Urhanlar Grup Bilgi Güvenliği Politikası’nın amacı, tedarikci360.com e-ticaret platformu ve ilgili tüm sistemlerde yer alan bilgi varlıklarının; gizlilik, bütünlük ve erişilebilirlik esaslarına uygun olarak korunmasını sağlamaktır.

Politika; çalışanlar, geçici personel, iş ortakları, tedarikçiler ve tedarikci360.com üzerinden işlem yapan tüm kullanıcıları kapsar. Kurumun sahip olduğu veya üçüncü taraflardan temin ettiği tüm bilgi varlıkları bu kapsam içindedir.

Kurum için değer ifade eden her türlü veri, doküman, yazılım, donanım, hizmet ve bilgi işleme ortamları.

Bilgilerin yetkisiz erişim, değiştirme, ifşa, yok olma veya hasar görme risklerine karşı korunmasını ifade eder.

Bilgi güvenliği politikalarına aykırı veya bilgi varlıklarına zarar verme potansiyeli taşıyan her türlü olay.

Bilgi güvenliğinin sürdürülebilirliği tüm kurum çalışanlarının sorumluluğundadır. Ancak farklı seviyelerde özel görev ve yükümlülükler bulunmaktadır:

• Bilgi güvenliği politika ve prosedürlerine uygun hareket etmek
• Yetkisiz erişim denemelerini veya şüpheli durumları raporlamak
• Kendilerine emanet edilen bilgi varlıklarını korumak

Urhanlar Grup, bilgi güvenliğini aşağıdaki temel ilkeler doğrultusunda ele alır:

• Bilginin yalnızca yetkili kişiler tarafından erişilebilir olması (gizlilik)
• Bilginin doğruluğunun ve değiştirilmemiş olmasının sağlanması (bütünlük)
• Bilginin ihtiyaç duyulduğu anda erişilebilir olması (erişilebilirlik)
• Yasal ve düzenleyici gerekliliklere tam uyum
• Risk temelli yaklaşım ile sürekli iyileştirme
• “Bilmesi gereken kadar” prensibi ile yetkilendirme

tedarikci360.com ve kurum içi sistemlere erişim, rol ve sorumluluklara göre tanımlanır ve düzenli olarak gözden geçirilir.

• Kullanıcı hesapları kişiye özeldir, paylaşılması yasaktır.
• Güçlü parola politikaları uygulanır ve belirli periyotlarla parola değişimi teşvik edilir.
• Yetkiler “asgari yetki” prensibine göre verilir ve güncellenir.
• Çalışan ayrılışlarında veya görev değişikliklerinde erişim hakları derhal revize edilir.

Bilgi sistemleri altyapısı, hem fiziksel hem de mantıksal güvenlik kontrolleri ile korunur:

• Sunucu ve ağ cihazlarının yer aldığı alanlara yetkili personel erişimi
• Fiziksel giriş-çıkış kontrolleri ve kilitli alanlar
• Yangın, su baskını, hırsızlık vb. risklere karşı önlemler

• Güncel güvenlik duvarı, saldırı tespit ve önleme sistemleri
• Güncel antivirüs, anti-malware ve diğer koruyucu yazılımlar
• Güvenli yazılım geliştirme ve test süreçleri
• Güvenli protokoller (ör. HTTPS) kullanımı

Kritik sistem ve veriler, veri kaybı ve kesinti riskini azaltmak amacıyla düzenli olarak yedeklenir ve iş sürekliliği planları çerçevesinde korunur.

• Belirli periyotlarla veri yedekleme süreçleri uygulanır.
• Yedekler, yetkili kişiler dışında erişime kapalı güvenli ortamlarda saklanır.
• İş sürekliliği ve felaket kurtarma senaryoları periyodik olarak test edilir.

Yedeklerde yer alan kişisel veriler de KVKK ve ilgili veri koruma politikalarına uygun şekilde saklanır ve imha edilir.

Bilgi güvenliği ihlali şüphesi uyandıran her türlü durum “güvenlik olayı” olarak değerlendirilir ve yapılandırılmış bir süreçle yönetilir.

• Olası olayların tespiti, kaydı ve sınıflandırılması
• Olayın etkisinin azaltılması için acil önlemlerin alınması
• Olay nedenlerinin analizi ve tekrarlanmaması için düzeltici/önleyici faaliyetler
• Gerektiğinde ilgili kişi ve otoritelere yasal bildirimlerin yapılması

Bilgi güvenliğinin sürdürülebilirliği için çalışanlara düzenli eğitim ve farkındalık çalışmaları yapılır:

• Yeni başlayan çalışanlar için bilgi güvenliği uyum eğitimleri
• Dönemsel olarak güncellenen siber güvenlik ve KVKK farkındalık eğitimleri
• Phishing, sosyal mühendislik ve parola güvenliği konularında bilgilendirmeler

Bilgi Güvenliği Politikası ve ilgili prosedürlere uyum, düzenli olarak izlenir ve gerektiğinde iç/dış denetimlere tabi tutulur.

• Politika ve prosedürlerin periyodik gözden geçirilmesi
• Güvenlik kontrollerinin etkinliğinin değerlendirilmesi
• İlgili standart ve mevzuatlara uyumun kontrolü

Denetim sonuçlarına göre gerekli iyileştirme ve geliştirme aksiyonları yönetim tarafından planlanır ve hayata geçirilir.

Bu Bilgi Güvenliği Politikası; teknolojik gelişmeler, mevzuat değişiklikleri ve kurum ihtiyaçları doğrultusunda belirli aralıklarla gözden geçirilir ve gerekli görüldüğünde güncellenir. Güncel versiyon tedarikci360.com üzerinden yayınlanır.

Bilgi güvenliği politikası ve uygulamalarına ilişkin her türlü soru, görüş ve öneriniz için aşağıdaki iletişim kanallarını kullanabilirsiniz: