Sızma testi nedir? Bir otel ne zaman yaptırmalı, rapor nasıl okunur?

Sızma testi, sistemlerinize girmeye çalışan bir kişinin, izinle ve planlı biçimde gerçekleştirdiği saldırı denemesidir; kişi ne kadar ileri gittiğini ve nasıl gittiğini belgeler. Bir otel için kapsamı genellikle web sitesi, misafir Wi-Fi'ı, personel ağı ve uzaktan erişimdir. Temel önlemler alındıktan sonra, yazılı izinle yaptırılır ve tarihli bir düzeltme listesiyle biter.

Bir güvenlik firması, makul görünen bir fiyatla sızma testi teklif eder ve e-postayla genel IP adreslerinizi ister. Yanıtlamadan önce üç soru, paranın bir şey satın alıp almayacağını belirler: ne test edilecek, buna kim izin verdi ve sonuçla ne yapacaksınız. Bu yazı üç sorunun da yanıtını veriyor ve raporu, ekibinizin gerçekten işleyebileceği tarihli bir listeye dönüştürmenin yolunu gösteriyor.

Sızma testi nedir?#

Sızma testi, kendi sistemlerinize girme girişimidir; izinli, planlı ve bir kişi tarafından yapılır ve o kişi ne kadar ileri gittiğini ve nasıl gittiğini belgeler. Teslim edilen şey kanıt ve düzeltme listesidir, bir puan değil.

Testi yapan kişi yazılı bir kapsamdan çalışır: adı belirtilmiş adresler, uygulamalar ve hesaplar, başlangıç ve bitiş tarihleriyle. O listenin dışındaki hiçbir şeye dokunulmaz. Zafiyetler tek tek küçük olabilir; işi yapan kişi onları zincirler. İnternete açık bir yönetim sayfası, paylaşılan bir şifre ve güncellenmemiş bir eklenti ayrı ayrı önemsizdir; birlikte, internetten rezervasyon defterine giden bir yol olabilir.

Bir bulgu yalnızca yeniden üretilebiliyorsa bulgudur. Rapor, başka bir teknisyenin aynı sonuca ulaşmasını sağlayacak adımları vermelidir. Test bir anın fotoğrafıdır, garanti değil: temiz bir rapor, test edilen sistemlerin test edilen günlerde test edilen saldırılara dayandığını söyler. Uyum damgası değildir; yama, yedek ve erişim kontrolünün yerine geçmez. Bunlar otelin günlük işidir.

Üç etkinlik sık karıştırılır ve bu karışıklık paraya mal olur:

Tarama otomatiktir, sık yapılır ve gürültülüdür: bilinen imzaları eşleştirip adayları listeler. Test elle yapılır, dönemiktir ve kanıt üretir. Denetim, söylediğinizi yapıp yapmadığınızı denetlemek için belgeleri okur ve insanlarla görüşür.

Temel önlemler tamamlanmadan test yaptırılır mı?#

Hayır. Yaması alınmamış, yönetilmeyen sistemlerde yapılan test, taramanın zaten söylediğini büyük ölçüde yeniden keşfeder ve bunu bir uzmanın günlük ücretiyle dinlersiniz.

Testçiler zamana göre ücret alır. Desteklenmeyen bir sunucunun desteklenmediğini kanıtlamakla geçen her saat, bir saldırganın izleyeceği yolu bulmakla geçmeyen saattir. Temeller ucuz ve gösterişsizdir: güncellemeleri uygulanan destekli yazılım, kişi başına tek hesap, internetten erişilebilen her şeyde çok faktörlü kimlik doğrulama ve paylaşılmayan yönetici hesapları.

Yedekler, biri geri yüklenmiş ve tarihi yazılmışsa sayılır. Test edilmemiş bir yedek bir umuttur. İnsanlar işten ayrılır; eski personelin ve eski acentelerin hesapları ile uzaktan erişimleri, küçük bir kuruluşta kontrol etmeye değerdir. Kayıtları açık tutun ve bir olayı yeniden kurmaya yetecek süreyle saklayın; hiçbir şey bulmayan bir test bile "geçen salı ne oldu" sorusunu yanıtlamanızı gerektirir.

İşe yarayan sıra şudur: temelleri kapatın, tarama yapın, taramanın gösterdiklerini düzeltin, sonra testi ısmarlayın. Test o zaman kalıntıyı ölçer ve ödemeyi yaptığınız şey de budur. Teklif istemeden önce hazırlık listesini yazın ki her firma aynı kapsamı fiyatlasın.

Bu maddelerin gerekçelerini otelde siber güvenlik kontrol listesi ayrıntılı biçimde ele alıyor.

