Bilgi Güvenliği Politikası

BİLGİ GÜVENLİĞİ POLİTİKASI

Kısık Balık Üst Yönetimi olarak; merkez lokasyonda yürütülen faaliyetlerde kullanılan bilgi varlıklarının korunmasını, iş süreçlerinin güvenilirliğini ve sürekliliğini destekleyen temel bir kurumsal sorumluluk olarak kabul ederiz.

Gizlilik, Bütünlük ve Erişilebilirlik: Bilgi varlıklarımızın gizliliğini, bütünlüğünü ve erişilebilirliğini; varlıkların değeri, bilgi güvenliği riskleri, iş ihtiyaçları ve uygulanabilir şartlar doğrultusunda korumayı taahhüt ederiz. Bilgiye erişimi, görev ve iş gereksinimleri ile sınırlı tutar; yetkisiz erişim, değişiklik, ifşa, kayıp ve kesintileri önlemeye yönelik idari, teknik ve fiziksel tedbirleri uygularız.

Risk Yönetimi: Bilgi güvenliği risklerini belirler, analiz eder, değerlendirir ve kabul edilebilir seviyeye indirmek üzere uygun risk işleme faaliyetlerini planlarız. Risk değerlendirmesi sonuçlarını, iş süreçlerindeki değişiklikleri, siber tehditleri, ilgili taraf gerekliliklerini ve kişisel veri gizliliği üzerindeki olası etkileri dikkate alarak düzenli olarak gözden geçiririz.

Bilgi Varlıkları ve Sınıflandırma: Bilgi varlıklarımızı belirler, sorumlularını tanımlar ve değerlerine, gizlilik seviyelerine ve yasal/sözleşmesel gerekliliklere göre uygun şekilde sınıflandırırız. Bilgi varlıklarının yaşam döngüsü boyunca oluşturulması, kullanılması, saklanması, aktarılması, arşivlenmesi ve imhasında gerekli güvenlik önlemlerini uygularız.

Erişim Kontrolü: Bilgi sistemlerine, uygulamalara, fiziksel alanlara ve kayıtlara erişim yetkilerini görev tanımları ile iş gereksinimlerine göre verir, yetkileri düzenli olarak gözden geçiririz. Kullanıcı hesaplarının oluşturulması, değiştirilmesi, askıya alınması ve kapatılması süreçlerini yetkisiz erişim riskini azaltacak şekilde yönetiriz.

Teknik Güvenlik ve Operasyonel Süreklilik: Bilgi sistemlerinin güvenli işletimini desteklemek amacıyla yedekleme, güncelleme, kötü amaçlı yazılımlardan korunma, ağ güvenliği, kayıt tutma ve izleme gibi uygun teknik kontrolleri uygularız. Sistem kesintileri, siber olaylar, fiziksel çevre kaynaklı tehditler ve iklim değişikliğinin yol açabileceği aşırı hava olayları dâhil sürekliliği etkileyebilecek hususları değerlendirir; bilgiye ve sistemlere erişimin devamlılığı için gerekli tedbirleri planlarız.

Kişisel Verilerin Güvenliği ve Gizlilik: Kişisel veri içeren bilgi varlıklarını, kişisel verilerin korunmasına ilişkin uygulanabilir şartlar ile gizlilik ilkelerine uygun olarak koruruz. Kişisel verilere yetkisiz erişimi, hukuka aykırı işlenmesini, yanlışlıkla veya hukuka aykırı kaybolmasını, değiştirilmesini, ifşa edilmesini ya da imhasını önlemek amacıyla gerekli teknik ve idari tedbirleri uygularız.

Olay Yönetimi: Bilgi güvenliği olaylarının ve şüpheli durumların zamanında bildirilmesini, kaydedilmesini, değerlendirilmesini ve uygun şekilde ele alınmasını sağlarız. Olayların etkisini azaltmak, tekrarını önlemek ve öğrenilen dersleri sistemin iyileştirilmesinde kullanmak üzere gerekli faaliyetleri yürütürüz. Kişisel veri ihlali niteliği taşıyan olayları ayrıca ilgili gizlilik ve yasal yükümlülükler çerçevesinde değerlendiririz.

Tedarikçi ve Dış Taraf Güvenliği: Bilgiye, bilgi sistemlerine veya kişisel veri içeren kayıtlara erişen tedarikçi, hizmet sağlayıcı ve diğer dış tarafların bilgi güvenliği yükümlülüklerini sözleşmeler, gizlilik taahhütleri ve uygun kontroller ile yönetiriz. Bu tarafların erişimlerini tanımlı amaç, süre ve yetki sınırları çerçevesinde tutarız.

Farkındalık ve Yetkinlik: Çalışanlarımızın ve uygun olduğu durumlarda dış tarafların bilgi güvenliği farkındalığını artırmayı; görevleriyle uyumlu eğitim, bilgilendirme ve hatırlatma faaliyetleri yürütmeyi taahhüt ederiz. Her çalışanın bilgi güvenliğinin korunmasındaki rolünü bilmesini ve sorumluluklarını yerine getirmesini destekleriz.

Uygulanabilir Şartlara Uyum ve Sürekli İyileştirme: Bilgi güvenliğiyle ilgili yasal, düzenleyici, sözleşmesel ve diğer uygulanabilir şartları takip eder ve yerine getiririz. Bilgi Güvenliği Yönetim Sisteminin uygunluğunu, yeterliliğini ve etkinliğini; hedefler, iç tetkikler, olaylar, risk değerlendirmeleri, performans sonuçları ve yönetimin gözden geçirmesi aracılığıyla izler; sürekli iyileştiririz.