Yaptığımız
Yazılım ve altyapı tarafındaki kontrolleri tasarlamak ve uygulamak, teknik kanıtı hazırlamak, ekibinizi denetim görüşmelerinin teknik bölümüne hazırlamak.
KVKK ve ISO 27001
Yazılımınızı KVKK ve ISO 27001 beklentilerine göre kurun.
ALGOFACT, yazılım ekiplerinin geliştirdiği ve işlettiği sistemleri 6698 sayılı KVKK ve ISO/IEC 27001:2022 beklentilerine göre düzenlemesine yardımcı olur: güvenli yazılım geliştirme süreci, erişim ve loglama tasarımı, sistem bazında kişisel veri envanteri ve denetim öncesi kanıt hazırlığı. Kendi bilgi güvenliği yönetim sistemimiz ISO/IEC 27001:2022 sertifikalıdır. Belgelendirme kuruluşu veya hukuk bürosu değiliz; hukuki görüş sizin hukuk danışmanınızdan gelir.
Bu danışmanlık ne zaman doğru seçimdir?
Şirketiniz ISO 27001 belgesine hazırlanıyor ama yazılım ekibi denetçinin ne soracağını bilmiyorsa, bir müşteri tedarikçi güvenlik anketinde kişisel verinin nerede tutulduğunu soruyor ve yanıt birkaç kişinin hafızasındaysa ya da yeni bir ürün KVKK gereklilikleri düşünülmeden tasarlanmışsa bu hizmet doğru başlangıçtır. Odak, politika metinlerinden çok yazılımın kendisidir: kod, altyapı, erişimler, loglar ve geliştirme süreci.
Belgelendirmeyi akredite belgelendirme kuruluşları yapar; KVKK kapsamındaki yükümlülüklerin yorumu ise hukuk danışmanınızın işidir. Biz bu ikisinin arasındaki teknik boşluğu doldururuz: denetçinin ve hukukçunun istediği kontrollerin yazılımda nasıl uygulanacağını tasarlar, uygular ve kanıtlanabilir hâle getiririz. Kendi ISO/IEC 27001:2022 sertifikasyon sürecimiz, yazılım ekiplerinin denetimde nerede zorlandığını içeriden görmemizi sağladı.
Çalışma alanları
Her alan, denetçinin veya müşterinizin güvenlik ekibinin sorduğu somut bir soruya yanıt üretir.
- 01
Güvenli yazılım geliştirme süreci
Gereksinimlerde güvenlik ve gizlilik maddeleri, tehdit modelleme, kod inceleme kuralları, bağımlılık ve gizli anahtar taraması, güvenlik testleri ve canlıya alma onayı. Süreç Git, CI/CD ve iş takip sisteminiz gibi mevcut araçlarınıza eklenir. - 02
Erişim ve yetki tasarımı
Rol bazlı erişim, en az yetki ilkesi, ayrıcalıklı hesapların yönetimi, çok faktörlü kimlik doğrulama ve işten ayrılan kişinin erişiminin kapatılması gibi kontrollerin uygulama ve altyapı düzeyinde tasarımı. - 03
Loglama ve izlenebilirlik
Kişisel veriye kimin, ne zaman ve hangi işlemle eriştiğini kaydeden uygulama logları; logların değiştirilemez saklanması, saklama süreleri ve şüpheli erişim alarmları. - 04
Sistem bazında veri envanteri
Her uygulamada hangi kişisel verinin hangi tabloda, hangi amaçla ve ne kadar süre tutulduğunu, kimlerle paylaşıldığını ve yurt dışına aktarılıp aktarılmadığını gösteren teknik envanter. Hukuk ekibinizin hazırladığı kayıtlar için girdi olarak kullanılır. - 05
ISO 27001 denetim hazırlığı
Güvenli geliştirme, değişiklik yönetimi, yedekleme, zafiyet yönetimi ve tedarikçi güvenliği kontrolleri için kanıt toplama ve eksiklerin denetimden önce kapatılması için iş listesi.
Çalışma nasıl ilerler
- 01
Kapsam ve mevcut durum
Hangi uygulamaların, altyapının ve ekiplerin kapsamda olduğunu belirler, mevcut politika, prosedür ve araçlarınızı inceleriz. - 02
Teknik boşluk analizi
ISO/IEC 27001:2022 Ek A kontrollerinden yazılımla ilgili olanları ve hukuk danışmanınızın KVKK kapsamında belirlediği teknik tedbirleri; kod tabanı, altyapı ve süreçlerdeki gerçek durumla karşılaştırırız. - 03
Önceliklendirilmiş iş listesi
Bulguları risk ve çaba düzeyine göre sıralar, her madde için sorumlu ve kabul ölçütü yazarız. - 04
Uygulama
İsterseniz düzeltmeleri ekibinizle birlikte yaparız: CI/CD’ye güvenlik kontrolleri, erişim modeli, log altyapısı, şifreleme ve yedekleme ayarları. - 05
Kanıt ve devir
Her kontrol için denetçiye gösterilecek kanıtı (yapılandırma, log örneği, kayıt, prosedür) hazırlar, ekibinizin süreci kendi başına sürdürmesi için eğitim ve runbook’ları devrederiz.
