Mühendislikle güvenli, sonuç olarak uyumlu.
Uygulama güvenliği, bulut sıkılaştırma ve uyum hazırlığı (ISO 27001, KVKK, GDPR) — sistemleri yalnızca değerlendiren değil, kuran mühendisler tarafından.
- Değerlendirme
- Sıkılaştırma
- Yerleştirme
- Kanıt
Önce yapıcıyız.
Güvenlik hataları mühendislik hatalarıdır: döndürülmemiş anahtar, fazla yetkilendirilmiş rol, kimsenin yamamadığı bağımlılık, bir öğleden sonra herkese açılan ve o gün bugündür açık kalan S3 kovası. Bunların hiçbiri egzotik saldırı değil. Güvenlik sonucu doğurmuş sıradan mühendislik borcu bunlar; ve her tür kusuru bulan aynı disiplinle bulunuyorlar — kodu okuyarak, yapılandırmayı okuyarak ve aynı hata iki kez yapılamasın diye hatta bir kapı koyarak.
Bu yüzden sistemleri kurduğumuz gibi güvenli hâle getiriyoruz: kod olarak, hattın içinde, kanıtla. En az yetki bir politika paragrafı değil, bir Terraform modülüdür. Bağımlılık ve sır taraması üç aylık bir rapor değil, derlemeyi başarısız kılan CI işleridir. Tehdit modelleme, tasarımı değiştirmenin hâlâ bir öğleden sonraya mal olduğu tasarım incelemesinde yapılır. Böyle yapıldığında uyum, yıllık bir telaş olmaktan çıkıp iyi mühendisliğin yan ürünü olur: kontrolleriniz zaten kodsa ve kanıtınız zaten toplanıyorsa, bir ISO 27001 veya KVKK denetimi hâlihazırda yaptığınız işin üzerinde bir sorgudan ibarettir ve DPO’nuzun imzaladığı veri koruma önlemleri canlı ortamda gerçekten çalışan önlemlerdir.
Bulgular yalnızca PDF’le değil, pull request’le birlikte gelir — ve düzeltme bir testi bozduğunda bulguyu yazan mühendisler hattan ayrılmaz.
Dört uygulama alanı, tek hat.
Her çalışma dördünden de yararlanır; ağırlık, sistem envanterinizin gerçekte neye ihtiyaç duyduğuna göre belirlenir. Buradaki hiçbir şey ayrı bir danışmanlık iş kolu değil — hepsi ekiplerinizin zaten kullandığı depolara ve teslimat hattına iner.
Uygulama güvenliği
Tehdit modelleme, güvenli kod incelemesi, CI’a bağlanmış bağımlılık ve sır taraması — güvenliği ucuz olduğu yere taşımak. Bir servisin güven sınırlarını daha kurulmadan modelliyor; kimlik doğrulama, yetkilendirme ve çok kiracılı izolasyonu bir ankette değil kodun içinde inceliyor; SAST, bağımlılık ve konteyner taramasını pull request’e koyuyoruz; böylece bulgu, yazarın bağlamı hâlâ aklındayken geliyor. Triyajdan geçen bulgular bir tablo satırına değil, sahibi ve tarihi olan iş kayıtlarına dönüşür.
Bulut sıkılaştırma
AWS, Azure ve GCP genelinde kod olarak IAM en az yetki, ağ segmentasyonu, şifreleme ve loglama temel çizgileri. Diyagramın söylediğinden değil, hesabın gerçekte neyi verdiğinden başlıyor; ardından rolleri, güvenlik gruplarını, anahtar politikalarını ve log hedeflerini Terraform olarak yeniden yazıyoruz; böylece sıkılaştırılmış durum, bir sonraki devreye almanın geri getirdiği durum oluyor. Uzun ömürlü anahtarların yerini iş yükü kimliği alır; Kubernetes kümeleri ağ politikası, admission kontrolü ve imzalı imajlar kazanır.
