BİLGİ GÜVENLİĞİ POLİTİKASI

Amaç

Bu politika, kuruluşumuzun bilgi varlıklarının korunmasını sağlamak ve kuruluşun güvenlik, gizlilik, bütünlük ve erişilebilirlik standartlarını belirlemek amacıyla hazırlanmış olup, bilgi güvenliği politikamız hem müşteri verilerini hem de şirket içi verileri korumak, bu verilere yetkisiz erişimi önlemek ve ilgili yasal ve düzenleyici gereksinimlere uymayı güvence altına almak için gerekli prosedürlerin belirlenmesini sağlar.

Kapsam

Bu politika, kuruluşun dijital ve fiziksel ortamlarda yer alan tüm bilgi varlıklarını, bu varlıklara erişim sağlayan bilgi sistemlerini, süreçleri, hizmetleri ve teknolojik altyapıyı kapsar. Politika kapsamında ayrıca, bu sistem ve varlıklarla doğrudan veya dolaylı şekilde etkileşimde bulunan tüm iç ve dış paydaşlar; çalışanlar, temsilciler, iş ortakları, üçüncü taraf hizmet sağlayıcıları, danışmanlar ve kuruluşla etkileşime giren diğer tüm kişi ve kuruluşlar yer almaktadır.

Sorumluluklar

• Yönetim Kurulu: Bilgi güvenliği stratejilerinin ve politikalarının onaylanmasından sorumludur.

• Bilgi Güvenliği Ekibi: Politikaların uygulanmasını sağlar, bilgi güvenliği risklerini yönetir ve düzenli olarak güvenlik kontrollerini gerçekleştirir.

• Çalışanlar: Bilgi güvenliği politikalarına uymaktan, kişisel ve kurumsal sorumluluklarını yerine getirmekten sorumludur.

Bilgi Güvenliği İlkeleri

• Gizlilik: Müşteri ve kurum bilgilerinin gizliliği korunmalı, yetkisiz erişime karşı korunmalıdır.

• Bütünlük: Bilgilerin doğruluğu ve tamlığı sağlanmalı, yetkisiz değişiklikler engellenmelidir.

• Erişilebilirlik: Bilgiler, ihtiyaç duyulduğunda yetkili kişiler tarafından erişilebilir olmalıdır.

Genel Esaslar

Bilgi güvenliğinin sağlanması, bilgi varlıklarının korunması ve sürdürülebilir şekilde yönetilmesi açısından bilgi sistemleri yönetiminin en temel ve stratejik unsurlarından biridir. İş süreçlerinin giderek bilgi sistemlerine daha da bağlı hale gelmesi, bu alandaki tehditlerin de artmasını beraberinde getirmiştir. Kuruluş olarak, bu tehditleri en iyi şekilde ele alan bir bilgi güvenliği yönetimi süreci geliştirmek ve bilgi güvenliği olaylarından kaynaklı kayıpları en aza indirmek, temel değerlerimiz arasında yer almaktadır. Bilgi güvenliği süreci, kurumumuzda üretilen ve işlenen tüm bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı amaçlar. Bunun için, risk seviyesine uygun teknik ve idari kontroller ile önlemler belirlenir ve bilgi güvenliğinin bir kurum kültürü haline gelmesi için gereken önlemler alınır. Bilgi güvenliği açısından yasal uyumu sağlanmak amacıyla gerekli çalışmalar yürütülür. Bilgi güvenliğini sağlamaya yönelik politika ve prosedürler oluşturulur, bunların tüm çalışanlara ve ilgili üçüncü taraflara yaygınlaştırılması sağlanır. Bilgi güvenliği süreci düzenli olarak gözden geçirilerek sürekli iyileştirilmesine yönelik aksiyonlar alınır. Personele güvenlik konusunda farkındalık kazanmaları amacıyla, her sene periyodik olarak Bilgi Güvenliği Farkındalık Eğitimleri düzenlenir. Bilgi Güvenliği Farkındalık eğitimlerine katılım tüm personel için zorunlu olup gerekli görülen durumlarda, üçüncü taraf firma personelinden de eğitime katılmaları istenebilir. Eğitim içeriği her sene gözden geçirilerek değişiklik ihtiyacı tespit edilen durumlarda güncellenir. Bilgi sistemleri ve bilgi sistemleri üzerinde işlenen, iletilen, depolanan ve yedek olarak tutulan veriler güvenlik hassasiyet derecelerine göre sınıflanır, her bir sınıf için uygun düzeyde güvenlik kontrolleri tesis edilir. Bu konu ile ilgili işleyiş ve sorumluluklar “Bilgi Varlıkları Sınıflandırma Prosedürü” doğrultusunda düzenlenmektedir. Tüm personel ve ilgili verilere erişen üçüncü parti firma çalışanları “Bilgi Varlıkları Sınıflandırma Prosedürü” doğrultusunda varlık ve varlık sınıfları için belirlenen güvenlik, gizlilik, erişim, iletim ve ilgili diğer kontrollerine uymakla yükümlüdürler.

