Yurt Dışına Uzaktan Siber Güvenlik İşi Bulmak

Türkiye'den yurt dışına uzaktan çalışmak, siber güvenlikte maaşı en çok değiştiren hamlelerden biri. Ama ilan bulmak işin en kolay kısmı. Asıl iş; doğru rolü seçmek, sözleşme modelini anlamak, vergiyi baştan kurmak ve sahte ilanlardan korunmak. Bu yazı bu dört konuyu sırayla ele alıyor.

Türkiye'den yurt dışına uzaktan siber güvenlik işi bulunur mu?

Bulunur, ama rekabet küresel ve "uzaktan" yazan ilanların bir kısmı yalnız belirli ülkelerden başvuru kabul eder. Önceki Yazılımcı'nın 2026 maaş anketinde Türkiye'de yaşayıp dolarla maaş alan 188 yazılımcı var. Bunların 149'u tamamen uzaktan çalışıyor. Medyan net gelirleri ayda 4.000-4.999 dolar bandında.

Bu grup bütün yazılım rollerini kapsıyor. Güvenlik özelinde dövizle maaş alan katılımcı yalnız iki kişi. Yani yol açık, ama güvenlikçiler için ayrı bir istatistik henüz yok. Türkiye'deki TL maaşlarla kıyas için siber güvenlik maaşları yazısına bak.

Pazar da kolay değil. ISC2'nin Aralık 2025'te yayımlanan çalışmasına göre kurumların yüzde 39'u işe alımı dondurdu, yüzde 24'ü güvenlik ekibinde işten çıkarma yaptı. Aynı çalışmada eksikliği en çok hissedilen beceriler yapay zekâ, bulut güvenliği ve risk değerlendirmesi. Uzaktan iş ararken bu talebe yaslanmak şansını artırır.

Hangi siber güvenlik rolleri uzaktan daha kolay bulunur?

Uzaktan en kolay bulunan roller, işi kod, bulut konsolu ve bilet sistemi üzerinden yürüyen rollerdir. Fiziksel erişim, güvenlik izni ya da yerel mevzuat bilgisi isteyen roller zordur. Aşağıdaki tablo bizim değerlendirmemiz, bir istatistik değil.

Güvenlik izni engeli küçümsenecek gibi değil. ITJobsWatch'a göre İngiltere'de OSCP isteyen ilanların yüzde 58'inde güvenlik izni (security clearance) de geçiyor. ABD'de CyberSecJobs.com gibi siteler doğrudan izinli (cleared) adaylara yönelik. Bu ilanlar Türkiye'den başvuru için uygun değil.

Rol seçimi için kariyer haritasındaki rol kartlarını kullan. Bulut tarafında Bulut ve Konteyner Güvenliği yolu, AppSec tarafında Güvenli Yazılım Geliştirme yolu ücretsiz başlangıç sunuyor.

Uzaktan güvenlik ilanları nerede aranır?

Uzaktan güvenlik ilanının ana kaynağı hâlâ LinkedIn, yanında birkaç uzaktan iş sitesi ve doğrudan şirket kariyer sayfaları var. Niş siteler tek başına yetmez. Örneğin RemoteOK'nin güvenlik kategorisinde Ekim 2026'da yalnız 20 civarı ilan vardı.

• LinkedIn: konumda "Remote" ve bölge olarak "EMEA" ya da "Europe" seç, ilanı şirket sayfasından doğrula.
• EU Remote Jobs: Avrupa saat dilimine odaklı, elle seçilmiş uzaktan ilanlar.
• Landing.Jobs: Avrupa teknoloji şirketlerinin ilanları.
• Wellfound: girişim şirketlerinin ilanları.
• Working Nomads: uzaktan siber güvenlik kategorisi.
• Pentest platformları: HackerOne, Synack ve Cobalt deneyimli pentesterları proje bazlı çalıştırıyor.

İlanda "Remote" görmek yetmez. "Remote (US only)" ya da "Remote, UK" gibi ifadeler bordro ve vergi nedeniyle ülke sınırı koyar. Aradığın ifade "Worldwide", "EMEA" ya da "Anywhere". Platform bazlı serbest çalışmanın ayrıntılarını freelance pentester rehberinde anlattık.

EOR ve contractor modelleri nasıl çalışır?

Yurt dışı şirket seni üç yoldan çalıştırabilir: bir Employer of Record (EOR) üzerinden bordrolu, contractor yani serbest yüklenici olarak ya da doğrudan kendi bordrosundan. Deel'in tanımıyla EOR, şirket adına çalışanı yasal olarak istihdam eden, maaşı ödeyen ve vergi ile primleri kesen kuruluştur. Contractor ise çalışan sayılmaz, faturayı kendisi keser.