Uyum hazırlığı
ISO 27001’i referans alan kontroller, KVKK ve GDPR teknik tedbirleri — denetçilerinizin kabul ettiği kanıtlarla eşleştirilmiş. Belgelendirmeye gireceğiniz kontrol setini alıp kontrol kontrol yanıtlıyoruz: hangi sistem uyguluyor, kanıt nerede üretiliyor ve hangi sıklıkta. Veri yerleşimi, saklama ve silme, hattın özellikleri hâline gelir. Çıktı, yazıldıktan bir hafta sonra eskiyen bir klasör değil, bağlantılı bir kontrol matrisidir.
Tespit & müdahale
Önemli olan sinyaller üzerinde alarm, olay runbook’ları ve gerçeği yaşamadan önce masabaşı tatbikatlar. Ele geçirilmeye işaret eden olayları ölçümlüyoruz — yeni coğrafyalardan kimlik bilgisi kullanımı, yetki yükseltme, dışa veri akışı anormallikleri, veri erişim sıçramaları — ve bir ekibe kendi alarmlarını yok saymayı öğreten gürültüyü ayıklıyoruz. Sonra her senaryo için runbook’u yazıyor, mühendislerinizle prova ediyor ve provanın ortaya çıkardığını düzeltiyoruz.
İş günlük olarak nasıl yürür?
Lansmanı değil, derlemeyi durduran güvenlik kapıları.
Bir bulgu, pull request üzerinde ucuz, sürüm kapısı incelemesinde pahalıdır. Bu yüzden kapılar CI’da yaşar: değişen kodda statik analiz, lockfile’a karşı bağımlılık ve lisans kontrolleri, diff ve geçmiş üzerinde sır tespiti, herhangi bir ortama ulaşmadan önce konteyner ve kod olarak altyapı taraması. Her kapının tanımlı bir önem eşiği, bir sahibi ve belgelenmiş bir istisna yolu vardır — çünkü acil durumda kimsenin geçemediği bir kapıyı birileri kalıcı olarak kapatır.
- Eşikler mühendislik liderlerinizle mutabık kalınır; böylece başlangıç bir legacy bulgu duvarına dönüşmez
- Her kapı devredilebilir — biz ayrıldıktan sonra sizin CI’nızda, sizin kimlik bilgilerinizle çalışır
- İstisnalar süreyle sınırlıdır, gerekçe ve sahiple kaydedilir ve süresi dolduğunda fark edilir biçimde biter
Geçişten beri kimsenin okumadığı yetkiler.
Çoğu bulut ortamı, tarihin tesadüfleriyle güvenli hâle gelmiştir. Bir lansmanın önünü açmak için geniş bir rol açılmış, döndürmesi zor olduğu için bir servis hesabı paylaşılmış, eski bir CI anahtarı sahibi belirsiz bir hesapta hâlâ yönetici yetkisi taşıyor. Gerçekte neyin verildiğini çıkarıyor, gerçekte neyin kullanıldığıyla karşılaştırıyor ve aradaki farkı kod olarak yeniden yazıyoruz — sonra inceleme kuyruğunu size veriyoruz; kararlar sizin olsun diye, her birinin kanıtı ekli.
- Politika belgelerinin okunması değil, hesaplar genelinde etkin yetki analizi
- Uzun ömürlü anahtarların yerine iş yükü kimliği ya da kısa ömürlü kimlik bilgileri
- Her değişiklik, altyapı deponuza incelenmiş bir pull request olarak iner
Olay, doğaçlama değil, prova edilmiş bir prosedürdür.
Kontrol altına alınmış bir olayla kötü bir çeyrek arasındaki farkı genellikle ilk saat belirler. Mimarinizin gerçekten mümkün kıldığı senaryolar için runbook’ları yazıyoruz — kimlik bilgisi ele geçirilmesi, bağımlılık ele geçirilmesi, veri sızması, paylaşımlı dosya ortamında fidye yazılımı — ve sonra bunları gerçekten uyandırılacak kişilerle masabaşı tatbikat olarak yürütüyoruz. Asıl çıktı, provanın ortaya çıkardıklarıdır: işten ayrılmış birine giden çağrı, tespit penceresinden kısa log saklama süresi, kimsenin geri dönmediği yedek.
