Muhasebe Ofisi Sızma Testi (Pentest)

Bu hizmet, mükellef mali verilerinin güvenliğinden hukuki olarak sorumlu olan SMMM ve YMM ofisleri ile mali müşavirlik firmalarına yöneliktir. Bir muhasebe ofisinin bilgi sistemlerinde saklanan veri, siber saldırganlar için son derece cazip bir hedeftir: onlarca ya da yüzlerce mükellefin vergi beyannameleri, banka hesap hareketleri, maaş bordroları ve ticari sırrı niteliğindeki mali tablolar tek bir veri tabanında bulunur.

Aşağıdaki durumların herhangi birini yaşayan ofisler öncelikli hedef kitlemizdir:

• Daha önce siber saldırı, fidye yazılımı veya yetkisiz erişim vakası geçiren ofisler
• KVKK kapsamında veri sorumlusu olarak kayıtlı ve denetim riski taşıyan ofisler
• Uzaktan çalışma (VPN veya uzak masaüstü) altyapısı kullanan ve bu bağlantıların güvenliğinden emin olmayan ofisler
• Mükellef portali, web tabanlı muhasebe uygulaması veya API entegrasyonu çalıştıran ofisler
• Büyüme döneminde yeni çalışan veya dışarıdan hizmet alınan süreçlerde erişim yönetimi karmaşıklaşan ofisler
• Bağımsız denetim veya kurumsal müşteri ihalelerinde siber güvenlik sertifikası talep edilen ofisler

Sızma testi yalnızca teknik bir hizmet değil, aynı zamanda mesleki sorumluluk belgesidir: ofis sahibi, gerekli özeni gösterdiğini kanıtlayan bağımsız güvenlik değerlendirmesine sahip olur.

Muhasebe ofisleri siber suçlular için yüksek değerli hedef olmalarına karşın güvenlik yatırımları çoğunlukla son derece düşüktür. Bu dengesizlik, saldırganların muhasebe bürolarını büyük kurumsal hedeflerden daha kolay av olarak gördüğü anlamına gelir. Tek bir başarılı saldırıda yüzlerce mükellefin mali verisi ele geçirilebilir, ofis fidye ödeme baskısıyla karşı karşıya kalabilir ya da KVKK kapsamında ağır idari para cezasına muhatap olabilir. Sızma testi bu riski ölçer ve somutlaştırır.

Mesleki sorumluluk sigortası kapsamını genişletmek veya kurumsal müşteri ihalelerine katılmak için de düzenli sızma testi belgesi talep edilmektedir. Bağımsız denetim hizmeti sunan YMM ofisleri ise bizzat denetledikleri şirketlerin güvenlik beklentilerini karşılamak durumundadır.

Bagimsiz denetim veya kurumsal musteri ihalelerinde bilgi guvenligi degerlendirme raporu talep eden ofisler, bu gereksimi karsilamak icin sizme testi yaptirmak durumundadir. Uluslararasi standartlara gore denetim faaliyeti yurutulen firmalar icin bagimsiz guvenlik degerlendirmesi artik rekabet gereksimi haline gelmistir. Ayrica KVKK kapsaminda veri sorumlusu olarak kayitli olan muhasebe ofislerinin periyodik guvenlik degerlendirmesi yaptirip belgelendirmesi giderek yayginlasan beklenti haline gelmektedir. Sizme testi bu beklentiye karsilik vermenin en somut yoludur.

Muhasebe ofisleri siber güvenlik açısından kritik bir paradoksla karşı karşıyadır: işledikleri veri son derece değerli olmasına karşın bu değer için ayrılan güvenlik yatırımı son derece düşüktür. Saldırganlar bu dengesizliği bilerek muhasebe bürolarını hedef alır.

Muhasebe Ofislerinde Sık Rastlanan Güvenlik Açıkları

Sızma testi bu açıkları gerçek saldırgan araçları ve teknikleriyle test eder; teorik değil kanıtlanmış bulgular raporlanır. Böylece ofis sahibi hangi açığın kapatılması gerektiğini ve bunun öncelik sırasını somut biçimde bilir.

