SOC 2 (AICPA Trust Services Criteria)

Kuruluşun etik değerlere bağlılığını ve yönetim kurulunun bu değerlerin uygulanmasını gözetmesini kapsar. Davranış kuralları ve güvenlik politikaları bu taahhüdün somut çıktılarıdır.

Yönetim kurulunun güvenlik ve uyumluluk programı üzerinde bağımsız gözetim işlevi üstlenmesini ele alır. Kuruluşun risk iştahı ve güvenlik stratejisi bu gözetim kapsamında şekillenir.

Güvenlik sorumluluklarının açık hiyerarşi ve yetki çerçevesinde atanmasını hedefler. CISO, güvenlik ekibi ve iş birimleri arasındaki yetki sınırları bu kriter altında değerlendirilir.

Güvenlik görevlerini üstlenen personelin gerekli bilgi, beceri ve eğitime sahip olmasını amaçlar. Sürekli öğrenme ve sertifikasyon programları bu kritere karşılık gelir.

Güvenlik sorumluluklarını yerine getirmeyen bireylere yönelik hesap verebilirlik mekanizmalarının işletilmesini kapsar. Performans değerlendirme ve disiplin süreçleri bu kritere dahildir.

Yönetim ve operasyonel kararları desteklemek için güvenilir, güncel ve ilgili güvenlik bilgisinin üretilmesini ve kullanılmasını hedefler. Tehdit istihbaratı ve risk gösterge panelleri bu bilgi altyapısının parçasıdır.

Güvenlik politikaları, kontrol gereksinimleri ve olay bildirim süreçlerinin kuruluş içinde anlaşılır biçimde iletilmesini amaçlar. Farkındalık programları ve iç politika dağıtımı bu iletişimi sağlar.

Müşteriler, düzenleyiciler ve tedarikçilerle güvenlik uygulamaları hakkında şeffaf iletişim kurulmasını hedefler. Servis sözleşmeleri, gizlilik bildirimleri ve denetim raporları bu dışa yönelik iletişimi oluşturur.

Risk değerlendirmesinin dayandırılacağı net güvenlik ve uyumluluk hedeflerinin belirlenmesini kapsar. Hedeflerin tanımlı olması, riskin iş bağlamında anlamlı biçimde ölçülmesine zemin hazırlar.

Bilgi güvenliği risklerinin sistematik biçimde tanımlanıp olasılık ve etki açısından analiz edilmesini amaçlar. Tehdit modelleme ve güvenlik açığı değerlendirme süreçleri bu analizin araçlarıdır.

İç ve dış kaynaklı hile ile dolandırıcılık risklerinin güvenlik risk programına dahil edilmesini hedefler. Ayrıcalıklı erişim kontrolü ve davranışsal analiz bu risklerin azaltılmasına katkı sağlar.

Teknoloji, süreç ve çevre değişikliklerinin risk düzeyine etkisinin değerlendirilmesini kapsar. Değişiklik yönetimi süreçleri bu değerlendirmeyi sistematik hale getirir.

Güvenlik kontrollerinin sürekli veya periyodik değerlendirmelerle işlevselliğinin doğrulanmasını amaçlar. Otomatik izleme, iç denetim ve penetrasyon testleri bu değerlendirme araçları arasındadır.

Tespit edilen kontrol eksikliklerinin sorumlu taraflara bildirilmesini ve zamanında giderilmesini hedefler. Bulgu takip sistemleri ve düzeltici eylem planları bu süreci destekler.

Risk değerlendirmesi sonuçlarına dayalı olarak kontrol faaliyetlerinin belirlenmesini ve hayata geçirilmesini kapsar. Teknik, idari ve fiziksel kontrollerin dengeli uygulanması bu kritere karşılık gelir.

Hizmet hedeflerini destekleyen teknik güvenlik kontrollerinin tasarlanıp uygulanmasını hedefler. Güvenlik duvarları, şifreleme, kimlik yönetimi ve yama yönetimi bu kontrollerin temel bileşenleridir.

