Alibaba Cloud, iş sistemlerini ve verilerini barındırmak için bulut çözümlerini benimseyen müşteriler için risk değerlendirmesinin önemini kabul eder. İyi tanımlanmış bir risk değerlendirmesi süreci, potansiyel güvenlik risklerinin belirlenmesini ve kabul edilebilir bir eşik içinde kontrol edilmesini sağlar. Bu bölüm, müşterilerin Alibaba Cloud güvenlik çerçevesi aracılığıyla risk değerlendirmelerini etkili bir şekilde yürütmelerine yardımcı olacak rehberlik sunar.

Alibaba Cloud, seçilen bulut hizmeti türüne göre Alibaba Cloud ile müşteriler arasındaki güvenlik sorumluluklarının değiştiği paylaşılan sorumluluk modelini takip eder:

Hizmet Olarak Altyapı (IaaS)

● Alibaba Cloud Sorumlulukları: Fiziksel veri merkezlerinin güvenliğini, ağ altyapısını, bulut platformu güvenliğini ve küresel düzenlemelere uyumluluğu sağlamak.
● Müşteri Sorumlulukları: Bulutta barındırılan kendi oluşturdukları uygulamaları, iş yüklerini, iş ve kullanıcı verilerini güvence altına almak. Sürekli güvenlik operasyonları yürütmek.

Hizmet Olarak Platform (PaaS)

● Alibaba Cloud Sorumlulukları: IaaS sorumluluklarına ek olarak sanal makine güvenliğinin sağlanması, uygulama güvenliği için ortak sorumluluk ve üçüncü taraf güvenlik çözümlerinin entegrasyonu.
● Müşteri Sorumlulukları: Uygulama kodunun, verilerin, bulut hesabı yönetiminin ve erişim denetimi yapılandırmalarının korunması. Bulut uygulaması geliştirmede güvenlik en iyi uygulamalarının hayata geçirilmesi.

Hizmet Olarak Yazılım (SaaS)

● Alibaba Cloud Sorumlulukları: Uygulama güvenliğini, bulutta barındırılan hizmet güvenliğini ve ağ erişim politikalarını sağlamak.
● Müşteri Sorumlulukları: Hesap kimlik bilgilerini, kullanıcı erişim politikalarını ve veri güvenliği yapılandırmalarını güvence altına almak.

Güvenlik risklerini etkin bir şekilde yönetmek için müşterilerin şunları yapması gerekir:

1. IaaS, PaaS veya SaaS seçerken güvenlik sorumluluklarının dağılımını anlamak.

2. Risk azaltma stratejilerini geliştirmek için Alibaba Cloud'un güvenlik yeteneklerinden yararlanmak.

3. En iyi uygulamalar ve uyumluluk gereksinimleriyle uyumluluğu sağlayarak güvenliği göz önünde bulunduran bir bulut mimarisi tasarlamak.

Alibaba Cloud, müşterilerin güvenli bulut ortamları oluşturmasına yardımcı olmak için kapsamlı bir güvenlik araçları ve hizmetleri paketi sunar. Müşteriler, bulut güvenlik duruşlarını güçlendirmek için bu güvenlik özelliklerini proaktif olarak yapılandırmalı ve kullanmalıdır.

Alibaba Cloud, uluslararası, bölgesel ve sektörel güvenlik standartlarına uyumu sağlamak için sürekli bir uyumluluk programı yürütür. Güvenlik ve uyumluluk sertifikalarımız şunları içerir:

● ISO 27001 (Bilgi Güvenliği Yönetimi)
● SOC 1/SOC 2/SOC 3 Raporları
● Diğer küresel ve sektöre özel güvenlik tasdikleri

Uyumluluk Raporlarına Erişim

● Müşteriler, bir gizlilik sözleşmesi imzaladıktan sonra Alibaba Cloud Güven Merkezi'nden güvenlik uyumluluğu raporlarını indirebilir.
● Bağımsız dış denetçiler tarafından düzenlenen bu raporlar, Alibaba Cloud'un güvenlik etkinliğini ve kontrol mekanizmalarını değerlendirir.
● Müşteriler bu denetim raporlarını inceleyerek Alibaba Cloud'un güvenlik taahhütlerini doğrulayabilir ve kendi iç risk değerlendirmesi çerçeveleriyle uyumu sağlayabilir.

Alibaba Cloud, işletmemizin güvenli operasyonunu ve sürdürülebilir gelişimini sağlamak üzere tasarlanmış kapsamlı bir risk yönetimi çerçevesi işletir. Stratejik risk tanımlama, değerlendirme ve azaltma süreçlerini entegre ederek, düzenleyici standartlara uyumu korurken potansiyel tehditleri proaktif bir şekilde yönetme kapasitemizi artırıyoruz. Risk yönetişim çerçevemiz uluslararası en iyi uygulamalarla uyumludur; iş sürekliliğini, düzenleyici uyumluluğu ve operasyonel mükemmelliği garanti eder.

Alibaba Cloud'un risk yönetimi çerçevesi, kuruluşumuz genelindeki riskleri belirlemek, değerlendirmek, azaltmak ve izlemek için bütüncül ve yapılandırılmış bir yaklaşım benimser. Tüm iş birimlerinin güvenli ve dayanıklı bir risk ortamında faaliyet göstermesini sağlamak için proaktif risk yönetişimine önem veriyoruz.

Risk yönetimi yaklaşımımızın temel yönleri şunlardır:
● Risk yönetimi süreçlerinin ve metodolojilerinin iyileştirilmesi
● Etkili risk tanımlama, değerlendirme ve yönetişim modelleri
● Olgun acil durum müdahale mekanizmaları

● Kapsamlılık ve Tutarlılık: İyi yapılandırılmış ve kapsayıcı bir risk yönetimi yaklaşımı sağlamak için çerçevemiz, birleşik bir risk yönetimi dili kullanarak tüm Alibaba Cloud çalışanları için geçerlidir. Bu, tüm iş birimlerinin riskleri sistematik olarak yönetmesini ve günlük operasyonlarda güçlü bir risk farkındalığı kültürü oluşturmasını sağlar.

● Kategorize Edilmiş ve Katmanlı Yönetim: Riskler dinamik olarak kategorize edilir ve katmanlandırılır; sorumlu personele net hesap verebilirlik atanır.

● Çeşitlendirilmiş Yönetişim: Risk yönetimi gereksinimlerine ve iş gerçeklerine dayanarak, proaktif risk tahmini, bilimsel karar alma ve etkili yönetim sağlamak için hedefe yönelik stratejiler ve önlemler formüle ediyoruz.

