Siber Güvenlikle Para Kazanmanın 8 Yolu

Bu liste "bir haftada dolar kazan" listesi değil. Her yol için dört şeyi yazdık: başlamak için ne bilmen gerekir, ilk paraya ne kadar sürede ulaşırsın, gelir nasıl gelir ve ne riske girersin. Rakam verdiğimiz her yerde kaynağı ve tarihi var. Süre tahminleri ise bizim deneyimimize dayanıyor, istatistik değil.

Siber güvenlikle para kazanmanın yolları neler?

Siber güvenlikle para kazanmanın sekiz yasal yolu var: tam zamanlı iş, bug bounty, serbest pentest, KOBİ danışmanlığı, eğitim ve içerik, CTF ödülleri, açık kaynak sponsorluğu, denetim ve uyum işleri. Bunların yalnız ilki düzenli maaş verir. Diğerleri çoğu zaman ek gelir olarak başlar.

Tam zamanlı iş hâlâ en güvenli yol mu?

Evet, tam zamanlı iş siber güvenlikte en öngörülebilir gelir yoludur. Diğer yolların çoğu da deneyimi buradan alır. Türkiye'de siber güvenlik uzmanının aylık net maaşı 2026'da deneyime göre kabaca 48.000 TL ile 255.000 TL arasında.

Bu aralık Kariyer.net'in Ekim 2026 verisinden ve açık bir yazılım maaş anketinden geliyor. Rol ve kıdem kırılımını siber güvenlik maaşları yazısında tablolarla verdik. Giriş için en sık kapı SOC analistliği. Hangi rolün sana uyduğunu kariyer haritasındaki testle bulabilirsin.

Eşik yüksek değil ama kanıt ister. Ağ, Linux, web ve log okuma temelleri olmadan mülakatı geçmek zor. Kanıtı da lablar, CTF çözümleri ve yazdığın raporlar oluşturur.

Bug bounty ile gerçekten para kazanılır mı?

Kazanılır, ama gelir düzensizdir ve çoğu araştırmacı için ek gelir olarak kalır. Bug bounty, şirketin izin verdiği kapsamda açık bulup raporlayana ödül ödemesidir. Ödülü yalnız geçerli, tekrar üretilebilir ve kapsam içindeki bulgu alır.

Pazar büyük. HackerOne'ın 1 Ekim 2025'te yayımlanan raporuna göre platformdaki programlar bir yılda toplam 81 milyon dolar ödül ödedi. Bu, bir önceki yıla göre yüzde 13 artış. Ama bu para binlerce araştırmacıya eşit dağılmıyor. İlk aylarda "duplicate" yani daha önce bildirilmiş bulgu almak çok sık olur.

Kapsam dışına çıkmak yalnız programdan atılmak demek değildir. Türkiye'de izinsiz bilişim sistemine girmek TCK 243'e göre suçtur. Platform seçimi, ödeme alma ve vergi için Türkiye'den bug bounty rehberine bak.

Serbest pentest yapmak için ne gerekir?

Serbest pentest için en az birkaç yıllık profesyonel deneyim, temiz bir sicil ve yazılı yetkiyle çalışma disiplini gerekir. Platformlar bu eşiği açıkça yazıyor. HackerOne, pentest ekibine alacağı kişilerde en az 3 yıl profesyonel deneyim ve sabıka taraması şartı arıyor. İlk üç pentest de deneme dönemi sayılıyor.

Synack Red Team beş adımlı bir seçimden geçiriyor: özgeçmiş, teknik sınav, kimlik ve geçmiş kontrolü, davranış mülakatı ve eğitim. Üyeler Synack'in bağımsız yüklenicisi olarak çalışıyor. Synack'e göre basit görevler 25-50 dolar ödüyor, açık ödülleri ise genelde 500 dolardan başlıyor.

Gün ücreti için iyi bir dış referans İngiltere. ITJobsWatch'a göre Ekim 2026'ya kadarki altı ayda sözleşmeli pentester ilanlarının medyan gün ücreti 675 sterlin. Türkiye için kamuya açık bir gün ücreti istatistiği yok. Fiyat hesabı, sözleşme maddeleri ve e-SMM için freelance pentester rehberine bak.

