Scope (Kapsam) Belirsizliği
En çok yaşadığımız problem: kapsamın net olmaması.
“Şu sistemleri test edelim” deniyor ama hangi IP’ler, hangi domainler, hangi uygulamalar dahil tam belli değil. Sonra ortada kalıyoruz.
Çözüm:
- IP aralığı net olsun
- Domain ve subdomainler listelensin
- Dışarıda bırakılan kritik sistemler özellikle belirtilsin
Not: “Abi şunu da bi bakıver” dediğinizde aslında testin güvenilirliğini baltalıyorsunuz.
İletişim Kopukluğu
Sızma testinde bulgu çıkınca hemen rapora yazıyoruz ama bazen müşteriyle anlık iletişim koparsa, kritik bir açık çok geç iletiliyor. Sonra “neden haber vermediniz” oluyor.
Çözüm:
- Süreç boyunca bir ana iletişim kişisi belirleyin
- Slack, Teams veya e-posta üzerinden hızlı kanal açın
- Kritik zafiyet varsa rapor beklemeden paylaşın (özellikle production sistemlerde)
Yanlış Zamanlama
Bazen test çalışma saatleri içinde yapılıyor ve sistemler yavaşlıyor. Kullanıcılar şikâyet edince “sızma testi yüzünden” diye yayılıyor.
Çözüm:
- Mümkünse testleri mesai sonrası veya düşük trafik saatlerinde planlayın
- Yük testleri ve DoS benzeri saldırıları önceden onay almadan asla yapmayın
- Operasyon ekibiyle zaman çizelgesini paylaşın
Raporlama Sorunları
Teknik ekipte rapor anlaşılır ama işin yönetim tarafına gelince, rapor “Çince” gibi oluyor. “SQL Injection varmış da RCE çıkmış da…” yöneticinin kafası karışıyor.
Çözüm:
- İki seviyeli rapor hazırlayın:
- Yönetici özeti (risk, etki, çözüm önerisi)
- Teknik detay (PoC, kullanılan payload, loglar)
- Raporu kuru kuru değil, mümkünse ekran görüntüleriyle destekleyin
- Çözüm önerilerini de yazın, sadece “bulduk” demek yetmez
Beklentilerin Yüksek Olması
Müşteri bazen “Sızma testi yapın, tüm açıkları bulun” gibi bir beklentiye giriyor. Halbuki sızma testi her zaman anlık ve sınırlı bir simülasyon. Her açığı bulmak imkânsız.
Çözüm:
- Teste başlamadan önce müşteriyle net beklenti yönetimi yapın
- “Bu test %100 garanti değil, anlık bir fotoğraf çekimi” diye açıkça belirtin
- Uzun vadede sürekli güvenlik kültürünü önermeyi unutmayın
Sonuç
Sızma testi süreçlerinde sorun çıkması çok normal, işin doğasında var. Ama doğru iletişim, net kapsam ve iyi raporlama ile bu sorunların çoğu kolayca aşılabiliyor.
👉 Bu serinin ikinci bölümünde daha teknik hatalara ve çözüm yollarına gireceğim.
Takipte kalın 😉
