Защита персональных данных

Основные принципы обработки персональных данных:

Обработка в соответствии с законом и принципом добросовестности

Наша компания при обработке персональных данных действует в соответствии с принципами, установленными законодательными актами, а также правилом общей доверительности и добросовестности.

Быть правильным и при необходимости актуальным

Принимаются необходимые меры для того, чтобы персональные данные, обрабатываемые компанией, были точными и актуальными, а также предоставляются уведомления и даются необходимые возможности владельцам данных для обеспечения того, чтобы обрабатываемые данные отражали реальное положение дел.

Обработка для конкретных, ясных и законных целей

Наша компания ясно и точно определяет законную и правомерную цель обработки персональных данных. Наша компания обрабатывает персональные данные в связи с предоставляемой услугой и только в объеме, необходимом для этих целей. Цель обработки персональных данных нашей компанией устанавливается до начала деятельности по обработке персональных данных.

Быть связанными с целью обработки, ограниченными и соразмерными

Данные, собираемые компанией, обрабатываются в соответствии с KVKK и применимыми другими нормативными актами, в соответствии с категориями данных и для целей, для которых они были определены, только в объеме, необходимом для достижения этих целей, и избегается обработка персональных данных, которые не нужны.

Сохранение на срок, предусмотренный соответствующим законодательством или необходимый для целей, для которых они были обработаны

Персональные данные, обрабатываемые компанией, хранятся только в течение периода, предусмотренного применимым законодательством или необходимого для целей обработки. В этом контексте компания соблюдает срок, предусмотренный соответствующим законодательством для хранения данных; если такого срока нет, данные хранятся только в течение периода, необходимого для целей их обработки. Компания не хранит данные на основании возможного будущего использования.

• В рамках мер физической безопасности (двери входа и выхода, офисные комнаты, зоны приёма продукции, охрана складов и использование удостоверений персонала и т.д.) все сотрудники обязаны соблюдать установленные правила.
• Защита от вирусов и атакующих возлагается на Ответственного за информационные технологии. Ответственный сообщает высшему руководству о необходимом оборудовании и программном обеспечении для защиты от вирусов и атакующих и предпринимает необходимые меры. Эти меры включают минимальные требования, установленные Министерством здравоохранения, содержащие аппаратные и программные средства, такие как антивирусное программное обеспечение и межсетевые экраны. Обновление этого программного обеспечения находится в ведении Ответственного за систему управления информацией. Когда приходит время обновления, он уведомляет высшее руководство и выполняет обновления.

Проведение операций по обработке персональных данных в соответствии с KVKK

KVKK регулирует условия обработки персональных данных, и Компания обрабатывает персональные данные в соответствии с указанными ниже условиями.

За исключением случаев, указанных в Законе, Компания обрабатывает персональные данные только с целью получения явного согласия субъектов данных. В случаях, указанных в Законе, персональные данные могут обрабатываться даже без явного согласия субъекта данных.

• Явное предусмотрение в законах,
• Необходимость в целях защиты собственной или чужой жизни либо физической неприкосновенности человека, который из-за фактической невозможности не может дать согласие или чьё согласие не признается юридически действительным,
• Необходимость обработки персональных данных сторон договора при условии, что это напрямую связано с заключением или исполнением договора.
• Для выполнения юридической обязанности оператора данных это является обязательным,
• Оглашается самим субъектом данных,
• Необходимость обработки данных для установления, использования или защиты права,
• Обработка данных является необходимой для законных интересов ответственного за данные, при условии, что она не наносит ущерб основным правам и свободам субъекта данных.
• Компания проявляет особую чувствительность при обработке персональных данных особой категории, которые считаются более критически важными с точки зрения защиты прав субъектов данных. В этом контексте такие данные не обрабатываются без явного согласия субъектов данных при условии принятия достаточных мер, определенных Отделом управления качеством. Однако персональные данные особой категории, не относящиеся к сведениям о здоровье и сексуальной жизни, могут обрабатываться без явного согласия субъекта данных в случаях, предусмотренных законами.

