Bilgi Güvenliği Politikamız

Bu metin, hem bu sitede hem müşterilerimiz için yürüttüğümüz işlerde verinin nasıl korunduğunu anlatır. Amaç, güvenliğin sözde kalmayıp yazılı ve denetlenebilir bir düzene bağlanmasıdır.

Politika, teknik önlemlerin yanında çalışma alışkanlıklarını da kapsar. Güvenlik açıklarının çoğu karmaşık saldırılardan değil, gözden kaçan basit uygulamalardan doğuyor: paylaşılan parolalar, kaldırılmayan eski erişimler, ertelenen güncellemeler.

Her sistemde en az yetki ilkesi uygulanır: bir kişiye işini yapması için gereken yetkiden fazlası verilmez.

Yönetim paneline giriş, kişiye özel hesaplarla yapılır. Ortak kullanılan hesap açılmaz; böylece bir işlemi kimin yaptığı her zaman izlenebilir kalır.

Panel girişlerinde iki adımlı doğrulama kullanılır. Parolalar geri döndürülemez biçimde özetlenerek saklanır; düz metin olarak hiçbir yerde tutulmaz.

Bir çalışma sona erdiğinde ilgili erişimler kaldırılır. Müşteri hesaplarına verilen yetkiler iş bitiminde geri alınır ve bu müşteriye bildirilir.

Site ve panel trafiği SSL sertifikasıyla şifrelenir. Şifresiz bağlantı kabul edilmez; şifresiz gelen istekler otomatik olarak şifreli adrese yönlendirilir.

Oturum bilgileri tarayıcıya yalnızca güvenli çerezlerle yazılır ve bu çerezlere sayfa üzerindeki betiklerin erişimi kapalıdır.

Veritabanı sorguları parametreli biçimde çalıştırılır; kullanıcıdan gelen veri hiçbir zaman doğrudan sorguya gömülmez. Form girdileri sunucu tarafında ayrıca doğrulanır.

Gizli bilgiler (veritabanı erişim bilgileri, servis anahtarları) koda yazılmaz, ayrı bir ortam dosyasında tutulur ve sürüm deposuna girmez.

Bakım kapsamındaki sitelerin dosya ve veritabanı yedekleri düzenli olarak alınır. Yedeklere erişim sınırlıdır.

Yedeğin varlığı tek başına yeterli değildir; geri yükleme işleminin gerçekten çalıştığı da denenir. Denenmemiş yedek, olmayan yedektir.

Bir sorun çıktığında öncelik sitenin ayağa kaldırılmasıdır; sebebin araştırılması hizmet yeniden çalışır hâle geldikten sonra yapılır.

Kullanılan yazılımlar, eklentiler ve kütüphaneler düzenli olarak güncellenir. Güvenlik güncellemeleri diğerlerinden önce uygulanır.

Güncellemeler mümkün olduğunca önce bir deneme ortamında çalıştırılır, sonra canlıya alınır. Böylece güncellemenin siteyi bozma riski azalır.

Yeni bir bağımlılık eklenmeden önce bilinen açıkları ve bakım durumu değerlendirilir. Uzun süredir güncellenmeyen bir bileşen, ne kadar yaygın olursa olsun risk taşır.

Barındırma ve e-posta gönderim altyapısı için çalışılan sağlayıcılar, veri güvenliği uygulamaları gözetilerek seçilir.

Bu sağlayıcılara yalnızca hizmetin verilebilmesi için zorunlu olan veri aktarılır. Sağlayıcılar veriyi kendilerine verilen iş dışında kullanamaz.

Müşteri hesaplarının müşteri adına açılması bir güvenlik tercihidir: erişimin nihai sahibi müşteri olduğunda, herhangi bir tarafın hesabı elinde tutması söz konusu olmaz.

Güvenlik açığı ya da veri sızıntısı şüphesi doğduğunda ilk adım etkilenen sistemi izole etmek ve zararı sınırlamaktır.

Ardından ne olduğu, hangi verinin etkilendiği ve nasıl gerçekleştiği araştırılır. Bulgular etkilenen müşteriyle gecikmeden paylaşılır; sorunu gizlemek yerine açıkça bildirmek esastır.

Kişisel veri ihlali söz konusuysa 6698 sayılı Kanun kapsamındaki bildirim yükümlülükleri yerine getirilir: Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere gecikmeksizin bilgi verilir.

Olay kapandıktan sonra aynı sorunun tekrarını önleyecek düzeltme yapılır ve bu politika gerekiyorsa güncellenir.

Bu sitede ya da yaptığımız bir işte güvenlik açığı fark ederseniz info@dmcwebtasarim.com adresine bildirmenizi rica ederiz. Bildiriminiz ciddiye alınır ve size dönüş yapılır.

Açığı kamuya duyurmadan önce bize bildirmeniz ve düzeltilmesi için makul bir süre tanımanız, kullanıcıların korunması açısından önemlidir. İyi niyetli bildirimlerde bulunan kişilere karşı yasal yollara başvurulmaz.