Alibaba Cloud, potansiyel tehditlerin zamanında tespit edilmesi, değerlendirilmesi ve azaltılması için organize ve yapılandırılmış bir risk değerlendirmesi modeli izler. Metodolojimiz şunları içerir:

● Risk Tanımlama: Potansiyel riskleri izlemek ve tespit etmek için otomatik sistemlerden, iç denetimlerden ve dış bilgi kaynaklarından yararlanıyoruz.
● Risk Değerlendirmesi: Riskler; iş operasyonları, düzenleyici uyumluluk, güvenlik, finansal istikrar ve müşteri güvenliği üzerindeki potansiyel etkilerine göre değerlendirilir.
● Risk Yönetişimi: Riskler, hedefe yönelik azaltma stratejilerine olanak tanımak üzere olasılık ve ciddiyetlerine göre önceliklendirilir.

● Olay Müdahalesi: Beklenmedik bir güvenlik olayı durumunda Alibaba Cloud, sınıflandırma ve kademeli yanıt yaklaşımı izler. Olayın niteliğine, tehdit seviyesine ve potansiyel etkisine bağlı olarak, tek bir ekip içinde veya birden fazla ekip arasında uzmanlardan oluşan acil müdahale ekipleri derhal kurulur. Yaklaşımımız erken uyarı ve müdahale, gerçek zamanlı değerlendirme ve hafifletme ile olay sonrası inceleme ve yönetişimi kapsar. Tüm bu adımlar, Alibaba Cloud platformu ve müşterilerimizin iş operasyonları üzerindeki etkiyi en aza indirmeyi amaçlar.

● Acil Durum Tatbikatları: Alibaba Cloud, normal operasyonlar sırasında farklı ülke ve bölgelerin uyumluluk gereksinimlerine göre acil durum tatbikatları gerçekleştirir. Bu tatbikatlar; uyumluluğu sağlamak, müdahale kapasitesini artırmak ve olay yönetimi deneyimini biriktirmek amacıyla ilgili sorumlu ekiplerin görevlere aşinalığını, müdahale hızını ve koordinasyon verimliliğini değerlendirir.

Alibaba Cloud, sunucu, ağ, uygulama ve bulut ürünleri dahil olmak üzere birçok boyutu kapsayan günlük operasyonlarında sıkı günlük yönetimi uygular ve yetkisiz faaliyetlerin ile anormal davranışların ayrıntılı olarak izlenip tespit edilmesini sağlar. Bu bölüm, güvenlik duruşumuzu sürekli olarak geliştirmek amacıyla denetim günlüğü kaydı dağıtma konusundaki kapsamlı yaklaşımımızı açıklamaktadır.

Alibaba Cloud, sunucular, uygulamalar, ağ cihazları ve güvenlik sistemleri gibi çeşitli kaynaklardan gelen farklı günlük türleri aracılığıyla bulut ortamının bütünsel bir görünümünü elde etmek için merkezi bir günlük yönetimi stratejisi uygular. Bu strateji hem güvenliği hem de operasyonel verimliliği artırır. Alibaba Cloud O&M mühendisleri, üretim sistemi üzerinde yalnızca güvenlik ana bilgisayarları aracılığıyla ilgili bakım işlemlerini gerçekleştirebilir. Tüm işlem süreci günlüklere kaydedilir. Toplanan bu günlükler daha sonra güvenli bir şekilde tüm günlük verilerinin depolanması ve yönetilmesi için tek nokta görevi gören Merkezi Günlük Yönetim Platformu'na iletilir.

Günlük analizi, Alibaba Cloud'un merkezi günlük yönetim stratejisinin temelidir. Hassas faaliyetleri izlemek ve şüpheli davranışları tespit etmek için Merkezi Günlük Yönetim Platformu içinde denetim ve izleme kuralları tanımlanmıştır. Bu süreç, kalıpları, anormallikleri ve potansiyel güvenlik tehditlerini belirlemek amacıyla makine öğrenimi algoritmaları dahil gelişmiş analizlerin kullanılmasını içerir. Tespit edilen risklerin sınırlandırılması ve kontrol altında tutulması için gerçek zamanlı izleme ve uyarı mekanizmaları kurulmuştur. Bu mekanizmalar güvenlik izleme platformunda uyarıları tetikler ve güvenlik ekibinin inceleyip takip etmesi için bir talep oluşturur.

Alibaba Cloud'un dahili merkezi günlük yönetimi stratejisi, günlük verilerinin bütünlük, gizlilik ve erişilebilirlik açısından korunmasını sağlamada kritik bir rol oynar. Bu hedefe aşağıdakiler de dahil olmak üzere güçlü güvenlik önlemleri ve en iyi uygulamaların bir kombinasyonu ile ulaşılır:

● Erişim Kısıtlamaları: Alibaba Cloud'un Merkezi Günlük Yönetim Platformu yalnızca günlük toplama ve görüntüleme arayüzleri sunar; değiştirme ve silme arayüzleri devre dışıdır. Günlüklere erişim, erişim türüne göre onay gerektiren yetkili personelle sınırlandırılmıştır. Bu sayede merkezi depodaki günlük verileri yetkisiz erişime, değişikliğe ve silmeye karşı korunur.

● Güvenli Depolama: Alibaba Cloud, günlük verilerinin korumalı ve kontrollü bir ortamda saklanmasını sağlar. Yetkisiz erişimi, kurcalamayı veya veri kaybını önlemek için sıkı güvenlik önlemleri uygulanır. Günlük verilerinin bütünlüğünü ve kullanılabilirliğini korumak amacıyla sağlam depolama mekanizmaları kullanılır. Sürekli izleme ve koruma uygulamaları, saklanan günlüklerin güvenliğini artırarak operasyonel ve uyumluluk gereksinimleriyle uyumlu kalmasını sağlar.

● Günlük Saklama: Alibaba Cloud, düzenleyici gereksinimler, yasal yükümlülükler ve iş ihtiyaçlarına göre günlük saklama sürelerini belirler. Genellikle çoğu denetim günlüğü, güvenlik, operasyonel ve uyumluluk hedefleriyle uyumu sağlamak adına en az altı ay boyunca saklanır.

● Günlük Yedekleme: Alibaba Cloud, insan hatası riskini azaltmak ve günlüklerin tutarlı ve güvenli bir şekilde yedeklenmesini sağlamak için otomatik yedekleme süreçleri uygular.

Alibaba Cloud, sistemleri ve verileri korumak için yalnızca yetkili personelin belirli, kısıtlı kaynaklara erişmesini sağlayan güçlü bir erişim yönetimi çerçevesi uygular. Yaklaşımımız; gerekli erişim seviyelerinin belirlenmesini, en az ayrıcalık ilkesinin uygulanmasını, sürekli izlemeyi ve erişim haklarının düzenli olarak gözden geçirilip denetlenmesini içerir. Bu bölüm, sıkı güvenlik standartlarını sürdürme ve müşterilerimizin güvenini koruma taahhüdümüzü vurgulayarak Alibaba Cloud'un kapsamlı erişim yönetimi uygulamalarını detaylandırmaktadır.

