1. Veri Güvenliği Politikası
Bu Politika; AdaSepet tarafından işlenen kişisel verilerin ve diğer kurumsal bilgilerin gizliliğinin, bütünlüğünün ve erişilebilirliğinin korunmasına yönelik uygulanacak teknik ve idari tedbirleri belirlemek amacıyla hazırlanmıştır.
Bu politika; AdaSepet'in tüm bilgi sistemleri, mobil uygulamaları, internet sitesi, sunucu altyapısı, veri tabanları, çalışanları, satıcıları, iş ortakları ve hizmet sağlayıcıları bakımından uygulanır.
Bilgi varlıklarını yetkisiz erişim, değişiklik, kayıp, kötüye kullanım, siber saldırı ve diğer güvenlik risklerine karşı korumak; bilgi güvenliğinin sürekliliğini sağlamaktır.
1.1 Amaç ve Kapsam
Bu Politika;
- AdaSepet internet sitesi,
- mobil uygulamaları,
- yönetim panelleri,
- satıcı panelleri,
- ödeme sistemleri,
- lojistik entegrasyonları,
- kurumsal bilgi sistemleri,
- bulut altyapıları,
- yedekleme sistemleri
ile bunlara erişen tüm çalışanları, yöneticileri, satıcıları, iş ortaklarını ve hizmet sağlayıcılarını kapsar.
1.2 Dayanak
| Dayanak | Açıklama |
|---|---|
| KKTC Mevzuatı | Kişisel verilerin korunması, elektronik ticaret, tüketici ve ilgili diğer mevzuat. |
| Sözleşmeler | Kullanıcı, satıcı ve iş ortaklığı sözleşmeleri. |
| Şirket Politikaları | Veri koruma ve bilgi güvenliği prosedürleri. |
| Uluslararası İyi Uygulamalar | ISO/IEC 27001, ISO/IEC 27701 ve OWASP Application Security Verification Standard (ASVS) gibi bilgi güvenliği yaklaşımları rehber olarak dikkate alınır. |
1.3 Tanımlar
| Kavram | Tanımı |
|---|---|
| Bilgi Varlığı | AdaSepet'e ait tüm dijital ve fiziksel bilgi kaynakları. |
| Bilgi Güvenliği | Bilgilerin gizliliğinin, bütünlüğünün ve erişilebilirliğinin korunması. |
| Erişim Yetkisi | Bilgi varlıklarına tanımlanmış kullanım izni. |
| Yetkisiz Erişim | İzin verilmeyen kişi veya sistem tarafından erişim sağlanması. |
| Bilgi Güvenliği Olayı | Bilgi güvenliğini olumsuz etkileyen veya etkileme ihtimali bulunan her olay. |
1.4 Bilgi Güvenliği İlkeleri
AdaSepet bilgi güvenliği faaliyetlerini aşağıdaki temel ilkelere göre yürütür.
- Gizlilik (Confidentiality)
- Bütünlük (Integrity)
- Erişilebilirlik (Availability)
- Hesap Verebilirlik (Accountability)
- En Az Yetki İlkesi (Least Privilege)
- Görevlerin Ayrılığı İlkesi (Segregation of Duties)
- Risk Temelli Güvenlik Yaklaşımı
- Sürekli İyileştirme
Bilgi güvenliği yalnızca Bilgi Teknolojileri Biriminin değil; AdaSepet bünyesinde görev yapan tüm çalışanların, yöneticilerin, satıcıların ve hizmet sağlayıcılarının ortak sorumluluğudur.