KOBİ'lere güvenlik danışmanlığı nasıl gelir getirir?

KOBİ danışmanlığı, küçük şirketlerin temel güvenlik açıklarını kapatıp düzenli bakımını üstlenerek proje ya da aylık ücret almaktır. Çoğu küçük işletmenin güvenlik ekibi yoktur. İhtiyaç saldırı testi değil, temel hijyendir.

Tipik iş paketi şöyle görünür:

1. E-posta alan adına SPF, DKIM ve DMARC kayıtlarını kurmak.
2. Tüm yönetici hesaplarında çok adımlı doğrulamayı açmak.
3. Yedeklemeyi kurmak ve geri dönüşü gerçekten test etmek.
4. Güncellenmeyen cihaz ve yazılımları listelemek.
5. Çalışanlara kısa bir oltalama farkındalığı eğitimi vermek.

Fiyatı saat değil paket üzerinden kurmak daha kolay satar. Türkiye'de bu işler için kamuya açık bir fiyat istatistiği yok. Kendi rakamını, harcayacağın gün sayısını ve hedef gün ücretini çarparak bul. Aylık bakımı ayrı bir kalem olarak öner.

Eşiğin teknik tarafı düşük, sorumluluk tarafı yüksek. Müşteride bir olay yaşanırsa ilk sorulan kişi sen olursun. Bu yüzden işi kapsamı yazılı bir sözleşmeyle al. Kişisel veriye dokunuyorsan KVKK'daki veri işleyen rolünü de sözleşmeye yaz. Kamu kurumları ve kritik altyapılar için 7545 sayılı Siber Güvenlik Kanunu ayrıca yetkilendirilmiş uzman ya da şirket şartı getiriyor.

Eğitim ve içerik üretimi ne zaman para kazandırır?

Eğitim ve içerik üretimi genelde en geç para kazandıran yoldur, ama birikerek büyür. YouTube'un iş ortağı programına girmek için ya son 12 ayda 1.000 abone ve 4.000 saat izlenme ya da son 90 günde 10 milyon Shorts izlenmesi gerekiyor. Bu eşiğe çoğu kanal aylarca ulaşamaz.

Daha hızlı gelir kurum içi eğitimlerden gelir. Bir şirkete oltalama farkındalığı ya da güvenli kod atölyesi vermek doğrudan faturalanır. Blog, kurs ve kanal ise uzun vadede iş tekliflerini getirir. İçerikte saldırı konusunu anlatırken savunma tarafını ve yasal çerçeveyi atlama.

CTF yarışmalarından para kazanılır mı?

CTF'ten para kazanılır, ama ödül yalnız ilk birkaç takıma gider ve takım içinde paylaşılır. CTFtime'daki 2026 etkinliklerinden örnekler bu ölçeği gösteriyor. UofTCTF 2026 açık kategori birincisine 1.337 dolar verdi. KalmarCTF 2026 birincisi 750 dolar ve lisans ödülü aldı. @Hack 2026 toplam 16.000 dolar nakit ödül duyurdu.

CTF'in asıl getirisi CV'dir. Üst sıralara giren takım üyeleri iş görüşmesinde somut kanıt sunar. Ücretsiz Türkçe sorularla CTF Arena üzerinde başlayabilir, takım deneyimi için AltayCTF yazısına bakabilirsin.

Açık kaynak güvenlik aracı geliştirmek kazandırır mı?

Açık kaynak araç doğrudan az, dolaylı çok kazandırır. Doğrudan gelir sponsorluktan gelir. GitHub Sponsors kişisel hesaplardan gelen sponsorluklardan komisyon almıyor. Kurum hesaplarından gelenlerde kesinti yüzde 6'ya kadar çıkıyor. Türkiye, ödeme alınabilen bölgeler listesinde.

Dolaylı gelir daha büyüktür. Çok kullanılan bir tarama aracı, danışmanlık ve iş teklifini kendiliğinden getirir. Ama sponsorluk geliri tek başına çoğu zaman geçindirmez. Bunu ek gelir ve görünürlük aracı olarak düşün.

