Zafiyet Yönetimi Outsourcing | Sürekli Tarama ve Yama Takibi

Son güncelleme: 8 Kasım 2026

Zafiyet yönetimi outsourcing, sunucularınızda, uç noktalarınızda, ağ cihazlarınızda, bulut hesaplarınızda, konteyner imajlarınızda ve web uygulamalarınızda bulunan güvenlik açıklarının sürekli olarak keşfedilmesi, önceliklendirilmesi, ilgili ekiplere iş emri olarak dağıtılması, kapandığının doğrulanması ve raporlanması döngüsünün bir dış ekip tarafından yürütülmesidir. Tarama aracı satın almak işin küçük bir kısmıdır; asıl yük binlerce bulgunun içinden gerçekten önemli olanları ayıklamak ve kapanana kadar peşinden gitmektir. Yılda bir yapılan bağımsız sızma testi için sızma testi (pentest) hizmeti, PHP tabanlı uygulamalar için kurumsal PHP güvenlik denetimi sayfalarımıza bakabilirsiniz.

Kimler için, hangi sorunu çözer

Küçük güvenlik ekibi, büyük envanter: İki kişilik bir ekip, haftalık taramadan çıkan on binlerce satırlık raporu okuyamaz.
“Kritik” enflasyonu: CVSS puanına göre sıralandığında bulguların büyük kısmı yüksek veya kritik görünür; hangisinden başlanacağı belirsizleşir.
Sahipsiz bulgular: Açık bulunur ama hangi ekibin kapatacağı belli değildir; bilet kimsenin kuyruğuna düşmez.
Yama ile iş sürekliliği gerilimi: Operasyon ekibi kesinti korkusuyla yamayı erteler, güvenlik ekibi ısrar eder.
Denetim baskısı: ISO/IEC 27001, PCI DSS veya sektör düzenleyicisinin denetiminde “açıklarınızı nasıl yönetiyorsunuz” sorusuna kanıtlı cevap gerekir.
Bulut ve konteyner hızı: İmajlar her gün yeniden üretilir; dün temiz olan imaj bugün yeni yayımlanan bir CVE nedeniyle açık içerir.

Zafiyet taraması ile sızma testi aynı şey değildir

Özellik	Zafiyet taraması / yönetimi	Sızma testi (pentest)
Amaç	Bilinen açıkların geniş ve sürekli tespiti ve kapatılması	Bir saldırganın gerçekten ne kadar ilerleyebileceğini göstermek
Yöntem	Otomatik tarayıcılar, ajanlar, yapılandırma ve sürüm analizi, ardından insan doğrulaması	Uzman tarafından elle yürütülen, istismar ve zincirleme içeren test
Sıklık	Sürekli veya haftalık/aylık	Genellikle yıllık veya büyük değişiklik sonrası
Kapsam	Tüm envanter	Belirlenmiş hedef ve senaryolar
Çıktı	Önceliklendirilmiş bulgu listesi, iş emirleri, eğilim raporu	Bulgular, istismar kanıtları, iş etkisi anlatımı
Mantık hataları	Genellikle yakalayamaz	Yetki atlatma, iş mantığı hataları gibi açıkları yakalayabilir

İkisi birbirinin yerine geçmez. Zafiyet yönetimi bilinen açıkların penceresini daraltır; pentest ise tarayıcının göremediği zincirleri ortaya çıkarır. İyi bir program pentest bulgularını da aynı takip sistemine alır ve kapanışını aynı disiplinle doğrular.

Önceliklendirme: CVSS, EPSS ve bağlam

CVSS (Common Vulnerability Scoring System), FIRST tarafından yönetilen ve bir açığın teknik ciddiyetini 0-10 arası puanlayan standarttır. Yaygın kullanılan 3.1 sürümünün yanında 2023’te 4.0 sürümü yayımlandı. CVSS temel puanı açığın kendisini anlatır; sizin ortamınızda istismar edilme olasılığını anlatmaz.