Alibaba Cloud'un titiz erişim yönetimi çerçevesi, en az ayrıcalık ve gerektiği kadar bilme ilkelerine bağlı kalarak sıfır güven mimarimizin temelini oluşturur. Müşteri verileri üzerinde katı erişim denetimi uygularız; çalışanların bu bilgilere yalnızca müşterinin açık izniyle erişebilmesini sağlarız. Müşteriler verilerinin tam kontrolünü, yönetimini ve mülkiyetini elinde tutar. Alibaba Cloud, müşteri verilerini pazarlama, reklamcılık veya yetkisiz herhangi bir amaç için asla kullanmaz ya da bu verilerden bilgi türetmez. Temel erişim yönetimi uygulamaları şunlardır:

● Mantıksal İzolasyon: Alibaba Cloud, kullanıcıları varsayılan olarak yalıtılmış ortamlara yerleştiren ve birbirlerinin verilerine yetkisiz erişimi veya müdahaleyi önleyen güçlü bir kiracı izolasyon mimarisi uygulamıştır.

● Rol Tabanlı Erişim Denetimi (RBAC): Çalışanların yalnızca iş sorumlulukları için gerekli kaynaklara erişmesini sağlamak amacıyla RBAC kullanıyoruz. Bu kapsamda, çalışanın organizasyondaki pozisyonuna ve rolüne göre sınırlı bir dizi varsayılan izin atanır.

● Otomatik Hesap Yönetimi: Merkezi bir izin yönetim sistemi; erişim taleplerini, onaylarını ve erişimin otomatik olarak sağlanmasını veya kaldırılmasını yönetir. Bu sistem, çalışanlar işten ayrıldığında veya pozisyon değiştirdiğinde erişim izinlerini ayarlamak için İnsan Kaynakları sistemiyle senkronize olur.

● Görev Ayrılığı: Alibaba Cloud, erişim onay sürecinde talep edenler, onaylayanlar ve yönetim sistemi yöneticileri için farklı roller atayarak görev ayrılığını uygular. Bu sayede yalnızca objektif onayların ardından uygun izinlerin verilmesi sağlanır.

● Çok Faktörlü Kimlik Doğrulama (MFA): Ek bir güvenlik katmanı eklemek için canlı sistemlere ve kaynaklarına erişimde MFA zorunludur. Parola ele geçirilse bile yetkisiz erişim engellenir.

● Erişim İncelemesi ve İzleme: Erişim izleme sistemindeki tanımlanmış denetim ve izleme kuralları, hesap kullanımını ve erişim izinlerini analiz eder, olası kötüye kullanımları tespit eder ve güvenlik ekibini herhangi bir sapma veya istisna hakkında bilgilendirmek için otomatik uyarılar oluşturur. Güvenlik ekibi uyarıları araştırmaktan ve uygun önlemi almaktan sorumludur.

● Güvenlik Eğitimi ve Farkındalık: Güvenli erişim yönetimi ile kimlik avı girişimlerini veya diğer sosyal mühendislik saldırılarını tanıma gibi güvenlik en iyi uygulamaları konusunda tüm çalışanlara düzenli eğitim verilir. Bu sürekli eğitim, şirket içinde güçlü bir güvenlik kültürü oluşturur.

Alibaba Cloud, üretim sistemlerine yönelik tüm erişimin güvenli, denetlenebilir ve siber güvenlikteki en iyi uygulamalara uygun olmasını sağlamak için kapsamlı erişim denetimi önlemleri uygular. Varsayılan olarak, bu sistemleri işletmekten sorumlu çalışanların müşteri içeriğine erişimi yoktur. Müşteriler, yönetim konsolunun talep hizmeti aracılığıyla Alibaba Cloud kaynaklarına dış ve geçici erişim izni verme konusunda tam kontrole sahiptir; burada erişim, müşteri tarafından yapılandırılan yetkilendirme ayarlarıyla sıkı bir şekilde yönetilir.

Farklı erişim seviyeleriyle ilişkili potansiyel risklere dayanarak Alibaba Cloud, erişim izinlerini normal kullanıcılar, uygulama yöneticileri ve sistem yöneticileri olmak üzere üç kategoriye ayırır. Fiziksel sunuculara, ağ cihazlarına veya sanal makinelere erişmesi gereken çalışanlar, belirli bir talep süresi içeren bir başvuru yapmalı ve yetkili personelden onay almalıdır. Erişim süresinin dolması veya görevin tamamlanmasının ardından, kalıcı erişim haklarını önlemek için izinler derhal iptal edilir.

Canlı sistemlere erişim kesin bir şekilde kontrol edilir ve izlenir. Çalışanlar yalnızca iki faktörlü kimlik doğrulama (2FA) gerektiren güvenlik ana bilgisayarları aracılığıyla giriş yapabilir. Güvenlik ana bilgisayarları üzerinden canlı sistemlerde gerçekleştirilen tüm faaliyetler gerçek zamanlı olarak kaydedilir. Bu kayıtlar, analiz ve denetim amacıyla merkezi bir günlük yönetim platformuna aktarılır.

Alibaba Cloud, katı veri koruma gereksinimlerini karşılamada veri şifrelemenin kritik önemini tam olarak kabul eder. Şifreleme çözümlerimiz, en son kriptografik teknikler aracılığıyla hassas verilerin gizliliğini, kimlik doğruluğunu ve bütünlüğünü sağlar. Bu bölüm, müşteri içeriğini yaşam döngüsü boyunca korumak için tasarlanmış kapsamlı uçtan uca şifreleme mekanizmalarımızı özetlemektedir. Bu mekanizmalar aktarımda şifreleme, depolamada şifreleme ve donanım tabanlı şifreli bilişim hizmetlerini içerir. Veri güvenliği ve gizliliğindeki en iyi uygulamalarla uyumlu olmak için teknolojilerimizi sürekli olarak geliştirmeye kararlıyız.

Aktarımda şifreleme, veriler ağlar arasında hareket ederken onları korur ve hassas bilgilerin göndericiden alıcıya kadar gizli, eksiksiz ve özgün kalmasını sağlar. Alibaba Cloud, aktarımdaki verileri korumak için aşağıdakiler de dahil olmak üzere birden fazla mekanizma sunar:

● Yönetim Konsolu Üzerinden Güvenli Veri Aktarımı: Alibaba Cloud Yönetim Konsolu, müşteriler konsol üzerinden işlem gerçekleştirirken veri aktarımları için HTTPS şifreleme kullanır. Bu sayede etkileşimlerin güvenli ve gizli kalması sağlanır.

● Güvenli API Erişim Noktaları: Alibaba Cloud ürünleri, hassas bilgilerin güvenli aktarımına yönelik müşteri gereksinimlerini karşılamak için 256 bit'e kadar anahtar uzunluğunda şifrelemeyi destekleyen HTTPS tabanlı API erişim noktaları sunar.

● Güvenli Şifreleme Algoritmaları ve Protokolleri: Alibaba Cloud; AES-256 gibi yüksek güvenlikli şifreleme algoritmalarının yanı sıra IPsec ve TLS gibi kriptografik protokoller sağlar. Şifrelenmiş verilerin ele geçirilmesini önlemek için bunlar sıkı kimlik doğrulama ve yetkilendirme mekanizmalarıyla birleştirilir.

