Bilgi Güvenliği Yaklaşımımız

Neden bu sayfa var?

Bir yazılım tedarikçisi olarak müşterilerimizin sistemlerine, kaynak kodlarına ve zaman zaman üretim verilerine erişiyoruz. Bu erişimin nasıl yönetildiğini ticari bir sır olarak değil, kamuya açık bir taahhüt olarak paylaşmayı doğru buluyoruz.

Erişim yönetimi

• Müşteri sistemlerine erişim yalnızca projede görevli personele, yalnızca proje süresince ve yalnızca gereken yetki seviyesinde verilir.
• Tüm erişimler çok faktörlü kimlik doğrulama ile korunur; ortak hesap kullanılmaz.
• Personel değişikliklerinde erişim iptalleri aynı iş günü içinde gerçekleştirilir ve kayıt altına alınır.
• Erişim listeleri üç ayda bir gözden geçirilir; gerekçesi kalmayan yetkiler kaldırılır.

Geliştirme süreci

• Kod deposuna gönderilen her değişiklik en az bir başka mühendis tarafından incelenir.
• Statik kod analizi ve bağımlılık açığı taraması dağıtım hattının zorunlu adımlarıdır; kritik bulgu yayını durdurur.
• Gizli bilgiler (parola, anahtar, bağlantı dizesi) kod deposunda tutulmaz; merkezi gizli bilgi yönetimi kullanılır.
• Test ortamlarında gerçek kişisel veri kullanılmaz; maskelenmiş veya sentetik veri üretilir.

Veri işleme

Müşteri verisini yalnızca sözleşmede tanımlanan amaçla ve talimat doğrultusunda işleriz. Hata ayıklama amacıyla üretim verisine erişim gerektiğinde bu erişim önceden yazılı olarak talep edilir, süre sınırlı verilir ve işlem kaydı müşteriyle paylaşılır. Proje bitiminde geliştirme ortamlarındaki müşteri verisi silinir ve silme işlemi yazılı olarak bildirilir.

Olay yönetimi

Güvenlik ihlali şüphesi doğduğunda müşteri en geç 24 saat içinde bilgilendirilir. Olay kayıt altına alınır, kök neden analizi yapılır ve alınan önlemler rapor hâlinde paylaşılır. Kök neden analizinde kişi değil süreç sorumluluğu aranır.

Personel

Tüm çalışanlarımız gizlilik sözleşmesi imzalar ve yılda en az bir kez bilgi güvenliği farkındalık eğitimi alır. Güvenlik olaylarını bildiren çalışanlar için herhangi bir olumsuz sonuç doğmayacağı yazılı olarak taahhüt edilmiştir.