Amaç, kapsam ve yönetimin sahiplenmesi
Hector Kurumsal Yönetim Danışmanlık Hizmetleri A.Ş. (“Şirket”) yönetimi ve çalışanları, kurumsal bilgiyi son derece değerli bir varlık olarak kabul eder. Bilgi, iş faaliyetlerimizin sürdürülebilmesi açısından kritik önem taşır ve uygun biçimde korunmalıdır. Şirket’in bilgi güvenliği yaklaşımı, kurumsal bilginin gizliliği, bütünlüğü ve kullanılabilirliğine yönelik risklerin ve bu risklerin etkilerinin en aza indirilmesini amaçlar.
Şirket yönetimi, özellikle aşağıdaki hususların yerine getirilmesini benimsemiştir:
- Bilgilerin ve bilgi sistemlerinin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin sağlanması,
- Bilgi varlıklarına yönelik risklerin tespit edilmesi ve sistematik biçimde yönetilmesi,
- Bilgi güvenliği standartlarının gerekliliklerinin yerine getirilmesi,
- Bilgi güvenliğiyle ilgili tüm yasal mevzuata uyum sağlanması,
- Sürekli iyileştirme fırsatlarının değerlendirilmesi,
- Bilgi güvenliği farkındalığını artırmak için personele eğitim verilmesi,
- Bu politikaya bağlı alt prosedürlerin hazırlanması ve yayımlanması.
Bu politika; tam zamanlı veya yarı zamanlı, daimi veya sözleşmeli olsun, Şirket’in bilgilerini veya iş sistemlerini kullanan tüm personel için, coğrafi konumdan veya iş biriminden bağımsız olarak geçerli ve zorunludur. Bu sınıflandırmalara girmeyen ancak Şirket bilgilerine erişmesi gereken üçüncü taraf hizmet sağlayıcıları ve bunların destek personeli de politikanın genel ilkelerine ve diğer güvenlik yükümlülüklerine bağlıdır.
Tüm çalışanların sorumlulukları
Bilgi güvenliğinin amacı; bilgilerin ve tüm destek iş sistemlerinin, süreçlerinin ve uygulamalarının gizliliğini, bütünlüğünü ve kullanılabilirliğini korumak, sürdürmek ve yönetmektir. Bunun anlamı; Şirket’e ait bilgilerin yetkili ellerde kalması, eksiksiz, doğru ve kullanılabilir olması, bilgi ve sistemlerin gerektiğinde hazır bulunmasıdır. Bu nedenle tüm personel ve stajyerler, konumları veya görevleri ne olursa olsun işlerini bilgilerin Şirket bünyesinde korunmasını gözetecek biçimde yapmakla sorumludur.
Tüm personel ayrıca gizli bilgilerin korunmasına ve Şirket’in etik ilkelerine uymak zorundadır. Şirket, kişisel verilerin korunmasına ilişkin mevzuatta belirtilen önlemleri almayı ve kişisel verilerin korunması kurallarına tam uyumlu çalışmayı taahhüt eder.
Politika sahipliği ve rehberlik
Bu politikanın, destekleyici belgelerin ve eğitim faaliyetlerinin işlevsel sahipliği Şirket yönetimince belirlenen bilgi teknolojileri sorumlusuna aittir. Bu sorumlu, politikanın Şirket genelinde uygulanmasına ilişkin tavsiye ve rehberlik kaynağıdır; tüm çalışanların gerekli bilinç düzeyine ulaşmasını sağlayacak eğitimleri temin eder, bilgi güvenliği olaylarının ele alınmasında rehberlik eder ve gerektiğinde politikanın ayrıntılı standart, prosedür ve süreçlerle desteklenmesini sağlar. Politika gereklerinin tüm çalışanlara ve yüklenici personele aktarılması da bu sorumlunun görevidir.
Bilgi teknolojileri sorumlusu, bilgi güvenliğine ilişkin genel yönetim çerçevesinin oluşturulmasından ve sürekliliğinden; politikanın Şirket’in iş gereklilikleriyle ve bilgi sistemlerinin karşı karşıya olduğu risk ortamındaki değişimlerle uyumlu kalacak şekilde gözden geçirilmesinden sorumludur.
Bilgi güvenliği politikaları, bilgi varlıklarının karşı karşıya olduğu güncel riskleri yansıtmak üzere varlık ve risk güncellemelerine paralel olarak yılda en az bir kez gözden geçirilir. Her çalışan, politikaların geliştirilmesi veya değiştirilmesi için bilgi teknolojileri sorumlusuna talepte bulunabilir; talepler değerlendirilir. Politika ilkeleri, Şirket’in personel ve insan kaynakları düzenlemeleriyle paralel uygulanır ve çalışanlar bu ilkelerin farkında olmaktan ve uymaktan sorumludur.
Denetim, uyum ve ihlallerin çözümü
Her birim yöneticisi, politikaya uyumun sağlanması için gerekli tedbirleri almaktan ve sistemi gözetlemekten birinci derecede sorumludur. Bilgi teknolojileri sorumlusu, yayımlanmış tüm politika ve prosedürlere uyumun periyodik denetiminden ve ilgililere raporlanmasından sorumludur.
Politika ihlalleri, gerekli kontrollerin uygulanmaması sonucunda Şirket’in zarar görmesine, Türk Ceza Kanunu uyarınca cezai sorumluluğa ve maddi zararların tazminine yol açabilir. İhlal aynı zamanda Şirket’in personel düzenlemelerinin de ihlalidir ve disiplin cezası sonucunu doğurabilir. Gözetim, denetim veya ihbar sonucu tespit edilen ihlaller, istihdama son verilmesine ve adli veya cezai işlemlerin başlatılmasına kadar varabilen yaptırımlarla sonuçlanabilir.
Hedefler
Şirket, itibarını, güvenilirliğini ve bilgi varlıklarını korumak ve temel ile destekleyici iş faaliyetlerinin mümkün olan en az kesintiyle sürmesini sağlamak amacıyla bilgi güvenliği alanında şunları hedefler:
- Bilgi sistemlerinin sürekliliğini sağlamak,
- Çalışanların bilinç, farkındalık ve güvenlik gereksinimlerine uyum düzeyini en üst seviyeye çıkarmak,
- Üçüncü taraflarla yapılan sözleşmelere uygunluğu tam olarak tesis etmek,
- Bilgi güvenliği ihlal olaylarını en aza indirmek ve bunları öğrenme fırsatına çevirmek,
- Bilginin yasalara tam uyumlu üretilmesini, erişime açılmasını ve saklanmasını sağlamak,
- Güncel ve etkin teknik güvenlik kontrollerini uygulamak.
Her çalışan bu hedeflere katkı sağlamaktan sorumludur. Politikanın uygulanmasında birlikte çalışmak, bilgilerimizin ve itibarımızın sürekli korunmasına yardımcı olur.