Güncelleme Tarihi: 10.11.2026
1. Amaç
Bu politika, Evreka’nın elinde bulunan bilgilerin (kendi bilgileri ile müşterilerinin, çalışanlarının ve iş ortaklarının bilgileri) gizliliğini, bütünlüğünü ve erişilebilirliğini nasıl koruduğunu belirler. ISO/IEC 27001 ile uyumlu Bilgi Güvenliği Yönetim Sistemi’ne (BGYS) yön verir ve bilgi güvenliği hedeflerinin belirlenmesi için çerçeve sunar.
2. Kapsam
Politika; Evreka bilgilerine veya sistemlerine erişimi olan tüm çalışanlar, yükleniciler, stajyerler ve üçüncü taraflar için geçerlidir. Her biçimdeki (dijital, kâğıt, sözlü) bilgiyi, Evreka360 ve WasteDashboard platformlarını, mobil ve saha uygulamalarını, dahili sistemleri, ofisleri, uzaktan çalışmayı ve bunları destekleyen kişileri, süreçleri ve tedarikçileri kapsar.
3. Yönetimin taahhüdü
Evreka yönetimi şunları taahhüt eder:
- bilgi varlıklarını iş hedefleri ve müşteri beklentileri doğrultusunda korumak;
- yasal, düzenleyici ve sözleşmesel yükümlülükler dahil olmak üzere geçerli şartları karşılamak;
- BGYS’nin ihtiyaç duyduğu kaynakları, rolleri ve yetkinliği sağlamak;
- BGYS’yi ve etkinliğini sürekli iyileştirmek;
- bu politikayı tüm personele duyurmak ve ilgili taraflara açık hâle getirmek.
4. Bilgi güvenliği hedefleri
Hedefler yönetim tarafından en az yılda bir kez belirlenir ve gözden geçirilir, mümkün olduğunca ölçülebilir olur ve bu politikayla tutarlıdır. Hedefler; müşteri ve kişisel verilerin korunmasını, Evreka’nın sunduğu platformların erişilebilirliğini, güvenlik olaylarının zamanında ele alınmasını ve tüm personelin güvenlik farkındalığını kapsar.
5. İlkeler
- Gizlilik: Bilgiye yalnızca yetkili kişiler erişir.
- Bütünlük: Bilgi ve sistemler doğru, eksiksiz ve yetkisiz değişikliklere karşı korumalıdır.
- Erişilebilirlik: Bilgi ve hizmetler, yetkili kullanıcıların ihtiyaç duyduğu anda erişilebilir durumdadır.
- En az ayrıcalık ve bilmesi gereken prensibi: Erişim yalnızca rolün gerektirdiği ölçüde verilir.
- Risk temelli yaklaşım: Kontroller, değerlendirilen riske göre seçilir.
- Tasarımdan itibaren güvenlik: Güvenlik ve gizlilik, her ürünün, değişikliğin ve tedarikçi ilişkisinin başında göz önünde bulundurulur.
6. Roller ve sorumluluklar
- Üst yönetim bu politikayı onaylar, kaynak sağlar ve BGYS’yi planlı aralıklarla gözden geçirir.
- Bilgi Güvenliği Yöneticisi BGYS’yi yürütür, performansını raporlar; risk değerlendirmesini, olayları ve denetimleri koordine eder.
- Veri koruma sorumlusu kişisel verilerin korunmasına (KVKK, GDPR) ilişkin danışmanlık yapar ve izler.
- Yöneticiler ve ekip liderleri politikayı ekiplerinde uygular, personelin eğitimleri tamamlamasını sağlar.
- Tüm personel ve yükleniciler bu politikaya ve ilgili prosedürlere uyar, varlıkları korur, olayları ve zafiyetleri derhal bildirir.
- Tedarikçiler ve iş ortakları sözleşmelerindeki güvenlik ve gizlilik şartlarını yerine getirir.
