TÜRKKEP, bilgi güvenliği, iş sürekliliği ve kişisel verilerin korunması standartları kapsamında, KEP ile ilgili yasal düzenlemeler ve standartlara uygun olarak merkez ofisinde, veri merkezi tesislerinde ve teknik altyapısında fiziksel ve elektronik güvenlik tedbirlerini en yüksek düzeyde almıştır. TÜRKKEP, KEP hizmetlerinin, bilgi güvenliği, iş sürekliliği ve kişisel verilerin korunması standartlarına, yasal düzenlemelere uyumunu taahhüt eder, bunun için gerekli tüm tedbirleri alır.
13.1. Personel
TÜRKKEP kadrosunda bilgi güvenliği, veri koruması, sistem yönetimi, veri tabanı yönetimi, bilgisayar ağları yönetimi, internet uygulamaları yönetimi, yazılım uygulamaları yönetimi ve diğer gerekli alanlarda yeterli meslekî deneyime ve yetkinliğe sahip uzman teknik personeli istihdam etmekte ve/veya dış hizmet alımı yoluyla istihdam ettirmektedir.
TÜRKKEP ayrıca, KEP hesaplarıyla ilgili müşteri hizmetlerinin sağlıklı ve güvenli verilebilmesi için başvuru kaydının alınması, hesapların kullanıma açılması, kapatılması, rehbere kaydedilmesi veya silinmesi gibi tüm hizmetleri yerine getirecek yeterli sayıda ve yetkinlikte personeli istihdam etmektedir.
13.1.1. Personel İşe Alma
TÜRKKEP yönetim kadrosu ve çalışanlarından işe alınmadan önce yeterli mesleki deneyime sahip olduğuna dair belgeler, kişisel güvenlik geçmişleri hakkında adli kayıtlar ve referans bilgileri istenmektedir. İşe alınmanın ön koşulu, yönetmelikte de belirtildiği gibi, Türk Ceza Kanununun 53 üncü maddesinde belirtilen süreler geçmiş olsa bile; kasten işlenen bir suçtan dolayı bir yıl veya daha fazla süreyle hapis cezası almamış ya da affa uğramış olsa bile devletin güvenliğine karşı suçlardan, Anayasal düzene ve bu düzenin işleyişine karşı suçlardan, zimmet, irtikâp, rüşvet, hırsızlık, dolandırıcılık, sahtecilik, güveni kötüye kullanma, hileli iflas, ihaleye fesat karıştırma, edimin ifasına fesat karıştırma, suçtan kaynaklanan malvarlığı değerlerini aklama veya kaçakçılık suçlarından hüküm giymemiş olmaktır.
İşe başlayan personel ile işbaşı yaparken işin durumuna göre çalışma koşullarını içeren yazılı bir Personel Hizmet Sözleşmesi (iş akdi) düzenlenir. Personele, imzalamış olduğu iş sözleşmesinin bir
Sürüm No : 2.1
Yayımlanma Tarihi: 11.05.2015 Sayfa 36 / 42
kopyası verilir. İşe başladıktan sonra, TÜRKKEP kurumsal yönetim sistemini oluşturan bilgi güvenliği, iş sürekliliği ve kişisel verilerin korunması sistemleri ile insan kaynakları yönetimi ve ilgili diğer politikalar, prosedürler ve talimatların dokümantasyonuna erişim hakkı ve farkındalık eğitimi verilir.
13.1.2. Personelin Kişisel Bilgisayarlarının Güvenliği
TÜRKKEP personeline, iş için sağladığı kişisel bilgisayarlara sadece yetkili kişilerin erişmesi gerektiğini bildirir. Bilgisayarların kullanımı için kullanıcı adı ve parolaların yönetimi, harici cihazların şifrelerinin yönetimi kontrol edilmekte ve denetlenmektedir. Kritik bilgilerin (hizmete özel, hassas, gizli, çok gizli) TÜRKKEP dışına yetkisiz çıkarılması yasaklanmıştır.
13.1.3. Personelin Farkındalığı
TÜRKKEP için personeli, bilgi güvenliğini, iş sürekliliğini ve kişisel veri gizliliğini sağlayacak ve sürdürecek en önemli varlığıdır. Bu nedenle TÜRKKEP, personelin kişisel gelişimine, yeni teknolojileri takibine ve ilgili TÜRKKEP politikaları, prosedürleri, mevzuatlar ve standartlar ile ilgili farkındalığına önem verir. Bu doğrultuda düzenli aralıklarla ve/veya ihtiyaçlar doğrultusunda personeline farkındalık eğitimleri ve teknik eğitimler düzenler ve/veya yetkin kurumlar tarafından düzenlenen eğitimlere katılımlarını sağlar. Verilen eğitimlerdeki performansı ölçer ve bu doğrultuda ihtiyaçları düzenli olarak takip eder.