- Senaryo başına runbook: tespit, sınırlama, temizleme, kurtarma, bildirim — adı konmuş rollerle
- Bildirim süreleri, ihtiyaç duymadan önce KVKK ve GDPR yükümlülükleriyle eşleştirilir
- Tatbikat bulguları, diğer mühendislik kusurları gibi kapanana kadar izlenir
Üç kişinin ikna olması gerekir.
Tarayıcı önem derecesine göre değil, istismar edilebilirliğe göre sıralayan bir kayıt.
Uzun bir bulgu listesi, risk duruşu değildir. Sıralamayı, mimarinizdeki istismar edilebilirlik çarpı etki üzerinden yapıyoruz — müşteri verisine kimlik doğrulamasız bir yol, hiç yüklenmeyen bir kütüphanedeki yüksek önem dereceli CVE’nin önüne geçer — ve kapanışı bu sıralamaya göre raporluyoruz; böylece eğilim çizgisi yönetim kurulu toplantısında bir şey ifade ediyor.
- Bulgu başına sahip, sıra ve hedef tarih içeren risk kaydı
- Mutabık kalınan eşiklere karşı, sıraya göre kapanış eğilimi; sıklığı sizinle belirlenir
- Yönetim kurulunun kabul edebileceği bir dille yazılmış artık risk beyanları
Bulgular, zaten kullandığınız araçlarda pull request olarak gelir.
Mühendisler güvenlikten rahatsız olmaz; kod yazıldıktan altı hafta sonra gelip bir sürümü durduran PDF’ten rahatsız olur. Pull request üzerindeki kapılar, diff olarak önerilen düzeltmeler ve incelemenin sizin tarafınızda adı konmuş bir mühendis, güvenliği sıradan bir işe dönüştürür — diğer her şey gibi incelenen, test edilen ve merge edilen bir işe.
- Ayarlayabileceğiniz kapı yapılandırması
- Düzeltmeler testle gelir; böylece regresyon hatırlanmaz, yakalanır
- Genel örneklerle değil, kendi kod tabanınızla güvenli kod oturumları
Bir hafta önce derlenen değil, kendiliğinden üretilen kanıt.
Denetçiler iki soru sorar: kontrol var mı ve yıl boyunca işlediğini gösterebiliyor musunuz. Hat yapılandırması olarak uygulanan kontroller ikisini birden yanıtlar, çünkü her çalışma bir kayıt bırakır. Her kontrolü, onu uygulayan sisteme ve işlediğini kanıtlayan çıktıya eşliyor, ardından toplamayı otomatikleştiriyoruz; böylece yanıt bir sorgudan ibaret oluyor.
- ISO 27001, KVKK ve GDPR teknik tedbirlerine aynı anda eşlenmiş kontrol matrisi
- Kontrol başına, ekran görüntüsü yerine otomatik yenilenen kanıt bağlantıları
- Alt işleyen, saklama ve veri yerleşimi duruşları da belgelenir
Neyin standart, neyin müşteriye göre kapsamlandığı.
İş nasıl yürür.
Değerlendirme
Mimari incelemesi, bulut duruş taraması ve istismar edilebilirlik × etki ile sıralanmış bir risk kaydı. Kimlik doğrulama, yetkilendirme ve kişisel veriyi işleyen kod yollarını okuyor; hesaplar genelinde etkin yetkileri çıkarıyor; bir olay sırasında loglarınızın size gerçekte ne söyleyeceğini kontrol ediyoruz. Çıktı, her madde için bir sahip önerilen sıralı bir kayıttır — ve bir bulgu yapılandırma değil tasarım sorunuysa, bunu açıkça belirten bir not.
