Bilgi Güvenliği Politikası

Bu politikanın amacı; Doğansoft’un (“Şirket”) yürüttüğü yazılım geliştirme, kurulum, barındırma, destek ve eğitim faaliyetlerinde kullanılan bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumak, bilgi güvenliği risklerini yönetmek ve yasal, düzenleyici ve sözleşmesel yükümlülüklerin yerine getirilmesini güvence altına almaktır.

Politika; Şirket çalışanlarını ve stajyerlerini, Şirket adına iş yapan tedarikçi ve çözüm ortaklarını, Şirket’in yönettiği tüm bilgi sistemlerini, yazılım kaynak kodlarını, sunucu ve ağ altyapısını, müşterilere ait verileri ve basılı ya da elektronik tüm bilgi varlıklarını kapsar.

• Gizlilik: Bilgiye yalnızca yetkili kişilerin, görevlerinin gerektirdiği ölçüde erişmesi.
• Bütünlük: Bilginin doğruluğunun ve eksiksizliğinin korunması, yetkisiz değişikliğe karşı güvence altına alınması.
• Erişilebilirlik: Bilginin ve hizmetlerin, yetkili kullanıcılar tarafından ihtiyaç duyulduğunda kullanılabilir olması.

• Bilgi güvenliği risklerini düzenli olarak belirlemek, değerlendirmek ve kabul edilebilir düzeye indirmek,
• 6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere ilgili mevzuata ve müşterilerle yapılan sözleşmelerden doğan yükümlülüklere uymak,
• Hizmet verdiğimiz kamu kurumlarının yükümlülüklerini, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi’ndeki gereklilikler de gözetilerek dikkate almak,
• Müşteri verilerini yalnızca sözleşmede belirlenen amaçlarla ve müşterinin talimatıyla işlemek,
• Güvenliği, yazılımın tasarım aşamasından başlayarak geliştirme sürecinin ayrılmaz bir parçası olarak ele almak,
• Çalışanların bilgi güvenliği farkındalığını eğitimlerle sürekli artırmak,
• Güvenlik olaylarını hızla tespit etmek, müdahale etmek ve tekrarını önleyecek tedbirleri almak,
• Bu politikayı ve uygulamalarını düzenli olarak gözden geçirerek sürekli iyileştirmek.

• Erişim yetkileri, görev tanımına göre “bilmesi gereken” ve “en az yetki” ilkeleriyle verilir; görev değişikliğinde ve işten ayrılışta gecikmeksizin güncellenir veya kaldırılır.
• Yönetim panellerine ve sunuculara erişim kişiye özel hesaplarla yapılır; ortak hesap kullanılmaz.
• Güçlü parola kuralları uygulanır; parolalar geri çevrilemez biçimde saklanır, art arda hatalı girişlerde hesap geçici olarak kilitlenir.
• Kritik sistemlere erişim kayıt altına alınır.

• Kaynak kodlar, erişimi kısıtlı sürüm kontrol sistemlerinde tutulur.
• Değişiklikler yayına alınmadan önce test edilir; kullanıcı girdileri sunucu tarafında doğrulanır.
• Üçüncü taraf kütüphaneler güvenilir kaynaklardan alınır ve güvenlik güncellemeleri izlenir.
• Gizli anahtarlar, parolalar ve erişim bilgileri kaynak koda yazılmaz; ayrı ve erişimi kısıtlı ortamlarda tutulur.
• Test ve geliştirme ortamlarında, mümkün olan her durumda gerçek kişisel veri yerine temsilî veya anonimleştirilmiş veri kullanılır.

• Tüm dış bağlantılar şifreli protokoller (TLS) üzerinden yapılır.
• Sunucularda yalnızca gerekli servisler ve bağlantı noktaları açık tutulur; servisler birbirinden yalıtılmış ortamlarda çalıştırılır.
• Kötüye kullanıma karşı istek sınırlaması ve tarayıcı güvenlik başlıkları uygulanır.
• İşletim sistemi ve yazılım güncellemeleri düzenli olarak uygulanır.

• Veritabanları ve yüklenen dosyalar düzenli olarak yedeklenir; yedekler erişimi kısıtlı ortamlarda tutulur ve belirlenen süre sonunda kendiliğinden silinir.
• Yedeklerin geri yüklenebilirliği sınanır.
• Hizmet kesintilerine karşı geri dönüş adımları önceden belirlenir.

Bilgi varlıklarına erişen tedarikçi ve çözüm ortaklarıyla gizlilik ve veri koruma yükümlülüklerini içeren sözleşmeler yapılır. Bu kişilere işin gerektirdiği en az erişim verilir ve iş bitiminde erişimleri kaldırılır.

• Şüpheli durumlar derhal kayda alınır, etkisi değerlendirilir ve müdahale edilir.
• Kişisel veri ihlallerinde, KVKK’nın 12. maddesi ve Kişisel Verileri Koruma Kurulu kararları uyarınca, ihlal öğrenildikten sonra gecikmeksizin ve en geç 72 saat içinde Kurul’a, etkilenen kişilere de makul en kısa sürede bildirim yapılır.
• Şirket’in veri işleyen olduğu hâllerde ihlal, veri sorumlusu kuruma gecikmeksizin bildirilir ve kurumun bildirim yükümlülüğünü yerine getirmesi için gereken bilgiler sağlanır.

Site’de veya ürünlerimizde bir güvenlik açığı fark ederseniz, lütfen Aydınlatma Metni’ndeki başvuru e-posta adresine “Güvenlik bildirimi” konusuyla yazın. Bildiriminizi iyi niyetle ve açığı göstermek için gerekenle sınırlı kalarak yapmanızı rica ederiz:

• Başkalarına ait verilere erişmeyin, bunları değiştirmeyin veya silmeyin; yanlışlıkla erişirseniz derhal durun ve bize bildirin,
• Hizmeti aksatacak testlerden (yük testi, hizmet dışı bırakma, otomatik araçlarla yoğun tarama) kaçının,
• Açığı, giderilmeden önce üçüncü kişilerle paylaşmayın.

Bu kurallara uyan iyi niyetli bildirimler değerlendirilir ve sonucu hakkında bilgi verilir. Bu bölüm, sistemlerimize izinsiz erişim veya test yapılmasına izin verildiği anlamına gelmez; 5237 sayılı Türk Ceza Kanunu’nun bilişim suçlarına ilişkin hükümleri saklıdır.

Bu politikanın uygulanmasından Şirket yönetimi sorumludur. Tüm çalışanlar ve Şirket adına iş yapan kişiler politikaya uymakla yükümlüdür. Politikaya aykırı davranışlar, iş sözleşmesi, ilgili sözleşmeler ve mevzuat çerçevesinde değerlendirilir.

Politika en az yılda bir kez ve önemli bir değişiklik olduğunda gözden geçirilir. Güncel metin her zaman bu sayfada yayımlanır.