Bir otelde kapsam ne olmalı?#

Bir otel için olağan kapsam dört şeydir: genel web sitesi ve rezervasyon akışı, misafir Wi-Fi'ı, personel ağı ve ikisine uzaktan erişim. Geri kalan her şey ya bilinçli biçimde eklenir ya da yazıyla dışarıda bırakılır.

Web sitesi ve rezervasyon akışı; herkese açık formları, giriş alanını, ödeme sayfasına yönlendirmeyi ve bir e-posta kutusuna ulaşan tüm yükleme ya da iletişim formlarını kapsar. Misafir Wi-Fi'ında asıl soru şudur: bağlanan bir misafir, personel ağını, otel yönetim sistemini ya da başka bir misafirin cihazını görebiliyor mu? Misafir ve personel trafiği ayrı ağlarda olmalıdır.

Personel ağı; ortak diskleri, arka ofis makinelerini, yazıcıları ve resepsiyonun rezervasyon sistemine ulaşmak için kullandığı her şeyi kapsar. Uzaktan erişim; VPN'i, uzak masaüstünü ve bir destek firmasının dışarıdan giriş yaptığı her hesabı kapsar. Bunlar gece açık kalan kapılardır.

Sağlayıcının barındırdığı bölümler, örneğin otel yönetim sistemi (PMS), kanal yöneticisi veya e-posta servisi, genellikle kapsamınızın dışındadır. Sağlayıcıya neyi test ettiklerini ve bir özet paylaşıp paylaşamayacaklarını sorun. İnsanların kapsam içinde olup olmadığına açıkça karar verin: personele sahte e-posta göndermek ya da boş bir arka ofise girmek. Yazılmadıysa test edilmez.

Testçiye test hesapları ve test verisi verin. Bir zayıflığı kanıtlamak için gerçek misafir verisi gerekmemeli; gerekiyorsa bu başlı başına bir bulgudur. Dışarıdan sistemlerinize kimlerin erişebildiğinden emin değilseniz, uzaktan erişim, entegrasyon ve API anahtarı kontrolüne başlayın.

Test öncesi kimin izni gerekir?#

Kapsamdaki her sistemin sahibinden yazılı izin; bir otel için bu nadiren yalnızca otelin kendisidir. İzinsiz test, sağlayıcı, barındırma firması ve yasalar nezdinde bir saldırı sayılabilir.

Yetkilendirme yazısında test firması, testi yapacak kişiler, tarihler ve saatler, adresler ve uygulamalar ile testi durdurabilecek kişi belirtilir. Sağlayıcı onayı önceden alınır, sonra değil. Barındırılan bir otel yönetim sistemi, rezervasyon motoru veya bulut sağlayıcısı önceden bildirim isteyebilir, belirli testleri yasaklayabilir ya da katılmanız gereken kendi programını yürütebilir.

Çerçeve kuralları aynı belgede yer alır: hizmeti durduran saldırılar yok, konuyu kanıtlamak için gerekenden fazla misafir verisi kopyalanmaz ve testçi içeride başka birinin olduğunu görürse aranacak bir telefon numarası vardır. Gizlilik iki yönlüdür: firma bir sözleşme imzalar, otel de bulguların nasıl saklanacağını ve kimin okuyabileceğini kabul eder.

Kişisel veri kuralları testin kendisine de uygulanır. Test hesapları, test rezervasyonları ve sonda yazılı bir silme adımı, alıştırmanın önlemek için yapıldığı sorunu üretmesini engeller. Bir sağlayıcı izin vermezse bu da bilgidir: not edin ve yerine sağlayıcının kendi test özetini isteyin.

Sızma testi firması nasıl seçilir?#

Belgelendirmeye, işi yapacak adı geçen kişiye ve gerçekten okuyabildiğiniz bir örnek rapora göre seçin. Satış sunumu hiçbir şey söylemez.

Firmanın ne için, hangi düzeyde belgeli olduğunu sorun. TSE, sızma testi yapan firmaları TS 13638/T2 standardına göre A, B ve C düzeylerinde belgelendirir (yeni sekmede açılır) ve "Onaylı Sızma Testi Firması" unvanı verir (TSE, "Sızma Testi Yapan Firmaların Belgelendirilmesi", 22 Ekim 2026). Düzeyler personele ve yönetim sistemine göre ayrılır. A düzeyi en az 1 Kıdemli, 1 Sertifikalı, 1 Kayıtlı ve 2 Stajyer Sızma Testi Uzmanı ister; C düzeyi en az 1 Kayıtlı uzman. A ve B düzeyleri ayrıca akredite bir kuruluştan alınmış bilgi güvenliği yönetim belgesi gerektirir (aynı kaynak).

TSE firmada bir günlük denetim yapar ve standarda uygun yapılmış en az 2 sızma testi projesini inceler (aynı kaynak). Logoyu değil, belgenin kapsamını ve geçerlilik tarihini isteyin.