● Güvenli Uçtan Uca Şifreleme: Alibaba Cloud ağ geçidi ürünleri, veri aktarımı sırasında uçtan uca şifreleme sunar. Örneğin müşteriler, ihtiyaçlarına göre IPsec-VPN ve SSL-VPN bağlantıları kurmak için VPN Gateway ürünlerimizi kullanabilir. Bu şifreli kanallar üzerinden iletilen tüm verilerin gizliliği, doğruluğu ve değiştirilmemişliği garanti edilir.

Alibaba Cloud, hizmetleri genelinde depolamadaki veriler için kapsamlı şifreleme çözümleri sunar ve müşterilerin gelişmiş kriptografik teknikler kullanarak saklanan verileri şifrelemesine olanak tanır.

● Zarf Şifreleme Mekanizması: Bu mekanizma en az iki katmandan oluşan bir anahtar hiyerarşisine dayanır:

 ○Müşteri Ana Anahtarı (CMK): Veri Şifreleme Anahtarlarını (DEK) şifrelemek veya şifresini çözmek için kullanılır.
 ○Veri Şifreleme Anahtarı (DEK): İş verilerini şifrelemek veya şifresini çözmek için kullanılır.

● Kendi Anahtarınızı Getirin (BYOK): Alibaba Cloud, kullanıcıların yönettiği şifreleme anahtarlarını destekleyen ve müşterilerin BYOK özelliğinin bir parçası olarak kendi CMK'larını yüklemelerine veya Key Management Service (KMS) içinde kendi CMK'larını oluşturmalarına olanak tanıyan birden fazla ürün sunar.

● Temel Koruma Önlemleri: Alibaba Cloud, NIST 800-57 önerilerine uygun olan KMS altyapısını kullanarak endüstri standardı anahtar koruma önlemleri uygular ve sertifikalı kriptografik algoritmalar ile Donanım Güvenlik Modülleri (HSM) kullanır.

 ○Çin anakarası dışında kullanılan HSM'ler FIPS 140-2 Seviye 3 sertifikalıdır.
 ○KMS, müşterilerin CMK'lar için otomatik döndürmeyi yapılandırmasına olanak tanıyan otomatik bir anahtar döndürme özelliği içerir.

● Tasarımda Şifreleme: Veri şifreleme yetenekleri Elastic Block Storage (EBS), Object Storage Service (OSS), Relational Database Service (RDS), MaxCompute ve File Storage NAS dahil olmak üzere çeşitli Alibaba Cloud ürünlerine entegre edilmiştir. Örneğin OSS, hem sunucu tarafı hem de istemci tarafı şifrelemeyi destekler:

 ○Sunucu tarafı şifreleme: OSS, verileri şifrelemek için hizmet tarafından yönetilen anahtarlar veya BYOK CMK'ları kullanır.
 ○İstemci tarafı şifreleme: OSS, müşterilerin yüklemeden önce verileri şifrelemek için kendi yönettikleri anahtarları veya Alibaba Cloud KMS'de oluşturulan CMK'ları kullanmasına olanak tanır.

Alibaba Cloud'un güçlü ağ güvenliği stratejisi, güven oluşturmanın ve hizmet güvenilirliğini sağlamanın temelini oluşturur. Ağ güvenliği risklerini etkili bir şekilde azaltmak için ağ mimarisini güçlendirmeye, sıkı ağ erişim denetimlerini uygulamaya ve ağ tehditlerine karşı gelişmiş tespit ve önleme mekanizmalarından yararlanmaya odaklanıyoruz. Bu bölüm, ağ ortamlarımızın güvenlik duruşunu sürekli olarak optimize etmek için tasarlanmış çok katmanlı ağ güvenliği stratejilerimizi özetlemektedir.

Alibaba Cloud, ağ güvenliğini başlangıç mimarisi aşamasından itibaren stratejik olarak tasarlayarak sistemin sağlam, ölçeklenebilir ve güvenli olmasını sağlar. Çevre savunmasından dahili bölümlendirmeye kadar farklı katmanları koruyan çok katmanlı bir ağ koruma yaklaşımı uygularız. Bu katmanlı yaklaşım, kritik kaynakları izole eder ve saldırganların yatay hareket riskini azaltarak genel ağ güvenliğini artırır.

● Ağ Bölümleme: Alibaba Cloud, ağı üretim ve üretim dışı ortamlara bölerek güvenliği ve kontrolü artırmak için ağ yalıtım önlemleri uygular. Bu ayrım, kötü niyetli aktörlerin ağ içinde serbestçe hareket etmesini engeller. Ayrıca, dış hizmet sağlayan bulut hizmeti ağlarını, temel bulut hizmeti işlevlerini destekleyen fiziksel ağlardan ayırmak için üretim ağını daha da bölümlere ayırıyoruz.

● Sıkı Ağ Erişim Denetimleri: Yapılandırılan Ağ ACL'leri aracılığıyla bulut hizmeti ağından fiziksel ağa erişim varsayılan olarak devre dışı bırakılmıştır. Alibaba Cloud ayrıca yetkisiz cihazların dahili ağa bağlanmasını ve fiziksel sunucuların dış cihazlara bağlantı başlatmasını önlemek için sıkı ağ kontrol önlemleri uygular. Ek olarak, merkezi yönetim ve kontrol sağlamak amacıyla üretim ağının sınırlarına güvenlik ana bilgisayarları dağıtarak üretim ağlarındaki tüm erişim faaliyetlerinin denetlenmesini ve kaydedilmesini sağlıyoruz.

Alibaba Cloud, ağ yalıtımı ve titiz ağ erişim denetimlerine ek olarak, kötü amaçlı ağ aktivitelerine karşı korunmak amacıyla ağ saldırısı tespit ve önleme mekanizmaları dağıtmaktadır.

● Gerçek Zamanlı Ağ Algılama ve Önleme: Alibaba Cloud, şüpheli veya yetkisiz faaliyet belirtilerine karşı trafiği otomatik olarak izlemek amacıyla ağ sınırlarında ve dahili segmentlerde gelişmiş ağ izinsiz giriş algılama sistemleri (IDS) kullanır. Bu sistemler, kötü amaçlı ağ davranışları konusunda güvenlik ekibimizi uyarır. Ayrıca, kötü amaçlı trafiği engellemek ve tehditlere karşı proaktif koruma sağlamak için izinsiz giriş önleme sistemi (IPS) kuralları uygulanır.

● Hızlı Müdahale ve İnceleme: Alibaba Cloud, izinsiz giriş algılama ve önleme mekanizmalarını bir güvenlik olayı izleme platformuyla entegre eder. Bu entegrasyon, şüpheli ağ aktivitelerinin hızla analiz edilmesini ve izinsiz girişlere hızlı müdahale edilmesini sağlar. Böylece saldırganların fırsat penceresi en aza indirilir.