1.5 Roller ve Sorumluluklar
| Birim | Sorumluluk |
|---|---|
| Şirket Yönetimi | Bilgi güvenliği politikasının uygulanmasını sağlamak ve gerekli kaynakları tahsis etmek. |
| Bilgi Teknolojileri Birimi | Teknik güvenlik kontrollerini uygulamak, sistemleri izlemek ve güvenlik olaylarına müdahale etmek. |
| Hukuk / Uyum Birimi | Mevzuata uyumu takip etmek ve politika güncellemelerini yürütmek. |
| Müşteri Hizmetleri | Kullanıcı hesap güvenliği ve güvenlik bildirim süreçlerine destek vermek. |
| Çalışanlar ve Yetkili Kullanıcılar | Bu politikaya uymak, kendilerine tahsis edilen erişim bilgilerini korumak ve şüpheli güvenlik olaylarını gecikmeksizin bildirmek. |
1.6 Erişim Kontrolü
AdaSepet bilgi sistemlerine erişim, görev tanımları ve iş ihtiyaçları doğrultusunda "en az yetki ilkesi" esas alınarak yetkilendirilir. Her kullanıcı yalnızca görevini yerine getirebilmesi için gerekli sistem ve verilere erişebilir.
| Kontrol | Açıklama |
|---|---|
| Kişiye Özel Hesap | Her kullanıcıya benzersiz kullanıcı hesabı tahsis edilir. |
| Rol Bazlı Yetkilendirme | Yetkiler görev ve sorumluluklara göre tanımlanır. |
| Yetki Gözden Geçirme | Erişim yetkileri düzenli aralıklarla kontrol edilir. |
| Yetki İptali | Görev değişikliği veya ayrılma durumunda erişimler derhâl kaldırılır. |
Paylaşılan kullanıcı hesapları kullanılmamalıdır. Sistem erişimleri kişiye özel olarak tanımlanır ve izlenebilir olmalıdır.
1.7 Kimlik Doğrulama ve Parola Güvenliği
AdaSepet hesaplarının güvenliği için güçlü kimlik doğrulama yöntemleri uygulanır.
| Kural | Uygulama |
|---|---|
| Minimum Parola Uzunluğu | En az 12 karakter önerilir. |
| Parola İçeriği | Büyük harf, küçük harf, rakam ve özel karakter kombinasyonu önerilir. |
| Parola Saklama | Parolalar düz metin olarak saklanmaz; güçlü ve güncel kriptografik algoritmalar kullanılarak güvenli şekilde korunur. |
| Varsayılan Parolalar | İlk girişte değiştirilmesi zorunludur. |
| Başarısız Giriş Denemeleri | Belirli sayıda başarısız denemeden sonra hesap geçici olarak korunmaya alınabilir. |
Kullanıcılar, hesap bilgilerini üçüncü kişilerle paylaşmamalı ve şüpheli bir durum tespit etmeleri hâlinde derhâl AdaSepet'e bildirimde bulunmalıdır.
1.8 Çok Faktörlü Kimlik Doğrulama (MFA)
AdaSepet, uygun görülen hesap türleri için çok faktörlü kimlik doğrulama (Multi-Factor Authentication - MFA) kullanımını destekler ve kritik yetkilere sahip hesaplarda zorunlu tutabilir.
| Hesap Türü | MFA Durumu |
|---|---|
| Yönetici Hesapları | Zorunlu |
| Satıcı Yönetim Hesapları | Önerilir / Risk durumuna göre zorunlu tutulabilir. |
| Kurumsal Personel | Önerilir |
| Standart Kullanıcı Hesapları | İsteğe bağlı olarak sunulabilir. |
1.9 Yetkilendirme Yönetimi
Sistemlerde verilen tüm erişim yetkileri kayıt altına alınır ve düzenli olarak gözden geçirilir.
| Süreç | Açıklama |
|---|---|
| Yeni Yetki Tanımlama | Yetkili yönetici onayı ile yapılır. |
| Yetki Güncelleme | Görev değişikliğinde revize edilir. |
| Yetki Kaldırma | İşten ayrılma veya görev sonlanması hâlinde gecikmeksizin uygulanır. |
| Periyodik Kontrol | Yetkiler belirli aralıklarla gözden geçirilir. |
1.10 Ağ ve Sistem Güvenliği
AdaSepet bilgi sistemleri; yetkisiz erişim, zararlı yazılımlar, hizmet kesintileri ve diğer siber tehditlere karşı uygun teknik güvenlik önlemleriyle korunur.
