1. Amaç
Hitit Trans Uluslararası Taşımacılık ve Lojistik A.Ş., sahip olduğu veya yönettiği tüm bilgi varlıklarının güvenliğini sağlamayı, müşteri ve iş ortağı verilerinin gizliliğini korumayı ve iş sürekliliğini temin etmeyi taahhüt eder.
Bu politikanın amacı; bilgi güvenliği yönetim sisteminin (BGYS) temel çerçevesini belirlemek, tüm paydaşların sorumluluklarını açıklamak ve ISO 27001:2022 standardına uygun bilgi güvenliği kültürünü kurumsal düzeyde benimsemektir.
2. Kapsam
Bu politika aşağıdaki varlık ve alanları kapsamaktadır:
- Fiziksel varlıklar: Sunucular, iş istasyonları, ağ ekipmanları, mobil cihazlar, depolama medyaları
- Yazılım varlıkları: Operasyonel sistemler, ERP/TMS uygulamaları, e-posta sistemleri, bulut hizmetleri
- Bilgi varlıkları: Müşteri verileri, sözleşmeler, finansal kayıtlar, operasyonel veriler, ticari sırlar
- İnsan kaynakları: Tüm çalışanlar, stajyerler, geçici personel, danışmanlar
- Üçüncü taraflar: Hizmet sağlayıcılar, tedarikçiler ve iş ortakları ile paylaşılan bilgi sistemleri
- Tesisler: Ankara merkez ofis, şubeler ve operasyonel alanlar
3. Temel İlkeler (CIA Üçgeni)
Hitit Trans'ın bilgi güvenliği yaklaşımı, uluslararası standartlar tarafından tanınan üç temel ilke üzerine inşa edilmiştir:
Gizlilik (Confidentiality)
Bilgiye yalnızca yetkili kişilerin erişmesini sağlarız. Erişim kontrol listeleri, rol tabanlı yetkilendirme ve şifreleme teknolojileriyle yetkisiz erişim engellenir. Müşteri, tedarikçi ve çalışan verileri en yüksek gizlilik düzeyinde korunur.
Bütünlük (Integrity)
Bilginin doğru, tam ve güvenilir olmasını sağlarız. Yetkisiz değişiklikleri önlemek için veri bütünlüğü kontrolleri, değişiklik yönetimi prosedürleri ve denetim kayıtları (audit log) sürekli aktif tutulur.
Erişilebilirlik (Availability)
Yetkili kullanıcıların ihtiyaç duydukları anda bilgiye ve sistemlere erişebilmesini garanti ederiz. Yedekleme stratejileri, felaket kurtarma planları ve yüksek erişilebilirlik altyapısı ile iş sürekliliği sağlanır.
4. Risk Yönetimi Yaklaşımı
Hitit Trans, ISO 27001:2022'nin öngördüğü risk tabanlı yaklaşımı bilgi güvenliği yönetiminin merkezine koymaktadır:
- Risk Tanımlama: Tüm bilgi varlıkları envanterize edilir; her varlık için tehdit ve açıklıklar sistematik olarak belirlenir.
- Risk Değerlendirmesi: Belirlenen riskler olasılık ve etki değerleri çerçevesinde puanlandırılır; risk matrisi ile önceliklendirilir.
- Risk İşleme: Risklerin azaltılması, kabul edilmesi, transfer edilmesi (sigorta) veya kaçınılması yöntemlerinden uygun olan seçilerek uygulanır.
- Risk İzleme: Risk kayıt defteri düzenli olarak güncellenir; yıllık risk değerlendirme döngüsü ile mevcut kontrollerin etkinliği ölçülür.
Risk değerlendirme süreci yılda en az bir kez ve önemli organizasyonel veya teknolojik değişikliklerde yenilenir.
5. Çalışan Sorumlulukları
Bilgi güvenliği herkesin sorumluluğudur. Tüm çalışanlarımızdan beklentilerimiz:
- İşe başlama sürecinde ve yılda en az bir kez bilgi güvenliği farkındalık eğitimlerine katılmak
- Kişisel hesap bilgilerini (şifre, erişim kartı) başkalarıyla paylaşmamak ve düzenli değiştirmek
- Şüpheli e-posta, sosyal mühendislik girişimi veya güvenlik açığını derhal BGYS Yöneticisi'ne bildirmek
- Kurumsal cihazları yalnızca iş amaçlı kullanmak ve yetkisiz yazılım yüklememek
- Gizli bilgileri yalnızca şifreli kanallar aracılığıyla aktarmak
- Temiz masa – temiz ekran (Clean Desk – Clear Screen) politikasına uymak
- İş ilişkisinin sona ermesinde tüm kurumsal varlıkları ve erişim haklarını iade etmek
Bu sorumluluklara uyulmaması, disiplin prosedürleri kapsamında değerlendirilir.
6. Olay Yönetimi ve Müdahale
Bilgi güvenliği olaylarına hızlı ve etkili müdahale Hitit Trans'ın BGYS'nin kritik bir bileşenidir:
| Aşama | Eylem | Süre |
| Tespit | Olayın ilgili personel veya sistem tarafından tespit edilmesi | Anlık |
| Raporlama | BGYS Yöneticisi'ne bildirim (bgys@hitittrans.com) | 1 saat içinde |
| Değerlendirme | Olayın sınıflandırılması ve etki analizi | 4 saat içinde |
| Müdahale | Olayın kontrol altına alınması ve yayılmasının önlenmesi | Kritikliğe göre 24–72 saat |
| İyileştirme | Sistemlerin geri yüklenmesi ve normal operasyona dönüş | Plana göre |
| Raporlama | Olay raporu hazırlanması; yasal yükümlülükler kapsamında bildirim | 72 saat (kişisel veri ihlalleri için) |
Kişisel veri ihlallerinde Kişisel Verileri Koruma Kurumu'na 72 saat içinde bildirim yükümlülüğü yerine getirilir.
7. Yasal ve Düzenleyici Uyum
Hitit Trans, bilgi güvenliğine ilişkin aşağıdaki yasal ve uluslararası düzenlemelere uyumu taahhüt eder:
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
- ISO/IEC 27001:2022 – Bilgi Güvenliği Yönetim Sistemi Standardı
- ISO/IEC 27002:2022 – Bilgi Güvenliği Kontrolleri
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Kanunu
- Türk Ceza Kanunu – Bilişim suçlarına ilişkin hükümler (TCK 243-246)
- Sektöre özgü AEO ve IATA güvenlik gereklilikleri
8. Politikanın Gözden Geçirilmesi
Bu politika aşağıdaki koşullarda gözden geçirilir:
- Her yıl Ocak ayında rutin yıllık gözden geçirme
- ISO 27001 standardında önemli değişiklikler gerçekleştiğinde
- Önemli bir güvenlik olayının ardından
- Teknoloji altyapısında ya da iş süreçlerinde köklü değişiklikler olduğunda
Onay: Hitit Trans Genel Müdürü
Son Güncelleme: 1 Ocak 2024
Sonraki Gözden Geçirme: Ocak 2025
BGYS İletişim: bgys@hitittrans.com