Güvenlik ve Veri İşleme

1. Yaklaşımımız

Sistemleri en az yetki ilkesine göre tasarlıyor, tuttuğumuz veriyi en aza indiriyor ve yeni ama denenmemiş kontroller yerine sıradan ama iyi bilinen kontrolleri tercih ediyoruz. Güvenlik çalışması, en sonda ayrı bir kontrol noktası değil, olağan teslimatın bir parçasıdır (diğer her şeyle aynı pull request'lerde incelenir).

2. Yönetişim ve Hesap Verebilirlik

Güvenliğin sorumluluğu, eline ilk kim geçerse ona bırakılmaz; yönetim düzeyinde üstlenilir. Yönetim ekibimizden adı belirli bir kişi bilgi güvenliğinden, bu beyanın güncel tutulmasından ve olası bir olaya verilecek yanıtın koordinasyonundan sorumludur.

Veri koruma ve güvenlikle ilgili tüm konular (güvenlik açığı bildirimleri dahil) office@c9group.dev adresinden bize ulaşır.

Bu beyanı, alt işleyen listemizi ve erişim kayıtlarımızı en az yılda bir kez ve altyapımızdaki her önemli değişiklikten sonra gözden geçiriyoruz.

3. Hangi Verileri Tutuyoruz

Web sitesi ziyaretçileri

Standart istek telemetrisi (IP adresi, kullanıcı aracısı, yönlendiren sayfa, istenen sayfalar), kendi sunucumuzda çerez kullanmadan çalıştırdığımız analiz aracı Rybbit'ten gelen kullanım verileri ve onay verdiyseniz analiz ve reklam tanımlayıcıları. Her amacın hukuki dayanağı dahil ayrıntılar Gizlilik Politikamızda yer alıyor.

Potansiyel müşteriler

İletişim formu, randevu veya e-posta yoluyla bize gönderdikleriniz: genellikle ad, iş e-postası, şirket ve projenizin açıklaması. Verimli bir ilk görüşme için gereken en az bilgiyi istiyoruz ve bunun ötesinde kişisel veri talep etmiyoruz.

Müşteri projesi verileri

Bir proje süresince kaynak kodu, mimari dokümantasyonu, üzerinde çalışmamızı istediğiniz sistemlerin erişim bilgilerini ve (işin gerektirdiği durumlarda) bu sistemlerdeki verileri tutabiliriz. Bu kategori proje sözleşmesine ve kişisel veri söz konusu olduğunda bir Veri İşleme Sözleşmesine (DPA) tabidir.

4. Barındırma ve Veri Yerleşimi

Bu web sitesi Amazon Web Services üzerinde çalışır. Uygulama işlem gücü ve kaynak depolama, Avrupa Birliği içindeki eu-central-1 (Frankfurt, Almanya) bölgesinde barındırılır. Statik dosyalar Amazon CloudFront'un küresel uç ağı üzerinden dağıtılır; bu ağ, herkese açık sayfa içeriğini ve dosyaları (form gönderimlerini veya kişisel verileri değil) ziyaretçilere yakın noktalarda önbelleğe alır.

Müşteri projelerinin altyapısı, müşterinin belirttiği bölgede kurulur. Müşteri verilerin yalnızca AB'de tutulmasını şart koşuyorsa mimariyi buna göre kurar ve bunu proje sözleşmesinde yazılı olarak teyit ederiz.

5. Şifreleme

• Aktarım sırasında: Bu web sitesine gelen ve siteden çıkan tüm trafik, TLS 1.2 veya üzeri ile HTTPS üzerinden sunulur. Düz HTTP istekleri HTTPS'ye yönlendirilir.
• Depolamada: AWS ortamımızda saklanan veriler, AWS tarafından yönetilen anahtarlarla şifrelenir.
• Dahili aktarım: Altyapı bileşenlerimiz arasındaki trafik aktarım sırasında şifrelenir.
• Uç cihazlar: Müşteri sistemlerine ve kaynak koduna erişmek için kullanılan bilgisayarlarda tam disk şifreleme etkindir.

6. Erişim Kontrolü

• En az yetki: Erişim rol ve proje bazında, işin gerektirdiğiyle sınırlı olarak verilir ve düzenli aralıklarla gözden geçirilir.
• Çok faktörlü kimlik doğrulama: Bulut sağlayıcı konsollarımızda, kaynak kodu yönetiminde ve e-postada zorunludur.
• Ortak hesap yok: Herkes kendi kimliğiyle oturum açar; böylece her işlem bir kişiye bağlanabilir.
• Gizli bilgilerin yönetimi: Parolalar, anahtarlar ve benzeri gizli bilgiler yönetilen bir gizli bilgi deposunda veya şifreli bir kasada tutulur. Hiçbir zaman kaynak kodu deposuna eklenmez, sohbet üzerinden gönderilmez veya düz metin dosyalarında saklanmaz.
• Müşteri erişim bilgileri: Sistemlerinize erişim verdiğinizde, ortak erişim bilgileri yerine rolümüzle sınırlı, kişiye özel hesapları tercih ediyor ve proje bittiğinde bunları iptal etmenizi istiyoruz. Bizimkileri iptal etmediyseniz bize sorun; hâlâ hangi erişimlere sahip olduğumuzu tam olarak bildiririz.
• Ayrılış süreci: Bir kişi şirketten ayrıldığında veya bir projeden çıktığında erişimi kaldırılır.

7. Güvenli Yazılım Geliştirme

• Kod incelemesi: Değişiklikler birleştirilmeden önce yazarı dışında biri tarafından incelenir.
• Sürüm kontrolü: Tüm çalışmalar Git'te izlenir; böylece eksiksiz ve kime ait olduğu belli bir değişiklik geçmişi oluşur.
• Otomatik test ve CI: Test ve lint paketleri her değişiklikte otomatik olarak çalışır; başarısız olan bir adım hattı (pipeline) durdurur.
• Bağımlılık yönetimi: Üçüncü taraf bağımlılıkların sürümleri kilit dosyalarıyla sabitlenir ve yayımlanan güvenlik açıkları açısından izlenir. Kullandığımız bir bağımlılığı etkileyen güvenlik duyuruları geldiği anda önceliklendirilir.
• Gizli bilgi taraması: Depolar, koda eklenmiş erişim bilgilerine karşı izlenir; tespit edilen her şey yalnızca geçmişten silinmekle kalmaz, iptal edilir ve yenisiyle değiştirilir.
• Kod olarak altyapı: Ortamlar sürümlenen yapılandırma ve dağıtım betikleriyle tanımlanır; böylece değişiklikler elle uygulanmak yerine incelenebilir ve tekrarlanabilir olur.
• Ortam ayrımı: Geliştirme, test (staging) ve canlı ortamlar birbirinden ayrıdır; canlı ortam erişim bilgileri yalnızca canlı ortamın çalıştığı yerde tutulur.

Mühendislerimiz yapay zeka destekli kodlama araçları kullanıyor. Üretilen her kod, elle yazılan kodla aynı incelemeden, testlerden ve bağımlılık kontrollerinden geçer. Müşteri erişim bilgilerini veya gizli müşteri verilerini üçüncü taraf yapay zeka araçlarına yapıştırmıyoruz.

8. Güvenlik Açığı ve Yama Yönetimi

Çalıştırdığımız platformlar ve bağımlılıklar için yayımlanan güvenlik duyurularını izliyoruz. Yama hedeflerimiz, bir düzeltmenin bizim için kullanılabilir hale geldiği andan itibaren ölçülür:

Henüz bir düzeltme yoksa telafi edici bir kontrol uyguluyor (etkilenen özelliği devre dışı bırakmak, ağ erişimini kısıtlamak veya tespit mekanizması eklemek gibi) ve bu kararı kayıt altına alıyoruz. Bir müşteri adına işlettiğimiz sistemlerin yama taahhütleri ilgili hizmet sözleşmesinde belirlenir ve yukarıdaki hedeflerden daha sıkı olabilir.

9. Kayıt Tutma ve İzleme

Uygulama ve altyapı kayıtları bulut ortamımızda merkezi olarak toplanır, belirlenmiş bir süre saklanır ve bir hata ya da şüpheli bir olay araştırılırken incelenir. Bulut hesaplarımızdaki yönetimsel işlemler bir denetim izine kaydedilir.

