1. Amaç
ORKİDEM’in bilgi güvenliği yaklaşımının amacı müşteri, sipariş, satıcı, kurye ve şirket bilgilerinin gizlilik, bütünlük ve erişilebilirliğini risk düzeyiyle uyumlu şekilde korumaktır.
2. Temel İlkeler
- en az yetki ve görev bazlı erişim,
- güvenli kimlik doğrulama ve oturum yönetimi,
- gereksiz veri çoğaltmama,
- kontrollü yazılım değişikliği,
- güvenlik logları ve olay tespiti,
- yedekleme ve iş sürekliliği,
- gizli anahtar ve yönetici hesaplarının korunması.
3. Erişim Kontrolü
Admin, satıcı, kurye, hizmet sağlayıcı ve müşteri rolleri mümkün olduğu ölçüde ayrılır. Yetkili kullanıcıların yalnız görevleri için gerekli bilgilere erişmesi hedeflenir.
4. Oturum Güvenliği
Güvenli çerez özellikleri, oturum yenileme ve gerektiğinde ek doğrulama kontrolleri uygulanabilir. Şüpheli erişimde oturum sonlandırılabilir veya hesap geçici olarak kısıtlanabilir.
5. Ödeme Güvenliği
Ödeme işlemlerinde güvenli ödeme hizmet sağlayıcısı ve gerektiğinde banka doğrulaması kullanılır. Kart şifresi ve tek kullanımlık banka doğrulama kodu istenmez.
6. Güvenli Yazılım ve Değişiklik Yönetimi
Uygulama değişiklikleri mümkün olduğu ölçüde kaynak kontrolü, yedek/geri alma, doğrulama ve kontrollü yayın süreçleriyle yürütülür.
7. Loglama ve İzleme
Güvenlik, hata ve önemli işlem kayıtları olay tespiti, destek ve ispat için tutulabilir. Loglarda gereksiz hassas veri veya gizli anahtar bırakılmaması esastır.
8. Güvenlik Olayları
Yetkisiz erişim, veri kaybı veya saldırı tespit edildiğinde olayın kapsamı belirlenir, teknik tedbirler uygulanır ve mevzuatın gerektirdiği bildirim süreçleri işletilir.
9. Üçüncü Taraflar
Teknik hizmet sağlayıcıların erişimi hizmet için gerekli ölçüde sınırlandırılır ve ilgili riskler değerlendirilir.
10. Kullanıcı Güvenliği
Kullanıcı doğrulama kodu, hesap erişim bağlantısı ve banka doğrulama bilgisini üçüncü kişilerle paylaşmamalıdır.
11. Kamuya Açıklanmayan Ayrıntılar
Güvenliği zayıflatabilecek ağ, anahtar, altyapı ve olay müdahale ayrıntıları kamuya açık metinde yayımlanmaz.
12. Bilgi Varlıklarının Sınıflandırılması
Müşteri verisi, ödeme işlem kayıtları, sipariş bilgileri, satıcı/kurye operasyon verileri, kaynak kodu, erişim anahtarları ve kurumsal belgeler farklı güvenlik seviyelerinde değerlendirilebilir. Erişim ve paylaşım kuralları bilginin hassasiyetine göre belirlenmelidir.
13. En Az Yetki İlkesi
Kullanıcı veya servis hesabına yalnız görevini yerine getirmek için gerekli yetki verilir. Geçici erişim gerektiren destek veya teknik müdahalelerde erişim süresi ve kapsamı sınırlandırılabilir. Kullanılmayan hesap ve yetkiler düzenli olarak gözden geçirilir.
14. Ayrı Roller ve Paneller
Müşteri, satıcı, kurye ve admin panellerinin yetkileri birbirinden ayrılır. Bir satıcının yalnız kendi mağazası ve siparişleriyle, kuryenin yalnız görevlendirildiği teslimatlarla ilgili verilere erişmesi hedeflenir. Yetki kontrolü yalnız arayüzde değil sunucu tarafında da uygulanmalıdır.
