Derin Guvenlik Sozlugu
Kurumsal IT ekiplerinin ihtiyac duydugu tum siber guvenlik ve AI guvenlik terimleri, VerimliAI'nin bu teknolojileri nasil uyguladigiyla birlikte.
Veri Sifreleme ve Koruma
Data Encryption at Rest (Bekleyen Veride Sifreleme)
Veritabaninda, diskte veya yedekleme ortaminda saklanan verilerin sifrelenmesidir. Veri, fiziksel olarak depolandigi ortamda dahi sifreli durumdadir; disk calinsa bile anahtar olmadan okunamaz. AES-256 (Advanced Encryption Standard, 256-bit anahtar uzunlugu) algoritmasi kullanilir.
Data Encryption in Transit (Aktarimda Veri Sifreleme)
Verinin ag uzerinden bir noktadan digerine aktarilirken sifrelenmesidir. TLS 1.3 (Transport Layer Security) protokolu ile gerceklestirilir. Bu sayede, veri paketleri ag uzerinde ele gecirilse dahi icerigi okunamaz. Modern TLS 1.3, onceki surumlere gore daha hizli el sikisma (handshake) ve daha guclu sifreleme sunar.
Zero-Data Retention API (Sifir Veri Saklama)
API saglayicisinin, islenen verileri kendi sunucularinda saklamamasi politikasidir. Veri yalnizca islem suresince bellekte tutulur, islem tamamlandiktan sonra hicbir kopyasi saklanmaz. Bu, ozellikle saglik (HIPAA) ve finans (PCI-DSS) gibi regule sektorlerde kritik onem tasir.
Uyumluluk ve Sertifikasyon
SOC 2 Type II
Service Organization Control 2 Type II, bagimsiz denetim firmalari tarafindan verilen, bir hizmet organizasyonunun guvenlik, kullanilabilirlik, islem butunlugu, gizlilik ve mahremiyet kontrollerinin etkinligini belgeleyen sertifikadir. "Type II", kontrollerin yalnizca bir anlik degil, belirli bir sure boyunca (genellikle 6-12 ay) etkin oldugunu gosterir.
SOC 3
SOC 2 raporunun kamuya acik, kisaltilmis versiyonudur. Detayli kontrol listesi icermez; bunun yerine, organizasyonun ilgili guvenlik kriterlerini karsiladigina dair bir "guven muhru" niteligi tasir. Web sitesinde yayinlanabilir.
ISO/IEC 27001
Uluslararasi Standartlar Teskilati (ISO) tarafindan yayinlanan, Bilgi Guvenligi Yonetim Sistemi (ISMS) standardidir. Bir organizasyonun bilgi guvenligi risklerini sistematik olarak yonettigini belgeler. 114 adet kontrol maddesi icerir; fiziksel guvenlikten insan kaynaklari guvenligine, erisim kontrollerinden olay yonetimine kadar genis bir yelpazeyi kapsar.
HIPAA Compliance
Health Insurance Portability and Accountability Act, ABD'de saglik verilerinin gizliligi ve guvenligini duzenleyen federal yasadir. HIPAA uyumlulugu, korunan saglik bilgilerinin (PHI) islenmesi, saklanmasi ve iletilmesinde siki guvenlik ve gizlilik kurallarina uyulmasini gerektirir.
Erisim ve Kimlik Guvenligi
Tokenization
Hassas verilerin (kredi karti numarasi, TC kimlik no) anlamsiz token'larla degistirilmesi islemidir. Token'in kendisi hicbir anlam tasimaz; yalnizca guvenli bir "token vault" icinde orijinal veriyle eslesir. Sifrelemeden farki, token'in matematiksel olarak geri cevrilemez olmasidir.
RBAC (Role-Based Access Control)
Kullanicilarin sistem kaynaklarina erisiminin, organizasyon icindeki rollerine gore belirlendigi erisim kontrol modelidir. "Admin", "Editor", "Viewer" gibi roller tanimlanir; her rolun izinleri ayri ayri yapilandirilir. En az ayricalik (least privilege) prensibine dayanir.
API Key Rotation
API anahtarlarinin belirli periyotlarla (genellikle 90 gun) degistirilmesi uygulamasidir. Eski anahtar iptal edilir, yenisi olusturulur. Bu sayede, ele gecirilmis bir API anahtarinin kullanilabilirlik suresi sinirlanir. Otomatik rotasyon, insan hatasini minimize eder.
Sizma ve Izleme
Penetration Testing (Sizma Testi)
Bir sistemin guvenlik aciklarini tespit etmek amaciyla kontrollu saldiri simülasyonudur. Beyaz kutu (kaynak kod erisimiyle) veya siyah kutu (disaridan, hic bilgi olmadan) yapilabilir. OWASP Top 10 cercevesinde SQL enjeksiyonu, XSS, CSRF gibi yaygin saldiri vektorleri test edilir.
SIEM (Security Information and Event Management)
Guvenlik bilgisi ve olay yonetimi. Tum sistem loglarini merkezi bir noktada toplayan, anormal davranislari gercek zamanli olarak tespit eden ve guvenlik ekiplerine alarm gonderilmesini saglayan sistemdir. SIEM, farkli kaynaklardan gelen loglari korelasyon analizinden gecirerek, tek basina anlamsiz gorunen olaylari bir saldiri zinciri olarak yorumlayabilir.
Vulnerability Disclosure Program (VDP)
Guvenlik arastirmacilarinin bulduklari aciklari sorumlu bir sekilde bildirmeleri icin olusturulmus resmi kanaldir. "Safe Harbor" maddesiyle, iyi niyetli arastirmacilara yasal dokunulmazlik saglar. Olgun teknoloji sirketlerinin vazgecilmez bir sEffaflik pratigidir.
Kurumsal Guvenlik Brifingi Icin
IT ve guvenlik ekiplerinize ozel teknik brifing talep edin.
Guvenlik Brifingi Talep Edin