İşi kimin yaptığını sorun. Teklifte kıdemli bir ad, klavyede ise deneyimsiz bir kişi bulunabilir; adı geçen testçinin ekipte olmasında ısrar edin. Müşteri bilgileri çıkarılmış bir örnek rapor isteyin ve bulguların, bir işletme sahibinin harekete geçebileceği bir dille açıklanıp açıklanmadığına bakın. Düzeltmelerin yeniden testinin dahil olup olmadığını, değilse ne kadara geldiğini sorun. Yeniden testsiz bir test, elinizde liste bırakır, kanıt bırakmaz.

Zamanlamayı yoğun sezon dışına ve bir sistem geçişi dışına alın, test sürerken ulaşılabilir bir kişi belirleyin. Testi bir sigortacı ya da bir marka istiyorsa, firmayı bilgilendirmeden önce hangi kanıtı istediklerini öğrenin; oteller için siber sigorta rehberimiz sigortacıların eğilim gösterdiği soruları ele alıyor.

Sızma testi raporu nasıl okunur?#

Önce önem ölçeğinin tanımını okuyun, sonra her bulgunun kanıtı ve düzeltmesi olup olmadığını denetleyin. Etiketten çok, şeyin bugün ulaşılabilir olup olmadığı önemlidir.

Önem ölçekleri firmaya özgeldir. Bir firmanın yükseği, diğerinin ortası olabilir; ölçeğin nasıl tanımlandığını ve maruziyeti hesaba katıp katmadığını okuyun: sistem internete mi bakıyor, kilitli bir ofiste mi duruyor. Her bulgu; ne olduğunu, nerede olduğunu, nasıl yeniden üretileceğini, kanıtı, bir otel için iş etkisini ve önerilen düzeltmeyi içermelidir. Yeniden üretme adımları eksikse bulgu doğrulanamaz ve kapatılamaz.

Kanıta bakın. Adımları izleyip aynı sonucu göremiyorsanız, testçiden size göstermesini isteyin. Şu anda sömürülebilir olanı kuramsal olandan ayırın: internete bakan rezervasyon girişindeki bir orta bulgu, izole bir arka ofis yazıcısındaki yüksek bulgudan daha önemli olabilir. Bazı bulgular, bilinçli yaptığınız yapılandırma tercihleridir. Bu meşru bir yanıttır; ama kabul edilen risk olarak, bir ad ve bir tarihle yazıya geçirin. İki katman isteyin: bir işletme sahibine ya da sigortacıya verebileceğiniz kısa bir özet ve düzeltmeyi yapacak kişi için teknik ayrıntı.

Bulgular tarihli listeye nasıl dönüştürülür?#

Her bulguyu, bir sahibi, eylemi ve tarihi olan tek bir satıra kopyalayın; önce internete açık ve kimlik bilgisiyle ilgili bulgularla çalışın. Kimsenin planlamadığı bir rapor bir belgedir, düzeltme değil.

Bulgu başına bir satır: ne olduğu, sahibi kim, ne yapılacağı, ne zamana kadar ve geçerli durum. Sahibin göreceği yerde tutun, bir klasörde değil. Sıralamayı önce maruziyete göre yapın: internetten erişilebilen her şey, parola veya uzaktan erişimle ilgili her şey, sonra gerisi.

Bazı düzeltmeler sağlayıcıya aittir. Bu satırlar da otel içinde bir sahip, sağlayıcıya açılmış bir kayıt ve bir takip tarihi ister. Riski kabul etmek bir karardır, varsayılan değil. Kimin, neden kabul ettiğini ve ne zaman yeniden bakılacağını kaydedin.

Düzeltmeleri, tüm kapsamı değil, yeniden test edin ve yeniden test yazısını asıl raporla birlikte saklayın. İşin yapıldığını kanıtlayan o ikilidir. Bir ritimle tekrar test edin: yılda bir kez; yeni bir otel yönetim sistemi, yeni bir web sitesi ya da yeniden kurulmuş bir ağ gibi büyük bir değişiklikten sonra; ve herhangi bir olaydan sonra. Raporları saklayın. Bir sigortacı ya da bir marka kanıt isteyebilir; tarihli bir rapor ve tarihli bir yeniden test, bu soruyu niyetlerinizi anlatmaktan daha hızlı yanıtlar.

Şimdi ne yapmalı#

Teklif istemeden önce kapsam çalışma sayfasını ve izin yazısını hazırlayın; testin yararlı ve yasal olup olmayacağını bu iki belge belirler. Ardından temel önlemleri kapatın, bir tarama yapın, taramanın gösterdiklerini düzeltin; testi ancak ondan sonra ısmarlayın ve bulguları yeniden testi de içeren tarihli bir listeye bağlayın. Somut ilk adım: yukarıdaki kapsam sayfasını doldurun ve içinde adı geçen her sağlayıcıya izin sorusunu gönderin.