Oltalama (phishing) saldırıları muhasebe ofisi personelini hedef almaktadır. GİB, vergi dairesi veya TÜRMOB görünümlü sahte e-postalar, personeli kötü amaçlı bir bağlantıya tıklamaya ya da kimlik bilgilerini girmeye ikna eder. Bu tür saldırıların başarı oranı yüksektir; çünkü muhasebe personeli resmi kurum e-postalarını düzenli olarak almayı bekler. Sosyal mühendislik testi çalışanların bu tehdide karşı ne kadar hazırlıklı olduğunu ölçer ve eğitim ihtiyacını netleştirir.

Fidye yazılımı saldırısı bir muhasebe ofisini tamamen felç edebilir. Muhasebe programı veri tabanı, mükellef evrak arşivi ve e-posta sunucusu şifrelenir; ofis günlerce, hatta haftalarca çalışamaz hale gelir. Bu sürede mükellef beyanname teslim tarihleri kaçar, gecikme faizi ve cezalar doğar, itibar zararı kalıcı olur. Sızma testi fidye yazılımının yayılma vektörlerini önceden tespit eder.

Sizme testinin en onemli islevi gucenzlik aciklari saldirganlarin kesfetmesinden once tespit etmektir. Bir siber saldirinin muhasebe ofisine maliyeti yalnizca fidye odemeyle sinirli degildir; mukellef bildirim yukumlulugu, KVKK ihlal cezasi, itibar kaybi ve potansiyel mesleki sorumluluk davasi bu maliyetin gercek boyutunu olusturur. Duzenli sizme testi bu toplam riski onleyici maliyetle yonetmeyi mumkun kilar. Saldiri olmadan once zafiyeti tespit etmek her zaman saldiri sonrasinda kurtarmaya calismadindan cok daha az maliyetlidir.

Test metodolojisi uluslararası standartlara (OWASP, PTES) dayanır ve muhasebe ofisi ortamına uyarlanır:

1. Kapsam Belirleme ve Sözleşme: Test edilecek sistemler (ağ, web uygulamaları, e-posta altyapısı, VPN), test süresi ve kısıtlamalar yazılı olarak tanımlanır. Gizlilik sözleşmesi imzalanır.
2. Pasif Keşif (OSINT): Ofise ait alan adları, e-posta adresleri, sızdırılmış parola veritabanları ve kamuya açık bilgilerden saldırganın ne öğrenebileceği analiz edilir.
3. Ağ Tarama ve Numaralandırma: Ofis ağındaki tüm cihazlar, açık portlar, çalışan servisler ve sürümleri tespit edilir. Yamansız ve savunmasız bileşenler işaretlenir.
4. Saldırı Simülasyonu: Belirlenen açıklara yönelik kontrollü sızma denemeleri yapılır. Ağ içi yayılım, ayrıcalık yükseltme ve veri erişim senaryoları test edilir. Gerçek zarar verilmez; kanıt ekran görüntüleri alınır.
5. Sosyal Mühendislik Testi (opsiyonel): Phishing e-postası simülasyonuyla çalışan farkındalığı ölçülür. Tıklama ve kimlik bilgisi girme oranı raporlanır.
6. Web Uygulama Testi: Mükellef portali veya web tabanlı muhasebe uygulaması varsa OWASP Top 10 güvenlik açıklarına (SQL enjeksiyon, XSS, yetkisiz erişim vb.) karşı test edilir.
7. Bulgu Doğrulama: Tespit edilen açıklar yanlış pozitifi elemek için ikinci kez doğrulanır; her bulgu kanıtla belgelenir.
8. Teknik ve Yönetici Raporu: Bulgular kritiklik düzeyine göre (Kritik / Yüksek / Orta / Düşük) sınıflandırılmış iki ayrı raporda sunulur: teknik ekip için ayrıntılı kapatma adımları, ofis yönetimi için icra özeti.
9. Kapatma Danışmanlığı: Kritik bulgular için ücretsiz danışma görüşmesi; öncelikli kapatma sırası önerilir.

Hizmet 50.000 TL başlayan bedeliyle sunulur; kapsam ve sistem sayısına göre fiyat revize edilir.