Remote şirketinin Türkiye sayfasına göre EOR modelinde maaş TL ödeniyor ve her ayın son iş gününe kadar yatıyor. Aynı sayfada EOR ücreti çalışan başına aylık 699 dolar görünüyor. Bu ücreti işveren öder. Yani EOR ile işe almak şirket için maaşın üstüne ek bir maliyettir. Sayfa ayrıca contractor'ı yanlış sınıflandırmanın Türkiye'de cezaya yol açabileceği uyarısını yapıyor.

Üçüncü modelde dikkat. Gelir Vergisi Kanunu'nun 95. maddesine göre ücretini yabancı bir ülkedeki işverenden doğrudan alanın vergisi kaynakta kesilmez. Bu geliri yıllık beyannameyle sen bildirirsin. SGK tarafını da ayrıca çözmen gerekir.

Yurt dışına hizmet verenin vergisi nasıl hesaplanır?

Yurt dışındaki müşteriye contractor olarak hizmet veriyorsan iki avantajı incele: KDV istisnası ve hizmet ihracatı kazanç istisnası. KDV Kanunu'nun 11/1-a ve 12/2 maddeleri, yurt dışındaki müşteri için yapılan ve yurt dışında faydalanılan hizmeti KDV'den istisna tutar.

Gelir vergisi tarafında GVK'nın 89/13 maddesi var. Bu maddeye göre sayılan hizmetlerin yurt dışına verilmesinden doğan kazancın yüzde 80'i beyan edilen gelirden indirilir. Oran, 27 Aralık 2023 tarihli 7491 sayılı Kanunla yüzde 50'den yüzde 80'e çıktı. Şartlar şöyle:

1. Müşteri Türkiye'de yerleşmiş olmamalı. İşyeri ve iş merkezi yurt dışında olmalı.
2. Hizmet Türkiye'de verilmeli, ondan yalnız yurt dışında yararlanılmalı.
3. Hizmet kanunda sayılan alanlardan biri olmalı.
4. Fatura ya da benzeri belge yurt dışındaki müşteri adına düzenlenmeli.
5. Kazancın tamamı, yıllık beyannamenin verilmesi gereken tarihe kadar Türkiye'ye getirilmeli.

Üçüncü şart güvenlikçiler için kritik. Kanundaki liste mimarlık, mühendislik, tasarım, yazılım, ürün testi, sertifikasyon, veri saklama, veri işleme ve veri analizi gibi alanları sayıyor. "Sızma testi" adıyla geçmiyor. Güvenlik yazılımı geliştirmek listeye daha net oturur. Madde metni ayrıca "hizmet işletmeleri" ifadesini kullanıyor. Pentest ya da serbest meslek danışmanlığı için Gelir İdaresi'nden özelge istemek en güvenli yoldur.

Basitleştirilmiş bir örnek verelim. Yıllık kazancın 1.000.000 TL olsun ve istisnanın tüm şartlarını sağla. Yüzde 80'i, yani 800.000 TL indirilir. Kalan 200.000 TL 2026 tarifesine göre vergilenir. İlk 190.000 TL'ye yüzde 15, kalan 10.000 TL'ye yüzde 20 uygulanır. Toplam vergi 30.500 TL olur. Prim, gider ve diğer indirimler bu örnekte yok. Kendi hesabını mutlaka bir mali müşavirle yap.

Saat dilimi farkını nasıl yönetirsin?

Türkiye yıl boyu UTC+3 kullanır, bu yüzden Avrupa ile ortak mesai kolay, Amerika ile zordur. Avrupa'da saatler yaz ve kış arasında değişir, Türkiye'de değişmez. Fark mevsime göre bir saat oynar.

ABD batı yakası için çalışmak, akşam toplantısını kalıcı hâle getirir. Teklif aşamasında "ortak saat" beklentisini yazılı netleştir. Kaç saat eş zamanlı çalışma bekleniyor, toplantılar hangi saatte? Bu cevap, maaştan sonra en önemli kalemdir.

İngilizce mülakata nasıl hazırlanırsın?

İngilizce mülakatta en çok puan kaybettiren şey dil hatası değil, teknik bir bulguyu net anlatamamaktır. Akıcılıktan çok yapı önemlidir. Hazırlığı şöyle kur:

1. Bulduğun ya da çözdüğün üç olayı STAR yöntemiyle İngilizce yaz: durum, görev, eylem, sonuç.
2. Bir bulguyu iki dakikada anlat: etki, kök neden, düzeltme ve CVSS puanı.
3. Canlı teknik soruya hazırlan: log okuma, tehdit modeli, bir mimariye saldırı yüzeyi çıkarma.
4. Bilmediğin soruda "I'm not sure, but here's how I'd find out" de ve yöntemini anlat.
5. Kendi sesini kaydet, tekrar dinle.

