Amaç ve kapsam
Bu Bilgi Gizliliği ve Güvenliği Politikası'nın ("Politika") amacı, ORELSİS BİLİŞİM MAKİNE OTOMASYON SANAYİ VE TİCARET LİMİTED ŞİRKETİ ("ORELSIS") ve markalarının sahip olduğu, işlediği, kullandığı veya erişim sağladığı tüm bilgi varlıklarının, müşterilerimizin bize emanet ettiği veriler dahil olmak üzere, gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya yönelik temel ilke, kural ve sorumlulukları belirlemektir.
Kurumsal yazılım, yapay zekâ ve otomasyon çözümleri geliştiren bir şirket olarak bilgi güvenliğini; operasyonel sürekliliğimizin, yasal uyumumuzun ve müşteri güvenini korumamızın temel unsuru olarak görürüz. Bilgi güvenliği risklerini sistematik biçimde yönetmek için uluslararası standartlarla (ISO/IEC 27001 yaklaşımı) uyumlu bir Bilgi Güvenliği Yönetim Sistemi anlayışını benimseriz.
Politika; ORELSIS'in bilgi sistemlerini, kurumsal veri ve bilgi varlıklarını, yazılım geliştirme ve dağıtım süreçlerini, bilgi teknolojileri altyapısını, bu sistemlere erişimi bulunan çalışanları ve yöneticileri ile iş ilişkisi bulunan iş ortaklarını ve üçüncü tarafları kapsar. Başta 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere ilgili mevzuat ve uluslararası bilgi güvenliği standartları dikkate alınarak hazırlanmıştır.
Temel ilkeler
- 1.Sürekli iyileştirme: Bilgi güvenliği altyapısı, süreçleri ve teknolojileri; değişen tehdit ortamına, teknolojik gelişmelere ve yasal gerekliliklere göre sürekli geliştirilir.
- 2.Bilgi varlıklarının korunması: Fiziksel ve dijital ortamlardaki tüm bilgi varlıkları yetkisiz erişim, değiştirme, ifşa, kayıp, bozulma veya yok edilme risklerine karşı korunur.
- 3.Tehditlerin izlenmesi ve yönetilmesi: Riskler ve potansiyel tehditler düzenli olarak izlenir; tespit edilen zafiyetlere karşı gerekli teknik ve idari tedbirler alınır.
- 4.Sorumlulukların tanımlanması: Bilgi güvenliği yalnızca teknik bir konu değil, tüm çalışanların sorumluluğudur; roller açıkça belirlenir ve farkındalık sağlanır.
- 5.Güvenli tasarım: Geliştirdiğimiz ürünlerde güvenlik ve gizlilik, tasarım aşamasından itibaren gereksinim olarak ele alınır.
Tanımlar
| Terim | Anlamı |
|---|---|
| Gizlilik | Bilginin yalnızca yetkili kişi, sistem ve süreçler tarafından erişilebilmesi |
| Bütünlük | Bilginin doğruluğunun, tutarlılığının ve güvenilirliğinin korunması; yetkisiz değiştirme, silme veya bozulmanın önlenmesi |
| Erişilebilirlik | Bilgiye ve bilgi sistemlerine yetkili kullanıcılar tarafından ihtiyaç duyulduğunda kesintisiz ve güvenilir şekilde erişilebilmesi |
| Zafiyet | Bir sistem, süreç veya varlıkta bulunan ve tehditlerin olumsuz etki yaratmasına imkân verebilecek güvenlik açığı veya zayıflık |
| İş ortağı | ORELSIS ile doğrudan veya dolaylı iş ilişkisi bulunan, ürün veya hizmet sağlayan ya da bir iş sürecine katkı veren gerçek veya tüzel kişi |
Politikanın uygulanması
Bilgi Güvenliği Yönetim Sistemi
- Bilgi güvenliği süreçleri planlanır, uygulanır, izlenir ve sürekli iyileştirilir.
- Bilgi varlıkları envanteri oluşturulur ve varlıkların sorumluları belirlenir.
- Kurumsal veriler hassasiyet derecelerine göre sınıflandırılır ve uygun güvenlik kontrolleri uygulanır.
- Üst yönetim gerekli kaynakları sağlar ve Politika'nın uygulanmasını gözetir.
