Kamu verisi, en yüksek güvenlik disiplinini gerektirir.
Bu sayfada hangi standartlara göre geliştirdiğimizi, bugün hangi belgelere sahip olduğumuzu ve hangilerinin yolda olduğunu olduğu gibi yazıyoruz.
Önce net olalım: bugün elimizde hangi belge var?
Hiçbiri. Ar-Ge aşamasındayız ve bağımsız bir belgelendirme kuruluşundan alınmış sertifikamız bulunmuyor. Sertifikasyon süreci planlandı, takvimi aşağıda.
Bunu açıkça yazıyoruz çünkü kamu alıcısı tanıtım materyalindeki iddiayı taahhüt sayar. Sahip olmadığımız bir belgeyi ima etmek, hem sizin hem bizim için risktir. Sahip olduğumuz şey bir belge değil, bir geliştirme disiplini — aşağıda ne olduğu yazıyor.
Bugün uyguladığımız güvenlik pratikleri
Belge olmadan da uygulanabilen, koda ve sürece gömülü olan kısım.
OWASP ASVS'ye göre geliştirme
Uygulama güvenliği doğrulama standardı bir kontrol listesi olarak kullanılır. Kimlik doğrulama, oturum yönetimi, erişim kontrolü, girdi doğrulama ve hata yönetimi bu listeye göre gözden geçirilir.
En az ayrıcalık ilkesi
Her kullanıcı yalnızca görevini yapmak için gereken veriye ve işleme erişir. Yetkiler rol bazlı tanımlanır; katman ve kayıt seviyesinde sınırlandırılabilir.
Uçtan uca loglama
Her istek bir ilişkilendirme kimliğiyle işaretlenir ve servisler arasında bu kimlikle izlenir. Kim, ne zaman, hangi veriye eriştiği sonradan sorgulanabilir.
Otomatik güvenlik taraması
Bağımlılık açıkları, statik kod analizi ve konteyner imajı taraması geliştirme hattının parçasıdır. Bilinen açığı olan bir bağımlılık üretime çıkamaz.
Şifreleme
Veri aktarımda TLS ile, veri tabanında hassas alanlar uygulama seviyesinde şifrelenir. Yedekler şifreli saklanır.
Ayrıştırılmış ortamlar
Geliştirme, test ve üretim ortamları birbirinden ayrıdır. Üretim verisi test ortamına kopyalanmaz; test için anonimleştirilmiş veri üretilir.
Hangi belge, ne zaman?
Kamu bilişim hizmet alımlarında yetki belgesi zorunluluğu bulunuyor. Bu tabloyu, sürecimiz ilerledikçe güncelliyoruz.
| Belge | Neyi kapsıyor | Durum | Not |
|---|---|---|---|
| ISO/IEC 27001 | Bilgi güvenliği yönetim sistemi | Planlandı | TÜRKAK akrediteli bir kuruluştan alınması hedefleniyor. Kamu bilişim yetki belgesinin ön koşulu. |
| Kamu Bilişim Yetki Belgesi (Yazılım) | Kamu bilişim ihalelerine katılım yetkisi | Planlandı | Sanayi ve Teknoloji Bakanlığı tarafından veriliyor; ISO 27001, nitelikli personel ve proje referansı gerektiriyor. |
| Sızma testi | Bağımsız güvenlik testi | Planlandı | Canlıya alma öncesi, yetki belgesine sahip bir firmadan alınacak. |
| Yerli Malı Belgesi | Yerli üretim beyanı | Planlandı | Bağlı bulunulan oda üzerinden; kamu ihalelerinde fiyat avantajı sağlıyor. |
| VERBİS kaydı | Veri sorumluları sicili | Şirket kuruluşuyla birlikte | Kişisel veri işleyen veri sorumlularının yasal yükümlülüğü. |
KVKK yaklaşımımız
Platform, kişisel veri işleyen bir sistemdir: abone bilgisi, personel kaydı, konum verisi. Bu yüzden veri koruma, sonradan eklenen bir katman değil, tasarımın parçasıdır.
Kurulumlarda veri sorumlusu kurumdur; biz veri işleyen sıfatıyla hareket ederiz. İlişki, KVKK uyarınca yazılı bir veri işleme sözleşmesiyle tanımlanır.
Amaçla sınırlı veri toplama — modülün işlevi için gerekmeyen alan istenmez.
Saklama süresi tanımlı; süre dolunca veri otomatik olarak silinir veya anonimleştirilir.
Test ortamında gerçek kişisel veri kullanılmaz.
Veri işleme envanteri tutulur ve kurumla paylaşılır.
Veri nerede duruyor?
Verinin yurt dışındaki bir sunucuda tutulması, mevzuat açısından yurt dışına veri aktarımı sayılır ve standart sözleşme ile bildirim gibi ek yükümlülükler doğurur.
Bu nedenle kamu verisiyle çalışan kurulumlarda ya kurumun kendi sunucusunu ya da Türkiye'de veri merkezi bulunan sağlayıcıları öneriyoruz.
Bu sitede de aynı ilke geçerli
Bu web sitesi yazı tiplerini kendi sunucusundan sunar; ziyaretçinin tarayıcısı üçüncü taraf bir font sunucusuna istek göndermez. Reklam veya takip çerezi kullanılmaz.
Güvenlik sorularınızı yazılı olarak yanıtlayalım.
Bilgi işlem müdürlüğünüzün güvenlik değerlendirme formu varsa gönderin; doldurup geri iletelim.