Sızma testi teklifi: inceleme kapsamını ve sonucu önceden belirle

Potansiyel bir müşteri sızma testi istiyor ve senden teklif bekliyor. BT güvenliği şirketin için somut bir hizmet kararı doğuyor: Hangi uygulama, üzerinde anlaşılmış hangi koşullarda incelenecek ve müşteri sonrasında hangi kararı verebilecek? İyi tanımlanmış bir inceleme projesi hedeflenen sonuçla anlaşılır kapsamı birleştirir. Böylece müşteri teklifleri içerik açısından karşılaştırabilir, teknik ekibin de planlama için sağlam bir temel edinir.

Bu yazı, bu projeleri gerçekten yürüten veya mesleki sorumluluk üstlenerek sunan sağlayıcılara yöneliktir. Konusu teklif kapsamıdır; testlerin nasıl yapılacağı değildir. Yazı boyunca kullanılan örnek tamamen kurgusaldır: Bir yazılım şirketi, büyük bir genişletmeden önce müşteri portalını inceletmek istiyor. Bir web uygulaması, çeşitli kullanıcı rolleri ve harici barındırma ortağı belirtiyor. Teklifin bundan doğan görevi ve olası başlangıç öncesinde netleşmesi gerekenleri açıklamalı.

Testten sonraki kararı tanımla

Önce şirketin sonuçları ne için kullanacağını sor. Örnekte ürün sorumlusu, planlanan genişletmeden önce tespit edilen hangi sorunların ele alınacağına karar vermek istiyor. Bu, yalnızca mevcut tek bir bulgunun yeniden incelenmesinden farklıdır. Hedeflenen karar, teklifine anlaşılır bir amaç kazandırır ve sonuçların doğru alıcılarını belirlemene yardımcı olur.

Bu amacı kısa bir paragrafta kaydet. Ekibinin hangi dayanağı sunabileceğini açıkla. Bu hizmetleri sunuyorsan anlaşılır bulgular içeren bir rapor ve sonuç toplantısı uygun olabilir. Bu, şirketin bütün BT ortamı için güvenlik onayı anlamına gelmez. Müşteri kendi sonraki kararında kullanacağı, sınırları açık bir bilgi edinir.

İncelenecek uygulamayı açıkça sınırlandır

“Portalımız” ilk görüşme için anlaşılırdır. Teklif için daha kesin bir tanım gerekir. Müşteriden uygulamayı ve sorumlusunu belirtmesini iste. Herkese açık portalın, yönetim alanının ve bağlı bir arayüzün aynı göreve girip girmediğini birlikte netleştirin. İki taraf da incelenecek alanı aynı şekilde anlamalı ve açık kalan sınırları görmeli.

Kurgusal örnekte faturalama arayüzünü başka bir ortak işletiyor. Ekibin bunu ayrıca açıklığa kavuşturulacak unsur olarak kaydeder. Teknik bağlantı, bu hizmet için tek başına kararlaştırılmış bir test görevi oluşturmaz. Teklif, doğrulanmış temel kapsamla ek koordinasyon gerektiren genişletmeyi ayırabilir. Böylece müşteri projenin sınırlarını bilinçli seçer.

Kullanıcı rollerini iş süreçleriyle ilişkilendir

Hesap sayısı hangi farklı görevlerin inceleneceğini açıklamaz. Bunun yerine planlanan rolleri ve iş görevlerini sor. Örnekte müşteri alanı ve şirket içi işlem alanı var. Sağlayıcı olarak müşterinin hangi süreçleri kapsama almak istediğini anlamak istersin. Mesleki seçim ve test derinliğinin kesinleştirilmesi daha sonra yetkin proje planlamasına aittir.

Teklifte rolleri ve ilgili süreçleri anlaşılır cümlelerle birleştir. Satış belgesinde gerçek hesap adlarından ve gizli müşteri verilerinden kaçın. Başlangıçta soyut adlandırmalar yeterlidir. Daha sonra özel test hesapları veya ek bilgi gerekirse teknik ekibin bunların sağlanmasını belirlenen proje sürecinde kararlaştırır. Satış ekibinin erişim bilgileri toplaması gerekmez.

Bilgi durumunu ve varsayımları görünür kıl

Müşterinin elinde uygulama açıklaması bulunabilir, ancak bu açıklama henüz planlanan genişletmeyi kapsamıyor olabilir. Mevcut belgelerin tarihini ve kapsamını sor. Teklifin hangi bilgilere dayandığını ve hangi soruların açık kaldığını kaydet. Bu, müşterinin yanıtını kolaylaştırır ve ekibinin hazırlıkla önerilen incelemenin uyumunu değerlendirmesine yardımcı olur.