EPSS (Exploit Prediction Scoring System), yine FIRST tarafından yayımlanan ve bir CVE’nin önümüzdeki 30 gün içinde gerçek dünyada istismar edilme olasılığını tahmin eden, günlük güncellenen bir modeldir. CVSS ile EPSS birlikte kullanıldığında “ciddi ve istismar edilmesi muhtemel” bulgular öne çıkar. Bunlara ABD siber güvenlik ajansı CISA’nın aktif olarak istismar edildiği bilinen açıklar kataloğu (KEV) güçlü bir sinyaldir.

Son katman sizin bağlamınızdır: varlık internete açık mı, hangi veriyi taşıyor, telafi edici kontrol (WAF, segmentasyon, EDR) var mı, iş açısından ne kadar kritik. Önceliklendirme matrisini bu dört boyutla birlikte kurar ve kurumunuzla onaylarız.

Öncelik	Tipik ölçüt	Hedef kapanış yaklaşımı
P1 – Acil	Aktif istismar kanıtı (örneğin KEV) ve internete açık kritik varlık	Saatler veya birkaç gün; gerekirse geçici önlem
P2 – Yüksek	Yüksek CVSS ve yüksek EPSS, veya hassas veri taşıyan varlık	Kısa vadeli bakım penceresi
P3 – Orta	Yüksek CVSS fakat düşük istismar olasılığı veya iç ağda telafi edici kontrollü	Planlı yama döngüsü
P4 – Düşük	Düşük ciddiyet, bilgi amaçlı bulgular	Toplu iyileştirme veya risk kabulü

Tablodaki süreler örnek bir çerçevedir; gerçek hedefleri sizin değişiklik yönetimi süreçlerinize ve risk iştahınıza göre birlikte belirleriz.

Program olgunluğu: nereden başlamalı

Zafiyet yönetimini tek seferde mükemmel kurmaya çalışmak genellikle hiç kuramamakla sonuçlanır. Biz programı aşamalı olgunluk basamaklarıyla ele alırız:

Basamak	Görünüm	Sonraki adım
1 – Tepkisel	Tarama ara sıra, raporlar okunmuyor, açıklar haber çıktığında kapatılıyor	Envanter ve düzenli tarama takvimi
2 – Düzenli	Aylık tarama, CVSS’e göre liste, sahiplik belirsiz	Sahip ataması ve iş emri entegrasyonu
3 – Yönetilen	Öncelik matrisi, SLA, istisna süreci, aylık rapor	EPSS ve KEV ile risk temelli önceliklendirme
4 – Risk temelli	İş bağlamı ve istismar olasılığıyla sıralama, kapanış doğrulaması	CI/CD ve bulut entegrasyonu ile kaydırma (shift-left)
5 – Sürekli	Yeni açık yayımlandığında saatler içinde etki analizi, otomatik iş emri, IaC şablonlarında önleyici kontrol	Sürekli iyileştirme ve pentest bulgularıyla geri besleme

Çoğu kurum 2. veya 3. basamaktadır. İlk üç ayın hedefi genellikle tarama kapsamasını yükseltmek, sahipsiz bulgu bırakmamak ve acil öncelikli açıkların kapanma süresini ölçülebilir hale getirmektir.