Данные, относящиеся к здоровью и сексуальной жизни, могут обрабатываться без явного согласия при условии принятия достаточных мер и наличии перечисленных ниже оснований:

• Охрана общественного здоровья,
• Профилактическая медицина,
• Медицинская диагностика,
• Осуществление услуг по лечению и уходу,
• Планирование и управление медицинскими услугами и их финансированием.

Разъяснение деятельности по обработке персональных данных, осуществляемой компанией законным образом, и систем, принятых для защиты персональных данных, направлено на обеспечение прозрачности путем информирования лиц, персональные данные которых обрабатываются компанией, включая наших клиентов, потенциальных клиентов, сотрудников, соискателей, представителей компании, посетителей, сотрудников и представителей организаций, с которыми мы сотрудничаем, а также третьих лиц, чьи персональные данные обрабатываются.

• В медицинском центре в соответствии с BY.YD.002 «Политикой учреждения в области системы управления информацией» создана структура домена, и все компьютеры работают в состоянии «вход в домен». Компьютеры, не подключенные к домену, отключаются от локальной сети, обмен информацией между устройствами в локальной сети не осуществляется.
• За исключением официальных документов, программ и учебных материалов, обмен файлами через компьютеры не разрешается
• Доступ в интернет и использование электронной почты контролируются через устройство межсетевого экрана, находящееся в медицинском центре.
• Всем уполномоченным сотрудникам, начинающим работу в медицинском центре, создается корпоративный адрес электронной почты.
• Электронная почта и пароли передаются соответствующему персоналу во время обучения.
• Пользователь признает, что все выраженные им в ходе электронной переписки высказывания принадлежат ему. Пользователь несет ответственность за отправку сообщений, которые могут быть уголовно наказуемыми; угрожающими, незаконными, оскорбительными, содержащими бранные слова или клевету, а также противоречащими морали.
• Пользователь не может размещать в своей учетной записи материалы и документы, составляющие юридическое преступление, и не может использовать приложения, наносящие вред личным владельцам учетных записей.
• Нельзя использовать сервер другой системы или учетную запись другого пользователя для отправки сообщений без разрешения соответствующего лица.
• Пользователь не может использовать свою учетную запись для коммерческих и прибыльных целей. Он не может рассылать массовую электронную почту (СПАМ) с рекламной, промоционной, информационной целью и т.д. множеству пользователей.
• Пользователь несет юридическую ответственность за права публикации любой информации, находящейся в его учетной записи.

Просвещение и информирование субъекта персональных данных

Наша компания, в соответствии со статьей 10 Закона о защите персональных данных (KVK), информирует субъектов персональных данных при получении их данных. В этом контексте компания информирует о целях обработки персональных данных, о том, кому и с какой целью могут быть переданы обработанные персональные данные, о методах и правовых основаниях сбора персональных данных, а также о правах субъекта персональных данных.

В статье 20 Конституции установлено, что каждый имеет право быть информированным о своих персональных данных. В этом контексте в статье 11 Закона о персональных данных среди прав субъекта персональных данных указано право на «запрос информации». Наша компания в рамках этого, в случае запроса субъекта персональных данных о предоставлении информации, осуществляет необходимое информирование в соответствии со статьей 20 Конституции и статьей 11 Закона о персональных данных.

Цели обработки персональных данных

Ваши данные о здоровье, а также специальные категории персональных данных и персональные данные могут обрабатываться Компанией в ограниченном и соразмерном объёме в связи с целями, указанными ниже, включая, но не ограничиваясь ими;

• Ваши имя, фамилия, номер удостоверения личности T.C., временный номер удостоверения личности T.C., номер паспорта, место и дата рождения, семейное положение, пол, номер страховки или медицинского протокола, а также другие идентифицирующие вас данные.
• Ваш адрес, номер телефона, адрес электронной почты
• Ваши медицинские данные, полученные в процессе оказания медицинских услуг диагностического, терапевтического и уходового характера, включая, но не ограничиваясь результатами тестов, лабораторными и визуализирующими исследованиями, данными осмотра, информацией о рецептах, а также данные о здоровье и сексуальной жизни,
• Ваш номер IBAN, информация о кредитной карте,
• Во время вашего визита в медицинский центр будут записаны видео и аудиоданные через систему видеонаблюдения с замкнутым контуром.
• Если вы связываетесь с отделом приёма/информации, будут сохранены записи ваших голосовых разговоров,
• Ваши данные, касающиеся частного медицинского страхования, в целях финансирования и планирования медицинских услуг

Наша компания обрабатывает персональные данные только в целях и на условиях, указанных в статье 5, пункте 2 и статье 6, пункте 3 Закона № 6698 о защите персональных данных.

Эти цели и условия;

• Явное предусмотрение в законодательствах осуществления Компанией соответствующей деятельности по обработке ваших персональных данных.
• Обработка ваших персональных данных нашей Компанией необходима непосредственно и прямо в связи с заключением или исполнением договора,
• Обработка ваших персональных данных необходима для того, чтобы наша Компания могла выполнить свои юридические обязательства,
• При условии, что ваши персональные данные были раскрыты вами; обработка их нашей Компанией на ограниченной для целей раскрытия основе,
• Обработка ваших персональных данных нашей Компанией необходима для установления, использования или защиты прав нашей Компании, ваших или третьих лиц,
• При условии ненанесения ущерба вашим основным правам и свободам, Компании необходимо осуществлять обработку персональных данных в рамках своих законных интересов.
• Обработка персональных данных нашей компанией является необходимой для защиты жизни или телесной неприкосновенности владельца персональных данных или другого лица, и в этом случае владелец персональных данных не может дать согласие по объективным причинам или юридическим ограничениям.
• Обработка специально идентифицируемых персональных данных, кроме здоровья и сексуальной жизни владельца персональных данных, предусмотренная законом
• Обработка специальных категорий персональных данных субъекта персональных данных, касающихся его здоровья и сексуальной жизни, осуществляется лицами, обязующимися сохранять тайну, или уполномоченными организациями и учреждениями в целях охраны общественного здоровья, профилактической медицины, медицинской диагностики, лечения и оказания медицинской помощи, а также планирования и управления услугами здравоохранения и их финансированием.

При вышеуказанных условиях; наша компания может обрабатывать личные данные, в том числе, но не ограничиваясь, для следующих целей:

• Охрана общественного здоровья, профилактическая медицина, проведение медицинской диагностики, лечения и ухода,
• С целью планирования и управления медицинскими услугами и их финансированием
• Подтверждение вашей личности
• В случае записи на прием вы можете быть уведомлены о приёме.
• Подтверждать ваши отношения с учреждениями, имеющими соглашение с медицинским центром.
• Соблюдение юридических и регулирующих требований
• Отделы обслуживания пациентов, финансовые службы и маркетинг обеспечивают финансирование ваших медицинских услуг, покрытие расходов на обследования, диагностику и лечение,
• В соответствии с соответствующим законодательством, Министерство здравоохранения и другие государственные учреждения и организации могут предоставлять запрашиваемую информацию.
• Предоставление любой информации, запрашиваемой частными страховыми компаниями в рамках финансирования медицинских услуг
• Анализ вашего использования медицинских услуг с целью улучшения предоставляемых нами услуг
• Для осуществления коммерческой деятельности компании соответствующие подразделения выполняют необходимые работы и управляют связанными бизнес-процессами;
• Планирование и выполнение деятельности по обеспечению деловой активности и непрерывности бизнеса,
• Отслеживание финансовой и/или бухгалтерской деятельности,
• Предоставление информации уполномоченным организациям в соответствии с законодательством,
• Планирование и осуществление корпоративных коммуникационных мероприятий,
• Обеспечение реализации кадровой политики нашей компании;
• Обеспечение юридической и коммерческой безопасности нашей компании и лиц, находящихся в деловых отношениях с нашей компанией;
• Проведение мероприятий по оценке удовлетворенности для наших текущих клиентов, организация и управление мероприятиями,
• Проведение мероприятий по охране труда и технике безопасности,
• Осуществление процессов информационной и физической безопасности
• Подтверждение информации о лицах, осуществляющих операции через наш корпоративный веб-сайт и мобильные приложения,

Удаление, уничтожение или анонимизация персональных данных

При условии соблюдения положений, содержащихся в других законах о удалении, уничтожении или обезличивании персональных данных, Компания, даже если она обрабатывала данные в соответствии с настоящим Законом и другими законодательными положениями, удаляет, уничтожает или обезличивает Персональные данные по своей инициативе или по запросу Владельца Персональных данных/Соответствующего лица в соответствии с принципами, изложенными в BY.PR.004 «Процедуре информационной безопасности и защиты персональных данных», если причины, требующие их обработки, перестают существовать.

