Klinik Sızma Testi (Pentest)

Sızma testi, güvenlik önlemlerinizin teorik değil pratik etkinliğini ölçmek için yapılır. Bir güvenlik duvarı kurulu olması, doğru yapılandırılmış olduğu anlamına gelmez. Sızma testi bu farkı açığa çıkarır.

Bu hizmet özellikle şu kliniklere uygundur:

• Büyük poliklinikler ve tıp merkezleri: Yüz binlerce hasta kaydı ve onlarca çalışanın erişim sağladığı sistemlerin gerçek güvenlik durumu, yalnızca sızma testiyle doğrulanabilir.
• Siber güvenlik sigortası yaptıran klinikler: Pek çok sigorta şirketi yüksek prim indirimi için belgelenmiş güvenlik kanıtı talep eder. Sızma testi raporu bu talebi en güçlü biçimde karşılar.
• Hasta portalı veya mobil uygulama yayınlayan klinikler: İnternet üzerinden erişilebilen her sistem ek saldırı yüzeyi oluşturur. Yayına almadan önce veya yayında iken test etmek kritiktir.
• Daha önce güvenlik denetimi yaptıran klinikler: Denetim boşlukları gösterir; sızma testi bunların gerçekten sömürülüp sömürülemeyeceğini kanıtlar. İki hizmet birbirini tamamlar.
• Uluslararası ortaklık veya akreditasyon sürecindeki klinikler: JCI veya benzeri akreditasyon programları teknik güvenlik kanıtı gerektirir.
• KVKK Kurul denetimi öngören klinikler: Teknik tedbir yükümlülüğünün yerine getirildiğini kanıtlayan en güçlü belgelerden biri sızma testi raporudur.

Sızma testi yıkıcı değil kontrollüdür; klinik faaliyetleri aksatmadan ve hasta verilerine gerçek zarar vermeden yürütülür. Test kapsamı, yöntemleri ve zaman penceresi önceden yazılı olarak onaylanır.

Sizma testi bir kerelik yapilip rafta kalan bir belge degildir. Ozellikle yeni sistem kurulduktan, yazilim guncellemesi yapildiktan veya altyapi degistirildikten sonra ek test onerilir. Klinigin buyudukce saldiri yuzeyi de buyur; yillik duzenli sizma testi bu buyumenin guvenligini takip etmenin en etkin yoludur. Bazi klinikler sigorta kosulu olarak da yillik penetrasyon testi yaptirmak durumundadir; bu durumda yillik anlasma hem uyum hem maliyet acisindan avantaj saglar.

Hasta portali veya mobil uygulama yayinlayan klinikler icin sizma testi ozellikle kritiktir. Internete acik her yeni sistem ek saldiri yuzeyidir. Yayina almadan once gerciksiz bir guvenlik denetimi yapmak hata maliyetini sifirlar; yayindayken bulmak ise duzeltme maliyetini katlar ve itibar riskini derinlestirir.

Güvenlik önlemleri kağıt üzerinde doğru görünse de gerçek saldırı senaryolarında çoğu zaman beklenmedik zafiyetler ortaya çıkar. Aşağıdaki tablo güvenlik denetimi ile sızma testi arasındaki farkı netleştirir:

Kliniğinizde sızma testine ihtiyaç olduğunu gösteren işaretler:

• Son güvenlik denetiminde yüksek veya kritik açıklar bulundu; bunların gerçekte kullanılıp kullanılamayacağı belirsiz.
• Hasta portalı veya randevu sistemi internete açık; hiç test edilmedi.
• Sigorta şirketi veya iş ortağı teknik güvenlik kanıtı talep ediyor.
• Personelin phishing saldırılarına karşı ne kadar dirençli olduğu bilinmiyor.
• Yönetim, gerçek risk seviyesini somut kanıtla görmek istiyor.

Bu hizmet sonunda elinizde somut bir kanıt olur: saldırgan erişemedi veya erişebildi ve işte kanıt. İkinci durumda açık kapatılır ve sınanır.

Gercekten endise verici olan gerciksiz su gercektir: klinigin buyuk cogunlugu saldiriya ugrana kadar acik oldugundan habersizdir. Sizma testi bu bilinmezligi ortadan kaldirir; hangi kaplarin acik oldugunu saldirgandan once klinigin bulmasini saglar. Bu proaktif yaklasim hem maliyet hem itibar acisindan reaktif mudahaleden cok daha avantajlidir. Tek bir basarili fidye saldirisi, yapilacak tum yillik sizma testlerinin toplam maliyetini katbekat aser.

Sızma testi standart metodoloji (OWASP, PTES) çerçevesinde beş aşamada yürütülür. Her aşama önceki aşamanın bulgularını besler.