Kontrol faaliyetlerinin yazılı politika ve prosedürler aracılığıyla tutarlı biçimde uygulanmasını amaçlar. Süreç belgeleme ve eğitim programları bu tutarlılığı sağlar.

Sistem bileşenlerine yetkisiz mantıksal erişimi önleyen teknik kontrollerin uygulanmasını kapsar. Kimlik doğrulama, yetkilendirme ve erişim denetim günlükleri bu kriterin temel araçlarıdır.

Kullanıcı kimliklerinin sisteme erişimden önce güvenilir biçimde doğrulanmasını hedefler. Çok faktörlü kimlik doğrulama ve güçlü parola politikaları bu kriterin pratik karşılığıdır.

Sistem bileşenlerine erişim yetkilerinin yalnızca iş gereksinimi olanlarla sınırlı tutulmasını amaçlar. En az ayrıcalık ilkesi ve periyodik erişim gözden geçirmeleri bu kriteri destekler.

Sistem altyapısına fiziksel erişimin yalnızca yetkili kişilerle sınırlandırılmasını kapsar. Biyometrik giriş kontrolleri, güvenlik kameraları ve refakat zorunluluğu bu kritere hizmet eder.

Erişim haklarının verilmesi, değiştirilmesi ve kaldırılmasına ilişkin yaşam döngüsünün yönetilmesini hedefler. İşe alım, görev değişikliği ve işten ayrılma süreçlerindeki erişim güncelleme prosedürleri bu kriterin kapsamındadır.

Tedarikçi ve iş ortakları gibi dış tarafların sistem kaynaklarına erişiminin uygun biçimde kısıtlanmasını ve izlenmesini amaçlar. Ağ segmentasyonu ve üçüncü taraf erişim denetimleri bu kritere dahildir.

Belirli koşullarda (görev sonu, sözleşme bitişi, güvenlik ihlali) erişimin derhal kaldırılmasını veya kısıtlanmasını kapsar. Otomatik hesap devre dışı bırakma akışları bu sürecin hızını artırır.

İzinsiz yazılımların sistem ortamına girmesinin engellenmesini ve varsa tespit edilmesini hedefler. Uygulama izin listeleri, güvenilir platform doğrulaması ve bütünlük izleme bu kritere hizmet eder.

Altyapı ve uygulamalardaki güvenlik açıklarının sürekli tarama ve tehdit istihbaratı ile tespit edilmesini kapsar. Yama önceliklendirme ve güvenlik açığı yönetim programları bu kritere karşılık gelir.

Sistem bileşenlerinin beklentiden sapan davranışlarını tespit eden izleme mekanizmalarının uygulanmasını hedefler. SIEM, EDR ve ağ davranış analizi araçları bu izlemeyi gerçekleştirir.

Tespit edilen anormalliklerin ve güvenlik uyarılarının olay olarak sınıflandırılıp sınıflandırılmayacağının değerlendirilmesini amaçlar. SOC triyaj süreçleri ve olay sınıflandırma prosedürleri bu kritere dahildir.

Güvenlik olaylarına tanımlı prosedürlerle müdahale edilmesini ve etkinin sınırlandırılmasını kapsar. Olay müdahale ekibi rolleri, iletişim planları ve ihtiva adımları bu kriterin bileşenleridir.

Güvenlik olaylarının ardından etkilenen sistemlerin güvenli ve doğrulanmış biçimde yeniden işletime alınmasını hedefler. Kurtarma testleri, yedek ortam doğrulaması ve olay sonrası inceleme bu süreci destekler.

Sistem bileşenlerine yapılan değişikliklerin kontrollü, test edilmiş ve onaylanmış biçimde hayata geçirilmesini kapsar. Değişiklik talep, test, onay ve geri alma prosedürleri bu kriterin çerçevesini oluşturur.