Удаление персональных данных; процесс, при котором Персональные данные становятся для соответствующих пользователей полностью недоступными и не могут быть использованы повторно.

Удаление данных — это процесс, при котором персональные данные становятся недоступными, не восстанавливаются и не могут быть использованы повторно.

С анонимизацией данных обеспечивается их такой статус, при котором персональные данные, даже если они будут сопоставлены с другими данными, ни в коем случае не могут быть связаны с конкретным или определяемым физическим лицом.

Передача персональных данных

Ваши персональные данные, обрабатываемые в рамках указанных целей; в соответствии с основными принципами, предусмотренными в KVKK, и в рамках условий и целей обработки персональных данных, указанных в статьях 8 и 9 KVKK,

• Министерство здравоохранения и подчиненные ему подразделения
• Назначенные вами представители,
• Частные страховые компании,
• Орган социального обеспечения,
• Генеральное управление безопасности и другие правоохранительные органы,
• Главное управление по делам населения,
• Турецкий союз фармацевтов,
• Суды и любые судебные органы, центральные и другие третьи лица,
• Адвокаты,
• Лаборатории, медицинские центры, скорая помощь, медицинские устройства и учреждения здравоохранения, с которыми мы сотрудничаем для медицинской диагностики и лечения,
• Наши поставщики привлекаются в ограниченных пределах с целью предоставления услуг,

может быть разделено с.

Передача персональных данных за границу

Наша компания может передавать личные данные и специальные категории личных данных владельца личных данных третьим лицам за рубежом, принимая необходимые меры безопасности в соответствии с целями обработки личных данных, предусмотренными законом. Личные данные, обрабатываемые нашей компанией, передаются в иностранные государства, которые по заявлению Органа по защите персональных данных обладают достаточной защитой ("Иностранная страна с надлежащей защитой"), или в случае отсутствия достаточной защиты — в иностранные государства, где контролеры данных как в Турции, так и в соответствующих иностранных странах письменно гарантируют достаточную защиту и имеется разрешение Органа по защите персональных данных ("Иностранная страна, где находится контролер данных, гарантирующий надлежащую защиту"). Наша компания действует в соответствии с положениями ст. 9 Закона о защите персональных данных (KVK).

Входы в здания и объекты, деятельность по обработке персональных данных внутри них и посетители веб-сайта

• Деятельность по обработке персональных данных, проводимая компанией на входах в здания и на территории объектов, осуществляется в соответствии с Конституцией, Законом о защите персональных данных и другими соответствующими нормативными актами.
• С целью обеспечения безопасности нашей компанией осуществляется обработка персональных данных, связанная с видеонаблюдением в зданиях и на объектах компании, а также отслеживанием входа и выхода гостей.
• Путем использования камер видеонаблюдения и фиксирования входа и выхода гостей наша компания осуществляет обработку персональных данных.
• Деятельность компании по видеонаблюдению имеет цель обеспечения безопасности компании и третьих лиц, защиты этих интересов, и в этом контексте наша компания действует в соответствии с Конституцией, Законом о защите персональных данных (KVK) и соответствующими другими нормативными актами.
• На входе в здания и помещения нашей компании, а также внутри помещений осуществляется видеонаблюдение для записи образов наших посетителей.
• Наша компания в рамках деятельности по наблюдению с помощью камер безопасности преследует цели повышения качества предоставляемых услуг, обеспечения их надежности, обеспечения безопасности компании, клиентов и других лиц, а также защиты интересов клиентов относительно получаемых ими услуг.
• Наша компания осуществляет видеонаблюдение в целях безопасности в соответствии с положениями Закона о защите персональных данных (KVK). Видеонаблюдение, проводимое нашей компанией, осуществляется в соответствии с Законом о частных охранных услугах и соответствующим законодательством.
• Доступ к записям, сохранённым и хранящимся в цифровом виде, имеют только ограниченное количество сотрудников компании. Ограниченное количество лиц, имеющих доступ к записям, заявляют в обязательстве о конфиденциальности, что будут сохранять конфиденциальность данных, к которым они имеют доступ.
• Наша компания принимает необходимые технические и административные меры для обеспечения безопасности персональных данных, полученных в результате видеонаблюдения, в соответствии со статьей 12 Закона о защите персональных данных (KVK).