15. Kimlik Doğrulama ve Hesap Koruma
Hesapların doğrulanması, güvenli oturum yönetimi, gerekli durumlarda ikinci faktör/ek doğrulama, şüpheli oturumların sonlandırılması ve yetkisiz erişim denemelerinin sınırlandırılması güvenlik yaklaşımının parçalarıdır.
16. Erişim Anahtarları ve Sırlar
API anahtarları, ödeme sırları, özel anahtarlar ve yönetici kimlik bilgileri kaynak kodunda veya loglarda açık şekilde tutulmamalıdır. Bu tür sırlar erişimi kısıtlı güvenli yapılandırma/secret yönetimi ortamlarında saklanmalı ve gerektiğinde yenilenmelidir.
17. Yazılım Güvenliği
Girdi doğrulama, çıktı kaçışlama, yetkilendirme, CSRF/XSS/SQL injection gibi yaygın web saldırılarına karşı koruma, güvenli dosya yükleme, güvenli bağımlılık yönetimi ve erişim kontrolleri uygulama geliştirme sürecinin parçasıdır.
18. Değişiklik ve Geri Alma
Üretim ortamındaki değişikliklerin mümkün olduğu ölçüde yedek, hash/sürüm doğrulaması, geri alma planı ve yayın sonrası kontrolle yapılması hedeflenir. Kritik değişikliklerde işlev ve güvenlik etkisi ayrıca doğrulanır.
19. Yedekleme
Kritik verilerin kaybını önlemek için yedekler oluşturulabilir. Yedek erişimi üretim erişiminden ayrı sınırlandırılır; yedeklerin geri yüklenebilirliği ve saklama süresi risk ve iş ihtiyacına göre yönetilir.
20. Güvenlik Logları
Yönetici erişimleri, kritik yapılandırma değişiklikleri, başarısız girişler, ödeme/işlem hataları ve güvenlik olayları loglanabilir. Log verisi, güvenlik amacıyla gerekli alanlarla sınırlandırılmalı ve gizli anahtar/parola içermemelidir.
21. Olay Müdahalesi
Güvenlik olayı tespit edildiğinde olayın sınırlandırılması, etkilenen sistemlerin belirlenmesi, delillerin korunması, açığın kapatılması, gerekiyorsa kullanıcı/kurum bildirimlerinin yapılması ve tekrarını önleyici tedbirlerin uygulanması hedeflenir.
22. Tedarikçi Güvenliği
Ödeme, barındırma, bildirim veya güvenlik hizmeti sağlayıcılarının veri erişimi, hizmet kapsamında gerekli veriyle sınırlandırılır. Hizmetin kritikliği arttıkça güvenlik ve sözleşmesel yükümlülüklerin daha ayrıntılı değerlendirilmesi gerekir.
23. Personel ve Yetkili Kullanıcı Farkındalığı
Müşteri verisine erişen çalışan, satıcı ve kurye kullanıcılarının veriyi görev dışı paylaşmaması; parola/doğrulama kodlarını koruması; oltalama, sahte ödeme talebi ve sosyal mühendislik girişimlerine karşı dikkatli olması gerekir.
24. Fiziksel Güvenlik
Fiziksel belge veya cihazlarda kişisel veri bulunması hâlinde yetkisiz erişimi önlemek için uygun fiziksel güvenlik tedbirleri uygulanır. Kâğıt belge imhası geri getirilemeyecek şekilde yapılmalıdır.
25. Güvenlik Tedbirlerinin Sürekliliği
Bilgi güvenliği tek seferlik kurulum değil sürekli bir risk yönetimi faaliyetidir. Yeni tehditler, yazılım güncellemeleri, sağlayıcı değişiklikleri ve iş modelindeki değişimler doğrultusunda erişim, log, yedekleme, anahtar yönetimi ve olay müdahale süreçleri yeniden değerlendirilir.
Son güncelleme: 30 Eylül 2026