Bir kurumun güvenliği, yalnızca kendi önlemleriyle değil, çalıştığı tedarikçilerin ve hizmet sağlayıcıların güvenliğiyle de belirlenir. Zincirin en zayıf halkası, tüm sistemi riske atabilir.
🔗 Zincirin Zayıf Halkası
Yazılım sağlayıcıları, bulut hizmetleri ve dış hizmet firmaları çoğu zaman kurumun sistemlerine erişir. Bu sağlayıcılardan birinde yaşanan bir güvenlik açığı, doğrudan kurumu da etkileyebilir. Bu nedenle sağlayıcı seçiminde güvenlik düzeyinin de değerlendirilmesi beklenir.
Not: Bir kurumun güvenliği, zincirdeki en zayıf tedarikçinin güvenlik düzeyi kadardır.
📄 Sözleşme ve Denetim
Sağlayıcıyla kurulan ilişkinin, güvenlik yükümlülüklerini ve ihlal hâlinde bildirim koşullarını içeren bir sözleşmeyle çerçevelenmesi önem taşır. Sözleşme tek başına yeterli değildir; sağlayıcının taahhütlerine uyumunun makul ölçüde denetlenmesi de beklenir.
🔐 Erişim Sınırlaması
Üçüncü tarafların yalnızca gereken kadar veriye ve sisteme erişmesi, bir sorun hâlinde etkiyi sınırlar. Erişim yetkilerinin veri sınıflandırmasına göre düzenlenmesi ve ilişki sona erdiğinde erişimin kaldırılması önerilir.
📌 İlgili Konular
Veri işleyen sözleşmesi ve bulut hizmet sözleşmeleri konuyla bağlantılıdır.
❓ Sıkça Sorulan Sorular
Tedarikçimin açığı beni etkiler mi?
Sağlayıcı kurumun sistemine erişiyorsa yaşanan açık kurumu da etkileyebilir.
Sözleşme yapmak yeterli mi?
Gereklidir ama tek başına yetmez; denetim ve erişim sınırlaması da beklenir.
Sağlayıcıya ne kadar erişim vermeliyim?
Yalnızca gereken kadar; asgari yetki ilkesi etkiyi sınırlar.
Sağlayıcı kaynaklı ihlalde kim sorumlu?
Sorumluluk rollere göre paylaşılır; kurumun özen ve denetim yükümlülüğü sürer.
Tedarik Zinciri Siber Riski ve Üçüncü Taraf Güvenliği hakkında bilgi almak için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz.
Bu makalede yer alan bilgiler genel bilgilendirme amaçlıdır ve güncel mevzuata göre değişiklik gösterebilir. Her somut olay kendine özgüdür; sonuç taahhüdü içermez.
