Bilgi Güvenliği Politikası

Amaç ve Kapsam

Bu politika, PayStripet'in bilgi varlıklarını iç ve dış tehditlere karşı korumak amacıyla uyguladığı ilke ve kontrolleri tanımlar. Kapsam; çalışanları, sistemleri, süreçleri ve üçüncü taraf hizmet sağlayıcılarla olan ilişkileri içerir. Amacımız, verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini her koşulda korumaktır. Politika, tüm çalışanlar ve ilgili taraflar için bağlayıcıdır ve düzenli olarak gözden geçirilir.

Erişim Kontrolü

Sistemlere ve verilere erişim, görevin gerektirdiği ölçüde (en az yetki ilkesi) tanımlanır. Kritik işlemlerde görevler ayrılığı uygulanır, erişimler düzenli olarak gözden geçirilir ve gereksiz yetkiler kaldırılır. Tüm erişimler denetlenebilir biçimde kayıt altına alınır. Yetki değişiklikleri kontrollü bir süreçle yönetilir. İşten ayrılan veya görev değiştiren personelin erişimleri gecikmeksizin güncellenir.

Şifreleme ve Kayıt Yönetimi

Veri trafiği SSL/TLS ile şifrelenir, hassas veriler uygun yöntemlerle korunur. Sistem ve işlem günlükleri güvenli biçimde tutulur; bu kayıtlar, olayların analizi ve mevzuata uyum için belirli süreler boyunca saklanır. Kayıtların bütünlüğü ve erişim güvenliği titizlikle korunur. Günlük kayıtları, hem güvenlik olaylarının araştırılmasında hem de denetim süreçlerinde temel kaynaktır.

Risk Yönetimi ve Denetim

Bilgi güvenliği riskleri düzenli olarak değerlendirilir; güvenlik testleri ve iç denetimlerle kontrollerin etkinliği ölçülür. Tespit edilen bulgular önceliklendirilerek giderilir ve süreçler sürekli iyileştirilir. Risk değerlendirmesi, yeni tehditler ve teknolojik değişimler ışığında güncellenir. Riskleri yönetmek, onları tamamen ortadan kaldırmaktan çok, kabul edilebilir düzeyde tutmak ve sürekli izlemektir.

Tedarikçi ve Üçüncü Taraf Güvenliği

Hizmet aldığımız tedarikçilerin ve iş ortaklarının da bilgi güvenliği gereksinimlerine uymasını bekleriz. Üçüncü taraflarla veri paylaşımı, yalnızca amaçla sınırlı ve gerekli güvenlik önlemleri alınarak gerçekleştirilir. Tedarikçi ilişkilerinde güvenlik, sözleşmesel bir yükümlülüktür. Tedarik zincirindeki güvenlik zafiyetlerinin, kendi sistemlerimizi de etkileyebileceğinin bilincindeyiz.

Olay Müdahalesi

Bir güvenlik olayı tespit edildiğinde, önceden tanımlı müdahale süreci devreye girer. Olay sınırlandırılır, etkisi değerlendirilir, giderilir ve gerekli bildirimler ilgili taraflara mevzuata uygun biçimde yapılır. Olaydan çıkarılan dersler politikalarımıza yansıtılır ve benzer olayların önlenmesi için önlemler alınır. Şeffaf ve zamanında bildirim, güven ilişkisinin bir gereğidir.

Farkındalık ve Sürekli İyileştirme

Personelimize düzenli bilgi güvenliği farkındalık eğitimleri sağlanır. Güvenlik, tek seferlik bir proje değil sürekli bir süreç olarak ele alınır; politikalarımız güncel tehdit ortamına göre düzenli gözden geçirilir. Her çalışan, bilgi güvenliğinin bir parçası olduğunun bilincindedir. İnsan faktörünün, güvenlik zincirinin hem en güçlü hem de en kırılgan halkası olabileceğini bilir ve bu nedenle eğitime önem veririz.

Varlık Yönetimi

Bilgi varlıklarımızı (veriler, sistemler, süreçler) tanımlar, sınıflandırır ve her birinin gerektirdiği koruma seviyesini belirleriz. Varlıkların değeri ve hassasiyeti, uygulanacak güvenlik kontrollerini yönlendirir. Bu yapı, kaynaklarımızı en kritik alanlara odaklamamızı sağlar.