● Sürekli Güvenlik İyileştirmeleri: Her güvenlik olayından elde edilen tehdit istihbaratı içgörüleri sayesinde, Alibaba Cloud'un güvenlik ekibi ağ güvenliğini artırmak ve ortaya çıkan tehditlerin önünde kalmak için algılama ve önleme kurallarını sürekli olarak günceller.

Alibaba Cloud, sağlayıcılarla ve üçüncü taraf çalışanlarla etkileşimleri düzenlemek için kapsamlı bir Sağlayıcı Yönetimi programı uygular. Bu sayede sağlayıcı yönetimi yaşam döngüsü boyunca güvenlik sağlanır. Bu bölüm, sağlayıcı yönetiminde veri güvenliğini ve uyumluluğu optimize etme konusundaki uzun vadeli taahhüdümüzü yansıtan; sağlayıcı ilişkisi öncesinde, sırasında ve sonrasında uyguladığımız güçlü kontrolleri özetler.

Sağlayıcı katılım aşamasında Alibaba Cloud, her sağlayıcının yüksek güvenlik standartlarımızı karşılamasını sağlamak için bilgi güvenliği ve veri korumaya odaklanan bir dizi sıkı değerlendirme ve güvenlik kontrol önlemi uygular:

● Sağlayıcı Durum Tespiti: Kişisel verileri işleyen sağlayıcılar için Alibaba Cloud'un güvenlik ve uyumluluk ekibi kapsamlı bir durum tespiti yürütür. Bu değerlendirme, sağlayıcının veri güvenliği ve uyumluluk kapasitesini inceler. Bilgi güvenliği yönetim çerçeveleri, veri şifreleme politikaları, erişim denetimi mekanizmaları, olay müdahalesi planları ve diğer ilgili uygulamalar kapsama alınır. Amaç, sağlayıcıların tanımlanan standartlarımıza uygun olarak kişisel verileri etkin bir şekilde korumasını sağlamaktır.

● Sözleşmeye Bağlı Güvenlik Gereksinimleri: İşe başlamadan önce tüm sağlayıcılar haklarını ve yükümlülüklerini, hizmet kapsamını, gizlilik maddelerini, güvenlik ve uyumluluk gereksinimlerini ve hizmet seviyelerini belirleyen bir sözleşme imzalamalıdır. Bu sözleşme Alibaba Cloud ile sağlayıcıları arasındaki ilişkiyi düzenler. Beklentilerin ve sorumlulukların net olmasını sağlar.

Alibaba Cloud, sağlayıcıların iş ortaklığı süresince katı bilgi güvenliği ve veri koruma politikalarına sürekli uymasını sağlamak için proaktif bir izleme mekanizması oluşturmuştur:

● Üçüncü Taraf Personel Yönetimi: Alibaba Cloud sağlayıcı çalışanları, bilgi güvenliği farkındalığına yönelik zorunlu işe alım eğitimini başarıyla tamamlayıp veri güvenliği testini geçene kadar dahili ağa erişim hakkı elde edemez. Sağlayıcı çalışanlarının erişim davranışları, yetkisiz veri erişimini önlemek amacıyla Erişim Yönetim Sistemimiz kapsamında yönetilir ve kontrol edilir.

● Sürekli Uyumluluk İzleme: Alibaba Cloud, ortaklık boyunca bilgi güvenliği ve veri koruma standartlarımıza uyumu sağlamak için sağlayıcıları düzenli olarak izler. Örneğin, veri merkezi hizmet sağlayıcıları; erişim günlükleri, büyük olaylar, bakım faaliyetlerinin özetleri ve veri merkezlerinin güvenli ve istikrarlı çalışmasını sağlamak için izleme sistemlerinden alınan temel veriler gibi çeşitli hususları kapsayan aylık raporları incelemeye sunmalıdır.

● Alt İşlemci Listesi: Alibaba Cloud, müşteriler adına Üye İçeriğini işlemek üzere alt işlemci olarak hareket etme yetkisi verilen sağlayıcı sayısını sınırlar. Bu alt işlemciler iki kategoriye ayrılır:

  ○ Alibaba Cloud Ürünlerini/Hizmetlerini destekleyen altyapıyı sağlayan Alibaba Cloud iştirakleri.

  ○ Belirli hizmetler için özel işleme faaliyetlerini gerçekleştirmek üzere Alibaba Cloud ile sözleşme yapan üçüncü taraf sağlayıcılar. Müşteriler, Alibaba Cloud hesaplarına giriş yaparak Alibaba Cloud Alt İşlemci Listesine erişebilir.

Alibaba Cloud, müşterilere ve iş ortaklarına yüksek düzeyde güvenilir, verimli ve güvenli ağ ile işlem gücü sağlamak için küresel bir veri merkezi portföyü işletmektedir. Bu veri merkezleri, Alibaba Cloud'un 200'den fazla ürün ve hizmetinin omurgasını oluşturmaktadır. Altyapının ve müşteri verilerinin korunmasını sağlamak amacıyla Alibaba Cloud, doğal afetlerden kötü amaçlı fiziksel izinsiz girişlere kadar uzanan tehditlere karşı ilk savunma hattı olarak görev yapan güçlü bir fiziksel ve çevresel güvenlik programı oluşturmuştur. Bu makale, Alibaba Cloud'un veri merkezlerini güvence altına almak için benimsediği çok katmanlı yaklaşımı ve güvenlik önlemlerini geliştirme konusundaki sürekli taahhüdünü özetlemektedir.

Konum Seçimi

Alibaba Cloud, bir veri merkezi kurmadan önce potansiyel riskleri belirlemek ve hafifletmek amacıyla titiz konum seçimi değerlendirmeleri yapar. Lokasyonlar; deprem, sel ve aşırı hava olayları gibi doğal afetlere maruz kalmayı en aza indirecek şekilde stratejik olarak seçilir. Kullanılabilirlik alanlarımız, dayanıklılığı artırmak için birbirinden bağımsız ve coğrafi olarak ayrılmış şekilde tasarlanmıştır.

Güç Yedekliliği

7/24 kesintisiz hizmeti sağlamak için Alibaba Cloud veri merkezleri çift ana besleme kaynağı ve yedekli güç sistemleriyle donatılmıştır. Birincil ve ikincil güç kaynakları eşit kapasite sağlar. Bir güç arızası durumunda, veri merkezi operasyonlarını uzun süre devam ettirmek ve sürekli hizmet kullanılabilirliğini sağlamak üzere yedekli batarya paketleri ve dizel jeneratörler devreye girer.

Güvenli Alanlar ve Bölümlendirme

Alibaba Cloud; sunucu odaları, ofis alanları ve teslimat alanları dahil olmak üzere veri merkezi tesislerini belirlenmiş alanlara ayırarak sıkı fiziksel güvenlik kontrolleri uygular. Her alan hassasiyet seviyelerine göre bölümlendirilir ve güvenlik önlemleri buna uygun olarak artırılır.

