🔐 Gizlilik Politikası

Güvenlik

Güvenlik, ChannelsHub platformunun ve geliştirme ve işletme süreçlerinin ayrılmaz bir parçasıdır. ZBK Yazılım ve Bilgi Sistemleri A.Ş., satıcı bilgilerini, pazar yeri bilgilerini ve kişisel bilgileri yetkisiz erişime, ifşaya, değişikliğe ve kayba karşı korumak için tasarlanmış teknik ve organizasyonel kontroller uygulamaktadır.

 

1. Erişim Kontrolü

Üretim sistemlerine ve hassas bilgilere erişim, yalnızca yetkili kişiler ve hizmetlerle sınırlıdır.

• Bireysel kullanıcı tanımlaması

• Rol tabanlı erişim kontrolü

• En az ayrıcalıklı olanların ilkeleri

• Bilinmesi gereken bilgilere erişim

• Çok faktörlü kimlik doğrulama

• Kontrollü idari erişim

Sorumluluklar değiştiğinde erişim hakları gözden geçirilir ve ayarlanır.

 

2. Kimlik Doğrulama

Hassas sistemlere erişim sağlayan hesaplar, güçlü kimlik doğrulama kontrolleriyle korunmaktadır.

Parola politikaları, minimum uzunluk, karmaşıklık, parola geçmişi ve yaşam döngüsü gereksinimlerini zorunlu kılar.

Çok faktörlü kimlik doğrulama, uygun olduğu durumlarda kimlik doğrulama uygulamaları veya donanım tabanlı kimlik doğrulama gibi onaylanmış ikinci faktör mekanizmalarını kullanır.

Kimlik doğrulama girişimleri ve güvenlik olayları izlenmektedir.

 

3. Ağ Koruması

Üretim sistemleri ve veritabanları, ağ bölümlendirme ve erişim kontrol mekanizmaları aracılığıyla korunmaktadır.

Veritabanları ve dahili hizmetler doğrudan halka açık internete erişime açık değildir.

Herkese açık erişim, yalnızca gerekli uygulama hizmetleriyle sınırlıdır.

Yönetimsel erişim, kontrollü ve kimlik doğrulamalı kanallar aracılığıyla gerçekleştirilir.

Dış iletişimde TLS gibi şifrelenmiş protokoller kullanılır.

 

4. Veri Şifreleme

Hassas bilgiler, hem depolama sırasında hem de iletim sırasında şifreleme kullanılarak korunmaktadır.

Hassas olarak saklanan bilgiler, sektör standardı kriptografik algoritmalara dayalı uygulama düzeyinde şifreleme kullanabilir.

Sistemler arasında iletilen veriler, uygun olduğu durumlarda TLS 1.2 veya üzeri sürümler kullanılarak korunmaktadır.

Şifreleme anahtarları ve hassas kimlik bilgileri yalnızca yetkili sistemlere ve personele açıktır.

 

5. Kimlik Bilgilerinin Korunması

API kimlik bilgileri, erişim belirteçleri ve diğer gizli bilgiler gizli bilgi olarak kabul edilir.

Kimlik bilgileri saklanırken şifrelenir, erişim kontrolleriyle korunur ve kaynak depolarında saklanmaz.

Kimlik bilgileri, geçerli güvenlik gereksinimlerine göre değiştirilir ve güvenlik ihlali şüphesi durumunda iptal edilir veya yenileriyle değiştirilir.

 

6. Kayıt ve İzleme

Güvenlikle ilgili faaliyetler kaydedilir ve izlenir.

• Kimlik doğrulama etkinliği

• İdari faaliyet

• API etkinliği

• Uygulama etkinlikleri

• Veri erişim etkinliği

• Güvenlik olayları

Otomatik izleme, şüpheli kimlik doğrulama, erişim ve veri aktarımı faaliyetlerini belirlemek için kullanılır.

Güvenlik olayları, olay müdahale prosedürlerimize uygun olarak incelenir.