Erişim yetkileri ve sistem kullanımı
- Erişim yetkileri görev ve sorumluluklara göre, en az yetki ilkesiyle tanımlanır; düzenli gözden geçirilir, görev değişikliği veya ayrılışta gecikmeksizin güncellenir.
- Kritik sistemlerde çok faktörlü kimlik doğrulama, yetkilendirme, kayıt tutma ve erişim kontrol mekanizmaları uygulanır.
- Çalışanlar bilgi sistemlerini yalnızca iş amaçlarıyla ve şirket prosedürlerine uygun kullanır; gizli bilgileri yetkisiz kişilerle paylaşmaz.
Güvenli yazılım geliştirme ve müşteri verileri
- Kaynak kodlar erişimi sınırlı depolarda tutulur; değişiklikler kod incelemesinden geçer.
- Bağımlılıklar ve bileşenler bilinen zafiyetlere karşı düzenli olarak taranır.
- Müşteri sistemlerine erişim yalnızca sözleşme kapsamında, yetkili personelle ve kayıt altında sağlanır; müşteri verileri test ve geliştirme ortamlarında, mümkün olduğunda anonimleştirilerek kullanılır.
- Kurum içi (on-premise) kurulumlarda müşteri verisinin müşterinin altyapısında kalması esas alınır.
Risk değerlendirme, zafiyet yönetimi ve denetim
- BT altyapısı, siber güvenlik ve tedarikçi kaynaklı riskler düzenli olarak değerlendirilir; sonuçlar yönetime raporlanır.
- Düzenli zafiyet taramaları ve güvenlik değerlendirmeleri yapılır; tespit edilen açıklar önceliklendirilerek giderilir ve takip edilir.
- Uygulamalar periyodik olarak iç denetime tabi tutulur; gerekli görüldüğünde bağımsız denetim yaptırılır.
İş sürekliliği ve güvenlik olaylarının yönetimi
- Kritik sistemler için yedekleme, iş sürekliliği ve kriz yönetimi planları oluşturulur ve düzenli olarak test edilir.
- Güvenlik olaylarının tespiti, bildirilmesi, değerlendirilmesi ve yönetimi için tanımlı bir süreç işletilir.
- Çalışanlar ve iş ortakları şüpheli faaliyetleri, zafiyetleri ve ihlal şüphelerini gecikmeksizin bildirir; gerekli düzeltici ve önleyici faaliyetler yürütülür.
- Kişisel veri ihlallerinde Kanun'un öngördüğü bildirimler yapılır.
Eğitim ve farkındalık
Çalışanlara düzenli bilgi güvenliği eğitimleri ve farkındalık çalışmaları uygulanır; politika ve prosedürler hakkında bilgilendirme yapılır. Farkındalık, Politika'nın etkin uygulanmasının temel unsurlarından biri olarak kabul edilir.
İş ortakları ve üçüncü taraflar
İş ortaklarından ve üçüncü taraflardan, ilgili oldukları ölçüde bilgi güvenliği gerekliliklerine uymaları beklenir. Bu yükümlülükler sözleşmeler ve gizlilik taahhütleriyle düzenlenir; gerekli hâllerde tedarikçi riskleri değerlendirilir ve ek tedbir talep edilir.
Yetki ve sorumluluklar
Tüm çalışanlar ve yöneticiler bu Politika'ya uymaktan sorumludur. Çalışanlar gizli bilgileri ve kurumsal verileri yetkisiz kişilerle paylaşmamak, bilgi sistemlerini prosedürlere uygun kullanmak ve risk, zafiyet veya ihlal şüphelerini gecikmeksizin bildirmekle yükümlüdür. Politika'nın ihlali, disiplin yaptırımlarına; üçüncü taraflarca ihlali ise sözleşmenin askıya alınması veya feshi dahil yasal ve sözleşmesel tedbirlere yol açabilir.
Takip ve güncelleme
Politika; bilgi güvenliği riskleri, teknolojik gelişmeler, operasyonel ihtiyaçlar ve mevzuat değişiklikleri doğrultusunda düzenli olarak gözden geçirilir ve güncellenir. Güvenlik açığı bildirimleri için [email protected] adresine yazabilirsiniz.