Denetim ve uyum işleri kimler için uygun?

Denetim ve uyum işleri, teknik bilgiyi mevzuat ve standart diliyle birleştirebilenler için uygundur. Bu işlerde ISO/IEC 27001 hazırlığı, iç denetim, KVKK envanteri ve politika yazımı yapılır. Talebi düzenlemeler yaratır. KVKK, 7545 sayılı Siber Güvenlik Kanunu ve sektör düzenlemeleri kurumlara belge ve kanıt yükü getiriyor.

Eşik, standardı gerçekten okumuş olmaktır. ISO 27001'in yapısını ISO 27001 yazısında, mevzuat tarafını GRC ve Mevzuat yolunda çalışabilirsin. Gelir genelde proje bazlıdır. Bir kurumla yıllık sözleşme yaparsan düzenli hâle gelir.

Maaşlı çalışırken ek iş yapabilir misin?

Yapabilirsin, ama önce iş sözleşmeni ve işvereninin kurallarını kontrol et. Türk Borçlar Kanunu'nun 396. maddesine göre işçi, sadakat borcuna aykırı olarak ücret karşılığı üçüncü kişiye hizmet veremez. İşvereniyle rekabete de giremez. İşte öğrendiğin bilgileri kendi yararına kullanamazsın.

Güvenlikte bu sınır daha keskindir. Bir güvenlik firmasında çalışırken aynı müşteriye serbest pentest teklif etmek açık bir çıkar çatışmasıdır. Şu üç soruyu sorman yeterli:

1. Sözleşmemde ek iş ya da rekabet yasağı maddesi var mı?
2. Ek işin müşterisi, işverenimin müşterisi ya da rakibi mi?
3. Ek işte işverenimin aracını, lisansını ya da bilgisini kullanıyor muyum?

Bug bounty çoğu işveren için daha az sorunludur. Yine de bazı şirketler çalışanlarının kendi ürünlerinde ya da müşterilerinde ödül avlamasını yasaklar. Şüphedeysen yazılı onay iste.

Hangi "para kazanma" yolları bu listede yok?

Hesap çalmak, sızan veri satmak, kart bilgisi ticareti ve "hack hizmeti" satmak bu listede yok, çünkü hepsi suçtur. TCK 243 izinsiz sisteme girmeyi, TCK 244 veriyi bozmayı ya da başka yere göndermeyi cezalandırır. TCK 245 kart kötüye kullanımını, TCK 245/A suç için yapılmış program ve cihaz bulundurmayı ayrıca suç sayar.

"Hızlı zengin ol" vaadi veren eğitim ve iş ilanlarından da uzak dur. ABD Federal Ticaret Komisyonu (FTC) uyarısı net: kısa sürede az emekle çok para vaat eden iş teklifi neredeyse her zaman dolandırıcılıktır. Yasal sınırları hacking yasal mı yazısında ayrıntılı anlattık.

Hangi yoldan başlamalısın?

Hiç deneyimin yoksa önce temeli kur, sonra tam zamanlı işe ya da bug bounty'ye yönel. Diğer yolların çoğu deneyim ister. Şu sıra çoğu kişi için işler:

1. Siber Güvenlik Temelleri yolunu bitir.
2. CTF ve lablarla kanıt üret, çözümlerini yaz.
3. İlk işini ya da ilk geçerli bug bounty bulgunu hedefle.
4. İki üç yıl deneyimden sonra serbest pentest ya da danışmanlığı ekle.
5. Her gelir için vergi yükümlülüğünü baştan öğren.

Kaynaklar

• HackerOne, 9. Hacker-Powered Security Report basın bülteni (1 Ekim 2025)
• HackerOne Docs, Pentester Selection and Vetting Process
• Synack Red Team
• ITJobsWatch, Penetration Tester sözleşmeli gün ücretleri (UK)
• YouTube Yardım, YouTube İş Ortağı Programı şartları
• GitHub Docs, About GitHub Sponsors
• CTFtime, etkinlik listesi
• Türk Ceza Kanunu (5237), mevzuat.gov.tr