7. Risk yönetimi
Evreka, bilgi güvenliği risklerini dokümante edilmiş bir risk değerlendirmesiyle belirler, analiz eder ve değerlendirir; bir risk işleme planı uygular ve kalan riskin kabulünü risk sahiplerinden kayıt altına alır. Değerlendirmeler planlı aralıklarla ve önemli değişikliklerden sonra tekrarlanır.
8. Kontroller
Kontroller risk temelinde, ISO/IEC 27001:2022 Ek A referans alınarak seçilir ve konuya özel politika ve prosedürlerle uygulanır. Başlıca alanlar:
- Kurumsal: tanımlı roller, görev ayrılığı, varlık envanteri ve sınıflandırma, bilgi aktarım kuralları, tedarikçi güvenliği, bulut hizmetleri, proje güvenliği, yasal ve sözleşmesel uyum ile iş sürekliliği.
- İnsan: ön değerlendirme, iş ve yüklenici sözleşmelerinde gizlilik ve güvenlik hükümleri, farkındalık ve eğitim, disiplin süreci, uzaktan çalışma ve olay bildirimi.
- Fiziksel: güvenli ofisler ve giriş kontrolü, temiz masa ve temiz ekran, ekipman koruması, güvenli imha ve ortam yönetimi.
- Teknolojik: erişim kontrolü ve güçlü kimlik doğrulama, ayrıcalıklı erişim yönetimi, şifreleme, güvenli geliştirme ve değişiklik yönetimi, zafiyet ve yama yönetimi, zararlı yazılımdan korunma, kayıt tutma ve izleme, yedekleme ve ağ güvenliği.
9. Yasal, düzenleyici ve sözleşmesel uyum
Evreka, kendisi için geçerli olan yasalara ve sözleşmesel şartlara uyar; bunlar arasında 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), AB Genel Veri Koruma Tüzüğü (GDPR) ve müşteri sözleşmeleri bulunur. Kişisel verilere ilişkin ayrıntılar Gizlilik Politikamız ve ilgili aydınlatma metinlerinde yer alır.
10. Farkındalık ve eğitim
Tüm personel işe başlarken ve en az yılda bir kez bilgi güvenliği farkındalık eğitimi alır; gerektiğinde role özel eğitimlerle desteklenir.
11. Olay yönetimi
Tüm personel ve tedarikçiler, şüpheli veya gerçekleşmiş güvenlik olaylarını, kişisel veri ihlallerini ve güvenlik zafiyetlerini derhal bildirmekle yükümlüdür. Olaylar kayıt altına alınır, değerlendirilir, kontrol altına alınır, çözülür ve alınan dersler için gözden geçirilir. Kişisel verilerin etkilendiği durumlarda Evreka, yetkili otoriteleri ve etkilenen kişileri yasal süreler içinde bilgilendirir. Evreka’ya bir güvenlik endişesi iletmek için lütfen iletişim sayfamızı kullanın.
12. İş sürekliliği ve tedarikçi yönetimi
Evreka, kritik hizmetler için yedekleme, kurtarma ve iş sürekliliği düzenlemeleri sürdürür ve bunları planlı aralıklarla test eder. Bilgiye veya sistemlere erişimi olan tedarikçiler, hizmet alımından önce değerlendirilir, sözleşmelerinde gizlilik ve güvenlik şartlarına bağlanır ve periyodik olarak gözden geçirilir.
13. Uyum, denetim ve gözden geçirme
Bu politikaya uyum; iç denetimler, yönetim gözden geçirmeleri ve teknik incelemelerle kontrol edilir. İhlaller, yürürlükteki mevzuat çerçevesinde disiplin işlemine veya sözleşmesel sonuçlara yol açabilir. Uygunsuzluklar giderilir ve kayıt altına alınır; BGYS sürekli olarak iyileştirilir. Bu politika en az yılda bir ve önemli değişikliklerden sonra gözden geçirilir.
