ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) Danışmanlığı kapsamında, şirketinizin bilgi varlıklarının içeriden veya dışarıdan gelecek tehditlere karşı korunması, iş süreçlerine yönelik risklerin en aza indirilmesi, yatırım getirisini ve iş fırsatlarını en üst düzeye çıkarmak için verilerinizin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak amacıyla tasarlanmış kontrollerin değerlendirilmesi, yasal ve hizmet sözleşmesine dayalı yükümlülüklerin karşılanması ve olgunluk seviyesinin artırılması amacıyla etkin bir süreç yaklaşımı oluşturur.

ISO 22301 İş Sürekliliği (İSYS) Danışmanlığı kapsamında, kuruluşların iş sürekliliğini sağlamaları için stratejinin belirlenmesi, şirket içi işletimi, süreçlerin izlenmesi ve analiz edilmesi, belirli periyotlarla gözden geçirilmesi ve sürdürülebilir bir yönetim sistemi kurulması sağlanır. Şirketlere rekabet avantajı kazandırmak, kritik iş süreçlerinde kesinti yaratabilecek durumlara karşı çözüm geliştirmek ve sektör içerisinde güven oluşturmak hedeflenir.

6698 sayılı Kişisel Verilerin Korunması Kanunu ve veri mahremiyetine ilişkin diğer mevzuatlardan kaynaklanan gereksinimlerin karşılanmasıyla idari ve teknik tedbirlerin yerine getirilmesi konusunda danışmanlık ve denetim hizmetleri sunuyoruz. Bu kapsamda, kişisel veri içeren ortamların tespit edilmesi, kritik süreçlerin değerlendirilmesi ve var olan uygulamaların iyileştirilmesi, talep & şikâyet & ihlal yönetimi, idari ve teknolojik ihtiyaçların belirlenmesi gibi konularda idari ve teknik boyutta çözümler oluşturur.

COBIT, (Bilgi ve İlgili Teknoloji için Kontrol Hedefleri), ISACA tarafından BT yönetişimi ve yönetimi için oluşturulmuş bir bilgi teknolojileri kontrol çerçevesidir. COBIT Uyum Değerlendirme Hizmeti kapsamında, “Planlama ve Organizasyon”, “Edinim ve Kurulum”, “Hizmet ve Destek”, “İzleme ve Değerlendirme” ana süreçlerinde yer alan kontrol hedeflerine uyumluluğunuz değerlendirilir; tespit edilen bulgu ve riskler raporlanmakta ve önleyici/düzeltici faaliyetler belirlenir.

PCI DSS Standardı’na yönelik uyum değerlendirmesi hizmeti ile finans kuruluşları başta olmak üzere, kredi kartlarını kullanan kuruluşlar için müşteri verisinin işlendiği, iletildiği ve saklandığı adımlarda uygulanması hedeflenen her türlü bilgi güvenliği yapısının, PCI DSS Standardı gereksinimlerine uygun olarak tasarlanması ve yürütülmesi amaçlanır.

Siber Güvenlik Olgunluk Değerlendirmesi hizmeti kapsamında, kuruluşunuzun bilgi varlığına dayalı sistem ve süreçlerinin içeriden veya dışarıdan gelebilecek siber tehditlere karşı olgunluk seviyesinin değerlendirildiği, oluşabilecek güvenlik ihlallerine teknik ve idari ölçekte ne derece hazırlıklı olduğunun belirlendiği geniş ölçekli bir çalışmadır.

Kuruluşunuzun sahip olduğu verilerin yaşam döngüsü boyunca analizlerinin gerçekleştirilmesi, gerekli güvenlik önlemleri oluşturularak yalnızca yetkili paydaşlara aktarılması ve merkezi bir yönetim oluşturulması gibi kritik süreçlere destek sağlanması hedeflenir.

İş süreçlerinin, organizasyona ait strateji ve performans hedefleri göz önünde bulundurularak mevcut duruma yönelik gelişim noktaları belirlenir ve beklenen olgunluk seviyesine ulaşılması amacıyla süreçlerin iyileştirilmesi hedeflenir. Bilgi sistemleri üzerinde yer alan güvenlik ve kontrol noktaları analiz edilerek, iş süreçlerinin geliştirilmesi sağlanır.

Firewall, Veri Kaybı Önleme (DLP), Güvenlik Bilgi Olay yönetimi (SIEM) araçları gibi kullanılmakta olan güvenlik teknolojilerinin NIST, COBIT, SANS, CIS vb. gibi uluslararası standartlara ve mevzuat gerekliliklerine (KVKK teknik tedbirleri gibi) uygunluğu değerlendirilir. Ayrıca bu teknolojilerin kullanılmasında bilgi güvenliği yönetişimi kapsamında kurum içi paydaşların görevleri analiz edilerek, öneriler geliştirilir.

