TEDARİKÇİ İLİŞKİLERİ BİLGİ GÜVENLİĞİ POLİTİKASI
1. Amaç
Bu politikanın amacı, Kayten Teknoloji Ürünleri San. Ve Dış Tic. AŞtarafından dışarıdan temin edilen ürün ve hizmetler sırasında paylaşılan kurumsal varlıklara ve bilgiye, tedarikçiler tarafından erişim sağlanırken oluşabilecek riskleri yönetmek ve bilgi güvenliği standartlarımızın korunmasını sağlamaktır.
2. Kapsam
Bu politika; danışmanlar, alt yükleniciler, bulut hizmet sağlayıcıları, yazılım/donanım destek firmaları ve lojistik hizmet verenler dahil olmak üzere, kuruluşumuzla iş ilişkisi içinde olan tüm üçüncü tarafları kapsamaktadır.
3. Temel Yükümlülükler
3.1. Tedarikçi Seçimi ve Risk Değerlendirmesi
- Tedarikçi seçim sürecinde, ilgili firmanın bilgi güvenliği yetkinlikleri ve geçmişi değerlendirilir.
- Kritik hizmet sağlayan tedarikçiler için ISO 27001, SOC2 gibi sertifikalar veya güvenlik anketi doldurulması şartı aranabilir.
3.2. Sözleşme Gereklilikleri
Tüm tedarikçi sözleşmeleri, aşağıdaki güvenlik maddelerini içermek zorundadır:
- Gizlilik Taahhüdü: Bilginin gizliliğine tam uyum ve Gizlilik Sözleşmesi (NDA) imzalanması.
- Erişim Yönetimi: Tedarikçiye yalnızca işi yapması için gereken “en az yetki” ilkesine göre erişim tanımlanması.
- Denetim Hakkı: Kayten Teknoloji Ürünleri San. Ve Dış Tic. AŞ’nin, tedarikçinin güvenlik önlemlerini denetleme veya bağımsız denetim raporu talep etme hakkı.
- Yasal Uyum: Tedarikçinin KVKK, GDPR ve sektörüne özgü regülasyonlara uyum sağlaması.
3.3. Erişim Güvenliği
- Tedarikçilerin sistemlerimize uzaktan erişimi, ancak güvenli yöntemler (VPN, MFA – Çok Faktörlü Doğrulama vb.) ve onaylanmış geçici süreler dahilinde gerçekleştirilir.
- İş ilişkisi sona eren tedarikçilerin tüm fiziksel ve mantıksal erişim yetkileri derhal iptal edilir.
3.4. Olay Yönetimi ve Bildirim
- Tedarikçiler, Kayten Teknoloji Ürünleri San. Ve Dış Tic. AŞ’ne ait bilgiyi etkileyebilecek herhangi bir güvenlik ihlalini veya zayıflığı tespit ettikleri anda (en geç 24 saat içinde) bildirmekle yükümlüdür.
4. Hizmet İzleme ve Değişiklik Yönetimi
- Tedarikçiden alınan hizmetin kalitesi ve güvenlik düzeyi periyodik olarak (yıllık veya sözleşme yenileme dönemlerinde) gözden geçirilir.
- Hizmet kapsamındaki önemli değişiklikler (personel değişikliği, altyapı değişikliği vb.) güvenlik değerlendirmesine tabi tutulur.
5. Bilginin İadesi ve Silinmesi
İş ortaklığının sona ermesi durumunda tedarikçi; elindeki tüm kurumsal verileri, yedekleri ve fiziksel varlıkları Kayten Teknoloji Ürünleri San. Ve Dış Tic. AŞ’ne iade etmek veya güvenli bir şekilde imha etmekle yükümlüdür.
6. Yürürlük ve İhlal
Bu politika, yayınlandığı tarihte yürürlüğe girer. Politika maddelerine uyulmaması, tedarikçi sözleşmesinin tek taraflı feshi ve gerekirse yasal süreçlerin başlatılmasıyla sonuçlanabilir.
