Bilgi Güvenliği Politikası

AMAÇ

Bu politika, Şirket bünyesindeki bilgi sistemlerinin ve verilerin gizlilik, bütünlük ve erişilebilirliğini sağlayacak önlemlere ilişkin kontrol altyapısının geliştirilmesi ve düzenli olarak güncellenmesi çalışmalarını gözetim altında tutmayı amaçlar.

KAPSAM

Bilgi işlem ilgili diğer önemli varlıklar gibi bir kuruluşun faaliyetleri açısından gerekli olan ve bunun neticesinde de uygun bir şekilde korunması gereken bir varlıktır. Bilgi varlıklarının güvenliği Şirket tarafından tanımlanmış politikalar doğrultusunda sağlanır. Bilgi güvenliğinin amacı; bilgiye yetkisiz erişimin engellenmesi (Gizlilik),  bilginin ve bilgi varlıklarının tam ve eksiksiz olması, doğru olması ve uygunsuz biçimde değiştirilmemesi (Bütünlük) ve yetkili kullanıcıların ihtiyaç duydukları veriye ihtiyaç duydukları zaman erişebilmesinin (Erişilebilirlik) sağlanmasıdır.

Bilgi Güvenliği Politikası Şirket’in tüm birimlerine ve hizmet sağlayıcılarına uygulanır.

Şirket’in Bilgi Güvenliği Yönetim Süreci’nin hedefi Şirket tarafından üretilen, işlenen, saklanan bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini sağlamak amacıyla bilgi varlıkları envanterini çıkarmak, risk değerlendirmesi yapmak, kontrolleri hayata geçirmek ve uygulanan kontrollerin etkinliklerini gözden geçirmektir.

BİLGİ SİSTEMLERİ YÖNETİMİNE İLİŞKİN TEMEL İLKELER

• Bilgi sistemlerinin yapısının, Şirket’in ölçeği, faaliyetlerin ve sunulan ürünlerin niteliği, çeşitliliği ve stratejik hedefleri ile uyumlu olması; bilgi sistemleri ile içerdiği verinin güvenilir, doğru, eksiksiz, izlenebilir, tutarlı, erişilebilir ve ihtiyaçları karşılayacak nitelikte oluşturulması esastır. Bilgi sistemleri asgari olarak;
  • Şirket’le ilgili tüm bilgilerin yurt içinde elektronik ortamda güvenli ve istenildiği an erişime imkân sağlayacak şekilde saklanılmasına veya yedeklenmesine ve kullanılmasına,
  • Sızma ve stres testlerinin yapılabilmesine,
  • İşlenen kayıtların Faktöring şirketleri Bilgi Sistemleri Yönetimi ve denetimine, Kamu Gözetimi, Bankacılık Düzenleme Denetleme Kurumu, Muhasebe ve Denetim Standartları Kurulu tarafından belirlenen usul ve esaslara uygun şekilde işlenmesine imkân verecek yapıda tesis edilir.

• Bilgi sistemlerinin sürekli biçimde işlerliğini sağlamak üzere İş Süreklilik/Acil Durum Planları oluşturulur. Söz konusu planların işlerliği ve yeterliliği düzenli olarak test edilir; ihtiyaç duyulması halinde gerekli tedbirler alınır. İş sürekliliği/acil durumun planlanmasında, kritik bilgi teknolojileri varlıkları ile süreçleri belirlenir; bunlara ilişkin iş etki analizi ile risk değerlendirmesi yapılır.
• Bilgi sistemleri ile içerdiği verinin güvenli biçimde saklanması esastır. Bu çerçevede, veriler, güvenlik hassasiyet derecelerine göre sınıflandırılır, her bir sınıf için uygun düzeyde güvenlik kontrolleri tesis edilir ve buna göre yedeklenir. Bilgi sistemlerinin güvenliği ve yedekleme sistemlerinin işleyişi düzenli olarak test edilir ve test sonuçlarına göre ihtiyaç duyulması halinde gerekli değişiklikler yapılır.
• Bilgi güvenliğinin temininde ve Şirket’in bilgi sistemlerine erişimde, kimlik doğrulama ve yetkilendirme mekanizmaları ile inkâr edilemezlik ve sorumluluk atama imkânlarını içeren teknikler kullanılır.
• Bilgi sistemlerinin geliştirilmesi, test edilmesi ve işletilmesi süreçlerinde görevler ayrılığı ilkesi uygulanır. Bilgi sistemleri yönetim sürecinde görev alan bölüm ve çalışanların görev, yetki ve sorumlulukları görevler ayrılığı ilkesine uygun belirlenir.
• Faaliyetlerin yürütülmesi sırasında bilgi sistemleri aracılığıyla edinilen ve saklanan müşteri ve Şirket bilgilerinin gizliliğini sağlamak esastır. Müşteri bilgilerinin, yasalarla yetkili kılınmış merciler dışındaki taraflarla paylaşımına ilişkin personele taahhütnameler imzalatılarak belirlenir.
• Bilgi sistemleri kullanılarak gerçekleştirilen ve şirket faaliyetlerine ait kayıtlarda değişikliğe neden olan işlemlere ilişkin olarak yeterli detayda ve açıklıkta denetim izleri oluşturulur. Denetim izlerinin bütünlüğünün bozulmasının önlenmesi ve herhangi bir bozulma durumunda bunun tespit edilebilmesi için gerekli tedbirler alınır.
• Uygulamaya konulan bilgi sistemlerinin işleyişi, stratejik hedeflere uygunluğu, kontrollerin etkinliği ve yeterliliği, bilgi teknolojilerindeki gelişmeler de göz önüne alınarak düzenli olarak izlenir. Yeni bilgi sistemlerinin Şirket’te uygulanmasının, Şirket’in risk profili üzerinde yaratacağı etki değerlendirilir. Bu çerçevede, gerek duyulması halinde, bilgi sistemleri işleyişi revize edilir.

