Politika
Kafkal Yazılım adına bilgi işleyen, sistemlere erişen veya kritik hizmet sunan üçüncü taraflar risk düzeylerine göre değerlendirilir.
- Güvenlik gereksinimleri seçim ve sözleşme öncesinde belirlenir.
- Sözleşme, hizmet koşulları veya veri işleme eki; tedarikçinin riskiyle ilgili olduğu ölçüde gizlilik, erişim, alt yüklenici, olay bildirimi, süreklilik, güvence, veri iadesi ve güvenli silme koşullarını içerir.
- Verilen erişimler isimli, süreli, en az ayrıcalıklı ve izlenebilir olur.
- Tedarikçiler işe alımda ve sözleşme yenilemesinde; önemli hizmet, teknoloji, veri, erişim, konum, sahiplik, olay veya alt yüklenici değişikliğinde riskle orantılı olarak yeniden değerlendirilir.
- İlişki sonunda hesaplar kapatılır, varlıklar iade edilir ve bilgi iade ya da imha kanıtı alınır.
Kabul edilemeyen tedarikçi riskleri BGYS Sorumlusu tarafından değerlendirilir ve Üst Yönetim kararı olmadan kabul edilmez.
Kritik olarak sınıflandırılmış tedarikçi bulunmadığı dönemde ayrı bir yıllık kritik tedarikçi değerlendirmesi yapılmaz. Bir tedarikçi kritik hâle gelirse değerlendirme kapsamı ve sıklığı risk sonucuna göre belirlenir.