ISO 27001 A.12 Operasyon Guvenligi

A.12 Operasyon Guvenligi

A.12.1 Dokumente Edilmis Prosedurler

Tum is kritik surecler (deploy, backup restore, kullanici ekleme, yetki degisim, olay mudahale) dokumantedir ve BT ekibinin erisebilecegi wiki'dedir.

A.12.3 Yedekleme

• Database: Gunluk mysqldump, gzip, 30 gun rolling on-site + 7 gun off-site.
• Kaynak kod: Git + yansima (bitbucket/gitea off-site).
• Medya / foto: haftalik rsync off-site.
• Test restore: Ayda bir test sunucusuna restore edilip dogrulanir.

RTO (maksimum eski hale gelme suresi): 4 saat.
RPO (maksimum veri kaybi): 24 saat.

A.12.4 Log Yonetimi

Loglananlar:

• Access log: Nginx - 2 yil saklanir.
• Application log: Django - ERROR ve WARNING 2 yil, INFO 90 gun.
• Security log: django.security + axes - her giris, yanlis parola, yetkisiz erisim, 2 yil.
• Audit log: django-auditlog - tum CRUD kritik modeller - 2 yil.
• Database slow query: MySQL slowlog - 30 gun.

Log integrity: Logdosyalari append-only, haftalik hash + imza.

A.12.6 Guvenlik Acigi Yonetimi

• Python paketleri haftalik pip list --outdated kontrolu.
• Kritik CVE bildirimi aninda 24 saatte patch uygulama.
• Yillik dis pen test.
• OWASP Top 10 uyumu SDLC entegre.

A.12.7 Degisiklik Yonetimi

Tum production degisiklikler:

• Git commit + code review (zorunlu)
• Staging test
• Degisiklik penceresi: Sali-Pers 10:00-16:00 (Cuma-Pzt deploy yasak)
• Rollback plani dokumente