Risk Yönetimi Politikası

1. Amaç

hangel'in hizmetlerini, kullanıcılarını, verilerini, mali kaynaklarını ve itibarını etkileyebilecek riskleri nasıl tanımladığımızı, değerlendirdiğimizi ve ele aldığımızı açıklar.

2. Kapsam

Uluslararası Sosyal Fayda Derneği'nin tüm faaliyetleri ve hangel platformu. Başlıca risk alanları: bilgi güvenliği ve kişisel veri, yaşamsal akışlar (acil kan talebi, afet duyuruları), mali akış (STK'lara aktarım), çocuk ve kırılgan grup güvenliği, yasal uyum, tedarikçi bağımlılığı, kilit kişi bağımlılığı ve itibar.

3. İlkeler

1. Senaryoya dayalı değerlendirme. "Hangi tehdit, hangi zayıflık üzerinden, neye, ne zarar verebilir?" sorusuyla.
2. Olasılık × etki. Riskler 1–5 olasılık ve 1–5 etki ölçeğiyle puanlanır; etki için kişisel veri, hizmet kesintisi, yasal/itibar ve mali boyutlardan en yükseği alınır.
3. Önce yaşamsal olan. Can güvenliğini, sağlık verisini ve STK'lara aktarılan parayı etkileyen riskler önceliklidir.
4. Dört seçenek. Azaltma, kaçınma (ör. gereksiz veri toplamamak), paylaşma (sözleşme, sigorta) ya da gerekçeli kabul.
5. Sahiplik. Her riskin bir sahibi ve işleme tarihi olur.

4. Roller ve sorumluluklar

• Yönetim Kurulu: Risk iştahını belirler, yüksek ve kritik riskleri kabul ya da işleme kararını verir.
• Teknik sorumlu: Bilgi güvenliği ve altyapı risklerini izler.
• Risk sahipleri: Kendi risklerinin işleme planını yürütür.

5. Uygulama: hangel'de bugün nasıl işliyor

• Yöntem taslağı: Bilgi güvenliği riskleri için ISO/IEC 27005'i rehber alan bir değerlendirme yöntemi (BGYS-03) taslak olarak hazırlandı: 1–25 puan, 1–4 düşük, 5–9 orta, 10–16 yüksek, 20–25 kritik.
• Kod ve güvenlik denetimleri: Platform kodu belirli aralıklarla denetlenir; bulgular öncelik (P0, P1…) ve iş listesiyle depoda izlenir.
• Otomatik testler: Veritabanı erişim kuralları ve kritik hesaplamalar (ör. bağış dağıtımı) otomatik testlerle korunur.
• Sürekli izleme: Hatalar Sentry ile izlenir; sağlık ucu 5 dakikada bir yoklanır.
• Olay kaydı: Kişisel veri ihlalleri süper yönetici panelindeki ihlal kayıtlarında (tarih, özet, etkilenen kişi sayısı, veri türleri, durum) tutulur.
• Yaşamsal akışlarda sınır: Acil kan modülü tıbbi teşhis ya da garanti sunmaz; yalnız bilgilendirme ve eşleştirme aracıdır.

6. Henüz yapmadıklarımız ve hedeflerimiz

• Onaylanmış bir risk kaydı (BGYS-04) yok; yöntem taslağı Yönetim Kurulu onayı bekliyor.
• Risk kabul ölçütü ve mali etki eşikleri belirlenmedi.
• Bilgi güvenliği dışındaki riskler (mali, yasal, kilit kişi, itibar) için düzenli bir değerlendirme yapılmıyor.
• Yıllık risk raporu Yönetim Kuruluna sunulmuyor.

7. Bildirim kanalı

Yeni bir risk ya da zayıflık fark eden herkes: info@hangel.org (güvenlik açığı için konu: "Güvenlik bildirimi").

8. Gözden geçirme

Yılda en az bir kez; yeni bir hizmet, tedarikçi, bulut bölgesi ya da önemli bir olaydan sonra ara değerlendirme.

9. İlgili belgeler

Kriz ve İş Sürekliliği Politikası · Bilgi Güvenliği Politikası · Uyum Yönetimi Politikası · Mevcut "Risk Yönetimi ve Kriz Müdahale Politikası" ve "Kurumsal Risk ve Uyum Komitesi Beyanı"