13.1.4. Personelin İşten Ayrılması
Personelin istifa veya iş sözleşmesinin feshi ile işten ayrılması durumunda, yasal düzenlemelere uygun şekilde işlemleri yapılır ve işten ayrılma belgeleri düzenlenerek kendisine verilir ve ilgili kurumlara bildirilir. İşten ayrılan personelin, üzerine zimmetli olan malzemeler geri alınır ve kendisiyle ilgili sistemlere erişim için verilmiş olan yetkileri kaldırılır. Ayrıca bilgi güvenliği prosedürleri yürütülerek gerekli işlemler yapılır.
13.1.5. Personelin Denetimi
Personelin yetkisi dışında veya TÜRKKEP politika, prosedür ve talimatlarına aykırı işler yapması durumunda TÜRKKEP insan kaynakları yönetmeliğine göre işlem yapılır, yapılan eylem yasal suç kapsamında ise gerekli yasal işlemler uygulanır.
13.2. Bilişim Sistemleri ile İlgili Tasarım ve Operasyon Esasları
TÜRKKEP tarafından müşterilerine hizmet sağlamak üzere tasarlanan bilişim altyapısında, mevzuatın istediği ve TÜRKKEP müşteri hizmetleri/kurumsal yönetimi sistemi kapsamındaki gereksinimleri karşılayan sistemler kullanılmaktadır.
13.2.1. Bilişim Sistemleri Altyapı Mimarisi
TÜRKKEP VM, olağanüstü durumlarda bile hizmetlerin kesintisiz sürdürülebilmesi amacıyla iki farklı şehirde konumlandırılmış, ek olarak kendi içlerinde yedeklenmiştir. VM’lerdeki sistemler aynı tasarıma sahiptir ve herhangi bir donanım değişikliğine gerek olmadan büyütme/terfi (upgrade) olanaklarına sahiptir. VM’lerdeki TÜRKKEP sistemleri, aktif/pasif modeliyle çalıştırılmakta, sahip olunan teknoloji, sistemlerin bileşenleri ve özellikleri aktif/aktif çalışma modeline de geçiş imkânı sağlamaktadır. Ayrıca, yedek kapasite bulundurulmakta ve bir talep ya da ilave kaynak gereksiniminde bu yedek kapasite devreye alınabilmektedir.
VM‘ler ve merkez ofis güvenli ve yeterli kapasiteye sahip iletişim ağ bağlantıları ile birbirine bağlanmıştır. Sistemlerin yönetimi TÜRKKEP merkez ofisinden yürütülmektedir.
Sürüm No : 2.1
Yayımlanma Tarihi: 11.05.2015 Sayfa 37 / 42
TÜRKKEP bilişim sistemleri, kullanılan sanallaştırma teknolojileri ile fiziksel sunucuların etkin ve verimli kullanılması, hizmet sunucularının yedeklenebilmesi, arızalanan herhangi bir sunucunun yedeğinin kolaylıkla devreye alınabilmesi, sunucuların hızlı ve kolay yönetilebilmesi, sunucu kaynaklarının sistem işleyişini etkilemeden artırılabilmesi ve azaltılabilmesi imkân ve kabiliyetine sahiptir.
Bakım ve destek hizmetlerinin kolay ve hızlı alınabilmesi için ana sistemler tek bir tedarikçiden, tümleşik bir çözüm olarak satın alınmıştır. Ayrıca sistemlerdeki tüm bileşenlerin birbiri ile entegre ve uyumlu çalışması, bakımlarının ve sistem yükseltmelerinin tek elden yapılması ve arıza durumlarında tek bir kaynaktan hızlı çözüm sağlanması için tedarikçiyle bakım ve destek anlaşması yapılmıştır.
TÜRKKEP Merkez ofisindeki sistemler üzerinde tutulan verilerin yedeklenmesi, donanımsal bir veri yedekleme ünitesi kullanılarak yapılmaktadır.
13.2.2. KEPHS Sistem Yönetimi Yazılımı
TÜRKKEP tarafından kullanılmakta olan KEPHS sistem yönetimi yazılımı, ETSI TS 102 640 standardına tam uyumludur.
13.3. Ağ Güvenliği
TÜRKKEP’in KEPHS faaliyetlerini kesintisiz ve güvenli olarak sağlaması amacıyla, sistemlerine ve uygulamalarına izinsiz erişimlere ve saldırılara karşı gerekli koruma tedbirleri alınmıştır.