Çalışan Erişim Denetimi

Alibaba Cloud veri merkezlerine yalnızca yetkili çalışanlar girebilir. Erişim izinleri geçerli bir iş gerekçesiyle talep edilmelidir ve en az ayrıcalık ilkesine göre verilir. Tüm erişim hakları süre sınırlıdır ve yetkili personelin onayını gerektirir. Çalışanlar yalnızca belirlenen alanlara girebilir ve erişim izinleri süresi dolduğunda iptal edilir.

Üçüncü Taraf Erişimi

Müteahhitler ve ziyaretçiler, iş gerekçelerini belirterek önceden erişim talebi göndermelidir. Erişimleri onaylanan alanlarla sınırlıdır ve en az ayrıcalık ilkesine göre verilir. Ziyaretçilere her zaman yetkili Alibaba Cloud personeli eşlik etmelidir. Erişim izinleri, onaylanan sürenin sonunda otomatik olarak iptal edilir.

Güvenlik İzleme

Alibaba Cloud veri merkezleri; girişler, ekipman teslim alanları ve kritik erişim alanları dahil olmak üzere tüm kilit giriş noktalarında video gözetim sistemleriyle donatılmıştır. Güvenlik kamera kayıtları, yasal ve uyumluluk gereksinimlerine göre saklanır. Ayrıca giriş faaliyetlerini izlemek ve anormallikleri tespit etmek için erişim günlükleri düzenli olarak incelenir ve güvenli bir şekilde depolanır.

Varlık Yönetimi

Alibaba Cloud, depolama cihazlarının alım ve dağıtımdan bakım, transfer, yeniden kullanım veya hizmetten çıkarmaya kadar tüm yaşam döngüsünü denetlemek için bir güvenlik yönetim sistemi kurmuştur. Her cihaz bir varlık yönetim sistemine kaydedilir ve bir sahibe atanır. Katı erişim denetimleri ve sürekli izleme, tüm donanım varlıklarının güvenliğini sağlar. Uyumluluğu doğrulamak için düzenli bakım ve denetimler gerçekleştirilir.

Depolama Ortamı Güvenliği

Depolama ortamları hizmet dışı bırakıldığında, Alibaba Cloud güvenli veri temizliği için NIST SP 800-88 standardını takip eder. Saklanan veriler kalıcı olarak silindiğinden emin olmak için birden fazla kez silinir. Gereksiz depolama ortamları parçalanarak fiziksel olarak imha edilir. Tüm temizleme ve imha süreci belgelenir ve denetim amacıyla saklanır.

İklim Kontrolü

Alibaba Cloud veri merkezleri, optimum sıcaklık ve nem seviyelerini koruyan hassas klima sistemleriyle donatılmıştır. Bu koşullar elektronik olarak izlenir ve herhangi bir sapma otomatik bir alarmı tetikleyerek anında düzeltici işlem başlatır.

Yangın Söndürme

Alibaba Cloud veri merkezlerine termal ve duman sensörlerine sahip gelişmiş yangın algılama sistemleri kurulmuştur. Bu sensörler hem tavanlara hem de zeminlere yerleştirilmiştir ve etkinleştirildiklerinde sesli ve görsel alarmları tetiklerler. Her veri merkezi, entegre gaz bazlı yangın söndürme sistemi ve yangın söndürücülerle donatılmıştır. Hızlı müdahale yeteneklerini sağlamak amacıyla veri merkezi personeli için düzenli yangın güvenliği eğitimleri ve tatbikatları gerçekleştirilir.

Sel Önleme

Alibaba Cloud veri merkezleri suya dayanıklı malzemeler kullanılarak inşa edilmiştir ve ulusal su direnci standartlarına uygundur. Binalarda nem ve sızıntı açısından düzenli kontroller yapılır ve tespit edilen sorunlar anında giderilir. Zeminler, su baskınlarını önlemek için drenaj sistemleri ve izolasyon katmanlarıyla tasarlanmıştır. Su borularının yakınına stratejik olarak yerleştirilen su algılama sensörleri, sızıntı tespit edildiğinde alarmları tetikleyerek anında müdahale edilmesini sağlar.

Tatbikatlar ve Denetimler

Alibaba Cloud veri merkezleri, elektrik kesintileri gibi olası fiziksel ve çevresel güvenlik olaylarını simüle ederek düzenli güvenlik tatbikatları ve denetimleri gerçekleştirir. Bu çalışmaların sonuçları belgelenir ve elde edilen deneyimler güvenlik iyileştirmelerine dahil edilir.

Gerçek Zamanlı İzleme ve Analiz

Saha personeli, Alibaba Cloud veri merkezi operasyonlarını sürekli izlemek için vardiyalı çalışır. Gerçek zamanlı izleme sistemleri; sıcaklık ve nem gibi çevresel koşulların yanı sıra sunucuların performansını da takip eder. Herhangi bir parametre standart aralığın dışına çıkarsa otomatik uyarılar tetiklenir ve saha personeli tarafından anında çözüm sağlanır.

Üçüncü Taraf Denetimleri ve Uyumluluk

Alibaba Cloud veri merkezleri, ISO 27001 (Bilgi Güvenliği Yönetimi) ve ISO 22301 (İş Sürekliliği Yönetimi) dahil olmak üzere sektöre yön veren güvenlik standartlarına uyar. Bağımsız üçüncü taraf denetçiler bu standartlara uyumu düzenli olarak değerlendirir. Daha fazla ayrıntı için Alibaba Cloud Güven Merkezi ve Uyumluluk Deposunu ziyaret edin.

Alibaba Cloud, yüksek nitelikli olay izleme ve müdahale ekibi tarafından yönetilen titiz süreçleri entegre eden üst düzey bir bilgi güvenliği sistemi işletir. Alibaba Cloud Olay Müdahale Ekibi, güvenlik olaylarını yönetmeye ve hafifletmeye adanmış uzman bir birimdir. Bu ekip, hizmet kalitesini aksatabilecek veya güvenlik tehditleri oluşturabilecek planlanmamış olaylara hızla yanıt vererek müşteri verilerinin güvenliğini ve bütünlüğünü korumada kritik bir rol oynar.

Olayın niteliğine bağlı olarak yanıt ekibi aşağıdaki alanlardan uzmanları içerebilir:

● Olay Müdahale Komutanı

● Olay Koordinatörleri

● Güvenlik Uzmanları

● Ar-Ge & Mühendislik Uzmanları

● Hukuk & Uyumluluk Uzmanları

● Halkla İlişkiler & Devlet İşleri Uzmanları

● Müşteri Destek Uzmanları

Alibaba Cloud, güvenlik olaylarını gerçek zamanlı olarak tespit etmek ve yanıtlamak için sürekli izleme ve gelişmiş tehdit algılama sistemleri kullanır. Olay müdahalesi çerçevesi, olayların hızlı ve etkili bir şekilde ele alınmasını sağlayarak hizmet kalitesi ve müşteri deneyimi üzerindeki etkilerini en aza indirmek üzere tasarlanmıştır. Alibaba Cloud'un olay müdahalesindeki temel amacı, bulut ortamının sürekliliğini, kullanılabilirliğini ve güvenliğini sağlamak için güvenlik olaylarını verimli bir şekilde yönetmek ve azaltmaktır.