Kayıtlarda gereksiz kişisel veri bulunmamasına bilinçli olarak özen gösteriyoruz; erişim bilgisi veya form içeriği barındıran istek gövdelerini kaydetmiyoruz.

10. Yedekleme ve Süreklilik

Bu web sitesi durumsuzdur (stateless) ve kaynak koddan yeniden oluşturulabilir: dağıtılan paket sürüm kontrolündeki koddan üretildiği için kurtarma, yedekten geri yüklemek değil yeniden dağıtmak demektir. Kaynak kodu, dağıtık kopyalarıyla birlikte Git'te tutulur.

İşlettiğimiz müşteri sistemlerinde yedekleme sıklığı, saklama süresi, kurtarma noktası hedefi (RPO) ve kurtarma süresi hedefi (RTO) her proje için ayrıca belirlenir; geri yüklemelerin çalıştığı varsayılmaz, test edilir.

11. Müşteri Verileriyle Çalışma

• Veri İşleme Sözleşmesi: Kişisel verileri sizin adınıza işlediğimiz durumlarda, GDPR'nin 28. maddesini karşılayan yazılı bir DPA kapsamında veri işleyen olarak hareket ederiz. Standart DPA'mızı talep üzerine sunar, sizinkini de inceleyebiliriz.
• Gizlilik sözleşmesi: Talep halinde, ilk kapsam görüşmesinden önce de dahil olmak üzere karşılıklı gizlilik sözleşmesi (NDA) imzalarız.
• Talimata bağlı işleme: Müşterilere ait kişisel verileri yalnızca belgelenmiş talimatlar doğrultusunda işler, hiçbir zaman kendi amaçlarımız için kullanmayız.
• Alt işleyen bildirimi: Kişisel verilerinizi işleyecek yeni bir alt işleyen eklemeden önce size haber verir ve itiraz etme imkânı tanırız.
• İade ve silme: Proje sonunda talep üzerine müşteri verilerini iade eder veya siler, işlem tamamlandığında bunu yazılı olarak teyit ederiz.
• Destek: Geliştirdiğimiz veya işlettiğimiz sistemlerle ilgili ilgili kişi başvurularını, güvenlik anketlerini ve denetim makamlarından gelen soruları yanıtlamanıza yardımcı oluruz.

12. Personel

• Müşteri projelerinde çalışan herkes (çalışan veya yüklenici), çalışmaları sona erdikten sonra da geçerliliğini koruyan yazılı gizlilik yükümlülükleriyle bağlıdır.
• Alt yüklenicilere, bizimkinden daha az koruyucu olmayan güvenlik ve gizlilik yükümlülükleri uygulanır ve onların yaptığı işten size karşı biz sorumlu kalırız.
• Bir müşteri ortamına erişim yalnızca o ortam üzerinde çalışan kişilere verilir ve projeden ayrıldıklarında kaldırılır.
• Ekibimiz farklı konumlardan çalışıyor; müşteri sistemlerine uzaktan erişim, ofisten erişimle aynı kimlik doğrulama ve en az yetki kurallarına tabidir.

13. Alt İşleyenler ve Üçüncü Taraf Hizmetler

Aşağıdaki üçüncü taraflar bu web sitesiyle bağlantılı olarak veri işleyebilir. Analiz ve reklam hizmetleri, çerez bildirimimiz üzerinden yalnızca onay vermenizden sonra yüklenir; diğerleri sitenin çalışması veya size yanıt verebilmemiz için gereklidir.

Google Consent Mode'u (İzin Modu) kullanıyoruz; Google etiketleri reddedilmiş durumda yüklenir ve siz onay verene kadar hiçbir analiz veya reklam verisi depolanmaz. Onayınızı çerez bildirimi üzerinden geri çektiğinizde, cihazınızda tuttuğumuz reklam tanımlayıcıları silinir.

Belirli bir müşteri projesinde kullanılan alt işleyenler burada değil, o projenin DPA'sında listelenir.