Tanımlanan risklerin kabul, transfer, azaltma veya önleme yoluyla yönetilmesine yönelik stratejilerin belirlenmesini amaçlar. Kontrol seçimi, sigorta ve tedarikçi güvenliği bu stratejinin araçlarıdır.

Tedarikçiler ve iş ortaklarından kaynaklanan güvenlik risklerinin değerlendirilmesini ve yönetilmesini kapsar. Tedarikçi güvenlik değerlendirmeleri, sözleşmesel güvenlik maddeleri ve sürekli izleme bu kritere dahildir.

Sistem kapasitesinin kullanıcı talebini karşılayacak düzeyde planlanıp izlenmesini hedefler. Kaynak izleme, kapasite tahmin araçları ve otomatik ölçeklendirme bu kriteri destekler.

Fiziksel altyapının çevresel tehlikelere (güç kesintisi, yangın, doğal afet) karşı korunmasını amaçlar. Yedekli güç kaynakları, iklim kontrolü ve fiziksel güvenlik önlemleri bu kritere hizmet eder.

Hizmet kesintisinin ardından sistemlerin tanımlı kurtarma hedeflerine (RTO/RPO) uygun biçimde yeniden işletime alınmasını kapsar. Felaket kurtarma planları, yedekleme doğrulama ve yük devretme testleri bu kriterin bileşenleridir.

Gizli bilginin uygun sınıflandırma mekanizmaları ile tanımlanmasını ve erişimin yalnızca yetkililerle sınırlandırılmasını amaçlar. Veri etiketleme, şifreleme ve erişim kontrolü politikaları bu kriterin teknik araçlarıdır.

Amacını tamamlayan gizli bilginin kalıcı ve geri alınamaz biçimde imha edilmesini hedefler. Güvenli silme standartları, medya imha prosedürleri ve imha doğrulama kayıtları bu kritere dahildir.

Sisteme giren verilerin eksiksiz, doğru ve zamanında kabul edilmesini ve işlenmesini hedefler. Giriş doğrulama kontrolleri, bütünlük sağlama toplamları ve hata günlükleri bu kritere hizmet eder.

İşleme sonucunda üretilen çıktıların doğru ve eksiksiz olmasını amaçlar. Mutabakat kontrolleri ve işlem doğrulama mekanizmaları bu kriterin araçlarıdır.

Sistem çıktılarının yetkili alıcılara eksiksiz ve değiştirilmemiş biçimde ulaşmasını kapsar. Çıktı doğrulama prosedürleri ve aktarım bütünlük kontrolleri bu kriteri destekler.

İşlem sırasında giriş ve çıktı verilerinin yetkisiz değişikliğe, kayıba veya açıklanmaya karşı korunmasını hedefler. Veri şifreleme, erişim kısıtlaması ve bütünlük izleme bu korumayı sağlar.

İşlem hatalarının tespit edilmesini, kayıt altına alınmasını ve giderilmesini amaçlar. Hata bildirim mekanizmaları, yeniden deneme politikaları ve düzeltici işlem prosedürleri bu kritere dahildir.

Kişisel veri sahiplerine verilerin toplanma amacı, kullanımı, saklanması ve paylaşımı hakkında açık ve anlaşılır bildirim yapılmasını kapsar. Gizlilik politikası, çerez bildirimi ve onay mekanizmaları bu kriterin pratik karşılığıdır.

Bireylere kişisel verilerinin toplanması, kullanılması ve paylaşılması konusunda anlamlı seçenekler sunulmasını ve tercihlerinin kayıt altına alınmasını hedefler. Rıza yönetim platformları ve opt-in/opt-out mekanizmaları bu kritere dahildir.

Kişisel bilgilerin yalnızca tanımlanmış ve bildirilen amaçlarla sınırlı biçimde toplanmasını amaçlar. Veri minimizasyonu ilkesi ve toplama öncesi etki değerlendirmesi bu kriterin temel araçlarıdır.