Müşteriler ve iş paydaşlarına sağlanan veri merkezi hizmetlerinin sürekliliği, güvenliği ve istikrarının yerel ve uluslararası denetim standartlarına uygun olarak tasarlanmasına ve yönetilmesine yönelik altyapı, personel yönetimi, teknoloji ve kaynak kullanımına ilişkin inceleme ve değerlendirme faaliyetleri yürütülür. Bu anlamda, veri merkezlerinin fiziksel ve çevresel güvenlik unsurları, idari, teknik ve kaynak altyapı hizmetleri, felaket ve ihlal yönetimi, hizmet devamlılığı, kullanıcı yetkilendirme ve erişim yönetimi gibi alanlarda denetim çalışmaları gerçekleştirilir.

Kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet veren işletmelerin bilgi ve iletişim güvenliği kapsamında alması gereken tedbirleri belirlemek için 06.07.2019 tarih ve 30823 sayılı Resmi Gazete’de Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi yayımlanmıştır. Yayımlanan Genelge doğrultusunda Cumhurbaşkanlığı DDO (Dijital Dönüşüm Ofisi) koordinasyonunda paydaşların katılımıyla Bilgi ve İletişim Güvenliği Rehberi hazırlanarak;bilgi güvenliği risklerinin azaltılması, ortadan kaldırılması ve özellikle gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda milli güvenliği tehdit edebilecek veya kamu düzeninin bozulmasına yol açabilecek kritik bilgi/verinin güvenliğinin sağlanması için asgari güvenlik tedbirlerinin belirlenmesi ve belirlenen tedbirlerin uygulanması için yürütülecek faaliyetlerin tanımlanmasına yönelik denetim, danışmanlık işlemlerini içermektedir.

Eğitim ve sertifikalarını tamamlamış ekibimizle denetim ve uyum sürecindeki danışmanlık faaliyetleri için ihtiyaçları karşılamak üzere hizmet vermekteyiz.

SIEM yönetim ve izleme hizmetiyle, SIEM üzerindeki güvenlik verilerinin doğru şekilde alınmasını, kurumun yeni envanterlerinin SIEM’e entegre edilmesini ve SIEM’in performansının sürekli izlenmesi sağlanır. Daha önceki yazılı kurallar için Mor Takım (Purple Team) yaklaşımı ile kural simülasyonları gerçekleştirilir.

Cyber Kill Chain metodolojisi kullanılarak, siber saldırı öncesinde kurum çapında bir risk analizi gerçekleştirilmesi, kontrol zafiyetlerinin tespit edilmesi ve saldırı sırasında uygulanacak yöntemler belirlenir. Bu modelden sayesinde kurumunuzun siber saldırılara karşı hazırlık durumu, etkinliği uluslararası alanda kabul edilen bir yaklaşım çerçevesinde artırılır.

Mitre Att&ck çerçevesi, kuruluşların risklerini belirlemek ve siber saldırılara karşı koruma sağlamak için BT ve güvenlik ekipleri tarafından kullanılan, sürekli gelişen taktik ve teknikler bütünüdür. Bir saldırganın bütünsel tehdit oluşturan eylemlerinin ve taktiklerinin ardındaki motivasyonu daha iyi anlamak için saldırganın bakış açısı benimsenir. Bu yaklaşım, ilgili kuruluşun saldırganın davranışını ve sonraki hamlesini tahmin ederek, saldırıya hızlı ve etkili bir müdahale yapılmasına yardımcı olur.

Kurum için gerekli olan organizasyon şeması, teknolojiler, risk süreçleri, çözüm stratejileri gibi tüm faaliyetlerin SOC için planlanması ve analizi hizmetidir.

SOC hizmet yönetimi kapsamında olay ve vaka raporlaması, merkezileştirilmiş izleme teknolojisi, siber tehdit istihbarat yönetimi, zafiyet yönetimi, siber güvenlik olay yönetimi, sorun kaynağı çözümlemesi gibi süreçlerin planlanması ve danışmanlığı gerçekleştirilir. Ayrıca, müşterilerimizden gelecek talep çerçevesinde, hibrit bir yaklaşımla hem kurum çalışanlarının hem de uzman SOC ekibimizin ortaklaşa gerçekleştireceği hibrit SOC hizmetimiz de bulunuyor.

Tehdit istihbaratı, bilgi varlıklarına yönelik mevcut veya ortaya çıkan bir tehlike hakkında bağlamlar, mekanizmalar, göstergeler, çıkarımlar ve eylem odaklı tavsiyeler dahil olmak üzere kanıta dayalı bilgilerden oluşur. Sağladığımız hizmet ile entegre edilen siber istihbarat aracı tarafından sağlanan istihbarat verileri üzerinden False Positive indirgenmesi gerçekleştirilerek, kuruma doğru ve tutarlı bir bilgi akışının sağlanması hedeflenir.

