Güvenlik

Güvenlik bir özellik değil, mimarinin kendisi.

Bu sayfada yalnız ürünlerimizde ve işletimde gerçekten uyguladığımız önlemleri yazıyoruz. Sahip olmadığımız bir belgeyi ya da denetimi ima etmiyoruz.

Kimlik ve erişim

Web tabanlı ürünlerimizin üzerine kurulduğu ortak altyapıda standart olan önlemler.

Rol ve izinHer ekran ve işlem ayrı bir izne bağlı; kullanıcı yalnız işinin gerektirdiğini görür. İzinler tek yerden yönetilir.
İki adımlı doğrulamaDoğrulayıcı uygulamayla (TOTP) iki adımlı giriş kullanıcı bazında açılabilir.
Parola ve kilitEn az 8 karakter, rakam ve harf kuralı; 5 hatalı denemede hesap 15 dakika kilitlenir.
OturumKısa ömürlü erişim belirteci HttpOnly çerezde; yenileme belirteci her kullanımda değişir, oturum uzaktan kapatılabilir.
Hız sınırıGiriş, parola ve herkese açık formlarda IP başına istek sınırı; kaba kuvvet ve form seli engellenir.

Denetim ve izlenebilirlik

Değişiklik kaydıKayıt ekleme, güncelleme ve silme işlemleri; kimin, ne zaman, hangi alanı eski ve yeni değeriyle değiştirdiği kayda geçer.
Güvenlik kaydıGiriş denemeleri ve oturum olayları ayrı tutulur.
Kritik komutlarEndüstriyel üründe sahaya yazılan her komut kullanıcı ve değerle kaydedilir; seçilen işlemlerde e-imza ya da ikinci kişi onayı istenir.
Saklama süreleriKayıtlar süresiz tutulmaz; süresi dolan kayıt zamanlanmış işle silinir. Örneğin Bella SCADA'da denetim kaydı 1 yıl, güvenlik kaydı 2 yıl, uygulama günlüğü 90 gün saklanır.

Veri koruma

Aktarımda şifrelemeTüm bağlantılar TLS üzerinden; tarayıcıya HSTS ile yalnız güvenli bağlantı kullanması bildirilir.
ParolalarKullanıcı parolaları düz metin olarak değil, geri çözülemeyen tuzlu özet olarak saklanır.
Sırlar kodda değilBağlantı bilgileri ve anahtarlar kaynak kodda değil, sunucudaki ortam dosyasında tutulur.
Kişisel veride saklamaKişisel veri, amacı bitince silinir ya da anonimleştirilir; süreler KVKK Aydınlatma Metni'nde yazılıdır.

Kurulum, yedek ve ortamlar

Verinin yeriŞirket içi kurulumda yazılım ve veri sizin sunucunuzda kalır; bulut kurulumunda verinin tutulduğu yer sözleşmede yazılır.
YedeklemeVeritabanı yedeği ve geri yükleme adımları kurulumla birlikte belgelenir ve teslim edilir.
Ayrık ortamlarGeliştirme, test ve üretim ayrıdır; canlı kişisel veriyle test yapılmaz, test verisi sentetiktir.
Bağımlılık güncelliğiKullanılan kütüphaneler bakım süresince güncellenir; güvenlik yaması bakım kapsamındadır.

Neyi iddia etmiyoruz

  • ISO 27001, SOC 2 ya da benzeri bir belgemiz şu an yok; olduğunda bu sayfada belge numarasıyla yazarız.
  • Bağımsız bir sızma testi raporu şu an yayımlamıyoruz; müşterinin kendi testine ortamı açıyor ve bulguları birlikte kapatıyoruz.
  • Her ürün her önlemi aynı sürümde taşımayabilir; ürün bazında hangi önlemin açık olduğu teklif aşamasında yazılı verilir.