Ana içeriğe geç

Gizlilik ve Veri Koruma

Controlio bir güvenlik değerlendirme ürünüdür ve tasarımı gereği mümkün olan en az kişisel veriyle çalışır. Bu sayfa, verinizi işlerken uyduğumuz ilkeleri açıklar. Sözleşmeye bağlı taahhütler Veri İşleme Sözleşmesi (DPA) ile netleşir.

Veri minimizasyonu​

İşleme; amaçla bağlantılı, sınırlı ve ölçülü olacak şekilde tasarlanmıştır. Topladığımız veriyi, izleme amacının gerektirdiği kadarıyla sınırlarız: tam kullanıcı ve posta listeleri saklanmaz, VIP kimlik kayıtlarında telefon ve e-posta maskeli saklanır, tam yapılandırma kopyaları yanıt gövdesine taşınmaz.

Tam kullanıcı veya e-posta listeleri toplu hâlde saklanmaz; sayılar tutulur, listeler tutulmaz. Yalnız belirli bir güvenlik bulgusunu açıklamak için gerekli olan kimlik tutulabilir.

Bu yaklaşım şu ilkelerle uyumludur:

  • KVKK — kişisel verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olması.
  • GDPR Madde 5 — veri minimizasyonu (data minimisation).
  • GDPR Madde 25 — tasarımda ve varsayılanda veri koruma (data protection by design and by default).
  • EDPB rehberliği — need-to-know ve varsayılan erişimin kısıtlanması.

Erişim rolle sınırlıdır​

İzleme yüzeylerindeki kimlik verisi, kiracının kendi yöneticilerine — Global Yönetici, Güvenlik Yöneticisi, Global Okuyucu ve Güvenlik Okuyucusu — tam gösterilir. Bir güvenlik kaydının amacı kimin ne yaptığını göstermektir; bu kitle için kimlik zaten erişilebilir bir bilgidir. Sınır, verinin maskelenmesi değil kimin erişebildiğidir: rol doğrulaması yanıtı üreten API tarafında yapılır ve her kiracı yalnız kendi kaydını görür (bkz. Güvenlik Hareketleri).

Tenant izolasyonu​

Her müşterinin verisi kendi değişmez tenant kimliğiyle çözülür. Bir tenant'ın verisi başka bir tenant'a hiçbir zaman dönmez; sorgular istemcinin gönderdiği değil, doğrulanmış oturumdaki tenant kimliğiyle sınırlandırılır.

İki farklı süreç: veri sahibi başvurusu ve olay kanıtı erişimi​

Bunlar aynı süreç değildir ve karıştırılmamalıdır:

  • İlgili kişinin (veri sahibinin) veri erişim başvurusu, ayrı bir gizlilik / veri sahibi talebi (DSR) sürecinde ele alınır.
  • Güvenlik ekibinin bir olay incelemesinde kanıt görmesi, amacı ve hukuki dayanağı müşteri (veri sorumlusu) tarafından belirlenen ayrı bir erişimdir.

Roller​

Controlio, müşterisi adına veri işleyen (processor) olarak çalışır; müşteri veri sorumlusudur (controller). Bu rol ayrımı Veri İşleme Sözleşmesi (DPA) ve sözleşmenizde tanımlanır.