Bu politika, Web Dernek Yönetimi yazılımının, satış ve lisans sunucusunun, bulut kurulumların ve destek süreçlerinin bilgi güvenliğini nasıl sağladığımızı anlatır.
1. Amaç ve ilkeler
Amacımız derneklerin ve müşterilerimizin bilgilerinin gizliliğini (yalnız yetkili kişilerin görmesi), bütünlüğünü (izinsiz değişmemesi) ve erişilebilirliğini (gerektiğinde kullanılabilmesi) korumaktır. Her erişim işin gerektirdiği en az yetkiyle verilir.
2. Yazılımdaki teknik önlemler
- Bütün bağlantılar güvenli bağlantı (https) üzerinden yapılır.
- Kullanıcı şifreleri geri çevrilemez biçimde saklanır; T.C. kimlik numarası gibi hassas alanlar şifrelenerek tutulur.
- Yönetici girişlerinde iki adımlı doğrulama kullanılabilir; yetkiler rol ve modül bazında verilir, kritik işlemler ikinci onaya bağlanabilir.
- Yeni bir cihazdan giriş yapıldığında hesap sahibine bildirim gider; şifre değişince diğer oturumlar kapanır.
- Formlar sahte istek saldırılarına karşı korunur; giriş ve form denemeleri sınırlanır.
- Kim, neyi, ne zaman değiştirdi bilgisi işlem kaydında tutulur.
- Yedekler şifrelenerek (AES-256) alınır; dernek yedeklerini kendi bilgisayarına indirebilir, sunucu dışındaki bir depolama alanına da kopyalatabilir. Kurtarma anahtarı yalnız derneğin elindedir.
- Lisans anahtarları ve güncelleme paketleri elektronik olarak imzalanır; imzası doğrulanamayan güncelleme kurulmaz. Her güncellemeden önce yedek alınır, sorun çıkarsa önceki sürüme kendiliğinden dönülür.
3. Bulut kurulumlarda
- Her dernek ayrı program klasörü, ayrı veritabanı ve ayrı veritabanı kullanıcısıyla çalışır; kayıtlar başka derneklerle karışmaz.
- Sunucular Türkiye'deki bir veri merkezinde barındırılır; yedekler internetten erişilemeyen bir klasörde saklanır.
- Güvenlik güncellemeleri gecikmeden uygulanır.
4. İdari önlemler
- Derneğin kayıtlarına yalnız derneğin isteğiyle ve destek amacıyla bakılır. Bulutta bu giriş tek kullanımlık, 10 dakika geçerli bir bağlantıyla yapılır ve derneğin işlem kaydına yazılır.
- Destek sırasında öğrenilen bilgiler gizli tutulur; işle ilgisi olmayan kayda bakılmaz.
- Kart bilgileri bizim sistemlerimizde işlenmez; kartla ödemeler lisanslı ödeme kuruluşunun güvenli sayfasında yapılır.
5. Güvenlik olayları
Derneğin verilerini etkileyen bir güvenlik olayını öğrendiğimizde en geç 24 saat içinde derneğe bildiririz; olayın kapsamını ve alınan önlemleri paylaşırız. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirimde veri sorumlusu olarak derneğe gereken bilgiyi sağlarız.
6. Güvenlik açığı bildirimi
Yazılımda ya da sitemizde bir güvenlik açığı fark ederseniz lütfen ayrıntısıyla info@webdernekyonetimi.com adresine yazın. İyi niyetli bildirimleri teşekkürle karşılar, açığı gidermeden yayımlamamanızı rica ederiz.
7. Gözden geçirme
Bu politika ve önlemler yılda en az bir kez ve önemli bir değişiklikten sonra gözden geçirilir.