Bilgi Güvenliği Politikası

1. Amaç ve Kapsam

Bu politika; RC Step tarafından kullanılan bilgi sistemlerini, internet sitesini, yazılımları, elektronik ve fiziksel kayıtları, çalışanları, hizmet sağlayıcıları ve iş süreçlerini kapsamaktadır.

Bilgi güvenliği yalnızca teknik sistemlerin değil; insan, süreç ve teknoloji bileşenlerinin birlikte yönetilmesiyle sağlanmaktadır.

2. Bilgi Güvenliği Hedefleri

• Bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumak,
• Yetkisiz erişim ve veri ihlali risklerini azaltmak,
• İş sürekliliğini ve sistemlerin güvenilirliğini sağlamak,
• Yasal ve sözleşmesel yükümlülüklere uymak,
• Bilgi güvenliği farkındalığını geliştirmek,
• Güvenlik olaylarına hızlı ve etkili şekilde müdahale etmek,
• Bilgi güvenliği süreçlerini düzenli olarak iyileştirmek.

3. Erişim Güvenliği

Sistemlere ve bilgilere erişim, görev ve yetki gereksinimleri doğrultusunda sınırlandırılır. Kullanıcılara yalnızca işlerini yerine getirebilmeleri için gerekli olan erişim yetkileri tanımlanır.

• Kullanıcı hesapları kişiye özel olarak oluşturulur,
• Güçlü parola kullanım kuralları uygulanır,
• Gerekli sistemlerde çok faktörlü kimlik doğrulama kullanılır,
• Görev değişikliği veya işten ayrılma halinde yetkiler güncellenir,
• Yönetici yetkileri sınırlı ve kontrollü şekilde kullanılır.

4. Kişisel Veri Güvenliği

Kişisel veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak işlenir ve korunur.

• Kişisel verilere erişim yetkili kişilerle sınırlandırılır,
• Gereksiz kişisel veri toplanmasından kaçınılır,
• Veriler yalnızca belirlenen amaçlarla kullanılır,
• Yasal saklama süresi sona eren veriler güvenli şekilde silinir,
• Veri aktarım süreçlerinde gerekli güvenlik önlemleri uygulanır.

5. Sistem ve Ağ Güvenliği

İnternet sitesi, sunucular, ağ sistemleri ve kullanılan yazılımlar, güvenlik risklerine karşı düzenli olarak kontrol edilir.

• Güvenlik güncellemeleri zamanında uygulanır,
• Zararlı yazılımlara karşı koruma sistemleri kullanılır,
• Güvenlik duvarı ve erişim kısıtlamaları uygulanır,
• Şüpheli işlem ve erişimler takip edilir,
• Güvenlik açıkları tespit edildiğinde gerekli düzeltmeler yapılır.

6. Ödeme Güvenliği

Ödeme işlemleri, yetkili ödeme kuruluşlarının güvenli altyapıları üzerinden gerçekleştirilir. Müşterilere ait ödeme kartlarının tam bilgileri RC Step sistemlerinde saklanmaz.

Ödeme süreçlerinde şifreli iletişim teknolojileri ve yetkili hizmet sağlayıcıların güvenlik kontrolleri kullanılır.

7. Yedekleme ve İş Sürekliliği

Kritik bilgi ve sistemlerin kaybolmasını önlemek amacıyla uygun aralıklarla yedekleme yapılır. Yedeklerin erişilebilirliği ve kullanılabilirliği düzenli olarak kontrol edilir.

• Kritik veriler düzenli olarak yedeklenir,
• Yedeklere erişim sınırlandırılır,
• Hizmet kesintilerine karşı kurtarma planları oluşturulur,
• Kritik sistemlerin yeniden çalıştırılması için öncelikler belirlenir.

8. Fiziksel Güvenlik

Bilgi sistemlerinin ve fiziksel kayıtların bulunduğu alanlara erişim kontrol altında tutulur. Yetkisiz kişilerin cihazlara, belgelere ve bilgi varlıklarına erişmesi engellenir.

9. Çalışanların Sorumlulukları

RC Step çalışanları ve hizmet sağlayıcıları, eriştikleri bilgilerin gizliliğini korumak ve bilgi güvenliği kurallarına uymakla sorumludur.

• Parolalar başkalarıyla paylaşılmaz,
• Şüpheli bağlantı ve dosyalar açılmaz,
• Gizli bilgiler yetkisiz kişilere aktarılmaz,
• Şüpheli güvenlik olayları gecikmeden bildirilir,
• Şirket cihazları ve bilgi kaynakları amacı dışında kullanılmaz.

10. Tedarikçi ve Hizmet Sağlayıcı Güvenliği

Bilgiye veya sistemlere erişebilen tedarikçi ve hizmet sağlayıcıların güvenlik yükümlülükleri değerlendirilir. Gerekli durumlarda gizlilik ve veri güvenliği hükümleri sözleşmelerle güvence altına alınır.

11. Güvenlik Olaylarının Yönetimi

Bilgi güvenliği olayı veya şüphesi tespit edildiğinde olayın etkisini sınırlandırmak, nedenini belirlemek ve tekrarını önlemek amacıyla gerekli çalışmalar yürütülür.

• Olay kayıt altına alınır ve değerlendirilir,
• Etkilenen sistem ve bilgiler belirlenir,
• Gerekli teknik ve idari önlemler uygulanır,
• Yasal bildirim yükümlülükleri değerlendirilir,
• Tekrarını önlemek amacıyla düzeltici faaliyet gerçekleştirilir.

12. Denetim ve Sürekli İyileştirme

Bilgi güvenliği uygulamaları, teknolojik gelişmeler, yeni tehditler, iş süreçleri ve mevzuat değişiklikleri dikkate alınarak düzenli şekilde gözden geçirilir.

Tespit edilen eksiklikler için gerekli iyileştirme çalışmaları planlanır ve uygulanır.

13. İletişim

Bilgi güvenliğine ilişkin soru, talep veya olay bildirimlerinizi iletişim kanallarımız üzerinden RC Step’e iletebilirsiniz.

14. Politikanın Yürürlüğü

Bu politika yayımlandığı tarihte yürürlüğe girer. Mevzuat, teknoloji veya iş süreçlerinde meydana gelen değişiklikler doğrultusunda güncellenebilir.