Değişiklik Yönetimi

Sistemlerimizde yapılan her değişiklik, kontrollü bir süreçle planlanır, test edilir ve izlenir. Kontrolsüz değişiklikler güvenlik açıklarının en yaygın nedenlerindendir; bu nedenle değişiklik yönetimini titizlikle uygularız ve her adımı kayıt altına alırız.

İş Sürekliliği

Olası kesinti, felaket veya siber olay senaryolarına karşı iş sürekliliği ve felaket kurtarma planları hazırlarız. Düzenli yedekleme ve tatbikatlarla, beklenmedik durumlarda bile hizmetin en kısa sürede ve veri kaybı olmadan devam etmesini hedefleriz.

Sürekli Denetim

Politikamızın etkinliğini düzenli iç denetimler ve güvenlik testleriyle ölçeriz. Tespit edilen bulguları önceliklendirir, giderir ve süreçlerimizi buna göre iyileştiririz. Bilgi güvenliği, bir varış noktası değil, sürekli devam eden bir yolculuktur.

Politikanın Uygulanması

Bilgi güvenliği politikamız, tüm çalışanlar ve ilgili taraflar için bağlayıcıdır ve yalnızca bir belge olarak kalmaz; günlük operasyonun bir parçası olarak uygulanır. Rol tanımları, erişim kuralları ve süreç adımları bu politikaya göre şekillenir. Politikaya uyumu düzenli denetimlerle ölçer, uygunsuzlukları hızla gideririz. Politikanın canlı ve uygulanabilir olması, etkinliğinin ön koşuludur.

İnsan Faktörü

En güçlü teknik önlemler bile, insan faktörü göz ardı edildiğinde yetersiz kalabilir. Bu nedenle personelimize düzenli bilgi güvenliği farkındalık eğitimleri veririz. Oltalama (phishing), sosyal mühendislik ve güvenli veri işleme gibi konularda ekiplerimizi bilinçlendiririz. Her çalışanın, güvenlik zincirinin önemli bir halkası olduğunun farkındayız ve bu bilinci kurum kültürüne yerleştiririz.

Sürekli Değerlendirme

Bilgi güvenliği risklerini statik değil, dinamik bir olgu olarak ele alırız. Yeni tehditler, teknolojik değişimler ve iş süreçlerindeki gelişmeler ışığında risk değerlendirmelerimizi düzenli olarak günceller ve kontrollerimizi buna göre uyarlarız. Bu sürekli değerlendirme döngüsü, politikamızın güncel ve etkili kalmasını sağlar.

Varlık Sınıflandırması

Bilgi varlıklarını, taşıdıkları hassasiyet ve kritiklik düzeyine göre sınıflandırırız. Her sınıf için uygun koruma önlemleri tanımlanır; en hassas veriler en sıkı kontrollerle korunur. Bu sınıflandırma, kaynakların doğru yerde kullanılmasını ve koruma önlemlerinin orantılı olmasını sağlar. Neyi, ne kadar ve nasıl koruyacağımızı bilmek, etkili bir bilgi güvenliği yönetiminin ilk adımıdır. Sınıflandırma olmadan, koruma çabaları dağınık ve verimsiz kalır.

Tedarikçi Güvenliği

Bilgi güvenliğini yalnızca kendi sınırlarımızla sınırlı tutmayız; birlikte çalıştığımız tedarikçi ve hizmet sağlayıcıların da uygun güvenlik standartlarını karşılamasını bekleriz. Kritik hizmet sağlayıcıları, güvenlik açısından değerlendirir ve gerekli sözleşmesel güvenceleri alırız. Zincirin en zayıf halkasının tüm sistemi riske atabileceğinin bilincindeyiz. Bu nedenle güvenlik anlayışımızı, iş yaptığımız tüm taraflara yayılan bütüncül bir çerçeve olarak ele alırız.

İş Sürekliliği

Beklenmedik olaylara karşı hizmetlerimizin devamlılığını güvence altına almak için iş sürekliliği ve felaket kurtarma planları hazırlarız. Verilerin düzenli yedeklenmesi, kritik sistemlerin yedekliliği ve kurtarma prosedürleri bu planların parçasıdır. Bir kesinti durumunda hizmeti mümkün olan en kısa sürede normale döndürmeyi hedefleriz. İş sürekliliği, yalnızca teknik bir hazırlık değil, iş yerlerine verdiğimiz kesintisiz hizmet sözünün de bir gereğidir.

Bu metin örnek amaçlı bir demo içeriğidir.