Bilgi Güvenliği Politikası

Bilgi güvenliği yönetimimizin amacı; sahip olduğumuz ve işlediğimiz bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini iş süreçlerimizin tümünde korumaktır. Bu politika; çalışanlarımızı, alt yüklenicilerimizi ve iş ortaklarımızı, kullandığımız sistem ve uygulamaları ve müşteri projeleri kapsamında erişilen tüm bilgi varlıklarını kapsar.

Bilgi güvenliğini bir defaya mahsus bir proje değil, sürekli işleyen bir yönetim disiplini olarak ele alırız. Aşağıdaki üç temel niteliği her faaliyetimizde gözetiriz:

• Gizlilik — Bilgiye yalnızca yetkili kişilerin, yalnızca ihtiyaç duydukları ölçüde erişebilmesi.
• Bütünlük — Bilginin yetkisiz olarak değiştirilmesinin veya bozulmasının önlenmesi.
• Erişilebilirlik — Bilginin ve hizmetin, yetkili kullanıcılar için gerektiğinde kullanılabilir olması.

Bilgi varlıklarımızı ve bunlara yönelik tehditleri düzenli olarak değerlendirir, riskleri önceliklendirir ve kabul edilebilir seviyeye indirmek için orantılı kontroller uygularız. Yeni bir hizmet, teknoloji ya da tedarikçi devreye alınmadan önce güvenlik etkisi gözden geçirilir.

Erişim yetkileri, “bilmesi gereken” ve “en az ayrıcalık” ilkelerine göre tanımlanır. Kritik sistemlerde çok faktörlü kimlik doğrulama kullanılır, yetkiler görev değişikliği ve ayrılma durumlarında ivedilikle güncellenir, ayrıcalıklı erişimler kayıt altına alınır ve periyodik olarak gözden geçirilir.

Sızma testi ve güvenlik değerlendirmeleri sırasında erişilen sistem bilgileri, ekran görüntüleri, kanıt dosyaları ve raporlar en yüksek gizlilik seviyesinde ele alınır. Bu veriler şifreli ortamlarda saklanır, yalnızca ilgili proje ekibiyle sınırlı tutulur, sözleşmede kararlaştırılan saklama süresinin sonunda güvenli biçimde imha edilir ve hiçbir koşulda üçüncü taraflarla paylaşılmaz.

Ekip üyelerimiz gizlilik yükümlülüklerini taahhüt eder ve düzenli güvenlik farkındalığı eğitimlerine katılır. Güvenlik, bir uzmanlık alanı olmanın yanında kurum kültürümüzün ayrılmaz bir parçasıdır; her çalışan kendi görev alanındaki bilgi güvenliğinden sorumludur.

Olası güvenlik olaylarına hızlı ve kontrollü yanıt verebilmek için tanımlı süreçler işletiriz. Şüpheli bir durum tespit edildiğinde olay kayıt altına alınır, etkisi sınırlandırılır, kök neden analiz edilir ve etkilenen taraflar mevzuatın gerektirdiği ölçüde bilgilendirilir. Yedekleme ve kurtarma önlemleriyle hizmet sürekliliği gözetilir.

Hizmet aldığımız tedarikçilerin ve iş ortaklarının güvenlik uygulamaları, bilgi varlıklarımıza erişim düzeyleriyle orantılı olarak değerlendirilir. Üçüncü taraflarla yürütülen ilişkilerde gizlilik ve veri koruma yükümlülükleri sözleşmeyle güvence altına alınır.

Bu politika ve dayandığı kontroller; tehdit ortamındaki değişiklikler, mevzuat güncellemeleri ve edinilen deneyimler ışığında düzenli olarak gözden geçirilir ve iyileştirilir. Amacımız, güvenlik seviyemizi statik bir hedef olarak değil, sürekli yükselttiğimiz bir çizgi olarak korumaktır.