Örnekte mevcut belge bugünkü uygulamayı tanımlar. Yeni bir rol ancak genişletmeyle oluşacaktır. Dolayısıyla iki ayrı karar sunabilirsin: mevcut durumu incelemek veya ek açıklamalardan sonra planlanan yeni alanı da dahil etmek. Uygunluğu teknik ekibin gerçek proje üzerinden değerlendirir. Teklif, bilinmeyen geliştirme durumunu teste hazır göstermeden bağımlılığı anlaşılır kılar.

Yazılı görevlendirmeyi ve katılımcıları planla

Alman BSI kurumunun yayımladığı sızma testi rehberi, yazılı görevlendirmeyi ve inceleme nesnesi, dönem ile derinliğin belirlenmesini örgütsel temeller olarak ele alır. Satış açısından pratik görev şudur: Sipariş veren kuruluşu kimin temsil ettiğini ve başka hangi işletmeci veya ortakların dahil olduğunu belirle. Somut yetkilendirme ve gerekli koordinasyon proje özelinde açıklığa kavuşturulur; satış görüşmesi bu değerlendirmenin yerini tutmaz.

Kurgusal örnekte barındırma ortağıyla ayrıca görüşülmesi gerekir. Sorumlu kişiyi ve beklenen açıklamayı belirt. Doğrulanmış anlaşmalarla bekleyen yanıtlar birbirinden ayırt edilebilsin. Müşteri böylece istediği başlangıcın neden belirli bir katkıya bağlı olduğunu görür. Ekibin de uygulama öncesinde hangi ön koşulların gerçekten doğrulanmış olması gerektiğini bilir.

Takvimi işletmenin faaliyetleriyle birleştir

Takvimde bir hafta belirtmek işbirliğinin yalnızca bir bölümünü açıklar. Planlamada hangi iş süreçlerinin dikkate alınacağını ve sorumlu kişilere ne zaman ulaşılabileceğini sor. Örnekte aylık faturalama başlangıçta istenen döneme denk geliyor. Ürün ve işletim sorumluları birlikte daha uygun bir zaman aralığı kararlaştırabilir. Teklif planlaman somut bir iş bağlamı kazanır.

Proje boyunca kullanılacak iletişim yolunu da kararlaştırın. Müşteri tarafında kime ulaşılacak, ekibin adına kim yanıt verecek ve beklenmedik etkiler veya ara verme isteği nasıl ele alınacak? Ayrıntılar teknik hazırlığa aittir. Teklif açısından bu işbirliğinin ayrı bir görev olarak görünmesi ve gerçekten sunduğun hizmetle örtüşmesi önemlidir.

Teslim edilecek sonuçları alıcılara göre düzenle

Ürün sorumlusunun planlama için anlaşılır bir dayanağa ihtiyacı vardır. Geliştirme ekibi, bulunan sorunları yorumlayıp ele alabilmek için yeterince somut bilgi ister. Her iki alıcı grubunu da sor. Hizmetine dahilse yönetim özeti, teknik bulgu açıklaması ve ortak sonuç görüşmesini ayrı ayrı belirtebilirsin. Müşteri böylece raporu şirket içinde nasıl kullanacağını görür.

Raporun nasıl ele alınacağını da açıkla. İncelenen uygulama hakkında hassas bilgi içerebilir. Bu nedenle alıcılar, teslim biçimi ve sonraki kullanım projeye uygun şekilde kararlaştırılır. Teklif aşamasında sorumluları ve henüz anlaşılacak yolu belirtmek yeterlidir. Bu aşamada zaten mevcut olmayan ayrıntılı bulgulara ihtiyaç yoktur.

Bulguları ve sınırlarını birlikte açıkla

Yararlı bir sonuç tanımı incelenen alanı, ele alınan durumu ve gerçekten kararlaştırılan koşulları belirtir. Böylece müşteri sonradan raporun anlamını kavrar. İncelenmeyen bir arayüz açıkça bulguların dışında kalır. BSI rehberi bu testlerin zaman ve kapsam sınırlarına işaret eder. Hizmet taahhüdün bu sınırları korurken projenin somut faydasını göstermeli.

Örnekte rapor, belgelenmiş koşullar altında tanımlanan müşteri portalındaki işlerin önceliklendirilmesini destekler. Bütün açıkları bulma veya gelecekteki olayları engelleme sözü vermez. Uygulama daha sonra değişirse bunun önemi ayrıca değerlendirilmelidir. Bu, ilk siparişle otomatik satılmış bir sonuç değil, mesleki bir devam sorusudur.

