Amaç ve kapsam
Kafkal Yazılım, bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı; bilgi güvenliği risklerini sistematik biçimde yönetmeyi ve BGYS’yi sürekli iyileştirmeyi taahhüt eder. Politika; çalışanları, stajyerleri, danışmanları, dış hizmet sağlayıcıları, iş süreçlerini, bilgi varlıklarını ve BGYS kapsamındaki tüm fiziksel ve elektronik ortamları kapsar.
Bu politika ISO/IEC 27001:2022 esas alınarak hazırlanmıştır. Uygulanabilir yasal, düzenleyici ve sözleşmesel yükümlülükler yükümlülük envanterinde değerlendirilir.
İlkeler
- Bilgi güvenliği hedefleri iş hedefleriyle uyumlu belirlenir ve ölçülür.
- Bilgi varlıkları sahipleriyle birlikte envantere alınır, sınıflandırılır ve yaşam döngüsü boyunca korunur.
- Riskler Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine ve değişiklik tetikleyicilerine göre değerlendirilir; risk işleme kararları, sorumlular ve hedef tarihler kayıt altına alınır.
- Yasal, düzenleyici, sözleşmesel ve kurumsal yükümlülükler izlenir.
- Erişimler iş ihtiyacı, en az ayrıcalık ve görevlerin ayrılığı ilkelerine göre verilir.
- Olaylar gecikmeden bildirilir; etkileri sınırlandırılır, önemli veya tekrarlayan olayların kök nedenleri araştırılır ve dersler iyileştirmeye dönüştürülür.
- İş sürekliliği, yedekleme ve kurtarma düzenlemeleri asgari kontrol takvimine göre test edilir.
- Çalışanlar ve ilgili üçüncü taraflar güvenlik sorumlulukları hakkında bilgilendirilir.
- Kontrollerin etkinliği ölçülür; denetim ve yönetimin gözden geçirmesi sonuçları iyileştirme girdisi olarak kullanılır.
Bilgi güvenliği yönetim süreçleri
| Süreç alanı | Politika yönü | Uygulama dokümanı ve kanıt |
|---|---|---|
| Organizasyon, roller ve sorumluluklar | Yönetim gözetimi, görevlerin ayrılığı ve hesap verebilirlik tesis edilir. | BGYS Görev Atama Kararı |
| Veri gizliliği ve paylaşımı | Veriler sınıflandırılır; amaç, yetki, aktarım ve saklama kurallarıyla korunur. | Veri İşleme, Saklama ve Güvenli İmha Prosedürü |
| Kimlik ve erişim yönetimi | Kimlikler yaşam döngüsü boyunca yönetilir; yetkiler en az ayrıcalıkla verilir ve gözden geçirilir. | Erişim Kontrol ve Kimlik Yönetimi Politikası |
| Bütünlük ve iz kayıtları | Yetkisiz değişiklikleri önleyen kontroller ile olayların izlenmesini sağlayan kayıtlar tutulur. | Güvenlik Yönetimi Prosedürü |
| Ağ, konfigürasyon, açıklık ve yama güvenliği | Kuruluşça yönetilen varlıklarda güvenli temel ayarlar uygulanır; açıklıklar risklerine göre giderilir. Dış ortam kontrolleri sorumluluk sınırlarına göre izlenir. | Güvenlik Yönetimi Prosedürü |
| Fiziksel güvenlik | Güvenli alanlara ve ekipmana erişim yetkilendirilir, izlenir ve çevresel tehditlere karşı korunur. | Fiziksel ve Uzaktan Çalışma Güvenliği Standardı |
| Siber olay, test ve tehdit bilgisi | Olaylar sınıflandırılır ve müdahale edilir; önemli veya tekrarlayan olayların kök nedenleri incelenir ve öğrenilen dersler uygulanır. Testler yönetilen varlık, risk ve sorumluluk sınırlarına göre planlanır. | Bilgi Güvenliği Olay Müdahale Planı |
| Farkındalık ve eğitim | İşe girişte, asgari kontrol takviminde belirtilen dönemde ve rol/risk değiştiğinde eğitim verilir; etkinlik ölçülür. | Eğitim ve Bilgi Güvenliği Farkındalık Prosedürü |
Bu süreçler birbirinden bağımsız değildir. BGYS Sorumlusu sınıflandırma, erişim ve teknik kontrolleri yürütür; Üst Yönetim önemli kararları ve risk kabullerini onaylar. Yetki ayrıntıları BGYS Görev Atama Kararı içindeki matristen uygulanır; iç denetim tasarım ve işleyişi bağımsız olarak değerlendirir.
Roller
Üst Yönetim politikayı onaylar, gerekli kaynakları sağlar, önemli riskleri gözetir ve artık riskleri kabul eder. BGYS Sorumlusu sistemin koordinasyonunu, performans takibini, raporlamayı ve teknik güvenlik kontrollerinin işletilmesini yürütür; personel, varlık, tedarikçi ve geliştirme süreçlerindeki güvenlik görevlerini koordine eder. Varlık, veri, süreç ve kontrol sahipliği bu iki rolden birine faaliyet bazında atanır. Tüm çalışanlar kurallara uymak ve şüpheli durumları gecikmeden bildirmekle yükümlüdür.
Phishing (oltalama / kimlik avı) şüphesi taşıyan e-postaları alan kullanıcılar security@kafkal.com adresine e-posta göndererek gecikmeden bildirim yapmakla yükümlüdür. Bildirim yöntemi ve takip süreci Bilgi Güvenliği Olay Müdahale Planı içindeki Phishing bildirimi bölümünde tanımlanır.
Ölçüm ve kayıtlar
Asgari olarak yüksek risklerin durumu, erişim gözden geçirme tamamlama oranı, kritik açıklıkların giderilme süresi, güvenlik olayı eğilimleri, yedekleme/kurtarma testleri, eğitim katılım oranı ve oltalama simülasyonu sonuçları izlenir. Ölçümler asgari kontrol takvimindeki BGYS durum özetine ve yönetimin gözden geçirmesine girdi olur. Kritik olay ve önemli sapmalar olağan değerlendirme dönemi beklenmeden ele alınır.
İhlal ve istisnalar
Politikaya aykırılıklar olay yönetimi sürecinde ele alınır. İş gerekçesi bulunan istisnalar; risk değerlendirmesi, telafi edici kontroller, süre ve onay sahibi belirtilerek kayıt altına alınır.
Gözden geçirme
Politika, Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine göre; ayrıca önemli organizasyon, teknoloji, mevzuat, tehdit veya kapsam değişikliklerinde gözden geçirilir.