Hizmet kapsamı

Modül	Görevler
Varlık envanteri	CMDB, bulut hesapları, AD ve ağ keşfinden envanterin çıkarılması; sahiplik ve kritiklik etiketleri; taranmayan varlıkların tespiti
Altyapı taraması	Kimlik bilgili (authenticated) ve kimliksiz tarama, ajan tabanlı tarama, tarama pencerelerinin iş saatlerine göre planlanması
Web ve API güvenliği	DAST taramaları, kimlik doğrulamalı senaryolar, API şeması üzerinden test, WAF kayıtlarıyla çapraz kontrol
Bulut güvenlik duruşu	AWS, Azure ve GCP’de yanlış yapılandırma tespiti (açık depolama, aşırı yetkili roller, şifrelenmemiş kaynaklar)
Konteyner ve bağımlılık	İmaj taraması, yazılım bileşen analizi (SCA), SBOM takibi, CI/CD hattına entegrasyon
Doğrulama ve önceliklendirme	Yanlış pozitif eleme, CVSS, EPSS, KEV ve varlık bağlamıyla öncelik ataması
İyileştirme koordinasyonu	Jira, ServiceNow veya kullandığınız araçta iş emri, sahip ataması, takip, istisna ve risk kabulü kaydı
Kapanış doğrulaması	Yeniden tarama ile kapanışın teyidi, kalıcı olmayan düzeltmelerin tespiti
Raporlama	Yönetim özeti, eğilim grafikleri, SLA uyumu, denetim kanıt paketi

Kullanılan teknolojiler

Lisanslarınızla çalışmayı tercih ederiz. Sık karşılaştığımız araçlar: Tenable Nessus/Tenable.io, Qualys, Rapid7 InsightVM, Greenbone/OpenVAS, Microsoft Defender Vulnerability Management; web tarafında OWASP ZAP ve Burp Suite; konteyner ve bağımlılık tarafında Trivy, Grype ve benzeri SCA araçları; bulut tarafında sağlayıcıların yerel güvenlik duruşu servisleri. Yama dağıtımı sizin araçlarınızla (WSUS, Intune, SCCM, Ansible, bulut yama yöneticileri) yapılır.

Roller

Rol	Sorumluluk
Zafiyet analisti	Tarama, doğrulama, önceliklendirme, iş emri açma
Uygulama güvenliği uzmanı	DAST/SCA bulguları, geliştiricilere düzeltme rehberliği
Bulut güvenlik uzmanı	Bulut duruşu, IaC şablonlarındaki yanlış yapılandırmalar
Program yöneticisi	SLA takibi, istisna süreci, yönetim raporu

Standartlar ve düzenlemeler

Zafiyet yönetimi neredeyse tüm güvenlik çerçevelerinde açıkça istenir. ISO/IEC 27001:2022 Ek A’da teknik zafiyetlerin yönetimine ayrılmış bir kontrol bulunur. Kart verisi işleyen kurumlar için PCI DSS, iç ve dış zafiyet taramalarını düzenli aralıklarla ve dış taramalarda onaylı tarama sağlayıcısı (ASV) ile yapılmasını ister. Bankacılık ve ödeme sektöründe düzenleyicilerin bilgi sistemleri düzenlemeleri, periyodik sızma testi ve açık yönetimi beklentisi içerir. Kamu kurumları ve kritik altyapı işletmecileri için Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi, varlık kritikliğine göre zafiyet ve yama yönetimine ilişkin tedbirler tanımlar. 6698 sayılı KVKK ise kişisel verilerin güvenliği için uygun teknik tedbir alınmasını ister; açıkları zamanında kapatmak bu tedbirlerin temelidir. Ayrıntılı uyum kontrollerinde kurumunuzun bağlı olduğu güncel metni esas alırız. KVKK tarafının operasyonu için bkz. KVKK uyum operasyonu outsourcing.

Çalışma modelleri

Lokasyon	Açıklama
Uzaktan	Tarayıcı ve konsollara güvenli uzak erişim; en yaygın model
Yerinde	Ağ dışına çıkamayan kapalı ortamlar, OT ağları veya yüksek gizlilikli kurumlar
Hibrit	Tarama altyapısı içeride, analiz ve raporlama uzaktan

Sözleşme modeli	Ne zaman
Managed service	Sürekli program, aylık rapor ve SLA; çoğu kurum için önerilen
Dedicated team	Büyük envanterli, çok iş birimli yapılar
Staff augmentation	Kendi güvenlik ekibinize analist desteği; bkz. siber güvenlik uzmanı
Proje	Denetim öncesi temizlik, yeni tarama aracının kurulumu, birikmiş bulguların eritilmesi

Hukuki not: Hizmet, 4857 sayılı İş Kanunu md. 2’deki alt işverenlik kurallarına uygun hizmet alımıdır; ekip 360 Soft’un yönetimindedir. Geçici iş ilişkisi (md. 7) İŞKUR izinli özel istihdam bürosu aracılığıyla kurulabilir; 360 Soft özel istihdam bürosu değildir.