Şirket Bilgi Güvenliği Politikası ile

• Kişisel bilginin mahremiyetinin korunmasını sağlamak amacıyla müşteri ve personel bilgilerinin gizliliğini korur.
• Bilginin bütünlüğünü koruyacak ve sürekli erişilebilirliğini garanti altına alacak altyapıyı ve kontrolleri hayata geçirir.
• Tasarım, geliştirme, test ve uygulama süreçlerinde görevler ayrılığı prensibine uygun yetkilendirmeyi sağlar ve kritik işlemlerde onay mekanizması tesis eder.
• Geliştirme, Test ve Üretim ortamlarının fiziksel ve mantıksal olarak ayrılmasını sağlar.
• Kullanıcıların yetkilendirilmesinde gerekli olan minimum yetkilendirme prensibinin sağlanması ve yetkilerin düzenli olarak kontrol edilmesini sağlar.
• Dış ağlardan gelebilecek tehditlere karşı ağ güvenliğini tesis eder.
• Katmanlı güvenlik mimarisini tesis eder ve sürekli gözetimini sağlar.
• Verilerinin ve kişisel bilgilerin iletilmesinde ve saklanmasında şifreleme, maskeleme gibi güvenliği sağlayacak tedbirlerin alınmasını sağlar.
• Kullanılan şifreleme anahtarlarının güvenilirliğini sağlar.
• Bilgi güvenliği faaliyetlerinin yönetilmesini ve koordinasyonunu sağlamak amacıyla bir bilgi güvenliği organizasyonu oluşturur.
• Bilgi varlıkları envanterini çıkarır, sahiplikleri belirler ve bilgi varlıkları üzerindeki riskleri yönetir.
• Bilgi güvenliği olaylarının tespit edilmesi, raporlanması ve tekrarının önlenmesi adımlarını içeren bilgi güvenliği olay yönetimi faaliyetleri gerçekleştirir.
• Tüm personele yeterli seviyede farkındalık programı uygular ve bilgi güvenliği gerekliliklerinin karşılanması için tüm çalışanların katılımını sağlar.
• Bilginin işlendiği alanlarda bilginin güvenliğinin sağlanabilmesi amacıyla gerekli fiziksel ve çevresel güvenlik önlemlerini alır.
• Bilgi sistemleri edinim, geliştirme ve bakımında güvenlik gerekliliklerinin neler olduğunu belirler ve hayata geçirir.
• Belirlenen bilgi güvenliği politikalarına, süreçlerine, yasal ve düzenleyici zorunluluklara çalışanların uymalarını yazılı taahhütlerini alarak zorunlu tutar.
• Bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek için ilgili tüm alanlarda gerekli güvenlik kontrollerini hayata geçirir.
• Bilgi sistemleri faaliyetlerinin işletilmesinde gerekli güvenlik kontrolleri uygular, buna yönelik rol ve sorumlulukları tanımlar.

BİLGİ GÜVENLİĞİ İHLAL OLAYLARI VE OLAYLARIN İZLENMESİ

Bilgi sistemleri altyapısını etkileyen ve bir kısmının veya tamamının çalışamamasında etken olan yazılım, donanım ve insan kaynağı bileşenleri ile ilgili her türlü durum güvenlik olayı olarak tanımlanmaktadır. Bilgi güvenliği olaylarının tespit edilmesi amacı ile güvenlik duvarı aygıtları kullanılmakta ve uygulamadan alınan raporlar günlük olarak gözden geçirilmektedir.  Güvenlik olayları ile ilgili alınacak olan aksiyonlar, olayların sıklığına, sistemler üzerindeki etkisine ve oluşturduğu riske göre belirlenir.