Alibaba Cloud, güvenlik olaylarına etkili bir şekilde yanıt vermek için beş adımlı bir yaklaşım izler:

1. Tespit ve Tanımlama – Olası güvenlik olayları; Saldırı Tespit Sistemleri (IDS), Güvenlik Bilgileri ve Olay Yönetimi (SIEM) ve anomali tespit algoritmaları dahil olmak üzere gelişmiş izleme araçları kullanılarak tanımlanır. Yetkisiz erişim girişimleri ve anormal veri transferleri gibi şüpheli faaliyetler sürekli olarak izlenir. Çalışanlar ve kullanıcılar düzensizlikleri bildirmeye teşvik edilir.

2. Önceliklendirme & Müdahale – Olay Müdahale Ekibi, olayın ciddiyetini ve etkisini değerlendirir. Olaylar aciliyete göre sınıflandırılır ve daha fazla hasarı önlemek için etkilenen sistemlerin yalıtılması ve ele geçirilmiş hesapların devre dışı bırakılması gibi acil sınırlama önlemleri uygulanır.

3. İnceleme ve Analiz – Güvenlik uzmanları, olayın nedenini ve kapsamını belirlemek için Kök Neden Analizi (RCA) gerçekleştirir. Veri bütünlüğü ve iş operasyonları üzerindeki etkiyi anlamak amacıyla günlükler, sistem görüntüleri ve ağ trafiği üzerinde adli analiz yapılır.

4. Hafifletme & Çözüm – Güvenlik yamaları uygulanarak, kötü amaçlı yazılımlar kaldırılarak ve etkilenen sistemler doğrulanmış yedeklerden geri yüklenerek olay hafifletilir. Temel bulguları, alınan önlemleri ve gelecekteki iyileştirme önerilerini içeren ayrıntılı bir olay raporu oluşturulur.

5. Olay Sonrası İyileştirme – Alibaba Cloud, geçmiş olaylardan ders çıkararak güvenlik önlemlerini güçlendirir. Güvenlik politikaları güncellenir, çalışanlar siber güvenlik eğitimine tabi tutulur ve gelecekteki tehditleri önlemek için proaktif tehdit izlemesi gerçekleştirilir.

1. Tespit ve Tanımlama

Güvenlik olaylarının zamanında ve doğru bir şekilde tanımlanması, etkili olay yönetimi için çok önemlidir. Alibaba Cloud, olası güvenlik tehditlerini tespit etmek ve bildirmek için gerçek zamanlı izleme, otomatik uyarılar ve sürekli denetim kullanır.

● İzleme Araçları: Güvenlik Bilgileri ve Olay Yönetimi (SIEM) sistemleri, Saldırı Tespit Sistemleri (IDS) ve Saldırı Önleme Sistemleri (IPS) şüpheli faaliyetlerin belirlenmesine yardımcı olur.

● Anomali Tespiti: Çok sayıda başarısız oturum açma girişimi, yetkisiz veri erişimi ve beklenmeyen veri transferleri gibi olaylar için uyarılar tetiklenir.

● Günlük Toplama ve Analiz: Bulut ana bilgisayarlarından, ağlardan, uygulamalardan ve diğer altyapı bileşenlerinden gelen günlükler, güvenlik izleme algoritmaları kullanılarak toplanır ve analiz edilir.

● Olay Raporlama: Çalışanlar ve kullanıcılar, kimlik avı girişimleri veya olağandışı sistem davranışları gibi şüpheli faaliyetleri raporlamaya teşvik edilir.

2. Önceliklendirme ve Müdahale

Bir olay tespit edildiğinde Olay Müdahale Ekibi, onu potansiyel etkisine göre kategorize eder ve önceliklendirir.

● Olay Sınıflandırma: Aşağıdaki faktörlere dayalı olarak ciddiyet seviyeleri (düşük, orta, yüksek) atanır:

  ○ İhlalin nedeni ve devam edip etmediği.

  ○ Etkilenen kişi sayısı.

  ○ Ele geçirilen verinin türü.

  ○ İş operasyonları üzerindeki etkisi.

  ○ Dış yardım ihtiyacı (örn. yasal veya düzenleyici yanıt).

● Sınırlama Tedbirleri: Etkilenen sistemleri izole etmek, erişim izinlerini iptal etmek ve ele geçirilmiş hesapları devre dışı bırakmak gibi daha fazla hasarı önlemeye yönelik acil eylemler.

● Kanıtların Korunması: Sistem günlükleri, anlık görüntüler ve diğer adli veriler soruşturma için güvenli bir şekilde saklanır.

3. Soruşturma & Analiz

Alibaba Cloud Güvenlik Uzmanları, olayın nedenini, kapsamını ve etkisini anlamak için kapsamlı bir soruşturma yürütür.

● Kök Neden Analizi (RCA): Güvenlik açıklarını, saldırı vektörlerini ve istismar edilen zayıf noktaları belirler.

● Adli Analiz: Saldırgan faaliyetlerini izlemek için günlükleri, sistem görüntülerini ve ağ trafiğini inceler.

● Etki Değerlendirmesi: Tehlikeye atılan verileri, operasyonel etkiyi, potansiyel finansal kayıpları ve düzenleyici sonuçları değerlendirir.

4. Hafifletme & Çözüm

Yanıt verme ve kurtarma aşaması, olayın etkilerini hafifletmeye ve etkilenen sistemleri eski haline getirmeye odaklanır.

● Düzeltme Çalışmaları: Güvenlik yamalarını uygulayın, yapılandırmaları güncelleyin ve kötü amaçlı yazılımları kaldırın.

● Veri & Sistem Geri Yükleme: Veri bütünlüğünü sağlamak için temiz yedekleri doğrulayın ve geri yükleyin.

● Olay Belgelendirme: Aşağıdakileri kapsayan ayrıntılı bir rapor oluşturun:

  ○ Olayların zaman çizelgesi.

  ○ Alınan aksiyonlar.

  ○ Soruşturma bulguları.

  ○ Düzeltme önlemleri.

  ○ Gelecekteki iyileştirmeler için öneriler.

● Paydaş İletişimi: Yasal yükümlülüklere uygun olarak etkilenen kullanıcıları, düzenleyici kurumları ve diğer paydaşları bilgilendirin. Alibaba Cloud; e-postalar, resmi açıklamalar ve müşteri desteği aracılığıyla şeffaf iletişim sağlar.

5. Olay Sonrası İyileştirme

Alibaba Cloud, geçmiş olaylardan ders çıkararak olay müdahalesi stratejisini sürekli olarak iyileştirir.

● Güvenlik Çerçevesi İyileştirmesi: Politikalar, prosedürler ve teknik korumalar edinilen deneyimler doğrultusunda güncellenir.

