Reaudit verilerinizi nasıl korur.

Güvenlik Taahhüdümüz

Reaudit'te güvenlik, en yüksek önceliğimizdir. Verilerimizi, altyapımızı ve operasyonlarımızı korumak için sektör düzeyinde güvenlik önlemleri uyguluyoruz. Bu sayfa güvenlik uygulamalarımızı ve politikalarımızı açıklar.

1. Veri Şifreleme

1.1 İletim Sırasında Şifreleme

• TLS 1.3: İletim sırasındaki tüm veriler, güçlü şifreleme paketleriyle TLS 1.3 kullanılarak şifrelenir
• HTTPS Everywhere: Tüm bağlantılar HTTPS gerektirir
• Perfect Forward Secrecy: Ek koruma için uygulanır

1.2 Bekleme Halinde Şifreleme

• AES-256: Tüm hassas veriler bekleme halinde şifrelenir
• Veritabanı Şifrelemesi: Alan düzeyinde tam veritabanı şifrelemesi
• Şifrelenmiş Yedekler: Tüm yedekler şifrelenir
• Anahtar Yönetimi: Şifreleme anahtarlarının güvenli yönetimi

2. Erişim Kontrolü

2.1 Kimlik Doğrulama

• OAuth 2.0: Güvenli üçüncü taraf entegrasyonu (Google)
• Oturum Yönetimi: Güvenli, httpOnly çerezler ve otomatik sona erme (7 gün) ile JWT oturumları
• reCAPTCHA v3: Kimlik doğrulama sırasında botlara karşı koruma
• Kaba Kuvvet Saldırısı Koruması: İstek hızı sınırlama

2.2 Yetkilendirme

• Rol Tabanlı Erişim Kontrolü (RBAC): Ayrıntılı izinler
• En Az Ayrıcalık İlkesi: Kullanıcılar yalnızca gerekli minimum erişime sahiptir
• Veri İzolasyonu: Müşteriler arasında sıkı veri ayrımı
• Denetim Günlükleri: Tüm erişim eylemlerinin kapsamlı kaydı

3. Altyapı Güvenliği

3.1 Altyapı Güvenliği

• MongoDB Atlas: SOC 2 ve ISO 27001 sertifikalı yönetilen veritabanı
• Docker: Otomatik yeniden başlatma politikalarıyla container tabanlı dağıtım
• DDoS Protection: Cloudflare DDoS koruması ve WAF

3.2 Uygulama Güvenliği

• Web Application Firewall (WAF): Yaygın web saldırılarına karşı koruma
• Girdi Doğrulama: Tüm kullanıcı girdilerinin sıkı doğrulanması
• CSRF Koruması: Cross-Site Request Forgery'ye karşı koruma
• İçerik Güvenliği Politikası: Sıkı CSP politikalarının uygulanması
• Güvenli Başlıklar: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API Güvenliği

• API Kimlik Doğrulaması: Güvenli şekilde saklanan API anahtarları
• Hız Sınırlama: API kötüye kullanımına karşı koruma
• API Sürümleme: Kontrollü API evrimi
• API Günlükleme: Tüm API isteklerinin kapsamlı kaydı

4. İzleme ve Müdahale

4.1 İzleme

• Hata İzleme: Sentry ile gerçek zamanlı hata izleme
• Yapılandırılmış Günlükleme: Zaman damgalı merkezi uygulama günlükleme
• Çalışma Süresi İzleme: Hizmet kullanılabilirliği izleme

4.2 Olay Müdahalesi

• Müdahale Planı: Belgelenmiş olay müdahale prosedürleri
• İzolasyon: Etkilenen sistemlerin hızla izole edilmesi
• İhlal Bildirimi: GDPR uyarınca 72 saat içinde bildirim

5. Veri Koruma

5.1 Veri Yedekleri

• Otomatik Yedekler: MongoDB Atlas ile günlük otomatik yedekler
• Point-in-Time Kurtarma: Verileri herhangi bir zaman noktasına geri yükleyebilme
• Şifreleme: Tüm yedekler şifrelenir

5.2 Veri Silme

• Güvenli Silme: Verilerin kriptografik olarak silinmesi
• Saklama Politikası: Net veri saklama politikaları
• Talep Üzerine Silme: Kullanıcı verilerini silebilme yeteneği

6. Güvenli Geliştirme

• Kod İncelemesi: Tüm kod değişiklikleri akran incelemesine (peer review) tabidir
• TypeScript Strict Mode: Hataları azaltan type-safe kod
• Bağımlılık Taraması: Üçüncü taraf paketlerdeki güvenlik açıklarının otomatik taranması
• Ortam Ayrımı: Ayrı geliştirme, staging ve üretim ortamları

7. Ekip Güvenliği

• Gizlilik Sözleşmeleri: Tüm ekip üyeleri tarafından imzalanır
• En Az Ayrıcalık İlkesi: Üyeler yalnızca gerekli olana erişir
• Erişimin Kaldırılması: Ayrılma anında erişimin derhal kaldırılması

8. Uyumluluk ve Sertifikasyonlar

8.1 Mevcut Sertifikasyonlar

• GDPR: Genel Veri Koruma Tüzüğü ile tam uyumluluk
• CCPA: California Consumer Privacy Act ile uyumluluk
• PCI DSS: Ödeme işleme uyumluluğu

8.2 Standartlarla Uyum

• SOC 2: AICPA Trust Service ölçütleriyle uyumlu güvenlik kontrolleri. Resmî sertifikasyon yol haritamızda yer alıyor.
• ISO 27001: ISO 27001 çerçevesiyle uyumlu güvenlik uygulamaları. Sertifikasyon yol haritamızda yer alıyor.

9. Üçüncü Taraf Güvenliği

• Tedarikçi Değerlendirmesi: Sıkı güvenlik değerlendirmesi
• Veri İşleme Sözleşmeleri: Tüm işleyicilerle yapılan sözleşmeler
• Asgari Erişim: Sınırlandırılmış üçüncü taraf erişimi
• Düzenli Gözden Geçirmeler: Tedarikçilerin sürekli izlenmesi

10. Hizmet Kullanılabilirliği

• Managed Database: Otomatik failover'lı MongoDB Atlas
• Otomatik Yeniden Başlatma: Hizmet kurtarma için Docker restart politikaları
• CDN: Küresel içerik dağıtımı için Cloudflare CDN

11. Güvenlik Açığı Bildirimi

Güvenlik açıklarının sorumlu bir şekilde ifşa edilmesini teşvik ediyoruz. Bir güvenlik açığı keşfederseniz:

• Şu adrese e-posta gönderin: [email protected]
• Güvenlik açığının ayrıntılı bir tanımını sağlayın
• Sorunu çözene kadar kamuya açıklamayın
• Kullanıcı verilerine erişmeyin veya bunları değiştirmeyin

48 saat içinde yanıt vereceğiz ve sorunun çözümü için sizinle birlikte çalışacağız.

12. İletişim

Güvenlikle ilgili sorular veya endişeler için: