Bilgi Güvenliği Politikamız

Bu politika; firmamızın sahibi olduğu ya da emanetinde bulunan tüm bilgi varlıklarını kapsar. Müşteri ve üye kayıtları, teklif ve sipariş bilgileri, teknik çizim ve tasarım dosyaları, üretim verileri, mali kayıtlar ile bunları işleyen sistem ve ortamlar bu kapsamdadır.

Politika, firmamızın tüm çalışanları ile firmamız adına bilgi işleyen tedarikçi ve hizmet sağlayıcılar için bağlayıcıdır. Sözleşmelerimize bu yönde hükümler eklenir.

Politika, uluslararası bilgi güvenliği yönetim standartlarının temel yaklaşımını benimser ve 6698 sayılı Kanun'un 12. maddesindeki teknik ve idari tedbir yükümlülüğünü karşılamayı hedefler.

Bilgi varlıkları dört sınıfa ayrılır: herkese açık, iç kullanım, gizli ve özel nitelikli. Sınıf, varlığın yetkisiz kişilerin eline geçmesi hâlinde doğacak zarara göre belirlenir.

Müşteriye ait teknik çizimler ve teklif fiyatları "gizli" sınıfındadır: paylaşımı işin gerektirdiği kişiyle sınırlıdır, dış ortama aktarılmaz ve iş bittiğinde saklama süresi sonunda imha edilir.

Kişisel veri içeren varlıklar ayrıca Kişisel Verilerin Korunması Politikası'na tabidir. İki politika arasında bir çelişki olması hâlinde, kişisel veri lehine olan hüküm uygulanır.

Erişim yetkileri role göre tanımlanır; kişiye özel istisna verilmez. Yeni bir yetki talebi, talebin gerekçesi ve süresiyle birlikte kaydedilir ve yönetim onayına bağlıdır.

Görev değişikliğinde yetkiler aynı gün gözden geçirilir; iş ilişkisi sona erdiğinde tüm erişimler o gün kapatılır ve paylaşılan hesap varsa parolası değiştirilir.

Yetki listesi yılda en az bir kez bütünüyle denetlenir. Denetimde artık kullanılmayan hesaplar kapatılır, gereğinden geniş kalmış yetkiler daraltılır.

Paylaşılan hesap kullanılmaz; her kullanıcının kendi hesabı olur. İzlenebilirliğin ön şartı budur — paylaşılan bir hesapla yapılan işlemin sahibi belirlenemez.

Yönetim paneline giriş, parolanın yanında ikinci bir adımla doğrulanır. Parola tek başına yeterli değildir.

Parolalar sistemde hiçbir zaman düz metin olarak tutulmaz; yalnızca geri çevrilemez bir özeti saklanır. Bir parolayı okuyabilen bir yönetici hesabı yoktur.

Parola karmaşıklığı ve yenileme kuralları uygulanır. Başarısız giriş denemeleri sayılır, belirli bir eşikten sonra istek hız sınırına takılır; bu sayede otomatik deneme saldırıları etkisiz kalır.

Kullanıcı oturumları süresizdir denilemez: oturum en fazla yedi gün açık kalır ve sekiz saat hareketsizlikte kapanır.

Site ve yönetim paneli yalnız HTTPS üzerinden sunulur; tarayıcı ile sunucu arasındaki tüm trafik şifrelenir. Şifresiz bağlantıyla gelen istekler şifreli adrese yönlendirilir.

Oturum çerezleri yalnız sunucu tarafından okunabilecek biçimde işaretlenir ve başka sitelerden gelen isteklerle birlikte gönderilmez.

Kişisel veri içeren dosyalar e-posta ekiyle rutin olarak dolaştırılmaz. Gerektiğinde erişim, yetkili kullanıcının panel üzerinden indirmesiyle sağlanır.

Site ziyaretçiye dosya yükleme alanı açmaz. Yükleme yetkisi yalnız kimliği doğrulanmış panel kullanıcısındadır ve yüklenen görsel sunucuda yeniden işlenerek kaydedilir.

Sunucu ve uygulama katmanındaki güvenlik güncellemeleri takip edilir; bağımlılıklar düzenli olarak taranır ve bilinen açıkları kapatan sürümlere geçilir.

Form girdileri sunucu tarafında doğrulanır; veritabanı sorguları parametreli biçimde çalışır. İstemci tarafındaki hiçbir denetim tek başına güvenlik önlemi sayılmaz.