Kişisel bilgilerin doğrudan birey yerine üçüncü taraflardan toplanması durumunda uygun güvenceler sağlanmasını kapsar. Tedarikçi veri işleme sözleşmeleri ve kaynak doğrulama prosedürleri bu kritere hizmet eder.

Toplanan kişisel bilgilerin yalnızca bildirilen ve onaylanan amaçlar doğrultusunda kullanılmasını hedefler. Veri erişim politikaları ve kullanım denetim günlükleri bu sınırlamayı güvence altına alır.

Kişisel bilgilerin belirlenen saklama süresi dolduğunda güvenli biçimde imha edilmesini amaçlar. Saklama takvimi, otomatik imha iş akışları ve imha doğrulama kayıtları bu kriteri destekler.

Amacını tamamlayan kişisel bilgilerin geri alınamaz biçimde ve güvenli yöntemlerle yok edilmesini kapsar. Medya temizleme standartları, şifreli silme prosedürleri ve imha sertifikaları bu kriterin araçlarıdır.

Veri sahiplerine kuruluşun elinde tuttuğu kendi kişisel bilgilerine erişim talebinde bulunabilme imkânı tanınmasını hedefler. Kimlik doğrulama destekli self-servis portallar ve veri erişim talep prosedürleri bu kritere dahildir.

Veri sahiplerinin yanlış veya eksik kişisel bilgilerini düzelttirme veya güncelletme hakkının desteklenmesini amaçlar. Düzeltme talep akışları, değişiklik kayıtları ve güncellenmiş verinin paylaşıldığı tarafların bilgilendirilmesi bu kritere hizmet eder.

Kişisel bilgilerin üçüncü taraflara yalnızca veri sahibinin rızası veya yasal zorunluluk kapsamında açıklanmasını hedefler. Veri paylaşım sözleşmeleri ve açıklama kayıtları bu kriterin temel araçlarıdır.

Yapılan yetkili kişisel veri açıklamalarının tam ve doğru biçimde kayıt altına alınmasını amaçlar. Açıklama günlükleri ve denetim izleri bu kaydın temelini oluşturur.

Tespit edilen veya bildirilen yetkisiz kişisel veri açıklamalarının kayıt altına alınmasını ve raporlanmasını kapsar. Güvenlik olayı kayıtları ve veri ihlali soruşturma dosyaları bu kritere dahildir.

Kişisel bilgilerin üçüncü taraflara iletilmesi halinde veri sahiplerine uygun bildirim yapılmasını hedefler. Gizlilik bildirimi güncellemeleri ve e-posta bildirim akışları bu kritere hizmet eder.

Kişisel verilere erişim yetkisi verilen tedarikçi ve iş ortaklarından mahremiyet yükümlülüklerine uymaya dair taahhüt alınmasını amaçlar. Veri işleme sözleşmeleri ve tedarikçi güvenlik denetimleri bu kriterin araçlarıdır.

Yetkisiz erişim veya veri ihlali tespiti durumunda etkilenen veri sahiplerinin ve ilgili otoritelerin zamanında bilgilendirilmesini kapsar. İhlal müdahale prosedürleri ve yasal bildirim takvimleri bu kritere dahildir.

Kişisel bilgilerin başka ülkelerdeki alıcılara iletilmesi durumunda uygun güvencelerin sağlanmasını hedefler. Standart sözleşme maddeleri, yeterlilik kararları ve bölgesel veri saklama politikaları bu kritere hizmet eder.

Kişisel bilgilerin doğru, güncel ve eksiksiz biçimde tutulmasını amaçlar. Veri kalitesi kontrolleri, düzenli doğrulama süreçleri ve veri sahibi tarafından yapılan güncelleme mekanizmaları bu kritere dahildir.

Mahremiyet ihlali iddiası ve şikâyetlerinin alınması, değerlendirilmesi, çözüme kavuşturulması ve sonucunun veri sahibine iletilmesini kapsar. Şikâyet takip sistemi, eskalasyon prosedürleri ve sonuç bildirimleri bu kriterin bileşenleridir.