Кроме упомянутой выше записи с помощью камеры, наша Компания осуществляет обработку персональных данных с целью обеспечения безопасности и в целях, указанных в данной Политике, для отслеживания входа и выхода посетителей в зданиях и объектах нашей Компании.

• При получении имен и фамилий лиц, посещающих здания нашей Компании в качестве гостей, или через тексты, размещенные в Компании или предоставленные для доступа гостям иным способом, соответствующие субъектные данные информируются в этом контексте. Данные, полученные с целью отслеживания входа и выхода гостей, обрабатываются исключительно для этой цели или соответствующие личные данные записываются в систему учета данных в физической форме.
• С целью обеспечения безопасности нашей компанией и для целей, указанных в настоящей Процедуре; в течение времени пребывания посетителей, запросивших это, в зданиях и на объектах компании может предоставляться доступ в интернет. В этом случае журналы доступа в интернет регистрируются в соответствии с Законом № 5651 и нормативными актами, разработанными на его основе; эти записи обрабатываются только по запросу уполномоченных государственных органов или в рамках проверок внутри компании для выполнения соответствующих юридических обязательств.
• Доступ к зарегистрированным в рамках этой системы логам имеют только ограниченное количество сотрудников Компании. Указанные сотрудники, имеющие доступ к этим записям, используют их только по запросу уполномоченного государственного органа или в ходе проверочных процедур и делятся ими с лицами, обладающими юридическим правом доступа. Ограниченное количество лиц, имеющих доступ к записям, заявляет о сохранении конфиденциальности данных, к которым они получили доступ, путем подписания декларации о конфиденциальности.
• Посетителям веб-сайта предоставляется информация через политику использования файлов cookie.

Категории персональных данных

• Идентификационные данные (имя и фамилия, имя матери и отца, девичья фамилия матери, дата рождения, место рождения, семейное положение, серия и номер паспорта, идентификационный номер гражданина и т.д.)
• Контактная информация (номер адреса, адрес электронной почты, контактный адрес, зарегистрированный электронный почтовый адрес (KEP), номер телефона и т.д.)
• Местоположение (данные о текущем местонахождении)
• Личные данные (сведения о зарплате, дисциплинарном расследовании, записи о приеме и увольнении, сведения о декларации имущества, резюме, отчеты о оценке производительности и т. д.)
• Юридическое действие (информация в переписке с судебными органами, информация в деле и т.д.)
• Операция с клиентом (информация в записях call-центра, счета, векселя, чеки, информация на кассовых квитанциях, информация о заказах, информация о запросах и т.д.)
• Физическая безопасность помещений (информация о входе и выходе сотрудников и посетителей, записи камер и т.д.)
• Безопасность операций (информация об IP-адресах, данные о посещениях сайта, информация о паролях и ключах и подобное),
• Управление рисками (информация, собираемая для управления коммерческими, техническими, административными рисками и т.д.)
• Финансы (информация о балансе, информация о финансовых результатах, информация о кредитах и рисках, информация о собственности и др.)
• Профессиональный опыт (информация о дипломе, посещённых курсах, информация о профессиональном обучении, сертификаты, информация о выписках оценок и т.д.)
• Маркетинг (данные о покупке, опросы, данные файлов cookie, информация, полученная в ходе кампаний)
• Визуальные и аудиозаписи (такие как визуальные и аудиозаписи)
• Раса и этническое происхождение (информация о расе и этническом происхождении)
• Информация о политических взглядах (информация, указывающая на политические взгляды, информация о членстве в политической партии и т.д.)
• Философские убеждения, религия, конфессия и другие верования (информация о религиозной принадлежности, информация о философских убеждениях, информация о принадлежности к конфессии, информация о других верованиях и т.д.)
• Одежда и внешний вид (информация о одежде и внешнем виде)
• Членство в ассоциации (например, информация о членстве в ассоциации)
• Членство в фонде (информация о членстве в фонде и подобное)
• Членство в профсоюзе (например, информация о членстве в профсоюзе)
• Медицинская информация (информация о состоянии инвалидности, группа крови, личная медицинская информация, информация об используемых устройствах и протезах)
• Сексуальная жизнь (информация о сексуальной жизни и т.д.)
• Наказание и меры безопасности (информация о наказании, информация о мерах безопасности и т.д.)
• Биометрические данные (информация о ладони, отпечатки пальцев, данные сканирования сетчатки, данные распознавания лица и т.д.)
• Генетические данные (такие как генетические данные)
• Другие сведения (например, тип данных, определяемый пользователем)