1. Kapsam ve Kural Belirleme — 1 hafta: Test edilecek sistemler, IP aralıkları, uygulamalar ve test yöntemleri yazılı olarak tanımlanır. Hangi saldırı tekniklerinin izinli olduğu, test zaman penceresi ve acil durdurma prosedürü belirlenir. Yetki belgesi (Letter of Authorization) imzalanır; bu belge testin yasal dayanağını oluşturur.
2. Keşif ve İstihbarat Toplama — 3-5 gün: Kamuya açık bilgiler (OSINT), DNS kayıtları, alt alan adları ve dış bağlantılar haritalandırılır. Klinik web sitesi, hasta portalı ve internete açık paneller analiz edilir. İç ağ testi kapsamındaysa ağ topolojisi ve hedef sistemler belirlenir.
3. Aktif Test — 1-2 hafta: Web uygulaması testleri (OWASP Top 10: SQL enjeksiyon, XSS, kimlik doğrulama açıkları, yetkisiz erişim); ağ testleri (servis açıkları, şifreli iletişim kontrolleri, iç segmentasyon); sosyal mühendislik testleri (izinli phishing simülasyonu) ve fiziksel güvenlik gözlemi kapsama göre uygulanır. Bulunan her zafiyet anında belgelenir.
4. Analiz ve Doğrulama — 3-5 gün: Bulunan açıklar CVSS v3 ile puanlanır. Yanlış pozitifler elenir. Her açık için gerçek etki analizi (hasta verisine erişilebilir mi, sistem ele geçirilebilir mi) yapılır.
5. Raporlama ve Kapatma Toplantısı — 3-5 gün: İki katmanlı rapor hazırlanır: yönetim özeti ve teknik detay raporu. Bulgular 90 dakikalık toplantıda aktarılır. Açıkların kapatılmasına yönelik yeniden test hakkı 60 gün boyunca ücretsiz sunulur.

Paket 50.000 TL'den başlamakta olup kapsam (iç/dış ağ, uygulama sayısı, sosyal mühendislik dahili) fiyatı belirler.

Raporun tesliminden sonra 60 gun boyunca ucretsiz dogrulama testi hakki sunulur. Klinigin aciklari kapattiktan sonra onaylama testi yaptirmasi, iyilestirmenin gercekten ise yaradigini belgeler. Bu belge sigorta sirketlerine, KVKK denetimine ve is ortaklarina sunulabilecek guclu bir guvenlik kanitidir. Kapama ve dogrulama dongusu tamamlanan her bulgu, klinigin savunma seviyesini somut bicimde arttirir.

Sizma testinin en degerli ciktisi aslinda bulgular degil, "neden bu aciklar var?" sorusunun yanitlanmasidir. Teknik aciklar cogunlukla derinlerde yatan surec sorunlarinin belirtisidir: yama yonetimi eksikligi, yetersiz erisim kontrol politikasi veya guvenlik farkindaliği eksikligi gibi. Rapor yalnizca semptomlari degil, koklu nedenleri de ele alir; bu sekilde ayni acik kategorisinin tekrar ortaya cikmasi onlenir.

Pentest sonrasi danisan iliskisi sureklidir. Bulgular kapandikca dogrulama testi yapilir; yeni sistem veya modul eklendikce hedefli ek test onerisi sunulur. Bu iliskisel yaklasim tek seferlik hizmet anlayisinin otesinde gercek guvenlik olgunlugu kazandirma hedefine hizmet eder. Klinikler zamanla kendi guvenlik standartlarini yukselttikce yatirimlarinin karsiligini somut olarak gorurler.

Sızma testinin kendisi yüksek düzeyde gizlilik ve etik standartlarıyla yürütülür. Ekibimiz KVKK ve yasal uyumluluk çerçevesinde faaliyet gösterir.

• Yetki belgesi (LoA): Test başlamadan önce klinik yöneticisi tarafından imzalanan yetki belgesi olmadan hiçbir test adımı atılmaz.
• Hasta verisi dokunulmazlığı: Testler sırasında hasta verilerine erişilmez; erişim kanıtlanabilirse bu kanıt ekran görüntüsü ile belgelenir ve anında yetkiliye bildirilir; veriler incelenmez veya kopyalanmaz.
• Güvenli iletişim: Tüm test bulguları şifreli kanallarla iletilir. Raporlar yalnızca yetkili kişilere teslim edilir.
• KVKK Md. 12 kanıtı: Sızma testi raporu, Kanun'un teknik tedbir yükümlülüğünün yerine getirildiğini gösteren en güçlü belgelerden biridir ve KVKK Kurul denetiminde sunulabilir.
• Kapatma doğrulaması: Açıklar kapatıldıktan sonra 60 gün içinde yeniden test yapılarak kapatmanın başarılı olduğu belgelenir.

Ekibimiz etik hacker sertifikalarına (CEH, OSCP veya eşdeğeri) sahip uzmanlardan oluşur. Test süreci boyunca yalnızca izin verilen kapsamda faaliyet gösterilir.

Sizma testinin etik ve yasal cercevesi titizlikle korunur. Test oncesinde imzalanan yetki belgesi hem klinigi hem test ekibini korur. Test sirasinda hicbir hasta verisi kopyalanmaz, incelenmez veya disari cikarilmaz. Bulunan zafiyetler klinik disinda kimseyle paylasilmaz; yalnizca yetkili kisilere raporlanir. Bu gizlilik taahhudi sozlesmeyle guvence altina alinir. Ekibimiz uluslararasi etik hacker sertifikasyon standartlarini benimser ve bu standartlarin disina cikmaz.