14. Uluslararası Veri Aktarımları

Web sitesinin barındırılması verileri AB içinde tutar. Yukarıdaki sağlayıcıların bir kısmı Avrupa Ekonomik Alanı dışında, başta Amerika Birleşik Devletleri'nde yerleşiktir; bu da bazı verilerin oraya aktarılabileceği anlamına gelir.

Bu aktarımlarda Avrupa Komisyonu'nun Standart Sözleşme Maddelerine, uygulanabildiği durumlarda sağlayıcının AB-ABD Veri Gizliliği Çerçevesi (EU-US Data Privacy Framework) kapsamındaki sertifikasyonuna ve bu sayfada açıklanan ek önlemlere (başta aktarım sırasında şifreleme ve veri minimizasyonu) dayanıyoruz. Her sağlayıcı için kullanılan aktarım mekanizması talep üzerine paylaşılır.

15. Olay Müdahalesi

Tuttuğumuz verileri etkileyen bir güvenlik olayı tespit edersek olayı sınırlandırır, kapsamını değerlendirir, nedenini giderir ve etkilenenleri bilgilendiririz.

Önemli her olaydan sonra suçlayıcı olmayan bir olay sonrası değerlendirme yapar, kök nedeni ve düzeltici adımları kayıt altına alır ve bulguları etkilenen müşterilerle paylaşırız.

16. Güvenlik Açığı Bildirimi

Bu web sitesinde veya işlettiğimiz herhangi bir sistemde bir güvenlik açığı bulduğunuzu düşünüyorsanız sizden haber almak isteriz.

Karşılığında sizden şunları rica ediyoruz:

• Sorunu kamuoyuyla paylaşmadan önce düzeltmemiz için bize makul bir süre tanıyın
• Size ait olmayan verilere erişmekten, bunları değiştirmekten veya silmekten kaçının; güvenlik açığını gösterdiğiniz noktada durun
• Hizmet engelleme (DoS) testleri yapmayın, spam göndermeyin, personelimize veya ofislerimize yönelik sosyal mühendislik ya da fiziksel saldırı girişiminde bulunmayın
• Diğer kullanıcılar için hizmeti yavaşlatan otomatik tarayıcılar kullanmayın

Şu anda ücretli bir hata ödül programımız (bug bounty) yok. Ama bir kişinin gönderdiği her bildirimi okuyor ve teşekkür ediyoruz.

17. Esas Aldığımız Standartlar

Uygulamalarımız aşağıdaki çerçevelerle uyumlu olacak şekilde tasarlanmıştır. Şu anda bunların hiçbirinden sertifikamız yoktur; bu durum değişirse sertifikayı veren kuruluşu ve sertifika tarihini burada belirteceğiz.

• GDPR ((AB) 2016/679 sayılı Tüzük): Tasarımdan itibaren ve varsayılan olarak veri koruma, 28. madde kapsamındaki veri işleyen yükümlülükleri ve ihlal bildirimi.
• ISO/IEC 27001: Erişim kontrolü, varlık yönetimi ve olay müdahalesi uygulamalarımızda referans model olarak kullanılır.
• OWASP Top 10 ve OWASP ASVS: Uygulama güvenliği incelemesinde referans.
• CIS Benchmarks: Bulut ve işletim sistemi temel yapılandırmasında referans.
• NIS2 ((AB) 2022/2555 sayılı Direktif): Kapsama giren ve tedarik zinciri yükümlülükleri bize kadar uzanan müşteriler için geliştirme yaparken referans alınır.

18. Talep Üzerine Sunulan Belgeler

Satın alma ve güvenlik ekipleri aşağıdakileri office@c9group.dev adresinden talep edebilir:

• Standart Veri İşleme Sözleşmemiz (DPA)
• Karşılıklı gizlilik sözleşmesi (NDA)
• Belirli bir projeye ait alt işleyen listesi ve aktarım mekanizması
• Güvenlik anketinize veya tedarikçi değerlendirmenize verilmiş yanıtlar
• Belirli bir projede uygulanan kontrollerin yazılı açıklaması

19. İletişim

Ayrıca Gizlilik Politikamıza, Hizmet Koşullarımıza ve Erişilebilirlik Beyanımıza göz atın.

20. Dil