileştirme Yapılandırma, kod ve altyapı değişiklikleri pipeline üzerinden ve incelemeden geçerek uygulanır. Her değişiklik, kapattığı riskle birlikte kayda geçer. ### Doğrulama Kapatılan bulgular yeniden test edilir; gerekirse bağımsız firmayla yeniden test planlanır. ### Sürekli kontroller Taramalar ve yapılandırma denetimleri pipeline’a eklenir; güvenlik tek seferlik bir proje olarak kalmaz. ## Teslim edilenler ### Güvenlik değerlendirme raporu Bulgular, risk sıralaması ve iyileştirme planı. ### Tehdit modeli ve mimari kararlar Veri akışları, güven sınırları ve alınan güvenlik kararlarının gerekçeleri. ### Erişim matrisi Hangi rolün hangi sisteme hangi yetkiyle eriştiğinin güncel listesi. ### Log kaynakları ve alarm kuralları Toplanan loglar, saklama süreleri ve alarm koşulları. ### Olay müdahale planı Olay sınıfları, sorumlular, iletişim adımları ve teknik müdahale prosedürleri. ### Denetim için kanıt dosyası ISO 27001, KVKK veya müşteri güvenlik anketleri için yapılandırma ve süreç kanıtları. ## Kim neyi yapar Güvenlikte sorumluluk sınırları baştan yazılmazsa en kritik iş arada kalır. - **ALGOFACT:** Güvenli mimari, erişim ve loglama tasarımı, zafiyet taraması ve yama yönetimi, bulguların kodda ve altyapıda kapatılması, olay müdahale planının ve tatbikatların hazırlanması. - **Bağımsız test firması:** Sızma testi. Kamu ve finans gibi düzenlemeye tabi alanlarda testin yetkili bir firma tarafından yapılması gerekebilir; firma seçimi sizindir, koordinasyonu biz üstleniriz. - **SOC sağlayıcısı:** Kesintisiz güvenlik izlemesi ve alarm triyajı. Bu ihtiyaç varsa log aktarımını ve alarm akışını biz kurarız. - **Siz:** Risk kabulü, bütçe önceliği ve hangi bulgunun ne zaman kapatılacağı kararı. Kararlar yazılı olarak kayda geçer. ## Yazılım ve bulut güvenliği hakkında sorular ### Sızma testini siz mi yapıyorsunuz? Hayır. Sızma testini bağımsız bir test firması yapar; bu, bulguların tarafsızlığı için de doğru yaklaşımdır. Biz test kapsamını, ortamı ve erişimleri hazırlar, rapordaki bulguları kapatır ve sistemi yeniden teste hazırlarız. ### Kesintisiz güvenlik izleme hizmeti veriyor musunuz? Kesintisiz izleme ve alarm triyajı bir SOC hizmetidir ve bunu sunmuyoruz. Bu ihtiyaç varsa log kaynaklarını ve alarm kurallarını, seçtiğiniz SOC sağlayıcısının sistemine aktaracak şekilde kurarız. ### ISO 27001 belgemiz yok; bu çalışma yardımcı olur mu? Erişim yönetimi, loglama, zafiyet yönetimi, yedekleme ve olay müdahalesi gibi teknik kontrollerin önemli bir kısmını uygulamaya geçirir ve kanıtlarını hazırlarız. Yönetim sistemi kurulumu ve belgelendirme hazırlığı ise ayrı bir Teknolojik Değerlendirme çalışmasıdır. ### Bir güvenlik olayı yaşarsak ne yaparsınız? Hazırlanan müdahale planı devreye girer. Geliştirdiğimiz veya destek verdiğimiz sistemlerde erişimlerin kapatılması, sistemin izole edilmesi, yedekten dönme ve kök neden analizi gibi teknik adımlara katılırız; müdahale kapsamı sözleşmede tanımlanır. Adli bilişim incelemesi gerekiyorsa uzman bir firmayla çalışılmasını öneririz. ### Müşterilerimizin güvenlik anketlerine hazırlanmamıza yardım eder misiniz? Evet. Kurumsal müşterilerin anketleri çoğunlukla erişim, şifreleme, loglama ve olay yönetimi sorularından oluşur. Gereken kontrolleri uygular, yanıtları destekleyecek kanıtları hazırlarız. ### Güvenlik çalışmasının süresini ve maliyetini ne belirler? Sistem ve bulut hesabı sayısı, mevcut kontrollerin olgunluğu, açık bulgu sayısı, uyum hedefi (ISO 27001, KVKK veya bir müşteri gereksinimi) ve iyileştirmenin ne kadarının ekibinizce yapılacağı. İnceleme sonrasında risk sıralamasını, iyileştirme planını ve aşamaları yazılı olarak sunarız. ## Related - [Bulut](https://www.algofact.tech/tr/services/cloud) - [DevOps ve CI/CD](https://www.algofact.tech/tr/services/cloud/devops) - [KVKK ve ISO 27001 uyumu](https://www.algofact.tech/tr/services/technology-assessment/kvkk-iso27001-compliance) - [Keşif görüşmesi](https://www.algofact.tech/tr/contact)