Sözleşme imzalanmak üzereyken satın alma ekibinden bir güvenlik anketi gelir. Sorulardan biri şudur: “Yönetici erişiminde çok faktörlü kimlik doğrulamayı (MFA) zorunlu tutuyor musunuz?” Satış ekibi, çalışanların MFA kullandığını biliyor. Mühendislik ekibi ise müşteri yöneticilerinin kendi kimlik sağlayıcıları üzerinden oturum açabildiğini biliyor. Alıcı bu gruplardan birini ya da her ikisini kastediyor olabilir.
Evet seçeneğini yalnızca kontrolün alıcının sorduğu kapsamın tamamında hâlihazırda uygulandığını doğrulayabiliyorsanız işaretleyin. Uygulama hesap türüne, abonelik planına, bölgeye veya kurulum biçimine göre değişiyorsa kontrolün nerede geçerli olduğunu ve kimin tarafından uygulandığını belirtin. Planlanan değişiklikleri mevcut durumdan ayrı yazın.
İncelenen ürünü, abonelik planını, kurulum biçimini ve ortamı kaydedin. Her sorunun hangi kişileri, sistemleri veya verileri kapsadığını belirleyin. Şirket genelindeki bir politika, çalışanların nasıl oturum açtığını açıklayabilir. Müşteri tarafındaki bir güvenlik kontrolü ise müşterinin kendi SaaS ortamındaki ayarlara bağlı olabilir.
Önceden hazırlanmış bir yanıtı kullanmadan önce alıcının talimatlarını okuyun. “MFA’yı destekliyoruz”, “MFA etkin” ve “MFA zorunlu” farklı anlamlara gelir. Yönetici erişimiyle ilgili bir soruda alıcının üretim ortamınızı yöneten çalışanları mı, kendi SaaS ortamının yöneticilerini mi, yoksa her iki grubu mu kastettiğini belirleyin. Soru yoruma açıksa yanıtınızda hangi kapsamı esas aldığınızı belirtin veya göndermeden önce alıcıya sorun. Alıcının açıklamasını yanıtla birlikte kaydedin.
Ne söyleyebileceğinize karar vermek için ekip içinde aşağıdaki dört durumu kullanın. Bu sınıflandırma yanıt hazırlamanıza yardımcı olur. Formu gönderirken alıcının tanımlarını ve sunduğu seçenekleri esas alın.
| Durum | Kontrol hakkında bilinenler | Nasıl yanıt verilir? |
|---|---|---|
| Uygulanıyor | Kontrol, soruda belirtilen kapsamın tamamında uygulanıyor. | Kontrol alıcının tanımına uyuyorsa Evet yanıtını verin. Kapsamı belirtin ve güncel kanıtı gösterin. |
| Kısmen uygulanıyor | Kontrol, istenen kapsamın bir bölümünde uygulanıyor veya müşterinin ayarlarına bağlı. | Kontrolün neleri kapsadığını, neleri kapsamadığını ve kalan ayarları kimin yönettiğini açıklayın. |
| Planlandı | Ekip bir planı onayladı. Kontrol, istenen kapsamda henüz devreye alınmadı. | Kontrolün bugün nerede eksik kaldığını belirtin. Hedef tarihi ancak paylaşımı onaylandıysa bildirin. |
| Doğrulanmadı | Kontrolün kapsamı doğrulanmadı veya soru yoruma açık. | Kesin bir yanıt vermeden önce kapsamı netleştirin veya kontrol sorumlusundan kanıt isteyin. |
Kontrolün uygulanmadığı kesinleşmişse ve onaylı bir plan yoksa bunu kaydedin. Formdaki tanımlara uyuyorsa Hayır yanıtını verin. Form yalnızca Evet ve Hayır seçeneklerine izin veriyor ve kontrol kısmen uygulanıyorsa alıcının kurallarına uyun. Kapsamı ve istisnaları açıklama alanına yazın veya bunları belirttiğiniz ayrı bir yanıta bağlantı verin. Önemli bir istisnayı açıklayacak yer yoksa formu göndermeden önce satın alma ekibine bu bilgiyi nasıl kaydetmeniz gerektiğini sorun. Geçerli değil (N/A) seçeneğini ancak soru mutabık kalınan kapsamın dışındaysa ve alıcı bu seçeneğe izin veriyorsa kullanın.
Kurgusal alıcı sorusu. Barındırdığınız hizmetin üretim ortamına yönetici olarak erişen tüm kişiler için MFA zorunlu mu? Buna hem çalışanlarınız hem de bizim SaaS ortamımızın yöneticileri dâhil.
İlk yanıt
Evet. MFA etkin.
Düzeltilmiş yanıt
Kısmen. Barındırdığımız hizmetin üretim ortamına yönetici olarak erişen çalışanlarımız için MFA zorunludur. Tek oturum açma (SSO) kullanan müşteri yöneticileri için MFA zorunluluğu, müşterinin kimlik sağlayıcısındaki politikaya bağlıdır. Ürüne ait yerel bir hesapla oturum açan müşteri yöneticileri için MFA isteğe bağlıdır.
Kanıt türü. Çalışanların oturum açma politikasının hassas bilgilerden arındırılmış özeti ve tarihli bir test kaydı. Test, çalışanların yönetici olarak oturum açmasını ve müşteri yöneticilerinin kullandığı iki oturum açma yöntemini kapsar. Müşterinin kendi SaaS ortamı için uyguladığı kimlik sağlayıcı politikası ayrıca doğrulanmalıdır.
