CREST Nedir? Siber Güvenlik Şirket Akreditasyonu ve Hizmet Standartları Rehberi

CREST tam olarak nedir?

CREST, siber güvenlik hizmetlerinde kalite ve güven oluşturmak amacıyla şirket akreditasyonu, mesleki yeterlilik ve topluluk programları yürüten uluslararası bir yapıdır. Kurumsal akreditasyon, hizmet sağlayıcının yalnız teknik araç kullanabilmesini değil; yönetişim, kalite, etik, personel yetkinliği, süreçler ve hizmet sunumunun birlikte değerlendirilmesini hedefler.

Bir müşterinin “CREST approved penetration testing provider” istemesi, yalnız bir pentest uzmanının bireysel sertifikasına sahip olmasından farklıdır. İhale ve tedarikçi değerlendirmelerinde bu ayrım özellikle önemlidir.

CREST hangi hizmetler için akreditasyon yayımlıyor?

CREST’in güncel Accreditation Standards sayfasında organizasyonel gereksinimlere ek olarak hizmete özel standartlar yayımlanır. 2026 itibarıyla Cyber Threat Intelligence, Incident Exercising, Incident Response, Penetration Testing, Security Architecture, Security Operations, Threat Intelligence for Simulated Attacks, Threat-led Penetration Testing ve Vulnerability Assessment başlıkları bulunur.

Dolayısıyla CREST yalnız pentest ile sınırlı değildir. Bir SOC/MDR sağlayıcısı veya olay müdahale firması için de ilgili hizmet standardı üzerinden kurumsal yeterlilik gündeme gelebilir.

Kimler CREST şirket akreditasyonuna başvurabilir?

Başvuru, siber güvenlik hizmetlerini ticari olarak sunan şirketlerin organizasyon yapısı ve ilgili hizmet standardına göre değerlendirilir. Şirketin faaliyetinin, ekibinin, kalite sisteminin ve gerçek hizmet sunum kabiliyetinin başvurulan alana uygun olması beklenir.

Yeni veya büyümekte olan sağlayıcılar açısından CREST’in üyelik ve akreditasyon yol haritası incelenmelidir. “Web yazılım şirketiyiz, CREST logosu almak istiyoruz” yaklaşımı tek başına yeterli değildir; akreditasyon hizmet yetkinliğiyle ilişkilidir.

CREST bireysel sertifikası ile şirket akreditasyonu arasındaki fark

Bireysel CREST yeterlilikleri bir profesyonelin bilgi ve becerisini sınav/sertifikasyon yoluyla gösterir. Şirket akreditasyonu ise kuruluşun hizmet sunum sistemini, insan kaynağını, süreçlerini, kalite ve güven mekanizmalarını değerlendirir.

CREST güncel akreditasyon sayfasında, şirket akreditasyonu için bireylerin CREST-qualified olmasına genel bir zorunluluk bulunmadığını; kişilerin beceri, deneyim veya sahip oldukları diğer yeterlilikler üzerinden değerlendirilebildiğini belirtir. Bununla birlikte belirli müşteri veya sözleşme şartları ayrıca bireysel sertifika isteyebilir.

CREST başvuru ve değerlendirme süreci nasıl düşünülmeli?

Başvurudan önce hangi hizmet standardının gerçekten karşılandığı belirlenmelidir. Organizasyonel gereksinimler ile hizmete özel standardın kanıtları hazırlanır; ekip rolleri, kalite güvencesi, müşteri güvenliği, veri yönetimi, metodoloji ve hizmetin uçtan uca işleyişi gösterilir.

Detaylı güncel başvuru adımları ve üyelik modeli zaman içinde değişebildiği için dosya hazırlamadan önce CREST’in resmî üyelik ve Accreditation Standards sayfaları esas alınmalıdır.

• Hedef hizmet akreditasyonunu seç
• Company General Requirements gereksinimlerini incele
• Ekip yetkinlik ve deneyim kanıtlarını hazırla
• Metodoloji, QA ve müşteri teslim süreçlerini dokümante et
• Gizlilik, etik, veri işleme ve olay süreçlerini göster
• Hizmete özel standardın ek gereksinimlerini karşıla
• CREST’in güncel başvuru portalı ve değerlendirme akışını takip et

CREST Penetration Testing akreditasyonu neden farklıdır?

