Bilgi Güvenliği
Bilgi Güvenliği Politikamız & Kapsam
OBA SOFT, GİB tarafından yetkilendirilmiş entegratör altyapısı üzerinde e-Fatura, e-Arşiv, e-İrsaliye ve e-Defter hizmetlerini sunar. Bilgi güvenliği; gizlilik, bütünlük, erişilebilirlik ilkeleri ile ISO 27001 çerçevesinde yönetilir.
- ✔ Risk temelli yaklaşım (ISMS) ve sürekli iyileştirme
- ✔ Tüm çalışan/tedarikçi için rol, sorumluluk ve yetki matrisi
- ✔ Zorunlu BG farkındalık eğitimleri ve periyodik iç denetimler
- ✔ VUK 509 ve GİB teknik kılavuzlarına tam uyum
GİB entegratör altyapımız ile e-Fatura / e-Arşiv / e-İrsaliye süreçlerinizi %99.9 erişilebilirlik ve AES-256 şifreleme ile işletiyoruz.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi
ISMS kapsamında varlık envanterimizi çıkarır, tehdit–zafiyet–etki analiziyle risklerimizi değerlendirir, Annex A kontrollerini uygularız. Yönetimin Gözden Geçirmesi (YGG) ve iç denetimlerle sistem sürekli güncellenir.
- ✔ Varlık envanteri, RCSA ve risk iştahı
- ✔ Annex A kontrol hedefleri: erişim, kriptografi, tedarikçi, operasyon
- ✔ İş sürekliliği & acil durum planları (RPO/RTO tanımlı)
Erişim Yönetimi
Yetkiler en az ayrıcalık prensibiyle verilir, tüm erişimler kayıt altındadır. Üretim ortamına erişim yalnızca VPN/Zero-Trust tünelleri üzerinden ve onaylı cihazlarla sağlanır.
- ✔ RBAC (rol tabanlı yetki) ve MFA zorunluluğu
- ✔ Güçlü parola politikası & parola kasası (audit trail)
- ✔ Ayrılan personel için anında erişim sonlandırma (De-provisioning)
- ✔ Ayrı yönetici hesapları, oturum süre sınırı ve IP kısıtları
Veri Koruma & Şifreleme
e-Belge verileri sınıflandırılır; aktarımda ve saklamada şifrelenir. Anahtar yönetimi süreçleriyle erişimler izlenir ve rotasyon uygulanır.
- ✔ TLS 1.3 ile uçtan uca şifreli iletişim, HSTS, PFS
- ✔ AES-256 at-rest şifreleme, key rotation ve erişim izleri
- ✔ Hash doğrulama (SHA-256) ve imzalı UBL doğrulaması
- ✔ Veri maskeleme/anonimleştirme, loglarda PII gizleme
Yedekleme & Felaket Kurtarma
3-2-1 stratejisiyle günlük yedekler, farklı bölgede (off-site) şifreli olarak saklanır. Planlı DR tatbikatlarıyla ölçülen RPO/RTO hedefleri sağlanır.
- ✔ Günlük imaj + dosya yedekleri, immutable retention
- ✔ Off-site obje depolama, erişim anahtarları ayrı KMS
- ✔ DR runbook, geri dönüş tatbikatı ve raporlama
Olay Müdahalesi (Incident Response)
IR sürecimiz Tespit → İçerme → Kaldırma → Kurtarma adımlarını izler; olay sınıflandırma, iletişim ve bildirim yükümlülükleri tanımlıdır.
- ✔ 7/24 alarm, önceden tanımlı playbook’lar (phishing, brute-force vb.)
- ✔ Adli kayıt tutma (forensic), kök neden analizi (RCA)
- ✔ Corrective & Preventive Actions (CAPA) takibi
Sürekli İzleme & Log Yönetimi
Merkezi log yönetimi ve SIEM ile anomalileri proaktif tespit eder, sistem metriklerini izleriz. Kritik yamalar için yama yönetimi süreci işletilir.
- ✔ SIEM/merkezi log, imha & saklama politikaları
- ✔ Zafiyet taramaları, konfigürasyon denetimleri (CIS hardening)
- ✔ Uptime, performans ve kapasite panoları
KVKK / GDPR Uyumu
Kişisel verilerin işlenmesi; aydınlatma, açık rıza, saklama ve imha politikalarına uygun şekilde yürütülür. Veri sahiplerinin başvuruları kayıt altındadır.
- ✔ Veri envanteri ve işleme amaçları, aktarım kayıtları
- ✔ Saklama & imha (retention) planları, anonimleştirme
- ✔ Hak başvuruları (KVKK 11) için süreç ve SLA
Güvenlik Prensiplerimiz
Her projede gizlilik, bütünlük ve erişilebilirlik önceliğimizdir.
Gizlilik
Yetkisiz erişime karşı verilerin korunması.
Bütünlük
Verinin doğruluğu ve değişmezliği.
Erişilebilirlik
Sistemin sürekliliği ve hızlı geri dönüş.
Uyumluluk
Mevzuat ve standartlara uygunluk.