Kriz ve İş Sürekliliği Politikası

1. Amaç

Hizmet kesintisi, veri kaybı, güvenlik olayı, doğal afet ya da itibar krizi gibi durumlarda hangel'in kritik hizmetlerini sürdürmek ya da en kısa sürede geri getirmek için bugün neler yaptığımızı ve eksiklerimizi açıklar.

2. Kapsam

hangel platformu ve kritik hizmetleri: giriş, acil kan talebi, afet ve acil durum duyuruları, etkinlik karekod yoklaması, STK'lara aktarım kayıtları. Derneğin iletişim ve karar süreçleri.

3. İlkeler

1. Önce can güvenliği. Kesintide önce yaşamsal akışlar geri getirilir.
2. Önce veri bütünlüğü. Sağlık ve mali veri bozulmadan korunur.
3. Açık iletişim. Etkilenen kullanıcılara ve kurumlara durum dürüstçe anlatılır.
4. Ders çıkarma. Her önemli olaydan sonra ne olduğu, neden olduğu ve ne değiştirileceği yazılır.

4. Roller ve sorumluluklar

• Yönetim Kurulu: Kriz anında kararları verir ve dış iletişimi onaylar.
• Teknik sorumlu: Hizmeti geri getirir, yedekten geri yüklemeyi yürütür.
• Veri sorumlusu irtibat kişisi: Kişisel veri ihlali varsa Veri İhlali Müdahale Politikası'nı başlatır.

5. Uygulama: hangel'de bugün nasıl işliyor

• Bulut altyapısı: Veritabanı Avrupa'da çok bölgeli (eur3: Belçika ve Hollanda) çalışır; kendi sunucu odamız yoktur.
• Yedek: Veritabanının günlük otomatik yedeği 98 gün saklanır. Süper yöneticiler panelden koleksiyon bazlı bir JSON yedeği de indirebilir (koleksiyon başına sınırlı; dosya deposu dahil değil).
• İzleme: Hatalar Sentry ile izlenir; uygulama sunucusunun sağlık ucuna 5 dakikada bir istek gönderilir ve sonuç günlüğe yazılır.
• Veri ihlali: Kişisel veri ihlali için yazılı bir müdahale adımları belgesi ve süper yönetici panelinde ihlal kayıtları vardır (Veri İhlali Müdahale Politikası).
• Afet anı araçları (kullanıcılar için): Platformda afet ve acil durum duyuruları, internet kesildiğinde uyarı veren acil durum sayfası ve iOS'ta afet telsizi gibi araçlar bulunur. Bunlar kullanıcıların kriz anı aracıdır; hangel'in kendi iş sürekliliği planının yerine geçmez.

6. Henüz yapmadıklarımız ve hedeflerimiz

• Yazılı ve onaylı bir iş sürekliliği planı yok; kritik hizmetler için kurtarma süresi (RTO) ve kabul edilebilir veri kaybı (RPO) tanımlanmadı.
• Yedekten geri yükleme testi kayıtlı olarak yapılmadı; anlık geri dönüş (PITR) kapalı; veritabanı silme koruması kapalı.
• Dosya deposundaki dosyalar (fotoğraf, belge) için ayrı bir yedek kurulumu belgelenmedi.
• Kilit kişi bağımlılığı (küçük ekip) için yedek yetkili ve erişim devri planı yok.
• Kesinti anında kullanıcıları bilgilendiren bir durum sayfası yok.
• Kriz iletişimi için hazır metin ve sözcü belirlenmedi.

7. Bildirim kanalı

Kesinti ya da olası güvenlik olayı bildirimi: info@hangel.org. Kişisel veri ihlali şüphesi: kvkk@hangel.org.

8. Gözden geçirme

Yılda en az bir kez ve her önemli kesinti ya da olaydan sonra.

9. İlgili belgeler

Risk Yönetimi Politikası · Veri İhlali Müdahale Politikası · Bilgi Güvenliği Politikası · Medya ve Basın Politikası · Mevcut "ISO 22301 Durum ve Yol Haritası Beyanı" ve "Felaket Kurtarma ve Yedekleme Testleri Beyanı"