Kapsam
Güvenlik olayı, uygulamanın işlediği verilerin gizliliğini, bütünlüğünü ya da erişilebilirliğini riske atan her olaydır; örneğin yetkisiz erişim, verinin yanlış mağazaya görünmesi, sızan bir sır ya da puanlarla oynanması.
Politika, uygulamanın Microsoft Azure France Central (Paris, AB) bölgesindeki üretim ortamını kapsar: yönetim ve webhook servisi, sadakat motoru, PostgreSQL veritabanları, anahtar kasası ve kayıtlar ile uygulamanın Shopify'daki yapılandırması.
Risk altındaki veriler başlıca müşterilerin Shopify müşteri kimlikleri ve bunlara bağlı sadakat verileri (puan, sipariş özetleri, kademe, hareketler) ile mağaza ayarları, personel kullanıcı kimlikleri ve şifreli saklanan Shopify erişim anahtarları gibi mağaza verileridir. Müşteri adı ve e-posta adresi saklanmaz. Müşteri verileri için veri sorumlusu mağaza, veri işleyen Tryino'dur.
Roller
- Olay Sorumlusu: olayı ilan eder, önem derecesini belirler, kararları ve olay kaydını yönetir, dış bildirimleri onaylar.
- Teknik Müdahaleci: inceler, sınırlar, nedeni ortadan kaldırır ve hizmeti geri getirir; kanıtları korur; kimlik bilgilerini yeniler.
- İletişim: mağazalara, Shopify'a ve resmi makamlara bildirimleri hazırlar ve gönderir; support@tryino.com ve privacy@tryino.com adreslerini yanıtlar.
Tryino küçük bir ekiptir; bir kişi birden fazla rol üstlenebilir. Her rolün belirlenmiş bir yedeği vardır; SEV-1 ya da SEV-2 olayında Olay Sorumlusuna 2 saat ulaşılamazsa yedek devralır.
Önem dereceleri
| Derece | Örnekler | Müdahale başlar | Sınırlama süresi |
|---|---|---|---|
| SEV-1 Kritik | Müşteri ya da mağaza verisine doğrulanmış yetkisiz erişim veya ifşa; verinin mağazalar arasında görünmesi; sızan bir üretim sırrı; bir saldırganın puanları toplu değiştirmesi | Hemen, her saatte | 4 saat |
| SEV-2 Yüksek | Şüphelenilen ama doğrulanmamış erişim; üretimde istismar edilebilir bir açık; üretim erişimi olan bir Tryino hesabının ele geçirilmesi; Shopify gizlilik webhook'larının 24 saatten uzun hata vermesi | 4 saat içinde | 24 saat |
| SEV-3 Orta | Etkisi sınırlı ya da bilinen istismarı olmayan bir açık; veri ifşası olmadan tek mağazayla sınırlı bir olay; denetimlerimizin engellediği tekrarlanan saldırılar | Sonraki iş günü | 5 iş günü |
| SEV-4 Düşük | Veri riski olmayan bir politika sapması ya da sıkılaştırma işi | Planlı iş | Sonraki sürüm |
Yeni olgular gerektirdiğinde önem derecesini hemen yükseltiriz. Yalnızca erişilebilirliği etkileyen kesintiler, bir saldırıdan kaynaklanmadıkça işletme sorunu olarak ele alınır.
Tespit ve bildirim kanalı
Olaylar uygulama kayıtlarından (örneğin reddedilen webhook'lar, imza hataları, reddedilen personel puan değişiklikleri), Azure Key Vault'taki sırlara ve veritabanı bağlantılarına ilişkin erişim kayıtlarından, Azure etkinlik kayıtlarından, maliyet uyarılarından, Shopify bildirimlerinden ve mağazaların, müşterilerin ya da güvenlik araştırmacılarının bildirimlerinden ortaya çıkabilir. Key Vault ve veritabanı bağlantı kayıtları Azure Log Analytics'te 90 gün tutulur; uygulama kayıtlarında müşteri verisi yoktur.
Şüphelendiğiniz bir güvenlik sorununu privacy@tryino.com adresine bildirin. Tryino'da bir olaydan şüphelenen herkes bunu hemen Olay Sorumlusuna bildirir; kimse bildirmeden 30 dakikadan uzun tek başına inceleme yapmaz.
Nasıl müdahale ederiz
- Tespit: olay kaydı açılır (saatler UTC), önem derecesi belirlenir ve kapsam çıkarılır: hangi mağazalar, hangi veriler, hangi dönem. Üretim verisi yalnızca korumalı ortamın içinde incelenir; dizüstü bilgisayara, kayıt sistemine ya da sohbete kopyalanmaz.