Bilgi güvenliği ihlallerinin tespit edilmesi halinde bildirilmesi bütün şirket çalışanlarının sorumluluğundadır. Olayların kayıt altına alınması, incelenmesi, yönetilmesi ve aksiyon alınması süreçlerindeki sorumluluklar, Bilgi Güvenliği Rol ve Sorumluluklar Prosedüründe belirtildiği üzere Bilgi Güvenliği Yöneticisindedir.

Bilgi güvenliği olayları tüm bilgi sistemleri bileşenlerini kapsamakta olup, aşağıda verilen örneklerle sınırlı değildir.

1. Yazılımda meydana gelen güvenlik açıkları: Kullanılmakta olan iç veya dış kaynaklı yazılımların yetkisiz erişime veya işleme neden olması durumunda, tespit eden kullanıcı bu durumu derhal ilgililere bildirir.
2. Virüs veya trojan bulaşması: Anti virüs programının devre dışı kalması veya temizleyemediği bir virüsün veya trojanın (Truva atı) sisteme girmesi durumunda anti virüs programı bu durumu e-posta ile Bilgi İşlem Departmanı’na bildirir. Temizlenemeyen bir virüs bulaşması durumunda bilgisayarın ağ bağlantısı kesilerek başka bilgisayarlara bulaşmasına engel olunur. Virüs bir servis vasıtasıyla ağda yayılıyorsa bu servis firewall’ da (güvenlik duvarı) kapatılır.
3. Şifrenin yetkisiz kişilerin eline geçmesi: Kullanıcı şifresinin başkası tarafından öğrenilmesi durumunda kullanıcı durumu derhal ilgililere (Bilgi Güvenliği Yöneticisi ve/veya Bilgi İşlem Departmanı) bildirmektedir. Kullanıcı hesabı en kısa sürede bloke edilir ve oturum süresinde yapılan aktiviteler kontrol edilir.
4. Siber Saldırılar: Şirket servislerine erişme, devre dışı bırakma ve şirket varlıklarını deşifre etme, yok etme, değiştirme ve erişilemez kılma amacı ile gerçekleştirilen yetkisiz kullanım girişimleridir. Siber saldırı ile karşılaşılması halinde alınacak aksiyon saldırının kaynağını tespit etmek ve tespit edilen kaynağı devre dışı bırakmaktır. Siber saldırıların önlenmesi için sızma testi yaptırılmakta ve önemli güvenlik açıkları tespit edilerek güvenlik açıklarına iyileştirme çalışmaları yapılmaktadır.
5. Hassas bilgilerin veya yedeklerin çalınması: Gizli olarak sınıflandırılan bilgilerin ya da sistem yedeklerinin çalınması durumudur. Bu durumu tespit eden kullanıcı, durumu derhal ilgililere (Bilgi Güvenliği Yöneticisi ve/veya Bilgi İşlem Departmanı) bildirir. Veri Sahibi ile iletişime geçilerek kaybın kök nedeni analiz edilir, etkileri değerlendirilir ve aksiyon planı oluşturulur.
6. Hizmet alınan firmanın veya elemanının şirket sırlarını ifşa etmesi: Dış hizmet alımı sözleşmesi kapsamında sistemlere erişim yetkilerine sahip olan hizmet firmasının bu bilgileri sözleşme hükümlerinin aksine bir şekilde kamuya açıklaması veya üçüncü kişilerle paylaşması durumudur. Disiplin süreci veya hukuki süreç başlatılır.

Şirket bünyesinde bilgi güvenliği olaylarının tespit edilmesi, değerlendirilmesi ve olaylara ilişkin aksiyon planı oluşturulması ve kontroller temel alınarak, yılık olarak Yönetim Kuruluna sunulmak üzere Bilgi Güvenliği İhlal Olayı Kaydı oluşturulmaktadır. Rapor, Bilgi Teknolojileri ve İç Kontrol/İç Denetim bölümleri tarafından hazırlanmakta olup yıl içerisinde gerçekleşen bilgi güvenliği sürecine uyum durumunun, bilgi güvenliği ihlaline ilişkin olayların tespit edilmesi, raporlanması ve ilgili aksiyonun alınması amacı ile oluşturulan kontroller kapsamında belirlenen ihlallerin kayıtları, değerlendirmesi ve ihlallere karşı alınan aksiyon planından oluşmaktadır. Rapor kapsamı, bilgi güvenliği uyumu, fiziksel güvenlik, veri güvenliği,  yetkisiz erişim teşebbüsleri, denetim izleri, siber olaylar ve ihlal olaylarından oluşmaktadır. Rapor içeriğinde her bir alt başlık için yapılan kontrollerin sonucunda tespit edilen ihlal kayıtları, güvenlik ihlallerinin istatistiksel değerlendirmeleri ve ihlaller için alınacak olan aksiyon planı bulunmaktadır.