TÜRKKEP bilgi güvenliği ihtiyaçlarına göre gizlilik değeri yüksek olan bilgi varlıklarının bulunduğu sistemler/sunucular ile ofis içinde kullanılan sistemler/sunucular/kullanıcı bilgisayarlarını birbirinden yalıtılmış farklı ağlar üzerinde konumlandırmıştır. Ayrıca mantıksal ağlar arasında filtrelemeler ile belirli ve tanımlı trafiğin akışına kontrollü olarak izin vermektedir. Dış ağlardan şirket içi ve VM ağlarına gelen tüm trafik için, izin verilmemiş servisleri ve bağlantı tiplerini reddeden güvenlik duvarı (Firewall) ve erişim listeleri ile korunur. Ağ üzerindeki güvenlik cihazlarına erişimler kontrollü sağlanmakta, kayıt altına alınmakta ve denetlenmektedir.
13.4. Fiziksel Güvenlik
TÜRKKEP merkez ofisi bu KEPUE belgesinde belirtilen adreste konumlanmıştır. TÜRKKEP KEPHS teknik altyapısı ve sistemleri İstanbul ve Ankara’da bulunan iki ayrı veri merkezinde yer alan kafesle çevrilmiş özel alanlarda konuşlandırılmıştır. TÜRKKEP merkez ofisinin bulunduğu binanın tüm dış güvenliği bina yönetimi tarafından yedi gün yirmi dört saat sürekli olarak sağlanmaktadır. TÜRKKEP merkez ofisindeki çalışma alanına ve veri merkezlerindeki özel alanlarına giriş kontrollü ve erişim yetkileri dâhilinde yapılmaktadır.
TÜRKKEP ofisindeki çalışma alanına, sistem odasına ve arşiv odasına giriş, kapı geçiş kontrol sistemleri ile kayıt altına alınmakta olup, ofisin girişinden itibaren kritik alanlar güvenlik kameraları ile yirmi dört saat kesintisiz izlenmekte ve kayıt altına alınmaktadır. Yetkisiz personelin ve misafirlerin erişim kontrollü güvenli alanlara girişine izin verilmez. Başvuru yapmak isteyen müşteriler, iş ortakları ve misafirlerle görüşme yapılabilecek odalar çalışma alanı dışında ofis girişinde konumlandırılmıştır. Bu alanlara giriş çıkışlar güvenlik kameralarıyla gözetlenmektedir.
Güvenli alanlara tedarikçilerin veya üçüncü taraf personelinin erişiminin gerektiği durumlarda, bu kişilerin TÜRKKEP yetkili personeli gözetiminde ve nezaretinde güvenli alanlara erişimine izin verilir.
Güvenli alanlarda üçüncü kişiler yalnız bırakılmaz ve işinin dışında veri kaydedici cihaz kullanmasına izin verilmez.
Sürüm No : 2.1
Yayımlanma Tarihi: 11.05.2015 Sayfa 38 / 42
Ofis içinde yangın alarm sistemleri konumlandırılmış olup bina güvenlik personelinin uyarılması için alarmlar üretilir. Ofis içinde gerekli alanlarda ve güvenli alanlarda yangın söndürme tüpleri bulunmaktadır. Yangın ve su akıntısı gibi dış tehditlere karşı, güvenli alanlar yalıtılmış olup düzenli kontrolleri yapılmaktadır. Arşiv odasında ayrıca nem sensörü bulunmaktadır. Ofisteki sistem odasındaki sunucular ile kişisel bilgisayarlar elektrik kesintilerine ve yük dalgalanmalarına karşı kesintisiz güç kaynakları ile korunmaktadır.
TÜRKKEP, İstanbul ve Ankara’da olmak üzere ISO 27001 bilgi güvenliği yönetim sistemi sertifikasına sahip iki ayrı veri merkezinde kendisine ait özel geçiş kontrollü metal kafesle çevrili şekilde birer alan oluşturmuştur. Bu özel alanların, fiziksel güvenlik önlemleri kapı geçiş kontrolüyle ve güvenlik kameralarıyla alınmıştır. Veri merkezi hizmetlerini sağlayan tedarikçi ile bilgi güvenliği, iş sürekliliği ve kişisel verilerin korunmasına yönelik gereksinimleri belirleyen sözleşmeler yapılmıştır.
13.5. Açıklık Giderme, Zararlı Kod ve Virüsten Koruma
TÜRKKEP bilişim sistemlerinin özelliklerine göre konusunda uzmanlığı kabul edilmiş firmalar ile üretici firmalar tarafından yayınlanmış sistem/güvenlik zafiyetleri ve açıkları düzenli aralıklar ile takip edilmekte ve ilgili zafiyet giderme işlemi uygun TÜRKKEP bilişim sistemleri üzerinde önce test edilip, sonrasında canlı sistemlere/sunuculara uygulanmaktadır.
TÜRKKEP, sunucu ve kullanıcı bilgisayarlarına bulaşabilecek ve zarar verecek zararlı kodları ve/veya yazılımları önlemeye yönelik olarak anti virüs yazılımı gibi güvenliği sağlayan yazılımlar kullanılmakta ve sürekli olarak güncellenmektedir.