Teslim edilenler
- 01
Boşluk analizi raporu
Kontrol bazında mevcut durum, bulgular ve risk seviyesi. - 02
Güvenli geliştirme süreci tanımı
Ekibinizin araçlarına uyarlanmış süreç, kod inceleme kuralları ve canlıya alma kontrol listesi. - 03
Erişim ve log tasarımı
Rol ve yetki matrisi, log şeması, saklama süreleri ve alarm kuralları. - 04
Teknik veri envanteri
Sistem, tablo ve alan düzeyinde kişisel veri haritası ve veri akış şemaları. - 05
Denetim kanıt dosyası
Kontrollerle eşleştirilmiş kanıtlar ve kapatılan bulguların kaydı.
Neyi yaparız, neyi yapmayız
ALGOFACT’in bilgi güvenliği yönetim sistemi ISO/IEC 27001:2022 sertifikalıdır ve şirket, kamu kurumlarında dijital iş yapma yetkisi veren Kamu Bilişim Yetki Belgesi’ne sahiptir. /work sayfasındaki örneklerden Özel Letoon Hastanesi için güvenlik altyapısı ve hastane yönetim sistemi yazılımı geliştirdik; sağlık verisi gibi özel nitelikli kişisel veri işleyen sistemlerde bu kontrollerin günlük işleyişini bu projelerden tanıyoruz.
Belgelendirme
ISO/IEC 27001 belgesini akredite belgelendirme kuruluşları verir. Belgelendirme kuruluşu değiliz ve belge alacağınızı garanti etmeyiz; denetim sonucu denetçiye aittir.
Hukuki görüş
Aydınlatma metni, açık rıza, VERBİS kaydı ve yurt dışına aktarım gibi konularda hukuki değerlendirme sizin hukuk danışmanınızdan gelir. Biz onların belirlediği gereklilikleri teknik tasarıma çeviririz.
Politika yazımı
Bilgi güvenliği politikalarının tamamını yazmak bu hizmetin odağı değildir. Güvenli geliştirme, erişim, loglama ve değişiklik yönetimi gibi teknik prosedürlere katkı veririz.
Sorular
Yaklaşım01ISO 27001 belgesi almamızı garanti ediyor musunuz?
Hayır. Belgelendirme kararı akredite belgelendirme kuruluşunun denetimine bağlıdır. Biz yazılım ve altyapı tarafındaki kontrollerin uygulanmasını ve kanıtlanmasını sağlayarak denetime hazırlıklı girmenize yardımcı oluruz.
02KVKK uyumu için hukuk danışmanımız yeterli değil mi?
Hukuk danışmanınız yükümlülükleri ve gereken tedbirleri belirler. Bu tedbirlerin önemli bir kısmı (erişim kısıtı, loglama, şifreleme, saklama ve imha süreleri, veri envanteri) yazılımda uygulanmak zorundadır. Hukuk ekibinizle birlikte çalışır, onların kararlarını koda ve altyapıya çeviririz.
03Mevcut bir yazılımı mı, yeni bir projeyi mi kapsıyorsunuz?
İkisini de. Mevcut sistemlerde boşluk analiziyle başlarız. Yeni projelerde gizlilik ve güvenlik gereksinimlerini tasarım aşamasında yazarak sonradan yapılacak maliyetli değişikliklerin önüne geçeriz.
04Bu çalışma sızma testi içerir mi?
Bu hizmetin odağı süreç, tasarım ve kanıttır; sızma testi ayrı bir çalışmadır. Boşluk analizi, hangi güvenlik testlerinin gerektiğini ve hangi sıklıkla yapılması gerektiğini belirlemenize yardımcı olur.
05Süreyi ve maliyeti ne belirler?
Kapsamdaki uygulama ve ekip sayısı, mevcut süreçlerin ne kadar belgelenmiş olduğu, işlenen kişisel veri çeşitliliği, denetim tarihinize kalan süre ve düzeltmeleri bizim mi yoksa ekibinizin mi yapacağı. Boşluk analizi ayrı bir aşama olarak kapsamlanabilir; sonraki adımları bulgulara göre yazılı olarak planlarız.
Kaynaklar
- Personal Data Protection Law (Law No. 6698), Kişisel Verileri Koruma Kurumu
- ISO/IEC 27001:2022 Information security management systems, International Organization for Standardization
Projenizi anlatın
Sorunu kısaca yazın; 30 dakikalık keşif görüşmesi için bir zaman önerisiyle size dönelim.
Keşif görüşmesi planlayın