Güvenlik olgunluğu nasıl ölçülür: Maturity Check'in arkasındaki yöntem
2026-07-20 · 6 dk okuma
Security Maturity Check aracımızı yayınlarken bir karar verdik: yöntemi de yayınlamak. Bir değerlendirmenin değeri, nasıl hesaplandığını bilmenizle başlar.
Neden 6 alan?
Değerlendirme, hizmet kataloğumuzla aynı altı alana bakar: saldırı testleri, uygulama güvenliği, zafiyet yönetimi, izleme ve müdahale, tehdit istihbaratı, yönetişim ve uyum. Bu bir pazarlama hilesi değil, bilinçli bir hizalamadır. NIST CSF'in Identify, Protect, Detect, Respond, Recover fonksiyonlarını kurumsal satın alma dilinde karşılığı olan alanlara çevirdik. Skorunuz düşük çıkan alan, aynı zamanda ne tür bir çalışmaya ihtiyacınız olduğunun da adresidir.
Neden 4 seviye?
Her soruya dört yanıt verilebilir: hayır, kısmen, evet ama düzensiz, evet ve tanımlı süreç. Bu ölçek CMMI benzeri olgunluk modellerinin sadeleştirilmiş halidir. Kritik ayrım son ikisi arasındadır: bir kontrolün var olması ile onun tanımlı, tekrarlanabilir ve ölçülen bir süreç olması farklı olgunluk seviyeleridir. Yılda bir kez, birilerinin hatırlamasıyla yapılan zafiyet taraması "evet"tir ama süreç değildir.
Skor nasıl hesaplanır?
Her alan 4 soru içerir, her yanıt 0 ile 3 puan arasındadır. Alan skoru 12 üzerinden, toplam skor 72 üzerinden hesaplanıp yüzdeye çevrilir. Dört olgunluk bandı kullanırız: Başlangıç (%0-25), Gelişmekte (%26-50), Tanımlı (%51-75), Yönetilen (%76-100). Bantların isimleri iddialı değil bilinçli olarak; "optimize" gibi bir beşinci seviyeyi hiçbir öz değerlendirme aracı güvenilir biçimde ölçemez.
Bu aracın sınırları
Dürüst olalım: 24 soruluk bir öz değerlendirme, bir denetimin veya sızma testinin yerini tutmaz. Yanıtlar beyandır, doğrulanmamıştır. Aracın amacı kesin bir teşhis değil, önceliklendirilmiş bir başlangıç noktasıdır: hangi alanda en zayıfsınız ve ilk yatırımı nereye yapmalısınız. Kesin resim, ancak kanıta dayalı bir çalışmayla çıkar; bu yüzden sonuç ekranında size uzman yorumlu bir rapor öneriyoruz.
Verileriniz nerede işleniyor?
Hiçbir yerde. Puanlama tamamen tarayıcınızda, JavaScript ile çalışır; yanıtlarınız yalnızca siz detaylı rapor talep ederseniz, onayınızla bize ulaşır. Rapor istemezseniz sayfayı kapattığınızda her şey silinir. Bir güvenlik şirketinin değerlendirme aracı, veri toplamak için bahane olmamalıdır.