Rol bazlı sorular için mülakat soruları sayfası ve siber güvenlik mülakat soruları yazısı iyi bir başlangıç.

Portfolyo ve sertifikalar yurt dışında ne kadar işe yarar?

Yurt dışında işe alımcı önce kanıta, sonra sertifikaya bakar. İngilizce yazılmış write-up'lar, GitHub'daki araçlar, sorumlu bildirimle alınmış bir CVE ve bug bounty teşekkür sayfaları en güçlü kanıtlardır. Kanıt kurmanın adımlarını CV ve portfolyo rehberinde anlattık.

Sertifikalar ilan filtresinde işe yarar. ITJobsWatch'a göre Ekim 2026'ya kadarki altı ayda İngiltere'de CISSP isteyen 820 kalıcı ilanın medyan maaşı 80.000 sterlin. OSCP isteyen 92 ilanın medyanı 75.000 sterlin. OSCP ilanlarının yüzde 53'ünde İngiltere kökenli CREST sertifikası da geçiyor. ISC2'nin 2025 çalışmasında CISSP sahiplerinin küresel medyan maaşı 127.000 dolar.

Hangi sertifikanın hangi role uyduğunu CEH, OSCP ve eJPT karşılaştırmasında bulabilirsin.

Dolandırıcı iş ilanlarını nasıl ayırt edersin?

İşe girmek için senden para isteyen, kripto ödeme isteyen ya da mülakatta bilgisayarına kod kurduran ilan büyük olasılıkla dolandırıcılıktır. ABD Federal Ticaret Komisyonu (FTC) dürüst işverenin iş için asla para istemediğini vurguluyor. FBI'ın 4 Haziran 2024 tarihli uyarısı, kripto yatırmanı isteyen sahte "görev" işlerini anlatıyor.

Güvenlikçiler için ayrı bir tuzak daha var. Palo Alto Networks Unit 42, Kasım 2023'te "Contagious Interview" adlı kampanyayı yayımladı. Sahte işverenler yazılımcıları online mülakata çağırıyor. Sonra GitHub'daki bir npm paketini indirip çalıştırmalarını istiyor. Paket BeaverTail adlı bilgi hırsızını ve InvisibleFerret arka kapısını kuruyor. Unit 42 kampanyayı orta güvenle Kuzey Kore bağlantılı aktörlere bağlıyor.

Kontrol listen şu olsun:

• İşveren eğitim, ekipman ya da "kayıt" için para istiyor mu?
• Mülakat yalnız mesajlaşma uygulamasından mı yürüyor?
• Şirketin alan adı, LinkedIn sayfası ve çalışanları gerçek mi?
• Teklif, rolün piyasa değerinin çok üstünde ve çok hızlı mı geldi?
• Ödev için bilinmeyen bir depoyu kendi bilgisayarında çalıştırman mı isteniyor?

Ödev kodunu yalnız internete kapalı, tek kullanımlık bir sanal makinede incele. Kendi bilgisayarında ve şirket cihazında asla çalıştırma.

Nereden başlamalısın?

Hedef rolü seç, kanıtını İngilizce hazırla, sonra başvuru ve vergi altyapısını kur. Sıra şöyle:

1. Kariyer testiyle uzaktan çalışmaya uygun bir rol seç.
2. Üç İngilizce write-up ve bir GitHub projesi hazırla.
3. LinkedIn profilini İngilizce yaz, konumunu ve çalışma saatlerini belirt.
4. Haftada belli sayıda nitelikli başvuru hedefle, her birini rol ilanına göre uyarla.
5. İlk teklif gelmeden önce bir mali müşavirle EOR, contractor ve istisna seçeneklerini konuş.

Kaynaklar

• Gelir Vergisi Kanunu (193), madde 89/13 ve 95, mevzuat.gov.tr
• Katma Değer Vergisi Kanunu (3065), madde 11 ve 12, mevzuat.gov.tr
• Önceki Yazılımcı, 2026 Yazılım Sektörü Maaşları (GitHub)
• Remote, Türkiye'de işe alım rehberi
• Deel, Employer of Record tanımı
• ITJobsWatch, OSCP ilanları (UK)
• FTC, Job Scams
• Unit 42, Contagious Interview kampanyası