| Güvenlik Kontrolü | Açıklama |
|---|---|
| Güvenlik Duvarı (Firewall) | Ağ trafiği kontrol edilir ve yetkisiz erişimler engellenmeye çalışılır. |
| Güncelleme Yönetimi | İşletim sistemleri ve yazılımlar güvenlik güncellemeleriyle güncel tutulur. |
| Zararlı Yazılım Koruması | Uygun koruma çözümleri kullanılır ve düzenli taramalar yapılır. |
| Ağ İzleme | Şüpheli trafik ve olağan dışı aktiviteler takip edilir. |
| Güvenli İletişim | Veri iletiminde güncel ve güvenli şifreleme protokolleri kullanılır. |
AdaSepet, bilgi sistemlerini düzenli olarak gözden geçirerek yeni ortaya çıkan güvenlik risklerine karşı gerekli teknik ve idari iyileştirmeleri yapmayı hedefler.
1.11 Sunucu Güvenliği
AdaSepet'e ait sunucu altyapıları, bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini koruyacak şekilde güvenli olarak yapılandırılır ve düzenli olarak izlenir.
| Kontrol | Açıklama |
|---|---|
| Güvenli Yapılandırma | Sunucular güvenlik standartlarına uygun olarak yapılandırılır. |
| Güncelleme Yönetimi | İşletim sistemi ve sunucu yazılımları düzenli olarak güncellenir. |
| Yetkisiz Servislerin Kapatılması | Gerekli olmayan servis ve portlar devre dışı bırakılır. |
| Erişim Kısıtlaması | Yönetim erişimleri yalnızca yetkili kişilerle sınırlandırılır. |
| Güvenlik İzleme | Sunucu olay kayıtları sürekli izlenir. |
Üretim (Production), test (Test) ve geliştirme (Development) ortamları mümkün olduğunca birbirinden ayrıştırılır ve farklı erişim kuralları uygulanır.
1.12 Veri Şifreleme Politikası
AdaSepet, kişisel verilerin ve kritik kurumsal bilgilerin korunması amacıyla güncel ve güvenilir kriptografik yöntemlerin kullanılmasını hedefler.
| Şifreleme Alanı | Uygulama |
|---|---|
| Veri İletimi | İstemci ve sunucu arasındaki veri iletişiminde güvenli şifreleme protokolleri kullanılır. |
| Parolalar | Parolalar düz metin olarak saklanmaz; güçlü ve güncel parola karma (hash) algoritmaları ile korunur. |
| Yedekler | Uygun görülen yedekleme ortamlarında şifreleme uygulanabilir. |
| Hassas Bilgiler | Risk değerlendirmesine göre ek şifreleme tedbirleri uygulanabilir. |
Şifreleme anahtarları yalnızca yetkili kişiler tarafından erişilebilecek şekilde korunur ve düzenli olarak gözden geçirilir.
1.13 Yedekleme Politikası
AdaSepet, hizmet sürekliliğini sağlamak amacıyla kritik sistemler ve veriler için düzenli yedekleme işlemleri gerçekleştirir.
| Kontrol | Açıklama |
|---|---|
| Düzenli Yedekleme | Kritik sistemler belirlenen periyotlarda yedeklenir. |
| Yedeklerin Korunması | Yedekler yetkisiz erişime karşı korunur. |
| Geri Yükleme Testleri | Belirli aralıklarla geri yükleme testleri gerçekleştirilir. |
| Yedekleme Kayıtları | Yedekleme işlemleri kayıt altına alınır. |
Yedekleme süreçleri, hizmet sürekliliğinin sağlanması ve olası sistem arızalarında veri kaybının en aza indirilmesi amacıyla uygulanır.
