Temel kullanım kuralları
Kafkal Yazılım tarafından sağlanan veya iş için kullanımına izin verilen cihaz, bağlantı, e-posta, uygulama ve bilgi kaynakları öncelikle iş amaçlı kullanılır.
- Kullanıcılar hesaplarını paylaşmaz, cihazlarını gözetimsiz bırakırken ekranı kilitler.
- Kullanıcılar yalnızca görevleri için gerekli bilgiye erişir ve bilgiyi sınıfına uygun yerde işler.
- Yetkisiz yazılım, tarayıcı eklentisi, donanım veya bulut hizmeti kurulmaz ve kullanılmaz.
- Kurumsal bilgi kişisel e-posta, kişisel depolama alanı veya onaysız mesajlaşma kanallarına aktarılmaz.
- Şüpheli bağlantı ve ekler açılmaz, gönderene yanıt verilmez; phishing (oltalama / kimlik avı) şüphesi taşıyan e-postalar gecikmeden security@kafkal.com adresine e-posta gönderilerek bildirilir. Şüpheli ileti mümkünse “ek olarak ilet” yöntemiyle gönderilir; varsa bağlantıya tıklama, ek açma veya bilgi paylaşma durumu belirtilir. Bildirim adımları için Bilgi Güvenliği Olay Müdahale Planı içindeki Phishing bildirimi bölümü uygulanır.
- Lisans, telif, gizlilik ve kişisel veri yükümlülüklerine uyulur.
- Güvenlik kontrolleri devre dışı bırakılmaz veya aşılmaya çalışılmaz.
- Hassas görüşmeler yetkisiz kişilerce duyulabilecek ortamlarda yapılmaz.
- Masa ve ekranlarda gizli bilgi açıkta bırakılmaz; çıktılar güvenli biçimde alınır ve imha edilir.
- Kuruluş, mevzuat ve sözleşmelerin izin verdiği ölçüde güvenlik amacıyla kurumsal sistem kullanımını kaydedebilir ve inceleyebilir.
- Zorunlu güvenlik eğitimleri zamanında tamamlanır; politika ve talimat değişiklikleri takip edilir.
- Güvenli işlem yönteminden emin olunmadığında işlem durdurulur ve BGYS Sorumlusuna veya Üst Yönetime danışılır.
Kayıp cihaz, yanlış alıcıya gönderim, şüpheli oturum veya diğer güvenlik olayları gecikmeden bildirilir.
Uç nokta ve zararlı yazılım güvenliği
Kuruluş tarafından yönetilen veya açıkça onaylanan cihaz ve yazılımlar kullanılır. Yönetici yetkileri iş ihtiyacıyla sınırlandırılır; güvenlik ayarları ve koruma araçları yetkisiz olarak değiştirilemez.
- Desteklenen kuruluş cihazlarında zararlı yazılım koruması, otomatik güncelleme ve güvenli yapılandırma uygulanır. Ayrı bir merkezî yönetim altyapısı bulunmadığında işletim sistemi veya hizmet sağlayıcının yerleşik yönetim ve kayıt özellikleri kullanılır.
- Dosya, e-posta, web ve çıkarılabilir ortamlar riskle orantılı olarak taranır.
- Destek süresi dolmuş, güncel olmayan veya koruma ajanı çalışmayan cihaz kurumsal kaynaklara bağlanmaz.
- Karantinadan çıkarma ve güvenlik istisnaları kayıtlı gerekçe, süre, BGYS Sorumlusu değerlendirmesi ve Üst Yönetim onayı gerektirir.
- Kayıp, çalıntı veya şüpheli cihaz gerektiğinde ağdan ayrılır; kanıtlar korunur ve güvenli duruma getirilmeden kullanılmaz.
Koruma kapsamı, güncelleme durumu, tespitler ve istisnalar belirlenen sıklıkta izlenir ve kaydedilir.