Pentest akreditasyonunda yalnız tarama aracı çalıştırmak değil; scope belirleme, yetkilendirme, metodoloji, riskli testlerin yönetimi, kalite kontrol, raporlama, müşteri verisinin korunması ve uzman yetkinliği gibi hizmet yaşam döngüsü önem taşır.

Bu yaklaşım müşteri açısından “test yapıldı mı?” sorusundan “test güvenli, tekrarlanabilir ve yetkin bir sağlayıcı tarafından mı yürütüldü?” sorusuna geçiş sağlar. Özellikle finans, kritik altyapı ve büyük kurumsal tedarik süreçlerinde bu güvence değerlidir.

2026’da CREST ve yapay zekâ: Responsible AI neden önemli?

CREST 28 Temmuz 2026’da akreditasyon standartlarına Responsible AI kullanımıyla ilgili yeni gereksinimler ekledi. Company General Requirements içinde organizasyonun AI yönetişimi, gözetimi ve şeffaflığı ele alınırken Penetration Testing standardında AI-enabled penetration testing için özel bir ek yayımlandı.

Bu, güvenlik şirketinin “AI kullanıyoruz” demesinden fazlasını gerektirir. İnsan gözetimi, kalite, veri gizliliği, model kullanım riski ve profesyonel hükmün korunması gibi konular hizmet yönetiminin parçası haline gelir.

CREST üyelik ile akreditasyon aynı şey mi?

CREST’in üyelik yapısı ve akreditasyon programı ilişkilidir ancak pazarlama metninde “member”, “accredited” ve bireysel qualification ifadeleri birbirinin yerine kullanılmamalıdır. 2026’da üyelik modeli Access, Connect ve Enterprise katmanlarıyla güncellendiği için güncel uygunluk ve haklar resmî sayfadan doğrulanmalıdır.

Bir müşteri belirli hizmet için CREST accreditation istiyorsa yalnız genel üyelik statüsünü göstermek yeterli olmayabilir; tam olarak hangi hizmet akreditasyonunun geçerli olduğu kontrol edilmelidir.

CREST hangi ülkelerde geçerli, Türkiye’den başvurulabilir mi?

CREST uluslararası faaliyet gösteren bir siber güvenlik ekosistemidir ve farklı ülkelerde sektör, kamu ve regülasyon ekosistemleriyle bağlantılıdır. Bir Türk şirketinin uygunluğu; hizmet modeli, başvuru kriterleri ve güncel bölgesel/üyelik düzenine göre değerlendirilmelidir.

“Türkiye’de ofisi var mı?” ile “Türkiye’deki şirket başvurabilir mi?” aynı soru değildir. Güncel başvuru erişimi ve akreditasyonun hedef müşteride kabulü doğrudan CREST ile teyit edilmelidir.

Bir pentest/SOC firması başvuru öncesi ne hazırlamalı?

İyi başlangıç noktası; şirket politikaları, etik kurallar, müşteri yetkilendirme mekanizması, tester/SOC analist yetkinlik matrisi, QA süreci, örnek teslimatlar, veri saklama/silme, şikâyet yönetimi, güvenli iletişim ve olay eskalasyonunun tutarlı hale getirilmesidir.

Teknik tarafta kullanılan araç envanteri, lisanslar, test ortamı güvenliği, müşteri verisinin nerede işlendiği, erişim kontrolleri ve rapor teslim mekanizması da kurumun güvenilirliğini destekler.

CREST, ISO 27001, SOC 2 ve PCI DSS aynı şey mi?

Hayır. CREST özellikle siber güvenlik hizmet sağlayıcısının hizmet yetkinliğini hedefler. ISO 27001 kuruluşun bilgi güvenliği yönetim sistemini, SOC 2 bir service organization’ın kontrollerine ilişkin bağımsız raporu, PCI DSS ise kart verisi güvenliğini ele alır.