1.14 Günlük (Log) Yönetimi
AdaSepet bilgi sistemlerinde gerçekleştirilen kritik işlemler güvenlik, denetim ve olay inceleme amaçlarıyla kayıt altına alınabilir.
| Log Türü | Örnek |
|---|---|
| Oturum Kayıtları | Giriş ve çıkış işlemleri. |
| Yönetim İşlemleri | Yetki değişiklikleri ve sistem ayarları. |
| Güvenlik Olayları | Başarısız giriş denemeleri ve şüpheli işlemler. |
| Sistem Hataları | Uygulama ve sunucu hata kayıtları. |
Log kayıtları yetkisiz değişikliklere karşı korunur ve yalnızca yetkili personel tarafından erişilebilir.
1.15 Güvenlik İzleme
AdaSepet, bilgi sistemlerini etkileyebilecek güvenlik olaylarının tespit edilmesi amacıyla uygun izleme mekanizmaları uygular.
| İzleme Alanı | Amaç |
|---|---|
| Sistem Performansı | Olağan dışı yük ve hizmet kesintilerinin tespiti. |
| Ağ Trafiği | Şüpheli bağlantıların belirlenmesi. |
| Kullanıcı Hareketleri | Olağan dışı oturum davranışlarının tespiti. |
| Güvenlik Olayları | Erken uyarı ve hızlı müdahale sağlanması. |
Tespit edilen güvenlik olayları, AdaSepet Veri İhlali Bildirim Politikası ve ilgili olay müdahale prosedürleri doğrultusunda değerlendirilir.
1.16 Mobil Cihaz Güvenliği
AdaSepet sistemlerine mobil cihazlar üzerinden erişim sağlanması durumunda, bilgi güvenliğini korumaya yönelik uygun teknik ve idari tedbirler uygulanır.
| Kontrol | Açıklama |
|---|---|
| Ekran Kilidi | Mobil cihazlarda parola, PIN veya biyometrik doğrulama kullanılması önerilir. |
| Güncel Yazılım | İşletim sistemi ve uygulamalar güncel tutulmalıdır. |
| Kayıp / Çalıntı Bildirimi | Kurumsal erişim bulunan cihazların kaybolması veya çalınması halinde durum derhal bildirilmelidir. |
| Yetkisiz Uygulamalar | Güvenliği riske atabilecek uygulamaların kullanılmaması önerilir. |
1.17 Uzaktan Erişim Güvenliği
Kurumsal sistemlere uzaktan erişim yalnızca yetkilendirilmiş kullanıcılar tarafından ve güvenli iletişim yöntemleri kullanılarak gerçekleştirilir.
| Kural | Açıklama |
|---|---|
| Yetkilendirme | Uzaktan erişim yalnızca görev gereği ihtiyaç duyan kullanıcılara tanımlanır. |
| Kimlik Doğrulama | Çok faktörlü kimlik doğrulama (MFA) uygulanması tavsiye edilir; kritik hesaplarda zorunlu tutulabilir. |
| Bağlantı Güvenliği | Güvenli iletişim protokolleri ve şifrelenmiş bağlantılar tercih edilir. |
| Oturum Yönetimi | Belirli bir süre işlem yapılmayan oturumlar otomatik olarak sonlandırılabilir. |
1.18 Bulut Hizmetleri Güvenliği
AdaSepet, bulut tabanlı hizmet sağlayıcıları seçerken güvenlik, erişilebilirlik ve veri koruma kriterlerini dikkate alır.
- Bulut hizmet sağlayıcılarının güvenlik taahhütleri değerlendirilir.
- Erişim yetkileri düzenli olarak gözden geçirilir.
- Bulut ortamında saklanan veriler için uygun güvenlik tedbirleri uygulanır.
- Hizmet sağlayıcı değişiklikleri kontrollü şekilde yürütülür.
