Sertifikamız yok, kaydımız var

Kurumsal bir müşteriyle yapılan her satış görüşmesinde er ya da geç aynı soru geliyor: *"Güvenlik sertifikanız var mı?"*

Bizim cevabımız hayır. ISO 27001 belgemiz yok, SOC 2 raporumuz yok. Bu yazı, o cevabı verdikten sonra ne söylediğimizle ilgili.

Sertifika ne işe yarıyor

Önce dürüst olalım: sertifikalar anlamsız değil. ISO 27001, bir şirketin bilgi güvenliğini sistemli biçimde yönettiğini bağımsız bir denetçinin doğruladığını gösterir. Bu gerçek bir bilgidir.

Kurumsal alıcı açısından da işlevi net: her tedarikçiyi tek tek incelemeye vakti yoktur. Sertifika, bu incelemeyi dışarıya devretmesini sağlar. Banka ya da sigorta şirketi satın alıyorsa çoğu zaman zorunludur da.

Ama sertifikanın söylemediği bir şey var: bugün ne yaptığınız. Denetim yılda bir yapılır, kapsamı belgede yazar ve o kapsam çoğu zaman alıcının sandığından dardır.

Neden bizde yok

İki sebep, ikisi de sıkıcı ama gerçek:

• Maliyet ve süre. Sertifikasyon, danışmanlık ve denetim süreciyle birlikte aylar süren ve ciddi bütçe isteyen bir iştir. Bu aşamadaki bir şirket için o bütçe, ürünün kendisinden gider.
• Müşteri profili. Bugünkü müşterilerimiz banka ve sigorta değil; franchise ve bayi ağları. Onların satın alma süreçlerinde ISO 27001 henüz bir eşik değil.

Bu, "sertifika gereksiz" demek değil. "Bugün önceliğimiz değil" demek. Müşteri profili değiştiğinde bu karar da değişir.

Yerine ne yapıyoruz

Sertifikanın alıcıya verdiği şey bir teminat. Teminat veremiyorsak verebileceğimiz tek dürüst şey şeffaflık: ne yaptığımızı, ne zaman yaptığımızı ve nasıl doğrulanabileceğini yazmak.

Bunun için tuttuğumuz kayıt şöyle işliyor. Her tedbir üç şeyle birlikte yazılıyor:

1. 1.Tarih — ne zaman uygulandı
2. 2.Ne yapıldı — tek cümleyle, teknik olarak
3. 3.Kanıt — nasıl doğrulanabileceği; bir sorgu sonucu, bir HTTP durum kodu, bir ölçüm

Üçüncüsü belirleyici olan. "Şifreleme kullanıyoruz" bir iddiadır. "Yedekler AES-256 ile şifreleniyor ve anahtar ayrı tutuluyor" doğrulanabilir bir ifadedir.

Kayıttan örnekler

Bu tablonun sertifikaya göre bir zayıflığı, bir de üstünlüğü var.

Zayıflığı: bağımsız denetçi doğrulamıyor. Bunu biz yazıyoruz.

Üstünlüğü: her satır bugün test edilebilir. İmzasız bir istek gönderin, 401 alıp almadığınızı görün. Sertifika size bunu vermiyor — bir yıl önceki denetimin sonucunu veriyor.

Sertifika "denetlendik" der. Kayıt "şu an şöyle çalışıyor, deneyin" der. İkisi farklı sorulara cevap veriyor.

En zor kısım: eksikleri de yazmak

Bu yaklaşımın işe yaraması tek bir şarta bağlı — sadece iyi haberleri yazarsanız çöker.

Bir müşteri, tedbir listesinde hiç eksik göremiyorsa listeye değil, listeyi yazana güvenmemeye başlar. Haklıdır da: hiçbir sistemde eksik yoktur diye bir şey yok.

O yüzden bizim kaydımızda şunlar da yazıyor:

• ISO 27001 ve SOC 2 belgemiz yok.
• Yasal metinlerimiz henüz hukukçu incelemesinden geçmedi.
• Sildiğimiz veriler şifreli yedeklerde ek bir süre daha kalmaya devam ediyor — süresini yazıyoruz.

Üçüncüsü özellikle önemli. "30 gün sonra siliyoruz" demek kolaydır; yedeklerdeki kopyayı hesaba katmadan söylendiğinde ise doğru değildir. Ayrıntısı: Görüşme kaydı tutmanın hukuki sınırı.

Alıcıysanız ne sormalısınız

Bir yazılım tedarikçisi değerlendiriyorsanız — bizi değerlendirseniz de — sertifika sorusundan sonra sorulacak sorular şunlar. Bunların cevabı sertifikadan daha çok şey söyler:

1. 1.Verimiz nerede duruyor? Hangi ülkede, hangi sağlayıcıda?
2. 2.Konuşma verimiz model eğitiminde kullanılıyor mu? Sözleşmede yazıyor mu?
3. 3.Kim erişebiliyor? Sağlayıcının kendi çalışanları verimizi görebiliyor mu, hangi koşulda?
4. 4.Sildiğimizde yedeklerde ne kadar kalıyor?
5. 5.Sızıntı olursa ne kadar sürede haberimiz olur, taahhüt var mı?
6. 6.Ayrılırsak verimizi hangi formatta alırız?

Son madde en çok atlanan. Veri taşınabilirliği bir güvenlik konusu gibi durmaz ama tedarikçiye bağımlılık, uzun vadede en pahalı risktir.

Sonuç

Sertifikamız olduğunda bunu da yazacağız. O güne kadar sahip olmadığımız bir belgeye sahipmiş gibi görünmeyi tercih etmiyoruz.

Aldığımız tedbirlerin tamamı, aydınlatma metinlerimiz ve saklama sürelerimiz KVKK Aydınlatma Metni ve Gizlilik Politikası sayfalarında yayımda. Eksik bulduğunuz bir yer varsa yazın — o da bu kaydın bir parçası olur.