- Sınırlama: zararı durduran en küçük adım atılır; trafiği sınırlamak, erişimi kapatmak, şüpheli yetkileri kaldırmak, oturumları sonlandırmak ya da açığa çıkmış olabilecek kimlik bilgilerini yenilemek gibi. Shopify webhook kesintileri kısa tutulur, sonrasında siparişler Shopify ile karşılaştırılır.
- Giderme: kök neden düzeltilir, incelenmiş ve kaydedilmiş koddan yeniden derlenip dağıtılır, saldırganın bırakmış olabileceği her şey kaldırılır.
- Kurtarma: veri bütünlüğü etkilendiyse son 14 günün zamana dönük yedeklerinden yeni bir sunucuya geri yüklenir, geçişten önce karşılaştırılır, bekleyen sipariş bildirimleri yeniden işlenir, uygulama baştan sona denenir ve 14 gün yakından izlenir.
- Değerlendirme: olay sonrası değerlendirme yapılır (aşağıda).
Bildirim
| Kime | Ne zaman |
|---|---|
| Etkilenen mağazalar (veri sorumluları) | Verilerini etkileyen bir ihlali öğrendikten sonra gecikmeksizin. Hedefimiz ilk bildirimi 48 saat içinde göndermek; olgular netleştikçe güncelleme. |
| Shopify | Shopify'ın iş ortağı ve API şartlarının gerektirdiği süre ve kanalla; mağaza bildirimiyle aynı anda ya da daha önce. |
| Denetim makamları | Bildirim gerekiyorsa 72 saat içinde: GDPR kapsamında ve KVKK kapsamında Kişisel Verileri Koruma Kurulu'na. Müşteri verileri için bu mağazanın yükümlülüğüdür, biz destekleriz. Kendi sorumlu olduğumuz veriler için biz bildiririz. |
| Etkilenen kişiler | Mağazanın kararına ya da kanunun gereğine göre. Talep üzerine olguları ve taslak metni sağlarız. |
Mağaza bildirimi ne olduğunu ve ne zaman olduğunu; etkilenen mağazaları ve veri kategorilerini, yaklaşık sayılarıyla; olası sonuçları; alınan ve planlanan önlemleri; mağazanın ne yapması gerektiğini ve bir irtibat kişisini içerir.
Kanıtlar ve kayıtlar
Değiştirmekten kaçınabileceğimiz hiçbir şeyi değiştirmeden önce kanıtları koruruz: ilgili kayıt sonuçları hemen dışa aktarılır (uygulama kayıtları, Key Vault erişim ve veritabanı bağlantı kayıtları 90 gün tutulur), veritabanları değiştirilmek yerine ayrı bir sunucuya geri yüklenir, dağıtım sürümleri ve Shopify webhook teslim kayıtları saklanır. Sırların eski sürümleri silinmez, korunur. Kanıtlar erişimi kısıtlı bir yerde, bütünlük özetleriyle saklanır; müşteri kişisel verileri olay notlarına yazılmaz.
Her olay kaydı önem derecesini ve durumunu, tespit zamanını ve kaynağını, zaman çizelgesini, kapsamı, alınan önlemleri, gönderilen bildirimleri, kök nedeni ve takip işlerini içerir.
Kimlik bilgilerinin yenilenmesi
Üretim sırları Azure Key Vault'ta tutulur ve yönetilen kimliklerle okunur. Bir kimlik bilgisinin açığa çıkmış olabileceği durumda onu yeniler (örneğin Shopify uygulama sırrı, mağaza erişim anahtarlarını şifreleyen anahtar, servis anahtarları ya da veritabanı parolaları), onu kullanan servislerin yeni sürümlerini dağıtır, ilgili kişi ve kimliklerin erişimini sonlandırıp gözden geçiririz.
Olay sonrası değerlendirme
Her SEV-1 ve SEV-2 olayından, yararlı olduğunda SEV-3 olaylarından sonra 10 iş günü içinde suçlama içermeyen bir değerlendirme yaparız. Değerlendirme zaman çizelgesini, kök nedeni ve neden daha önce önlenemediğini ya da fark edilmediğini, neyin işe yarayıp neyin yaramadığını, veri ve bildirim sonucunu kapsar. Sonuç, sorumlusu ve tarihi belli işlerin listesi ve gerektiğinde bu politikanın, veri envanterimizin ve izleme kurallarımızın güncellenmesidir.
Test ve bakım
En az yılda bir ve mimaride her büyük değişiklikten sonra bir SEV-1 senaryosunun masa başı tatbikatını ve üretim veritabanının deneme geri yüklemesini yapar, bulguları kaydederiz. Politika her yıl ve her SEV-1 ya da SEV-2 olayından sonra gözden geçirilir.
İletişim
Güvenlik ve gizlilik: privacy@tryino.com · Destek: support@tryino.com · Tryino, İstanbul, Türkiye