Bilgi sistemlerine ilişkin sistem, veri tabanı ve uygulamaların geliştirilmesinde, test edilmesinde ve işletilmesinde görevler ayrılığı prensibi uygulanır, atanan görevler ve sorumluluklar görevler ayrılığı prensibine göre periyodik olarak gözden geçirilir ve gerekiyorsa güncellenir. Süreçler ve sistemler, kritik işlemlerin tek bir personel veya tedarikçi tarafından başlatılması, onaylanması ve tamamlanmasına olanak tanımayacak şekilde tasarlanır. Bilgi sistemlerinin zarar görmemesi ve diğer tüm kritik bilgi varlıklarının fiziksel ve çevresel tehditlerden korunması amacıyla sistem odasına ait fiziksel ve çevresel güvenlik önlemleri ile fiziksel ortam erişim yönetimi süreci “Fiziksel ve Çevresel Güvenlik Yönetimi Prosedürü” kapsamında tanımlanmıştır. Tüm personelin bu prosedür hükümlerine uygun hareket etmesini sağlamak amacıyla gerekli kontroller ilgili birimler tarafından gerçekleştirilir. Bilgi sistemleri üzerinden gerçekleşen işlemler için kimlik doğrulama mekanizmaları kullanılır. Hangi kimlik doğrulama tekniklerinin uygulanacağına, yapılacak risk değerlendirmesi sonucuna göre karar verilir. Risk değerlendirmesi, bilgi sistemleri üzerinden gerçekleştirilmesi planlanan işlemlerin türü (tipi, niteliği, varsa doğuracağı finansal ve finansal olmayan etkilerinin büyüklüğü gibi), işleme konu verinin hassaslık derecesi ve kimlik doğrulama tekniğinin uygulanabilirliği ve kullanım kolaylığı da göz önünde bulundurularak gerçekleştirilir. Kurum bünyesindeki yetkili ve standart kullanıcı hesaplarının yönetimi, bilgi sistemlerine ve uygulamalarına erişim ve kullanıcı hesapları şifrelerinin standartlara uygun şekilde oluşturulması, kullanılması, korunması, değiştirilmesi ve tanımlanan şifrelerle ilgili kullanıcıların bilgilendirme süreci “Kullanıcı Kimlik ve Hesap Yönetimi Prosedürü” doğrultusunda gerçekleştirilir. Yetkilendirme düzeyi ve erişim haklarının atanmasında ilgili unsurun görev ve sorumlulukları göz önünde bulundurularak, gerekli olacak en düşük yetkinin atanması ve en kısıtlı erişim hakkının verilmesi yaklaşımı esas alınır. Bilgi sistemlerinde ve ağlarında oluşabilecek güvenlik olaylarının en kısa sürede algılanması, sebeplerinin analiz edilmesi için yeterli verinin toplanması, olası sistem aksaklıklarının en kısa sürede çözümlenmesi, ihlallere ve saldırılara karşı alınacak aksiyonların belirlenmesi, ilgili yerlere raporlanması ve bilgi güvenliği ihlalleriyle ilgili risklerin minimize edilmesine ilişkin sorumluluklar ve aktiviteler “Olay Yönetimi Prosedürü” dahilinde tanımlanmaktadır. Tüm personelin prosedür doğrultusunda belirlenen sürece uyumu ve güvenlik ihlallerini Bilgi Teknolojileri Yöneticisine/Bilgi Güvenliği Sorumlusuna bildirmesi esastır. Bilgi sistemlerinin, gerçekleşebilecek iç ve dış tehditleri kapsayan senaryolar doğrultusunda yılda en az bir defa düzenli olarak sızma testine tabi tutulması sağlanır. Zafiyet taraması ve sızma testleri sonucunda tespit edilen öncelikli bulgular, raporlarında yer alan öneriler dikkate alınarak mümkün olan en kısa süre içerisinde giderilir. Bulgular giderilinceye kadar uygun koruyucu tedbirlerin alınması sağlanır. Zafiyet taraması ve sızma testleri sonucunda tespit edilen bulguların makul bir süre içerisinde giderilmesi, bu amaçlar oluşturulan ve kuruluş yönetim kurullarınca onaylanan bir eylem planı çerçevesinde takip edilir. Kurum bünyesinde kullanıcı bilgisayarlarının ve verilerin yetkisiz kullanımını engellemek amacıyla çalışanların günlük iş akışları sırasında dikkat etmesi gereken standartlar aşağıda belirtilmiştir:

a. Önemli bilgi içeren dokümanlar ve veri depolama cihazları (CD, DVD, Flash Disk vb.) kullanılmadığı zamanlarda veya mesai saatleri dışında güvenli alanlarda saklanmalıdır. Eğer bu doküman ve cihazların saklanabileceği güvenli kasa veya dolaplar mevcut değilse, bulundukları odanın kapısı kilitli tutulmalıdır. Eğer mümkünse önemli bilgiler sadece yetkisiz erişimlerden değil, bilgilerin yok olmasına neden olabilecek dış etkenlerden (yangın, sel vb.) de korunmalıdır.

b. Taşınabilir belleklerle transfer edilen tüm dosyalar ve veriler kullanıldıktan sonra silinir, transfer haricinde bellekler üzerinde hiçbir veri tutulmamalıdır. Aynı şekilde ortak alanlarda paylaşılan tüm dosyalar, transfer gerçekleştikten sonra hemen silinmelidir.

c. Tüm taşınabilir cihazlar (dizüstü ve tablet bilgisayarlar, akıllı telefonlar, taşınabilir bellekler vb.) için şifreli ekran-koruyucular belirlenmelidir. Taşınabilir cihazlar gözetimsiz şekilde bırakılmamalıdır.

d. Bilgisayar ekranları, yetkisiz kişilerin göremeyeceği şekilde tutulmalıdır.

e. Kullanıcılar çalışma alanlarını terk ederken bilgisayar ekranlarını kilitlemelidir.

f. Şifreler, fiziksel ortamlarda (kâğıt, post-it vb.) yazılı şekilde bulundurulmamalıdır.

g. Mesai saatleri dışında, çalışma ortamları temiz ve düzenli bırakılmalıdır.

h. Eğer kullanılıyorsa Flipchart ve beyaz tahta gibi sunum ekipmanları üzerindeki yazılı bilgiler silinmelidir.

i. Veri depolama cihazlarının saklandığı alanlar, her zaman kapalı ve kilitli tutulmalıdır.

j. Gizli dokümanlar çöp kovasına atılmamalıdır, iş bittiğinde dokümanlar parçalanarak atılmalıdır.

k. Çekmeceler kilitli tutulmalı ve anahtarlar göz önünden kaldırılarak saklanmalıdır.

l. Kritik bilgi içeren dokümanların çıktısı alındıktan sonra ortalıkta bırakılmamalıdır.

Uyumluluk

Kuruluşumuz, yürürlükteki yerel ve uluslararası bilgi güvenliği ve veri koruma yasalarına ve düzenlemelerine uygun hareket etmeyi taahhüt eder. Tüm çalışanlar ve ilgili taraflar bu uyumluluğu sağlamakla yükümlüdür.

Politika Revizyonu

Bilgi güvenliği politikası, değişen teknoloji ve mevzuata uygun olarak yılda en az bir kez gözden geçirilmeli ve gerektiğinde güncellenmelidir. Güncellenen politika, Yönetim Kurulu tarafından onaylandığı takdirde, yayınlanarak tüm kullanıcılara haberleşme kanalları vasıtasıyla duyurulur (örneğin; e-posta, intranet portalı, kurum içi panolar aracılığıyla).