Test süreci boyunca ofis operasyonları kesintisiz devam eder. Agresif taramalar ve simülasyonlar mesai saatleri dışında planlanır; kritik üretim sistemleri üzerindeki riskli testler öncesinde ofis yetkilisiyle koordinasyon sağlanır. Test süreci başlamadan önce hangi sistemlerin test kapsamı dışında tutulacağı yazılı olarak netleştirilir. Bu yaklaşım hem mükellef hizmet sürekliliğini hem de beyanname dönemlerinde oluşabilecek aksaklıkları engeller.

Raporlama aşamasında her bulgu için kapatma maliyeti ve risk-fayda değerlendirmesi de sunulur. Ofis sahibi hangi açığı kapatmak için ne kadar kaynak ayırması gerektiğini ve hangi açığı kapatmadan bırakmanın ne anlama geldiğini net biçimde görür. Bu bilgi karar almayı kolaylaştırır ve güvenlik yatırımını önceliklendirir.

Test sonucunda sunulan rapor yalnizca bir belge degil, ofis guvenlik yol haritasinin cikis noktasidir. Kritiklik siralamali bulgu listesi yoneticinin hangi acigin once kapatilacagina dair bilingli karar vermesini saglar. Test sonrasinda kritik bulgular icin ucretsiz danisma gorusmesi yapilir. Kritik bulgular kapatildiktan sonra dogrulama testi ile duzeltmenin etkinligi teyit edilir ve guncellenmis durum raporu teslim edilir. Bu dogrulama adimi hizmetin en degerli unsurundan biridir.

Sızma testi sürecinin kendisi de titizlikle güvence altına alınır:

• Gizlilik Sözleşmesi: Test öncesinde karşılıklı NDA imzalanır. Bulgular ve mükellef bilgilerine ilişkin hiçbir veri üçüncü taraflarla paylaşılmaz.
• Kontrollü Test Ortamı: Tüm saldırı simülasyonları önceden tanımlanan zaman dilimleri ve IP adresleri üzerinden yürütülür. Gerçek veri silinmez, değiştirilmez veya dışarıya aktarılmaz.
• Kanıt Belgeleme: Her bulgu ekran görüntüsü ve log kaydıyla belgelenir. Raporlar ofisle paylaşılan şifreli kanaldan iletilir.
• Veri Minimizasyonu: Test sürecinde elde edilen mükellef verisi örnekleri rapordan sonra güvenli biçimde imha edilir; kalıcı kopya tutulmaz.
• Etik Hacking Sınırı: Tespit edilen açıklardan yalnızca konsept kanıtı (PoC) düzeyinde yararlanılır. Veri hırsızlığı, sistem bozma veya üretim hizmetini durdurma eylemleri kesinlikle dışındadır.

Sızma testi tamamlandığında ofis, KVKK veri ihlali bildirimi zorunluluğuna karşı da daha iyi hazırlanmış olur. Veri ihlali gerçekleşmesi halinde 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirim yapılması gerekmektedir. Bu bildirimin içeriği, hangi sistemlerin etkilendiğini ve ne tür verilerin açığa çıktığını netleştirmeyi gerektirir. Sızma testi bulguları, mevcut sistem haritasını önceden çıkararak olası bir ihlalde bu bildirimi hazırlamayı kolaylaştırır.

Meslek sırrı kapsamındaki mükellef verileri test sürecinde hiçbir zaman gerçek anlamda açığa çıkarılmaz. Pentester'ın amacı yalnızca erişimin mümkün olup olmadığını kanıtlamak, ardından durdurmaktır. Tespit edilen bulgu kanıtı olarak alınan ekran görüntüsü veri içeriyorsa bu görüntü raporlama öncesinde anonimleştirilir ve test tamamlandıktan sonra tüm kanıt materyali güvenli imha protokolüyle yok edilir.

Sizme testini yurutulen ekip mesleki etik kurallara ve yasal sinirlara tabidir. Gerceklestirilen her islem onceden imzalanan kapsam belgesiyle yetki altina alinmistir; bu belge hem yasal guvence hem de testin sinirlarini netlestirme islevi gorur. Test surecinde elde edilen hicbir mukellef verisi kalici olarak saklanmaz; kanit amacli kullanilan ornekler guvenli imha protokoluyle silinir. Tum surecin seffaf yurutulmesi ve ofis yoneticisinin her asamada bilgilendirilmesi temel taahhuttür.