 

7. Güvenlik Açığı Yönetimi

Periyodik olarak güvenlik açığı değerlendirmeleri ve güvenlik testleri gerçekleştiriyoruz.

Güvenlik açığı taraması en az 30 günde bir yapılır ve önemli değişikliklerin ardından ek değerlendirmeler gerçekleştirilebilir.

Uygulama kodu, üretim sürümlerine geçmeden önce taranır.

Güvenlik bulguları ciddiyetine göre önceliklendirilir. Kritik güvenlik açıkları 7 gün içinde, yüksek riskli güvenlik açıkları ise bulgunun niteliğine ve uygulanabilirliğine bağlı olarak 30 gün içinde giderilir.

 

8. Güvenli Geliştirme

Güvenlik, yazılım geliştirme yaşam döngüsüne entegre edilmiştir.

Kod değişiklikleri, üretim ortamına dağıtılmadan önce gözden geçirilir ve güvenlik doğrulamasından geçirilir.

Belirlenen güvenlik açıkları önceliklendirilir, giderilir ve uygun durumlarda yayınlanmadan önce doğrulanır.

 

9. Yedekleme ve Kurtarma

İşletme açısından kritik öneme sahip bilgiler, yedekleme ve kurtarma prosedürleri aracılığıyla korunmaktadır.

Yedeklemeler uygun erişim kontrolleri ve şifreleme kullanılarak korunmaktadır.

Onarım prosedürleri, bütünlük doğrulamasını ve kontrollü kurtarma testini içerir.

Kurtarma hedefleri, hizmetin kritiklik derecesine göre belirlenir.

 

10. Veri Koruma

Kişisel bilgiler ve pazar yeri bilgileri, hassasiyetlerine göre sınıflandırılır ve işlenir.

Üretim aşamasındaki kişisel veriler, geliştirme veya test ortamlarında kasıtlı olarak kullanılmaz.

Gerektiğinde, test amacıyla sentetik, maskelenmiş veya anonimleştirilmiş veriler kullanılır.

 

11. Uç Nokta Koruması

Hassas üretim bilgilerine erişim, yalnızca yetkilendirilmiş ve kontrol edilen uç noktalarla sınırlıdır.

Koruma altındaki bilgilerin çıkarılabilir medya veya kişisel cihazlar aracılığıyla yetkisiz kopyalanması veya aktarılması riskini azaltmak için kontroller uygulanmaktadır.

​

12. Olay Müdahalesi

ZBK aşağıdaki konuları kapsayan bir olay müdahale süreci yürütmektedir:

1. Tespit

2. Triage

3. Sınırlama

4. Soruşturma

5. İyileştirme

6. İyileşmek

7. Olay sonrası değerlendirme

Yetkisiz erişim, kimlik bilgilerinin ele geçirilmesi veya veri sızıntısı gibi güvenlik olayları, ciddiyetlerine göre soruşturulur.

Gerekli durumlarda, ilgili müşteriler, yetkililer ve platform sağlayıcıları, geçerli sözleşme ve düzenleyici süreler içinde bilgilendirilir.

 

13. Personel Güvenliği

Hassas bilgilere erişim, iş sorumluluklarına ve işletme gerekliliklerine göre sınırlandırılmıştır.

Korunan bilgilere erişimi olan personel gizlilik yükümlülüklerine tabidir.

Güvenlik sorumlulukları, ilgili organizasyonel ve sözleşmesel süreçlere dahil edilmiştir.

 

14. Üçüncü Taraf Güvenliği

Bilgileri işleyebilecek üçüncü taraf hizmetleri, hizmetin niteliğine ve ilgili bilgilere göre seçilir ve kullanılır.

Gerektiği durumlarda sözleşmesel, teknik ve organizasyonel güvenlik önlemleri uygulanır.

Güvenlik İletişimi

Güvenlikle ilgili sorular veya raporlar şu adrese gönderilebilir:

ZBK Yazılım ve Bilgi Sistemleri A.Ş.
ChannelsHub
E-postası: info@zbksoftware.com