1.19 Üçüncü Taraf Güvenliği
Ödeme kuruluşları, kargo firmaları, entegrasyon sağlayıcıları, yazılım geliştiricileri ve diğer hizmet sağlayıcılarla çalışılırken bilgi güvenliği yükümlülükleri sözleşmelerle desteklenir.
| Kontrol | Açıklama |
|---|---|
| Sözleşmesel Yükümlülük | Bilgi güvenliği ve gizlilik hükümleri sözleşmelere dahil edilir. |
| Erişim Sınırlandırması | Üçüncü taraflara yalnızca gerekli erişim yetkisi tanımlanır. |
| Periyodik Değerlendirme | Hizmet sağlayıcıların güvenlik uygulamaları belirli aralıklarla gözden geçirilebilir. |
1.20 Personel Güvenliği
Bilgi güvenliği yalnızca teknik sistemlerle değil, personelin bilinçli hareket etmesiyle de sağlanır.
- Personel gizlilik yükümlülüğüne tabidir.
- Yetki değişiklikleri kayıt altına alınır.
- Görevden ayrılan personelin erişimleri gecikmeksizin kaldırılır.
- Bilgi güvenliği ihlalleri disiplin süreçlerine konu olabilir.
1.21 Bilgi Güvenliği Eğitimleri
AdaSepet, çalışanların bilgi güvenliği farkındalığını artırmak amacıyla düzenli eğitim ve bilgilendirme faaliyetleri gerçekleştirmeyi hedefler.
| Eğitim Konusu | Kapsam |
|---|---|
| Parola Güvenliği | Güçlü parola oluşturma ve hesap koruma. |
| Kimlik Avı (Phishing) | Sahte e-posta ve dolandırıcılık girişimlerinin tespiti. |
| Kişisel Veri Koruma | Veri işleme ve gizlilik kuralları. |
| Olay Bildirimi | Şüpheli durumların raporlanması. |
1.22 İş Sürekliliği
AdaSepet, kritik hizmetlerin kesintisiz sürdürülebilmesi amacıyla iş sürekliliği planlarını oluşturur ve gerektiğinde günceller.
- Kritik süreçler belirlenir.
- Yedek sistemler planlanır.
- Olağanüstü durum senaryoları hazırlanır.
- İş sürekliliği planları düzenli olarak gözden geçirilir.
1.23 Felaket Kurtarma
Doğal afet, siber saldırı, donanım arızası veya benzeri olağanüstü durumlarda hizmetlerin makul süre içerisinde yeniden çalışır duruma getirilmesi hedeflenir.
| Başlık | Amaç |
|---|---|
| Yedekler | Veri kaybını en aza indirmek. |
| Sistem Kurtarma | Kritik hizmetleri yeniden devreye almak. |
| İletişim Planı | İç ve dış paydaşların bilgilendirilmesini sağlamak. |
| Testler | Felaket kurtarma planlarını düzenli aralıklarla doğrulamak. |
1.24 İç Denetim ve Sürekli İyileştirme
Bilgi güvenliği uygulamaları belirli aralıklarla gözden geçirilir ve ihtiyaç duyulması hâlinde iyileştirme çalışmaları planlanır.
- İç denetimler yapılabilir.
- Risk analizleri güncellenebilir.
- Politika ve prosedürler gözden geçirilebilir.
- Teknolojik gelişmeler takip edilerek güvenlik kontrolleri geliştirilebilir.
1.25 Politikanın Güncellenmesi
Bu politika; mevzuatta meydana gelen değişiklikler, teknolojik gelişmeler, güvenlik ihtiyaçları ve AdaSepet'in faaliyetlerindeki değişiklikler doğrultusunda güncellenebilir.
Güncellenen sürüm, yayımlandığı tarihten itibaren yürürlüğe girer ve önceki sürümün yerine geçer.
1.26 Yürürlük
Bu Veri Güvenliği Politikası, MIXJOKER TRADING LTD tarafından onaylanarak yayımlandığı tarihte yürürlüğe girer ve AdaSepet'in tüm bilgi sistemleri ile ilişkili süreçlerinde uygulanır.