BİLGİ GÜVENLİĞİ POLİTİKASI

1. Amaç

Bilgi Güvenliği Politikasının amacı Architecht Bilişim Sistemleri ve Pazarlama Ticaret A.Ş. (Şirket)’nin bilgi varlıklarını ve kurumsal markasını iç, dış, maksatlı ve kaza eseri olan tehlikelerden korumak için gerekli bilgi güvenliği kurallarını belirlemektir.

2. Kapsam

Bütün şirket çalışanları, danışmanları/yüklenicileri, geçici çalışanı ve stajyerleri tarafından gerçekleştirilecek olan işler, Bilgi Güvenliği Politikası ile uyum içerisinde olmalıdır. Politika; çalışan bilgisayarı/aygıtları, sunucuları, iletişim aygıtları, fiziksel güvenlik aygıtları ve taşınabilir bilgisayar aygıtlarını kapsayan bilgi varlıklarını içerir.

Bu politika;

ISO 27001 Bilgi Güvenliği Yönetim Sistemi,

ISO 27017 Bulut Hizmetleri için Bilgi Teknolojisi Güvenlik Teknikleri,

ISO 27701 Kişisel Veri Yönetim Sistemi,

ISO 22301 İş Sürekliliği Yönetim Sistemi,

ISO 20000-1 Bilgi Teknolojileri Hizmet Yönetim Sistemi

standartlarını kapsar (“Entegre Yönetim Sistemi” ve/veya “EYS”).

3. Uygulama Metodu

Bilgi varlıklarına yönelik bilgi güvenliği risklerini yönetmek amacıyla:

- Bilgi varlıkları yasal gereksinimlere, hassaslık derecelerine ve iş gereksinimleri açısından kritikliğine göre sınıflandırılır.

- İş süreçlerine ve bu süreçleri destekleyen bilgi varlıklarına karşı tehditler ve zafiyetler belirlenir.

- Zafiyetlerin gerçekleşme olasılığı ve etkisi değerlendirilir.

- Üst Yönetimin belirleyeceği kabul edilebilir seviyenin üzerindeki riskler yönetilerek gerekli önlemler alınır.

Yasa, mevzuat, yönetmelik ve sözleşmelerdeki değişiklikler ile yeni tehdit/zafiyetler durumunda güvenlik önlemleri gözden geçirilir.

Bilgi güvenliği eğitimleri tüm çalışanlara yılda bir kez verilir. Eğitim sonrası anket ile verim ölçülür.

Gizli bilgiler yetkisiz erişim ve ifşa risklerine karşı korunur.

Bilgi varlıklarına erişim sadece yetkili kişilere, görev ayrılığı ilkesi gözetilerek minimum seviyede verilir.

Bilgi, yetkisiz değişikliklere karşı korunur.

Bilgiye ihtiyaç duyulduğunda erişilebilir olması sağlanır.

Bilgi varlıklarını kullananlar tanımlanabilir, hesap verebilir ve izlenebilir olmalıdır.

Bilgi güvenliği ihlallerinde “Bilgi Güvenliği Olay Yönetim Politikası” süreçleri takip edilir.

Şirket bilgisayarlarında saklanan bilgiler şirkete aittir. Çalışanlar bu bilgiler üzerinde kişisel hak iddia edemez, şirket onayı olmadan kullanamaz.

Şirket, bilgi varlıklarına erişen çalışanların eylemlerini denetleyebilir.

Politikaya uyum için destekleyici politika, prosedür ve standartlar oluşturulur ve duyurulur.

Bilgi ve siber güvenlik hizmetleri, Kuveyt Türk Katılım Bankası Bilgi Güvenliği Grubu tarafından sağlanır.

Politika ihlallerinde şirketin Disiplin Yönetmeliği hükümleri uygulanır.