● Eğitim & Farkındalık Programları: Çalışanlar siber güvenlik tehditleri ve olay müdahalesi en iyi uygulamaları hakkında sürekli eğitim alır.

● Harici Güvenlik Denetimleri: Alibaba Cloud, güvenlik değerlendirmeleri yapmak ve iyileştirme alanlarını belirlemek için üçüncü taraf uzmanlarla iş birliği yapar.

● Proaktif Tehdit İzleme: Potansiyel tehditleri büyümeden önce tespit etmek ve azaltmak için düzenli güvenlik değerlendirmeleri, sızma testleri ve anomali tespiti çalışmaları yürütülür.

Alibaba Cloud, altyapımızı korumak, en yüksek güvenlik ve hizmet güvenilirliği seviyelerini sağlamak amacıyla tasarlanmış kapsamlı bir güvenlik açığı yönetimi programı yürütmektedir. Küresel siber güvenlik stratejimizin ayrılmaz bir parçası olan bu program, sistemlerimizi ve hizmetlerimizi potansiyel olarak tehlikeye atabilecek güvenlik açıklarını tanımlamaya, değerlendirmeye ve azaltmaya odaklanır. Bu bölüm, Alibaba Cloud'un güvenlik açığı yönetimine yönelik çok katmanlı yaklaşımını ve sürekli güvenlik iyileştirmesine olan bağlılığımızı özetlemektedir.

Alibaba Cloud'un tehdit ve güvenlik açığı yönetim programı, sistem kusurlarını ve yetkisiz eylemleri tespit ederek ve zamanında düzeltme önlemleri uygulayarak altyapının ve müşteri ortamlarının güvenliğini sağlar. Güvenlik açıkları aşağıdakiler de dahil olmak üzere birden fazla kanal aracılığıyla tespit edilir ve raporlanır:

● Dahili Raporlama ve Tarama: Dahili güvenlik mekanizmalarımız otomatik güvenlik açığı taramalarını ve manuel güvenlik denetimlerini içerir. Bu süreçler, ağ bileşenlerinin, sunucuların, uygulamaların ve veritabanlarının potansiyel güvenlik açıklarına karşı kapsamlı bir şekilde incelenmesini sağlar.

● Harici Raporlama: Alibaba Güvenlik Yanıt Merkezi (ASRC), Alibaba Cloud Kitle Kaynaklı Güvenlik Testi Platformu ve üçüncü taraf tehdit istihbarat kaynakları dahil olmak üzere harici güvenlik kuruluşlarıyla iş birliği yapıyoruz. Bu kanallar, özellikle açık kaynaklı üçüncü taraf bileşenleri etkileyen Ortak Güvenlik Açıkları ve Maruziyetleri (CVE) izlememize yardımcı olur.

Tespit edilen tüm güvenlik açıkları, güvenlik açığı yönetim platformumuzda toplanır. Bu açıklar, önceden tanımlanmış güvenlik izleme algoritmalarına göre titiz bir analizden, sınıflandırmadan ve önceliklendirmeden geçirilir.

Güvenlik açıkları tespit edilip doğrulandıktan sonra ciddiyetine, potansiyel etkisine ve istismar edilebilirliğine göre önceliklendirilir. Risk değerlendirmesi ve düzeltme sürecimiz şunları içerir:

● Kritik Yamalama: Yüksek önem derecesine sahip güvenlik açıkları, güçlü yama yönetim sistemimiz aracılığıyla anlık yamalar ve yapılandırma değişiklikleri ile giderilir.

● Uzun Vadeli Azaltma Stratejileri: Mimari değişiklikler veya kod yeniden düzenlemesi gerektiren karmaşık güvenlik açıkları için kapsamlı bir çözüm sağlamak adına uzun vadeli azaltma planları uygulanır.

● Yapılandırma Yönetimi:

  ○ Güvenlik ekibi, temel sistem sıkılaştırma gereksinimlerini tanımlayan yapılandırma standartlarını korur.

  ○ Bu standartlar yıllık incelemelere ve güncellemelere tabidir.

  ○ Otomatik yapılandırma tarama araçları uyumluluğu sürekli olarak izler. Sapmaların derhal tespit edilip düzeltilmesi sağlanır.

Alibaba Cloud, risk tabanlı önceliklendirmeye dayalı olarak güvenlik açıklarını sistematik şekilde ele alarak operasyonel verimliliği korurken potansiyel güvenlik tehditlerini en aza indirir.

Alibaba Cloud'un güvenlik açığı yönetimi programı, güvenlik seviyemizi korumayı ve güçlendirmeyi amaçlayan sürekli bir süreçtir. Temel girişimler şunları içerir:

● Proaktif Tehdit İstihbaratı:

  ○ Gelişmekte olan güvenlik tehditlerinin önünde olmak için küresel tehdit istihbarat platformlarından ve harici güvenlik açığı veritabanlarından yararlanıyoruz.

● Sızma Testleri ve Güvenlik Tatbikatları:

  ○ Dahili kırmızı takımlar ve harici güvenlik uzmanları, altyapımızın güvenlik durumunu değerlendirmek için düzenli sızma testleri gerçekleştirir.

  ○ Saldırı ve savunma tatbikatları, tehdit algılama ve yanıt verme yeteneklerimizi sistematik olarak değerlendirip geliştirmektedir.

● Güvenlik Eğitimi ve Farkındalık:

  ○ Tüm personelin güvenlik tehditlerini etkin bir şekilde tanımlayabilmesi, raporlayabilmesi ve bunlara yanıt verebilmesi için sürekli çalışan eğitim programlarına yatırım yapıyoruz.

  ○ Bu güvenlik öncelikli kültür, Alibaba Cloud'un güvenlik açıklarını proaktif olarak tespit etme ve hafifletme becerisini güçlendirmektedir.

Şeffaflık ve iş birliği, Alibaba Cloud'un güvenlik açığı yönetimi stratejisinin temel bileşenleridir. Güvenliğe yönelik iş birlikçi bir yaklaşımı teşvik etmek için müşterilerimizle ve daha geniş siber güvenlik topluluğuyla aktif olarak etkileşimde bulunuyoruz:

● Güvenlik Açığı Raporlama & Hata Ödül Programları:

  ○ Alibaba Cloud, harici güvenlik araştırmacılarını güvenlik açıklarını bildirmeleri için teşvik eden ve güvenlik yeteneklerimizi dahili ekiplerin ötesine taşıyan hata ödül programları yürütmektedir.

  ○ Daha fazla bilgi şu adreste bulunabilir: Alibaba Security Response Center (ASRC).

● Şeffaf Raporlama & Müşteri İletişimi:

  ○ Tespit edilen güvenlik açıkları ve düzeltme çalışmaları hakkında müşterileri proaktif olarak bilgilendirerek güvenlik yönetiminde şeffaflık sağlıyoruz.

  ○ Yaklaşımımız güven ve iş birliğini teşvik ederek müşterilerin ortaya çıkan tehditlere karşı kendi güvenlik savunmalarını güçlendirmelerini sağlar.