Bilgi transferi
Kafkal Yazılım bilgiyi, sınıfı ve aktarım riskine uygun kanallarla paylaşır.
- Gizli bilgiler yalnızca doğrulanmış alıcılara, onaylı servisler üzerinden ve gerektiğinde şifreli aktarılır.
- Yanlış alıcı ve gereksiz alıcı riskini azaltmak için gönderim öncesi alıcı, ek ve sınıflandırma kontrol edilir.
- Üçüncü taraf transferlerinde gizlilik, kullanım amacı, saklama, silme ve olay bildirimi koşulları sözleşmeyle belirlenir.
- Fiziksel ortam transferleri teslim-tesellüm kaydı ve uygun paketleme ile gerçekleştirilir.
- Kriptografik algoritma, anahtar uzunluğu ve protokoller güncel risk ve kabul edilmiş endüstri uygulamalarına göre seçilir.
- Kuruluşça yönetilen anahtarlar üretim, dağıtım, saklama, yenileme, iptal, yedekleme ve imha yaşam döngüsü boyunca korunur; dış tarafça yönetilen anahtarlarda ortam sahibinin güvence düzenlemeleri esas alınır.
- Şifreleme anahtarları korunan veriden ayrı ve yalnızca yetkili rollerce erişilebilir tutulur.
Yanlış veya yetkisiz transferler gecikmeden olay yönetimi sürecine bildirilir.
Kriptografik kontroller
Kriptografik kontrol veri sınıfı, aktarım/depolama ortamı, tehdit ve mevzuat ihtiyacına göre seçilir. Yalnızca kurumca onaylanmış, güncel ve sektörce kabul gören algoritma, protokol ve ürünler kullanılır.
- Kuruluşun yönettiği anahtar ve sertifikaların sahibi, amacı, konumu, geçerlilik süresi ve yenileme sorumlusu envanterde tutulur. Yönetilen hizmetlerde sağlayıcının envanter veya yapılandırma kanıtı yeterlidir.
- Özel anahtarlar ve sırlar kod, e-posta veya genel dosya alanında açık metin saklanmaz.
- Kuruluşun kendi ürünleri için yönettiği üretim ve test anahtarları ayrılır; erişim en az ayrıcalıkla sınırlandırılır.
- Kuruluşun kendi ürünleri için yönettiği üretim anahtarlarının oluşturma, dağıtma, yedekleme, yenileme, iptal ve imha işlemleri kayıt altına alınır. Dış tarafça yönetilen ortamın anahtar yaşam döngüsü ortam sahibinin sorumluluğundadır.
- Süresi dolan, ifşa olan veya artık kullanılmayan anahtar ve sertifikalar iptal edilerek güvenli biçimde imha edilir.
Kriptografik istisnalar BGYS Sorumlusu değerlendirmesi, Üst Yönetim onayı, bitiş tarihi ve telafi edici kontrol gerektirir.