Tehdit avlama hizmeti sayesinde sürekli gelişen saldırı yöntemlerinin oluşturduğu tehditler tespit araçları ile kontrol edilir. SOC hizmetleri süresince bilinen tehditler için geniş bir çerçevede tespit yapılırken, bilinmeyen veya gelişmiş tehditleri otomasyonların ötesine geçilerek derinlemesine analizler ile riskin azaltılması ve tehditlerin yakalanması sağlanır.

Kurumunuz bir siber saldırı altındayken, tehdide zamanında müdahale edilmesi, etkinin en aza indirgenmesi ve kritik sistemlerin, verilerin korunması için olaylara hızlı ve eksiksiz müdahale etmesi önemlidir. Olay müdahale hizmetimiz ile bir saldırının kontrol altına alınması için proaktif bir yaklaşımla olay müdahale planı hazırlanır. Böylece kurumun maddi ya da operasyonel kayıplarının en aza indirgenmesi hedeflenir.

Siber saldırıların artmasıyla birlikte kuruluşlar, güvenlik açıklarını tespit etmek için risk analizi, bütünlük kontrolleri ve iş mantığı testleri aracılığıyla eyleme geçirilebilir bir güvenlik testi stratejisine sahip olmalıdır.

Sızma testi, uygulamalarda ve ağlarda yüksek riskli güvenlik açıklarını ve kusurlarını belirlemek, test etmek ve düzeltmek için uygulanan manuel ve otomatik süreçlerden oluşur.

Kuruluşa ait web sunucuları, e-posta sunucuları, alan adı sunucuları (DNS) ve uygulamalar, saldırganların internet üzerinden sistemlerinize erişilebileceği giriş kapısı olabilmeleri nedeniyle özel olarak önem arz eder. Dış ağ sızma testinde oluşturulan saldırı simülasyonu ile dışarıdan içeriye sızarak verilerinize erişilmeye çalışılmakta, güvenlik tedbirlerinizin tasarım ve etkinliği incelenir.

Kuruluşların çalışanları tarafından gerçekleştirilen siber güvenlik ihlalleri toplam siber saldırıların %42’sini oluşturur. İç ağ testleri sırasında uzmanlarımız, içeriden kötü niyetli bir kişinin saldırısını simüle ederek iç ağınızdaki güvenlik tedbirlerinin tasarım ve etkinliğini inceler.

Web uygulama güvenlik testi süreci manuel veya otomatik test yöntemlerini içerir. OWASP Top 10 kullanılarak, siteler arası komut dosyası çalıştırma ve SQL enjeksiyonu sağlanırken, arka kapılar gibi kötü amaçlı sızma saldırıları uygulanarak, web uygulamanızdaki güvenlik açıkları tespit edilmeye çalışılır.

Mobil uygulama güvenlik testi hizmetlerimiz, mobil uygulamanızdaki güvenlik ihtiyaçları göz önünde bulundurularak, OWASP Mobile Security Project çerçevesinde tersine mühendislik, şifre çözme ve dosya analizi yöntemleriyle çalışmalar gerçekleştirilir.

Siber güvenlik yapılarında insan faktörü en zayıf halka olarak kabul edilir. Kuruluşunuzun genel güvenliğini ve olaya müdahale sürecinizin etkinliğini ortaya koyabilmek amacıyla insan, süreç ve teknoloji arasındaki ilişkideki zafiyetler aşağıdaki yöntemler ile incelenir:

DDoS test hizmetimiz ile internet üzerinden binlerce farklı IP adresi üzerinden gerçek bir botnet ağı simüle edilerek uygulamalarınızın tepki süresi ölçülür.

Kaynak kodu, bir metin editörü veya görsel programlama aracı ile oluşturulan ve daha sonra bir dosyaya kaydedilen ifadelerden oluşur. Kaynak kodu, program daha sonra değiştirilebilir, iyileştirilebilir veya yükseltilebilir olsa da bir programın en kalıcı biçimidir.

Kaynak kodu analizi, uygulamalarınızı canlıya çıkılmadan önce kodlarınızda hata ayıklama amacıyla kaynak kodunun otomatik olarak test edilmesidir.

Statik ve dinamik kaynak kod analizi yöntemleri kullanarak, kuruluşunuz tarafından canlıya alınmak istenen programlardaki zafiyetlerin tespit edilmesi ve gerekli önlemlerin alınmasında müşterilerimize destek olmak hedeflenir.

Teknik analizde, program fiilen çalıştırılmadan kod incelenerek hata ayıklama yapılır. Bu, program geliştirmenin erken bir aşamasında hataları ortaya çıkarabilmekte ve genellikle daha sonra birden fazla revizyon ihtiyacını ortadan kaldırabilir. Statik analiz yapıldıktan sonra, daha ince kusurları veya güvenlik açıklarını ortaya çıkarmak için dinamik analiz gerçekleştirilmektedir. Dinamik analiz, gerçek zamanlı program testinden oluşur.