Amaç ve kapsam
Bu prosedür, Kafkal Yazılım tarafından oluşturulan, alınan, işlenen, aktarılan, saklanan ve imha edilen verilerin yaşam döngüsünü yönetir. Elektronik ve fiziksel kayıtlar ile çalışan, müşteri, tedarikçi ve hizmet verileri kapsamdadır.
Roller
- BGYS Sorumlusu: Veri envanterini tutar; iş amacı, sınıflandırma, erişim, paylaşım, saklama, teknik koruma ve imha gereksinimlerini belirler ve uygular.
- Üst Yönetim: Önemli sınıflandırma, paylaşım, saklama, imha ve istisna kararlarını onaylar; yeterli kaynak ve gözetimi sağlar.
Yetki ve onay ayrıntıları BGYS Görev Atama Kararı içindeki rol ve onay yetkisi matrisinden uygulanır.
Varlık envanteri ve değerleme
BGYS Sorumlusu bilgi akışlarını izleyerek bilgi, yazılım, donanım, bulut hizmeti, fiziksel ortam, rol ve dış hizmet varlıklarını belirler. Kritik ve önemli varlıklara benzersiz kimlik atanır; aynı kontrol ihtiyacına sahip düşük riskli varlıklar grup kimliğiyle izlenebilir. Envanter; açıklama, iki kurumsal rolden atanan sorumlu, konum, bağlı süreç, sınıf, kritiklik, kişisel veri durumu, kritik bağımlılıklar, yedekleme ihtiyacı ve yaşam döngüsü durumunu içerir.
BGYS Sorumlusu varlığın toplam kritiklik seviyesini belirler; yasal ve sözleşmesel yükümlülükleri ayrıca işaretler. Envanter, Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine göre mevcut kaynak ve hizmet kayıtlarıyla mutabık hale getirilir.
Veri yaşam döngüsü
- Envanter: Veri kümesi; sahibi, amacı, kaynağı, sınıfı, işlendiği sistemler, alıcıları, saklama süresi ve imha yöntemiyle kaydedilir.
- Toplama: Yalnızca tanımlı ve meşru iş amacı için gerekli veri elde edilir. Kaynak, doğruluk ve kullanım koşulları doğrulanır.
- Sınıflandırma: Veri, Bilgi Varlığı ve Veri Yaşam Döngüsü Politikası içindeki tek yetkili sınıflandırma tablosuna göre etiketlenir. En yüksek hassasiyetteki bileşen veri kümesinin sınıfını belirler.
- İşleme ve kullanım: Erişim rol ve iş ihtiyacıyla sınırlandırılır. Kritik manuel değişiklikler ikinci kontrol veya mutabakatla doğrulanır.
- Saklama ve yedekleme: Saklama yeri, süre, yedek kapsamı ve kurtarma hedefi iş ve mevzuat ihtiyacına göre belirlenir. Üretim verisinin test ortamında kullanımı maskeleme veya anonimleştirme gerektirir.
- Paylaşım ve aktarım: Alıcı, amaç, veri kapsamı, aktarım yöntemi, hukuki dayanak ve koruma tedbirleri BGYS Sorumlusu tarafından değerlendirilir; önemli veya istisnai paylaşımlar Üst Yönetim tarafından onaylanır. Aktarım kanalı sınıfa uygun şekilde korunur.
- Arşivleme ve imha: Saklama süresi dolan veri; hukuki saklama kararı yoksa geri döndürülemeyecek yöntemle imha edilir. İmha işlemi yetkili kişi, tarih, kapsam ve yöntemle kanıtlanır.
Gizlilik ve paylaşım kontrolleri
Gizli veriler varsayılan olarak erişime kapalıdır. Bu veriler için kişi/rol bazlı yetki, aktarım ve depolama şifrelemesi, erişim kaydı ve gerektiğinde veri kaybı önleme kontrolleri uygulanır. Üçüncü taraf paylaşımında gizlilik ve güvenlik şartları sözleşmeye eklenir; alt yüklenici ve sınır ötesi aktarım koşulları ayrıca değerlendirilir.
Bütünlük ve izlenebilirlik
Kritik veriler için giriş doğrulama, yetkili değişiklik, çift kontrol, mutabakat, sürümleme veya kriptografik bütünlük kontrollerinden uygun olanlar seçilir. Oluşturma, görüntüleme, değiştirme, dışa aktarma ve silme olayları riskle orantılı biçimde kaydedilir; kayıtlar yetkisiz değişikliğe karşı korunur ve ortak zaman kaynağı kullanır.
Periyodik kontrol
BGYS Sorumlusu envanter ve sınıflandırmaları asgari kontrol takvimine göre; yeni sistem, yeni paylaşım, önemli değişiklik veya olay sonrasında ise takvim beklenmeden gözden geçirir. Küçük ve tekil eksiklikler envanter kaydında düzeltilir; önemli, tekrarlayan veya sistemik sorumsuz veri, belirsiz saklama, gereksiz kopya ya da yetkisiz paylaşım bulguları için düzeltici faaliyet açılır.
Güvenli imha adımları
- BGYS Sorumlusu saklama süresinin dolduğunu ve hukuki bekletme bulunmadığını doğrular.
- Bilginin sınıfı, ortam türü, tüm kopyaları ve yedekleri belirlenir; yetkili imha onayı alınır.
- Kâğıt çapraz kesim veya onaylı güvenli imha; yeniden kullanılacak elektronik ortam doğrulanmış güvenli silme; kullanılamayacak ortam fiziksel tahrip yöntemiyle imha edilir.
- Dış hizmet verileri için sağlayıcı silme doğrulaması alınır ve yedeklerden silinme takvimi kaydedilir.
- Varlık envanteri güncellenir; imha tutanağı uygulayan ve doğrulayan tarafından kapatılır.