Kontrol sorumlusu. Kimlik ve erişim yönetimi sorumlusu.
Son doğrulama tarihi. 10 Kasım 2026. Tarih, görev ve kanıtlar örnek amaçlıdır.
Kanıtı beyanınıza göre seçin. Bir politika, ekibinizin hangi kuralları belirlediğini gösterir. Tarihli bir yapılandırma özeti ve oturum açma testi, teknik bir kontrolün uygulanıp uygulanmadığını gösterebilir. Üç ayda bir yapılan erişim incelemeleri gibi düzenli çalışmalar için son incelemenin onaylı kaydı, prosedürün uygulandığını gösterir. Yanıtınızda bir sertifikaya atıf yapmadan önce belgeyi düzenleyen kuruluşu, belgenin geçerliliğini, hangi tüzel kişi adına düzenlendiğini ve belgelendirme kapsamını alıcının sorusuna göre kontrol edin.
İlk olarak yanıtı desteklemeye yetecek kadar bilgi içeren, paylaşımı onaylı bir belge seçin. Gizli bir belgeyi portala yüklemeden önce kimlerin erişebileceğini, geçerli gizlilik hükümlerinin bu paylaşımı kapsayıp kapsamadığını ve belgeye özgü paylaşım kısıtları olup olmadığını kontrol edin. Hassas bilgilerden arındırılmış bir özet veya belgenin erişimi kısıtlanarak incelenmesi alıcı için yeterli olabilir. Paylaşacağınız belgeden hesap tanımlayıcılarını, gizli erişim bilgilerini ve müşteri bilgilerini çıkarın. Göndereceğiniz sürümü belgeyi yöneten kişiye onaylatın.
Satış ekibi yanıt sürecini koordine edebilir. Teknik beyanları ilgili kontrolün sorumlusu doğrulamalı, gizlilik ve olay müdahalesiyle ilgili açıklamaları ise ilgili ekipler incelemelidir. Önerilen garanti hükümlerini, bildirim sürelerini, denetim haklarını, silme taahhütlerini ve teslim tarihlerini sözleşme sorumlusunun ve yetkin bir hukukçunun incelemesine sunun. Alıcı geçmişte bir güvenlik olayı yaşayıp yaşamadığınızı sorarsa önce hangi olay tanımını, dönemi ve kapsamı esas aldığını doğrulayın. Ardından olay kayıtlarını inceleyip hangi bilgilerin paylaşılabileceğine karar verin.
Yanıtı göndermeden önce anketin yalnızca tedarikçi değerlendirmesi için mi kullanılacağını, yoksa yanıtınızın sözleşmenin bir parçası hâline mi geleceğini kontrol edin. Bunun için portal koşullarını, sipariş formunu, çerçeve sözleşmeyi ve güvenlik ekini inceleyin. Bazı satın alma koşulları, tedarikçi yanıtlarını sözleşme kapsamına açıkça alır. Geçerli hükümlerin etkisini bir hukukçuyla değerlendirin. Gönderdiğiniz yanıtın hangi sürümünün esas alındığını ve kapsamla ilgili açıklamalarınızın sözleşmeye dâhil edilip edilmediğini de kontrol edin. Önerilen taahhütleri ekibin yapabilecekleriyle ve sözleşmedeki mevcut yükümlülüklerle karşılaştırın.
Belgelendirme, geçmiş güvenlik olayları ve güvenlik kontrolleriyle ilgili beyanları otomatik doldurmayın. Yanıt arşivinden uygun bir metin bulun. Göndermeden önce soruyu, kapsamı ve güncel kanıtı ilgili kişiye doğrulatın.
Yeniden kullanılabilecek her kayıt için soruyu, onaylı yanıtı, ürün kapsamını, istisnaları, yanıtın ekip içindeki durumunu, kanıt referansını, sorumluyu, onaylayanı ve son doğrulama tarihini kaydedin. Bir gözden geçirme tarihi belirleyin. Beyanı etkileyen bir değişiklik olduğunda o tarihi beklemeden kaydı tekrar inceleyin. Yeni bir oturum açma yöntemi, yeni bir barındırma bölgesi veya konuyla ilgili bir güvenlik olayı, planlanan inceleme tarihinden önce yanıtın güncelliğini yitirmesine neden olabilir. Her alıcıya gönderilen sürümü, açıklamaları ve ekleriyle birlikte saklayın.
Ekibinizin gönderdiği son anketi açın ve tekrar kullanmayı düşündüğünüz beş yanıtı seçin. Seçtiğiniz yanıtlar arasında en az bir geniş kapsamlı kontrol beyanı ve süre taahhüdü içeren en az bir yanıt olsun. Her birini alıcının sorusuyla ve güncel kanıtlarla karşılaştırın. Bir yanıt varsayıma dayanıyorsa sonraki gönderimden önce varsayımı netleştirin veya yanıtın hangi koşullarda geçerli olduğunu belirtin.
Kurumsal alıcılar daha resmî bir bilgi güvenliği yönetim sistemi bekliyorsa Kooch’un ISO/IEC 27001 hazırlık desteği, kapsamı belirlemenize ve bağımsız değerlendirme için kanıtları düzenlemenize yardımcı olabilir. Gizlilik çalışmalarına ilişkin kanıtları ve üzerinde anlaşılan uyum adımlarını düzenli olarak gözden geçirmek için sürekli uyum desteğimizi inceleyin.
