Güvenlik ve Uyum
Düzenlemeye tabi kurumların tedarikçisi olmanın gerekleri.
Bankalar, ödeme kuruluşları, holdingler ve kritik altyapı operatörleriyle çalışıyoruz. Bu kurumların tedarikçi denetimlerinden geçmek, güvenlik ve uyumu bir pazarlama başlığı değil, işletme disiplini olarak ele almayı gerektirir. ISO/IEC 27001 sertifikalı bilgi güvenliği ve ISO 9001 sertifikalı kalite yönetim sistemlerimiz, bu disiplinin kurumsal çerçevesidir. Bu sayfa, kurumunuzun tedarikçi değerlendirme sürecinde ihtiyaç duyacağı bilgileri özetler.
Sertifikalar ve standartlar
Müşterilerimizin iç denetim ve bilgi sistemleri denetimlerine belge, kanıt ve saha erişimiyle destek veririz.
| Standart / çerçeve | Durum |
|---|---|
| ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi | Sertifikalı. Belge numarası ve geçerlilik tarihi talep üzerine paylaşılır. |
| ISO 9001 Kalite Yönetim Sistemi | Sertifikalı. Belge numarası ve geçerlilik tarihi talep üzerine paylaşılır. |
| KVKK uyum programı | VERBİS kayıtlı veri sorumlusu; aydınlatma, veri işleme ve saklama-imha politikaları. |
| BDDK / SPK bilgi sistemleri tebliğlerine tedarikçi uyumu | Müşteri denetimlerinde değerlendirilen kontrol seti; dış hizmet alımı gereksinimlerine uyum. |
| Teknokent AR-GE merkezi | Kahramanmaraş Teknokent. |
Güvenli geliştirme yaşam döngüsü
Tasarımda tehdit modelleme
Kritik akışlar için tehdit modeli; güvenlik gereksinimleri mimari değerlendirme raporunun parçası.
Kod güvenliği
Zorunlu kod incelemesi, statik analiz, bağımlılık ve lisans taraması, sır (secret) sızıntı kontrolü.
Ortam ayrımı
Geliştirme, test, kabul ve üretim ortamlarının ayrılığı; üretim verisi test ortamlarında maskelenir ya da sentetik veri kullanılır.
Yayın yönetimi
Onaylı, izlenebilir, geri alınabilir yayınlar; görevler ayrılığı ilkesi yayın sürecinde de uygulanır.
Sızma testi
Her kritik teslimat öncesi bağımsız sızma testi standarttır; bulgular kapanana kadar canlıya geçiş yapılmaz.
Güvenlik güncellemeleri
Bağımlılıklar ve altyapı bileşenleri için tanımlı yama süreleri; kritik açıklar için acil müdahale prosedürü.
Erişim ve kimlik yönetimi
- En az yetki ilkesi; rol bazlı erişim; ayrıcalıklı erişimlerin kayıt altına alınması.
- Müşteri ortamlarına erişim yalnızca müşterinin tanımladığı kanallarla, isim bazlı hesaplarla ve süreli yetkiyle.
- Çok faktörlü kimlik doğrulama; işe giriş-çıkışta erişim provizyonu ve iptali.
- Uzaktan çalışma güvenliği: yönetilen cihazlar, şifreli disk, VPN / sıfır güven erişimi.
Veri işleme ve gizlilik
- Veri sınıflandırma
- Müşteri verisi, kişisel veri ve proje verisi sınıflandırılır; işleme amacı ve saklama süresi tanımlıdır.
- Müşteri verisi ilkesi
- Müşteri verisi, yalnızca müşterinin yazılı olarak izin verdiği ortam ve amaçla işlenir; proje bitiminde iade veya güvenli imha.
- Veri işleyen yükümlülükleri
- KVKK kapsamında veri işleyen sözleşmeleri, aydınlatma ve veri sahibi hakları süreçleri; sınır ötesi aktarım yalnızca mevzuata uygun mekanizmalarla.
- Gizlilik sözleşmeleri
- Tüm çalışanlar ve alt yükleniciler gizlilik taahhüdü altındadır; proje bazlı NDA standarttır.
- Alt yüklenici yönetimi
- Alt yüklenici kullanımı müşteri onayına tabidir; aynı güvenlik yükümlülükleri sözleşmeyle devredilir.
İş sürekliliği ve olay yönetimi
- Kritik iş süreçleri için iş sürekliliği planı; yedekleme ve kurtarma hedefleri (RPO/RTO) proje ve hizmet sözleşmelerinde tanımlanır.
- Güvenlik olayı yönetimi prosedürü: tespit, sınıflandırma, müdahale, müşteri bildirimi 24 saat içinde, kök neden analizi ve düzeltici aksiyon raporu.
- Değer ortaklığı ve ürün desteğinde SLA’lı müdahale; önem derecesine göre tanımlı yanıt ve çözüm süreleri.
Politikalar ve belgeler
- Bilgi Güvenliği PolitikasıPDF
- KVKK Aydınlatma Metni ve Kişisel Veri İşleme PolitikasıPDF
- Bilgi Toplumu HizmetleriPDF
- Çerez Politikası→
- Tedarikçi değerlendirme dokümanı setiTalep üzerine, NDA ile — info@karyabilisim.com
Tedarikçi değerlendirmeniz için belge seti.
Satın alma ve bilgi güvenliği ekipleriniz için standart soru setlerine hazır yanıtlar ve belgeler sunuyoruz.