Sistem, güvenlik açığı bulundurmadığı varsayımıyla değil, bulunabileceği varsayımıyla kurulur: her katman kendi denetimini yapar.

Veritabanı ve dosya varlıkları düzenli aralıklarla yedeklenir. Yedekler üretim ortamından ayrı tutulur ve erişimi kısıtlıdır.

Yedeğin varlığı tek başına yeterli değildir: geri dönüşün çalıştığı düzenli olarak sınanır. Sınanmamış bir yedek, olmayan bir yedektir.

İmha edilmiş bir kayıt, yedekten geri dönülmesi hâlinde yeniden oluşturulmaz. Geri dönüş sonrası imha listesi yeniden uygulanır.

Panel girişleri, başarısız giriş denemeleri, yetki değişiklikleri ve veri dışa aktarma işlemleri kayda geçirilir. Kayıtlarda işlemi yapan kullanıcı, zaman ve işlemin konusu bulunur.

Dışa aktarma kayıtları, kişisel veri içeren bir listenin ne zaman ve kim tarafından indirildiğini gösterir; bu iz, olası bir ihlalin kapsamını belirlemenin ilk aracıdır.

Kayıtlar yalnız güvenlik ve arıza tespiti amacıyla incelenir; çalışan performansının ölçülmesinde kullanılmaz.

Firmamız adına veri işleyen her tarafla yazılı sözleşme yapılır. Sözleşmede gizlilik, alınacak teknik tedbirler, alt yüklenici kullanımı, ihlal bildirimi ve hizmet bitiminde verinin iadesi veya imhası düzenlenir.

Hizmet sağlayıcıya verilen erişim, hizmetin gerektirdiği en dar kapsamda tutulur ve hizmet sona erdiğinde kapatılır.

Yeni bir hizmet sağlayıcı devreye alınmadan önce, verinin nerede tutulacağı ve kimlerin erişeceği yazılı olarak sorulur; cevabı belirsiz kalan bir hizmet kullanılmaz.

Bilgi güvenliği, teknik bir konu olduğu kadar alışkanlık meselesidir. Vakaların çoğu açık bir sistemden değil, yanlış alıcıya giden bir e-postadan, ekranda açık bırakılmış bir kayıttan ya da paylaşılan bir paroladan çıkar.

Çalışanlara düzenli bilgilendirme yapılır; oltalama girişimlerinin nasıl tanınacağı ve şüpheli bir durumun kime bildirileceği anlatılır.

Kişisel veriye erişimi olan her çalışanla gizlilik taahhüdü imzalanır. Taahhüt, iş ilişkisi sona erdikten sonra da geçerliliğini korur.

Şüpheli her durum — açıklanamayan bir erişim, beklenmedik bir veri değişikliği, kaybolan bir cihaz — güvenlik olayı olarak ele alınır ve gecikmeden bildirilir. Bildirimde bulunan çalışan, olay yanlış alarm çıksa dahi olumsuz bir sonuçla karşılaşmaz.

Olay doğrulandığında önce yayılma durdurulur, ardından kapsam belirlenir ve etkilenen sistemler kurtarılır. Olay, kök nedeni giderilmeden kapatılmaz.

Kişisel veri ihlali söz konusuysa, durum en kısa sürede ve öğrenme tarihinden itibaren yetmiş iki saati aşmamak üzere Kişisel Verileri Koruma Kurulu'na bildirilir; etkilenen kişiler de belirlendikleri anda bilgilendirilir.

Bir güvenlik açığı fark eden kullanıcılarımızın, açığı kötüye kullanmadan laser-t@laser-t.com adresine bildirmesini rica ederiz. İyi niyetli bildirimler değerlendirilir ve bildirim sahibine dönüş yapılır.

Bu politika yılda en az bir kez, ayrıca önemli bir sistem değişikliği ya da güvenlik olayı sonrasında gözden geçirilir.

Gözden geçirmede yetki listeleri, yedek sınamaları, olay kayıtları, hizmet sağlayıcı sözleşmeleri ve açık bulgular ele alınır. Kapatılmayan bir bulgu, sorumlusu ve süresiyle birlikte bir sonraki gözden geçirmeye devreder.

Güncel sürüm her zaman bu adreste bulunur; künyedeki tarih son gözden geçirmeyi gösterir.