Süreç ve tipik süreler

Kapsam ve kurallar (tipik 1 hafta): Hedefler, tarama pencereleri, hariç tutulacak sistemler, yazılı test izni.
Envanter ve sahiplik (tipik 1-3 hafta): Varlık listesi, iş birimi sahipleri, kritiklik.
İlk tarama ve temel çizgi (tipik 1-2 hafta): durumun ölçülmesi, yanlış pozitif eleme.
Önceliklendirme matrisi ve SLA onayı (tipik 1 hafta).
İyileştirme döngüsü (sürekli): Haftalık bulgu toplantısı, iş emirleri, istisna yönetimi.
Doğrulama ve raporlama (aylık): Yeniden tarama, eğilim ve SLA raporu, yönetim özeti.

SLA ve KPI tablosu

Gösterge	Tanım
Tarama kapsaması	Envanterdeki varlıklardan son tarama döneminde başarıyla (tercihen kimlik bilgili) taranmış olanların oranı
Doğrulama süresi	Yeni kritik bulgunun önceliklendirilip iş emrine dönüşmesine kadar geçen süre
Ortalama iyileştirme süresi (MTTR)	Öncelik sınıfına göre bulgu açılışından doğrulanmış kapanışa kadar geçen süre
SLA uyumu	Hedef süre içinde kapanan bulguların oranı
Açık risk yaşı	Hedef süresini aşmış açık P1/P2 bulgu sayısı
Tekrar açılma oranı	Kapandıktan sonra yeniden görülen bulguların oranı
İstisna sayısı	Süresi dolmuş veya yenilenmemiş risk kabulleri

Hedef değerleri birlikte belirleriz; iyileştirmenin kendisi (yama uygulama, kod düzeltme) çoğunlukla sizin ekiplerinizde olduğundan, SLA’yı “bizim kontrolümüzdeki” adımlar ile “ortak” adımlar olarak ayırırız.

Zafiyet Yönetimi Outsourcing — konu başlıkları

Fiyatlandırma etkenleri

Modeller: adam/ay (analist kapasitesi), saatlik (olay anında acil değerlendirme), sabit fiyat (belirli kapsamdaki proje), varlık veya uygulama başına aylık birim ücret (sonuç bazlı yaklaşıma en yakın model).

Etken	Etkisi
Varlık sayısı ve türü	Sunucu, uç nokta, ağ cihazı, bulut kaynağı ve uygulama sayısı
Web uygulaması sayısı ve karmaşıklığı	Kimlik doğrulamalı DAST senaryoları emek ister
Tarama sıklığı	Sürekli tarama ile aylık tarama arasında fark
Lisans	Tarayıcı lisansı sizde mi, hizmete mi dahil
İyileştirme desteği	Sadece koordinasyon mu, yoksa yamanın uygulanması da mı
Ortam	Kapalı ağ, OT veya yerinde çalışma gerekliliği

Kurum içi, freelancer ve outsourcing

Kriter	Kurum içi	Freelancer	Outsourcing
Süreklilik	İzin ve ayrılıklarda aksar	Proje bazlı	Yedekli ekip ve takvim
Araç bilgisi	Tek araca bağımlı olabilir	Değişken	Birden çok araçta deneyim
Önceliklendirme olgunluğu	Kuruma bağlı	Genellikle CVSS	CVSS, EPSS, KEV ve bağlam birlikte
Denetim kanıtı	Elle derlenir	Nadiren	Standart rapor paketi
Maliyet	Sabit kadro ve lisans	Düşük ama süreksiz	Kapsama göre ölçeklenir

