ISO-POL-01

Bilgi Güvenliği Politikası

Üst yönetimimizin onayladığı, bilgi güvenliği yönetim sistemimizin (BGYS) temelini oluşturan politika.

Belge bilgileri

Kod
ISO-POL-01
Sürüm
1.0
Sahip
BGYS Koordinatörü
Onaylayan
Üst yönetim (Cem Karaca)
Onay tarihi
26.10.2026
Gözden geçirme
Yılda bir, YGG'de; kapsam ya da tehdit ortamı değişince
İlgili maddeler
ISO/IEC 27001:2022 madde 5.2; Ek A 5.1
Duyuru
Tüm çalışanlar ve ilgili tedarikçiler; okuma onayı alınır

1. Amaç ve taahhüt

VeriTeknik, müşterilerine sunduğu yönetilen hizmetlerin ve geliştirdiği yazılımın güvenliğinin işin kendisi olduğunu kabul eder.

Üst yönetim:

  • bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı,
  • yasal, düzenleyici ve sözleşmeden doğan bilgi güvenliği gereksinimlerini karşılamayı,
  • bilgi güvenliği hedefleri koymayı ve bunları ölçmeyi,
  • BGYS için gereken kaynağı sağlamayı,
  • BGYS'yi sürekli iyileştirmeyi

taahhüt eder.

2. Kapsam

Bu politika, onaylı BGYS kapsamındaki bütün faaliyetlere, sistemlere, çalışanlara ve VeriTeknik adına iş yapan tedarikçilere uygulanır.

3. İlkeler

  1. Risk temelli yaklaşım. Kontroller risk değerlendirmesinin sonucuna göre seçilir; kabul eşiğinin üstündeki risk sahibi atanmadan ve işleme planı olmadan bırakılmaz.
  2. En az yetki ve görev ayrılığı. Erişim işin gerektirdiği kadar verilir, süreli erişim süresiz kalamaz, ayrıcalıklı işlemler ikinci bir onaya ya da kayda bağlanır.
  3. Güçlü kimlik doğrulama. Personel paneli ve yönetim erişimi çok faktörlüdür; paylaşılan hesap kullanılmaz.
  4. Kanıt sistemden gelir. Yönetim ve değişiklik işlemleri değiştirilemez kayıt zincirine yazılır; kanıt elle üretilmez.
  5. Güvenli geliştirme. Kod, sürüm kontrolünde ve incelemeden geçerek üretime alınır; sırlar kodda tutulmaz; bağımlılıklar ve güvenlik taramaları düzenli izlenir.
  6. Yapay zekâ kapıları. Yapay zekâ asistanının önerdiği bir işlem, kodla tanımlı onay kapısından geçmeden çalışmaz; model, müşteri ya da personel adına onay veremez.
  7. Kişisel verinin korunması. Kişisel veri amaçla sınırlı işlenir, saklama süreleri belgelidir, süre dolunca silinir ya da anonimleştirilir.
  8. Tedarikçi güvenliği. Bilgiye erişen ya da hizmeti taşıyan tedarikçiler güvenlik şartlarıyla seçilir ve izlenir.
  9. Olaylara hazırlık. Olaylar kayda alınır, değerlendirilir, müşteriye ve gerekiyorsa otoriteye zamanında bildirilir; ders çıkarılır.
  10. Süreklilik. Yedekler düzenli alınır ve geri yükleme denenir; kritik hizmetler için süreklilik planı vardır.
  11. Farkındalık. Her çalışan bu politikayı okur, onaylar ve yılda en az bir kez eğitim alır.

4. Roller

  • Üst yönetim: politikayı onaylar, kaynak sağlar, YGG'yi yürütür, artık riskleri kabul eder.
  • BGYS Koordinatörü: BGYS'yi işletir, takvimi ve kayıtları yönetir, raporlar.
  • Risk ve varlık sahipleri: kendi alanlarındaki riskleri ve kontrolleri yönetir.
  • Tüm çalışanlar: politika ve prosedürlere uyar, olayları ve zafiyetleri bildirir.

Ayrıntılı roller Ops Hub program rollerinde ve ISO-DOC-03'te tutulur.

5. Uyumsuzluk

Politikaya aykırılık düzeltici faaliyet sürecine (ISO-PRO-07) girer; kasıtlı ihlal disiplin sürecine konu olur.

6. Alt politikalar ve prosedürler

Bu politika aşağıdaki belgelerle uygulanır (kodlar belge kaydındadır): risk yönetimi (ISO-PRO-01), belge ve kayıt kontrolü (ISO-PRO-02), olay yönetimi (ISO-PRO-03), iş sürekliliği (ISO-PRO-04), tedarikçi ilişkileri (ISO-PRO-05), erişim kontrolü (ISO-PRO-06), uygunsuzluk ve DÖF (ISO-PRO-07), iç denetim (ISO-PRO-08).

Onay: Cem Karaca, Genel Müdür. Tarih ve onaylanan sürümün özeti belge kaydında tutulur.