Sıkılaştırma
En yüksek risklerin mühendislikle ortadan kaldırılması — IAM, sırlar, yamalama, ağ yolları — değişiklikler kod olarak teslim edilir. İş, en üst sıradaki maddeler önce ilerleyecek ve hiçbir şey tam bir giderme programını beklemeyecek şekilde sıralanır. Her değişiklik, depolarınıza açılmış incelenmiş bir pull request’tir; riskin kapandığını gösteren bir test ya da tarama sonucu ve ekibinizin çalıştığını gördüğü bir geri alma ile birlikte.
Yerleştirme
CI/CD içinde güvenlik kapıları, ekiple birlikte güvenli kod pratiği ve müdahale runbook’larına bağlanmış izleme. Eşikler dayatılmaz, mutabık kalınır; istisnalara bir son tarih verilir; alarmlar, biri o iş için nöbete girmeden önce gerçek trafiğe göre ayarlanır. Kapıları ve runbook’ları, hat açıkça bizim değil onların olana kadar biz izlerken sizin mühendisleriniz çalıştırır.
Kanıt
Kontroller, toplanmış kanıtlarla uyum hedeflerinize eşlenir — sürekli biçimde denetime hazır. Her kontrol, kendisini uygulayan sistemi ve işlediğini kanıtlayan çıktıyı adlandırır; toplama, platformun izin verdiği her yerde otomatiktir. Denetçi geldiğinde konuşma, ekibinizin hafızasından yeniden kurabildikleri üzerine değil, önündeki kanıt üzerine olur.
Sizde kalanlar.
- İstismar edilebilirliğe göre sıralı bulgularla risk kaydı
- İncelenmiş pull request olarak teslim edilen sıkılaştırma değişiklikleri
- CI güvenlik kapıları: SAST, bağımlılık, sır ve konteyner taraması
- Olay müdahale runbook’ları ve masabaşı tatbikat sonuçları
- Kanıt bağlantılı uyum kontrol matrisi
Bu ne zaman doğru tercih.
Kurduğunuz ya da işlettiğiniz bir yazılım varsa ve güvenlik duruşunuzun tarif edilmesini değil ilerlemesini istiyorsanız bunu seçin. Arkasında gerçek bir sistem envanteriyle ISO 27001 belgelendirmesine ya da bir müşteri güvenlik incelemesine giren ekiplere; yönetişiminden daha hızlı büyümüş bulut hesaplarına; teknik tedbirlerin gösterilebilir olması gereken, KVKK veya GDPR kapsamında kişisel veri işleyen ürünlere; ve olay yaşamış, nedenlerin tutanağa geçirilmesini değil mühendislikle ortadan kaldırılmasını isteyen kurumlara uygundur. Hattın kendisinin yeniden kurulması gerektiğinde DevOps & Cloud ile, hedef landing zone ilk iş yükünden itibaren güvenli olmalıysa Cloud Migration ile ve risk kimsenin dokunmak istemediği bir sistemde yaşıyorsa legacy yeniden mühendisliği ile doğal biçimde birleşir.
İhtiyacınız bir belgeden ibaretse başka yere bakın — bir yönetim sistemi danışmanlığı evrak işini daha hızlı ve daha ucuza yürütür; ihtiyacınız olmayan mühendisliği satmaktansa sizi oraya yönlendirmeyi tercih ederiz. Bağımsız bir ürün olarak derin saldırgan test için de başka yere bakın: bunu uzman iş ortaklarıyla koordine eder ve gidermeyi üstleniriz, ama kendimizi bir red team olarak konumlandırmıyoruz. Ve sizin tarafınızda bir pull request’i kabul edebilecek kimse yoksa bu yanlış bir çalışma olur — bulgularımız kod olarak gelir ve kodu merge edecek birine ihtiyaç duyar.
Sık sorulan sorular
Aynı standartları taşıyan hizmetler.
Ne inşa ettiğinizi bize anlatın.
Bugün elinizde ne olduğunu ve neye ihtiyacınız olduğunu anlatın. Bir mühendis okur; nasıl yaklaşacağımızı ve size uyan modeli yazılı olarak iletir.