Riskler ve önlemler

Taramanın üretimi etkilemesi: Eski sistemler agresif taramada yanıt vermeyebilir. Önlem: tarama profilleri, onaylı pencereler, hassas sistemler için düşük yoğunluklu tarama.
Yanlış pozitif ile güven kaybı: Geliştiricilere doğrulanmamış bulgu göndermek ekibi programdan uzaklaştırır. Önlem: her P1/P2 bulgu insan tarafından doğrulanır.
Sonsuz istisna: Risk kabulleri süresiz kalır. Önlem: süreli istisna, sahip onayı, yenileme hatırlatması.
Görünmeyen varlıklar: Envantere girmeyen sunucu taranmaz. Önlem: ağ keşfi ve bulut hesaplarıyla çapraz kontrol.
Tarama hesabının kötüye kullanımı: Kimlik bilgili tarama yetkili hesap gerektirir. Önlem: kasada saklanan, yetkisi sınırlı, izlenen hizmet hesapları.

Güvenlik, KVKK, NDA ve fikri mülkiyet

Zafiyet listesi, bir saldırganın en çok isteyeceği belgedir. Bulgular sizin sistemlerinizde tutulur, e-posta ile düz metin gönderilmez, raporlar erişim kısıtlı alanlarda paylaşılır. Tüm ekip gizlilik taahhüdü imzalar; erişimler isimli hesaplarla ve kayıt altında verilir. Taramalar sırasında kişisel veriye rastlanması halinde veri işleyen sıfatıyla KVKK kurallarına uyulur ve veri işleme sözleşmesi imzalanır. Hazırlanan rapor, prosedür ve önceliklendirme matrislerinin hakları size aittir. Çok tespit edilen PHP açıkları için PHP güvenlik açığı giderme, izleme tarafı için SOC ve siber güvenlik izleme, bulut ve CI/CD tarafında kalıcı düzeltmeler için DevOps ve bulut operasyonu hizmetlerimiz bu programla birlikte çalışır. Web siteniz için düzenli güncelleme gerekiyorsa web sitesi yönetimi outsourcing sayfasına da bakabilirsiniz.

Temsili senaryodur: Yaygın kullanılan bir dosya transfer yazılımında kritik bir açık yayımlanıyor ve kısa süre içinde aktif istismar kataloğuna ekleniyor. Program, envanterde bu yazılımı çalıştıran internete açık iki sunucuyu buluyor, bulguyu P1 olarak işaretliyor, sistem sahibine iş emri açıyor ve yama penceresi gelene kadar erişimi kısıtlayan geçici kural öneriyor. Yama sonrası yeniden tarama ile kapanış doğrulanıyor.

Seçim kontrol listesi

Önceliklendirme CVSS’e mi dayanıyor, yoksa EPSS, KEV ve varlık bağlamı da kullanılıyor mu
Kimlik bilgili tarama ve tarama kapsaması ölçülüyor mu
Bulgular insan tarafından doğrulanıyor mu
Kendi iş takip aracınıza entegre çalışılabiliyor mu
İstisna ve risk kabulü süreci tanımlı mı
Kapanış yeniden taramayla doğrulanıyor mu
Bulut, konteyner ve uygulama güvenliği de kapsamda mı
Bulguların gizliliği nasıl korunuyor
Denetim için kanıt paketi sunuluyor mu
Sözleşmenin hukuki yapısı (hizmet alımı) net mi

Sık sorulan sorular

Zafiyet taraması ile sızma testi arasındaki fark nedir?

Zafiyet taraması bilinen açıkları geniş kapsamda ve sürekli olarak bulur; sızma testi ise bir uzmanın elle, açıkları zincirleyerek saldırganın ne kadar ilerleyebileceğini gösterdiği süreli bir çalışmadır. İkisi birbirini tamamlar.