Bulguların işlenmesini ve sonraki işi netleştir

Sonuçları şirket içinde kimin alacağını ve sonraki çalışmayı kimin düzenleyeceğini sor. Örnekte ürün sorumlusu planlamayı geliştirme ekibiyle birleştirir. Teklifin kararlaştırılan sonuçların görüşülmesini içerebilir. Müşteri ihtiyaç duyuyorsa ve şirketin sunuyorsa sonraki uygulama veya yeniden inceleme ayrı kapsamla tanımlanır. Böylece ilk hizmet kendi başına anlaşılır kalır.

Özellikle yeniden inceleme istenirse şu soruyu kesinleştir: Hangi bulgu ve hangi değiştirilmiş durum ele alınacak? Bütün projeyi tekrarlamak, hedefli bir yeniden incelemeden farklıdır. Henüz bilinmeyen devam kapsamını fiyatlandırmadan bu seçeneği açıklayabilirsin. Müşteri sonraki aşama için net bir karar noktası edinir.

Teklif görüşmesini somut kapsam üzerinden yürüt

Kurgusal projeyi müşteriyle sabit sırayla gözden geçir: amaç, uygulama, roller, ortaklar, sağlanan bilgiler, dönem ve sonuçlar. Açık noktaları gerçekten bilgi verebilecek kişiye doğrulat. Başka bir sağlayıcı yönetim alanını da inceliyorsa fiyat karşılaştırması, kapsam farkı somut olarak açıklandıktan sonra yararlı olur.

Emeği kararlaştırılan işler üzerinden açıkla. Hazırlık, mesleki inceleme ve sonuçların düzenlenmesi projede farklı görevler görür. Başka örnekten alınmış genel bedel yerine gerçek hesabını kullan. Müşteri kapsamı değiştirirse hangi hizmet kaleminin etkilendiğini göster. Böylece düzeltmeden sonra da sipariş karşılığında alacağı sonucu anlayabilir.

Açık bir soruyu karara bağla

Teklif sonunda somut bir sonraki adım gerekir. Örnekte barındırma ortağının planlanan inceleme alanına ilişkin yanıtı eksiktir. Yanıtı kimin alacağını ve ardından hangi kararın verilebileceğini kaydet. Takip görüşmesi tam bu konuya odaklanabilir. Müşteri bütün durumunu yeniden anlatmak veya birkaç belirsiz adım arasından seçim yapmak zorunda kalmaz.

Bu çalışma biçimini gerçek hizmet kapsamın içinde başka uygulama projelerine de aktarabilirsin. Esas olan iş sorusu, açıkça tanımlanmış inceleme nesnesi ve yararlı sonuç arasındaki bağdır. Böylece uzmanlığını satışta görünür kılar, kapsamını herkesin anladığı bir işbirliği hazırlarsın. Teknik uygulama ve projeye özgü güvenlik önlemleri yetkin uzmanların sorumluluğundadır.

Ek isteği açık biçimde ele al

Teklif görüşmesinde müşteri şirket içi yönetim aracının da ilgisini çektiğini söylüyor. Önce aynı uygulamaya mı ait olduğunu, yoksa ayrı işletilen bir sistem mi olduğunu sor. Ardından ekibinin değerlendirme için hangi ek açıklamaya ve katılıma ihtiyacı olduğunu belirt. Müşteri genişletmeyi şimdi netleştirmekle tanımlanmış temel görevi sürdürmek arasında seçim yapabilir. Ek araç için henüz güvenilir emek tahmini bulunmasa da bu seçim anlaşılır kalır.

Kararı teklif sürümüyle birlikte kaydet. Daha sonra okuyan biri hangi isteğin kapsama girdiğini ve hangisinin yalnızca görüşüldüğünü ayırt edebilsin. Böylece ürün, satın alma ve proje ekibi aynı temeli korur. Yeni bilgi, bütün proje taahhüdünü sessizce büyütmek yerine anlaşmanın ilgili bölümünü değiştirir.

BT güvenliği hizmetin için yeni şirket talepleri

webRichtung; ihtiyaç, sistem ortamı, mevcut aşama ve Almanya’daki işletmenin konum ve iletişim bilgilerini içeren BT güvenliği talepleri sunar. Somut sızma testi kapsamını daha sonra kişisel görüşmeyle netleştirirsin; talep üzerinden rapor, sistem envanteri ve erişim bilgileri toplanmaz. Şirketini BT güvenliği müşteri talepleri sayfasında kaydet. Bağlayıcı siparişten önce güncel fiyatı webRichtung Customer içinde görürsün.

Kaynaklar

BSI: Sızma testlerinin yürütülmesi rehberi, Kasım 2016, bölüm 1.4.2, 2.3 ve 4.1.3. 18.10.2026 tarihinde okundu; örgütsel bağlam içindir, güncel teknik test talimatı veya hukuki danışmanlık değildir.