Siber Güvenlik Firması Seçerken Sorulacak 12 Soru

Siber güvenlik firması seçerken neye bakılmalı?

Siber güvenlik firması seçiminde belirleyici olan; kapsamın yazılı ve net olması, işi kimin yapacağının bilinmesi, yapılan işin belgelenip size teslim edilmesi, lisans ve hesapların sizin adınıza kaydedilmesi ve ilişki bittiğinde sistemlerin kontrolünü sorunsuz geri alabilmenizdir. Fiyat, bu ölçütler karşılaştırılabilir hale geldikten sonra anlamlı bir karşılaştırma unsuru olur.

Güvenlik hizmeti alırken firmaya ağınızın, sunucularınızın ve çoğu zaman yönetici hesaplarınızın anahtarlarını teslim edersiniz. Bu yüzden seçim, sıradan bir tedarikçi seçiminden daha dikkatli yapılmalıdır. Aşağıdaki 12 soru, görüşmelerde ve teklif karşılaştırmasında kullanabileceğiniz pratik bir çerçeve sunar.

Kapsam ve iş yapış şekliyle ilgili hangi sorular sorulmalı?

İlk dört soru, neyin, kim tarafından ve nasıl yapılacağını netleştirmeye yöneliktir.

1. Teklifte tam olarak hangi işler var, hangileri yok?

İyi bir teklif, yapılacak işleri kalem kalem sayar ve kapsam dışı kalanları da açıkça yazar. "Firewall kurulumu" gibi tek satırlık bir ifade yerine; VPN yapılandırması, şube bağlantıları, SSL denetimi, kural taşıma, test ve eğitim gibi kalemlerin dahil olup olmadığını görmelisiniz. Kapsam dışı işlerin nasıl ücretlendirileceğini de sorun.

2. İşi fiilen kim yapacak?

Satış görüşmesini yapan kişi ile kurulumu yapacak kişi farklı olabilir. İşin firma içinden mi yoksa alt yükleniciye mi yaptırılacağını, sahada veya uzaktan çalışacak kişilerin hangi ürün ve konularda deneyimli olduğunu sorun. Alt yüklenici kullanılıyorsa, verilerinize kimlerin erişeceği ve gizlilik yükümlülüklerinin onları da kapsayıp kapsamadığı netleşmelidir.

3. Proje nasıl planlanacak ve kesinti riski nasıl yönetilecek?

Firmanın keşif, tasarım, uygulama ve test adımlarını nasıl sıraladığını, geçişlerin hangi zaman diliminde yapılacağını ve bir sorun çıkarsa geri dönüş (rollback) planının ne olduğunu öğrenin. Kesinti riski olan değişiklikler için önceden onay alınıp alınmayacağı da sorulmalıdır.

4. Önerinizi hangi bilgiye dayanarak yaptınız?

Ağınızı görmeden, kullanıcı sayısı dışında hiçbir şey sormadan verilen model veya paket önerileri risklidir. Firmanın önerisini hangi ölçütlere (internet hattı, açılacak güvenlik servisleri, şube sayısı, büyüme planı) dayandırdığını sorun. Bu soru, firmanın ihtiyaç analizine ne kadar önem verdiğini gösterir.

Belgeleme, lisans ve sahiplik konusunda neler sorulmalı?

Bu grup, ilişkinin uzun vadede sizin kontrolünüzde kalmasını sağlar ve en sık atlanan sorulardır.

5. İş sonunda hangi belgeler teslim edilecek?

Kurulum sonrası en azından ağ şeması, kural tablosu, VPN ve kullanıcı yapılandırması özeti, yönetici erişim bilgileri ve yapılandırma yedeği teslim edilmelidir. Belgesiz bir sistem, sonradan yapılacak her değişikliği ve olası bir tedarikçi değişimini zorlaştırır.

6. Lisanslar ve cihaz kayıtları kimin adına yapılacak?

Lisansların ve cihazların üretici portalında kurumunuz adına kaydedilmesini isteyin. Kayıt tedarikçi adına yapılırsa, tedarikçi değiştirdiğinizde lisans geçmişine, destek taleplerine ve yenileme bilgilerine erişmekte zorlanabilirsiniz. Üretici portalı hesabının yönetici erişiminin de sizde olması önerilir.

7. Yönetici hesaplarına kimler erişecek ve bu erişim nasıl kayıt altına alınacak?

Firmanın sistemlerinize hangi hesaplarla, hangi yöntemle (ör. çok faktörlü doğrulamalı VPN) bağlanacağını ve yapılan değişikliklerin kayıt altına alınıp alınmayacağını sorun. Paylaşılan tek bir "admin" hesabı yerine kişiye özel hesaplar kullanılması, hesap verebilirlik açısından önemlidir.

Destek, eskalasyon ve sözleşme konusunda neler sorulmalı?

Sorun anında ne olacağını önceden bilmek, kriz anında zaman kaybını önler.

8. Bir sorun olduğunda kime, nasıl ulaşacağız?

Destek talebinin hangi kanaldan (telefon, e-posta, portal) açılacağını, hangi saatlerde yanıt verileceğini ve talebin öncelik seviyesine göre nasıl ele alınacağını sorun. Sorunun çözülmediği durumda kime eskalasyon yapılacağı da yazılı olmalıdır.