CVSS puanı yeterli değil mi?

CVSS bir açığın teknik ciddiyetini gösterir, sizin ortamınızda istismar edilme olasılığını göstermez. EPSS olasılığı, aktif istismar katalogları ve varlığın kritikliğiyle birlikte değerlendiririz.

EPSS nedir?

FIRST tarafından yayımlanan, bir CVE’nin önümüzdeki 30 gün içinde istismar edilme olasılığını tahmin eden ve günlük güncellenen bir puanlama sistemidir.

Yamaları siz mi uygularsınız?

Varsayılan modelde iyileştirmeyi koordine eder ve kapanışı doğrularız; yamanın uygulanması sizin ekiplerinizdedir. İsterseniz yama uygulamasını da kapsama ekleyebiliriz.

Hangi tarama araçlarını kullanıyorsunuz?

Öncelikle lisanslarınızla çalışırız. Tenable, Qualys, Rapid7, Greenbone/OpenVAS, Microsoft Defender Vulnerability Management, OWASP ZAP, Burp Suite ve Trivy gibi araçlarda deneyimliyiz.

Tarama sistemlerimizi yavaşlatır mı?

Doğru profil ve zamanlama ile etki düşüktür. Hassas veya eski sistemler için düşük yoğunluklu profiller ve onaylı bakım pencereleri kullanırız.

Bulut ve konteyner ortamları da kapsamda mı?

Evet. Bulut yapılandırma duruşu, konteyner imaj taraması ve bağımlılık analizi kapsama eklenebilir; CI/CD hattına entegre çalışabiliriz.

Hangi standartlara uyum sağlar?

Program, ISO/IEC 27001 teknik zafiyet yönetimi kontrolü, PCI DSS tarama gereklilikleri, sektör düzenleyicilerinin beklentileri ve kamu için Bilgi ve İletişim Güvenliği Rehberi’nin ilgili tedbirleri için kanıt üretir. Uyum değerlendirmesi kurumunuzun güncel metnine göre yapılır.

Raporlar kime ve nasıl sunulur?

Teknik ekiplere iş emri olarak, yönetime aylık özet ve eğilim raporu olarak, denetçiye ise kanıt paketi olarak sunulur. Raporlar erişim kısıtlı alanlarda paylaşılır.

Ne kadar sürede başlarız?

Kapsam, envanter ve ilk tarama tipik olarak 3-6 hafta sürer; ardından sürekli iyileştirme döngüsüne geçilir.

Fiyat neye göre belirlenir?

Varlık ve uygulama sayısı, tarama sıklığı, lisans durumu, iyileştirme desteğinin kapsamı ve çalışma ortamı belirleyicidir. Adam/ay, saatlik, sabit fiyat veya varlık başına aylık ücret modelleri kullanılır.

Bu hizmet personel kiralama mıdır?

Hayır. 4857 sayılı İş Kanunu md. 2’deki alt işverenlik kurallarına uygun hizmet alımıdır. Geçici iş ilişkisi İŞKUR izinli özel istihdam bürolarıyla kurulabilir; 360 Soft özel istihdam bürosu değildir.

İletişim

Varlık sayınızı, kullandığınız tarama araçlarını ve uymanız gereken standartları paylaşın; size kapsam, önceliklendirme matrisi ve yazılı teklif hazırlayalım. Telefon: +90 850 335 10 87 · E-posta: info@360-soft.com · İletişim formu. Tüm hizmetler: outsourcing hizmetleri.

İlgili sayfalar

Bu işi bize devredin Kapsamı ve hacmi yazın; kurulum planını ve yazılı teklifi paylaşalım. Teklif alın · WhatsApp · +90 850 335 10 87

Bu sayfa 360 Soft Yetkili Temsilcisi Yasir Bünyamin İncedere tarafından hazırlanmıştır. Son güncelleme: Kasım 2026.

İlgili hizmetler

Tüm hizmetler: Outsourcing Hizmetleri