9. Hizmet seviyesi (SLA) sözleşmede nasıl tanımlanıyor?

Yanıt ve çözüm süreleri sözlü vaatlerle değil, sözleşmedeki ölçülebilir maddelerle belirlenmelidir. Önceliklerin (kritik, yüksek, normal) nasıl tanımlandığını, sürelerin mesai içi mi yoksa her zaman mı geçerli olduğunu ve hedeflere uyulmadığında ne olacağını kontrol edin.

10. Üretici desteği ile firmanın desteği nasıl ayrışıyor?

Cihaz arızası veya yazılım hatası gibi durumlarda üretici desteğine (ör. FortiCare) başvurulması gerekebilir. Bu başvuruyu kimin yapacağını, firmanın sizin adınıza üreticiyle iletişimi yürütüp yürütmeyeceğini ve donanım değişim sürecini nasıl yöneteceğini sorun.

Referans ve çıkış planı konusunda neler sorulmalı?

Son iki soru, firmanın güvenilirliğini ve ilişkinin sağlıklı bitirilebilirliğini değerlendirir.

11. Benzer ölçekte bir kurumla görüşebilir miyiz?

Web sitesindeki logo listeleri yerine, benzer büyüklükte ve sektörde hizmet verilen bir kurumla doğrudan görüşme talep edin. Referans kurumla konuşurken iletişim kalitesini, sorunların nasıl çözüldüğünü ve belgelerin teslim edilip edilmediğini sorun. Gizlilik nedeniyle referans paylaşılamıyorsa, bunun nedeni ve alternatif doğrulama yöntemleri konuşulabilir.

12. Sözleşme bittiğinde veya firmayı değiştirmek istediğimizde ne olacak?

Çıkış planı, ilişkinin başında konuşulması gereken bir konudur. Sözleşme sonunda tüm belgelerin, yapılandırma yedeklerinin ve erişim bilgilerinin teslim edileceğini, firmanın hesaplarının kapatılacağını ve geçiş döneminde makul destek verileceğini yazılı hale getirin. Fesih koşulları ve bildirim süreleri de açık olmalıdır.

Teklifleri karşılaştırmak için hangi tablo kullanılabilir?

Birden fazla firmadan teklif aldığınızda aşağıdaki tabloyu doldurmak, karşılaştırmayı fiyatın ötesine taşır:

"Evet / kısmen / hayır" şeklinde doldurulan bu tablo, hangi teklifte gizli risk bulunduğunu hızla gösterir.

Hangi işaretler dikkat gerektirir?

Bazı ifadeler ve davranışlar, firmayı daha ayrıntılı sorgulamanız gerektiğini gösterir:

• "Hiçbir saldırı geçemez" gibi kesin koruma vaatleri
• Ağınızı görmeden verilen hazır model ve paket önerileri
• Lisans kaydının veya yönetici şifrelerinin paylaşılmaması
• Belge teslimi sorulduğunda belirsiz yanıtlar
• Yalnızca sözlü verilen yanıt süresi taahhütleri
• Kapsam dışı işler için belirsiz veya sonradan belirlenecek ücretlendirme

Seçim süreci adım adım nasıl işler?

Firma seçimini yapılandırılmış bir süreçle yürütmek, kararı kişisel izlenimlerden bağımsız hale getirir. Pratik bir sıralama şöyledir:

1. İhtiyacı yazın: Hangi sorunu çözmek istediğinizi (ör. firewall yenileme, KVKK teknik tedbirleri, sürekli izleme) bir sayfalık bir notta tanımlayın.
2. Kısa liste oluşturun: Üç veya dört firmayla ön görüşme yapın; ihtiyaç analizine zaman ayıranları öne çıkarın.
3. Aynı bilgiyi herkese verin: Ağ yapısı, kullanıcı ve şube sayısı gibi bilgileri tüm firmalarla aynı biçimde paylaşın ki teklifler karşılaştırılabilir olsun.
4. Teklifleri tabloya dökün: Yukarıdaki karşılaştırma tablosunu doldurun, eksik kalan noktaları yazılı olarak sorun.
5. Referans görüşmesi yapın: Kısa listede kalan firmaların referanslarıyla konuşun.
6. Sözleşmeyi netleştirin: Kapsam, SLA, gizlilik, belge teslimi ve çıkış planını sözleşmeye yazdırın.

Bu süreç, özellikle satın alma ve BT ekiplerinin birlikte karar verdiği kurumlarda ortak bir dil oluşturur.

Bu soruları biz nasıl yanıtlıyoruz?

Bu soruları sizin de bize sormanızı bekleriz. Tekliflerimizde kapsamı ve kapsam dışı kalanları kalem kalem yazarız, lisansları kurum adına kaydederiz, iş sonunda yapılandırma belgelerini ve yedeklerini teslim ederiz; destek koşullarını ise sözleşmede birlikte belirleriz.

Hizmet yelpazemizi hizmetler sayfasında görebilirsiniz. Mevcut güvenlik durumunuzu bağımsız bir gözle değerlendirmek için siber güvenlik danışmanlığı, sürekli izleme ihtiyacınız için yönetilen güvenlik hizmetleri (SOC) ve mevcut altyapınızın bakımı için güvenlik altyapısı bakım ve destek sayfalarımıza göz atabilirsiniz.

Sonuç

Doğru siber güvenlik firması, işini açıkça yazan, belgeleyen ve kontrolü sizin elinizde bırakan firmadır. Yukarıdaki 12 soru, teklifleri fiyatın ötesinde karşılaştırmanıza ve uzun vadeli riskleri baştan görmenize yardımcı olur.

İhtiyacınızı birlikte netleştirmek ve kalem kalem bir teklif almak için teklif formunu doldurabilirsiniz.