Группы субъектов данных

• Кандидат на должность сотрудника
• Сотрудник
• Подопытный
• Лицо, о котором идет речь в новости
• Акционер/Партнер
• Потенциальный покупатель продукта или услуги
• Кандидат на экзамен
• Стажёр
• Сотрудник поставщика
• Уполномоченный поставщика
• Лицо, получившее продукт или услугу
• Опекун / законный представитель / представитель
• Посетитель
• Другое

Технические и административные меры по обработке и защите персональных данных

Компания принимает все необходимые технические и административные меры для обеспечения соответствующего уровня безопасности, необходимого для защиты персональных данных. Меры, предусмотренные в статье 12 Закона о защите персональных данных (KVKK), следующие:

• Предотвращение незаконной обработки персональных данных,
• Предотвращение незаконного доступа к персональным данным,
• Обеспечение сохранности персональных данных

В качестве Оператора данных Компания инициировала необходимый процесс для применения следующих технических и административных мер для улучшения процесса соответствия ЗОЗД.

• Матрица полномочий
• Контроль доступа
• Журналы доступа
• Управление учетной записью пользователя
• Практика сетевой безопасности
• Безопасность Шифрование Взлом
• Маскирование данных журналов
• Программное обеспечение для предотвращения потери данных
• Резервное копирование, межсетевые экраны
• Актуальные антивирусные системы
• Управление ключами удаления, уничтожения или обезличивания
• Подготовка реестра обработки персональных данных
• Корпоративные Политики (Доступ, Информационная Безопасность, Использование, Хранение и Уничтожение и др.) Договоры (Ответственный за данные - Ответственный за данные, Ответственный за данные - Обрабатывающий данные)
• Декларации о конфиденциальности
• Периодические и/или случайные проверки внутри учреждения
• Анализ рисков
• Трудовой договор, Положение о дисциплине (добавление положений в соответствии с законом), Корпоративные коммуникации (управление кризисными ситуациями, процесс информирования комитета и соответствующего лица, управление репутацией и др.),
• Образовательные и просветительские мероприятия (Информационная безопасность и Закон) уведомление в Реестр ответственных за обработку данных (VERBİS)

Права субъекта персональных данных, указанные в статье 11 Закона о защите персональных данных (KVK)

Как субъекты персональных данных, если вы направите свои запросы относительно своих прав в нашу Компанию через способы, указанные в Настоящем Тексте Разъяснения о Защите Персональных Данных, наша Компания в зависимости от характера запроса завершит его бесплатно в течение не более 30 (тридцати) дней. Однако, если Советом по защите персональных данных будет предусмотрена плата, взимается плата по тарифу, установленному нашей Компанией.

В этом контексте обладатели персональных данных;

• Узнать, обрабатываются ли персональные данные
• Запрос информации о том, были ли обработаны персональные данные,
• Узнавание цели обработки персональных данных и того, используются ли они в соответствии с этой целью,
• Знать третьих лиц, которым личные данные передаются внутри страны или за её пределами,
• При неполной или неправильной обработке персональных данных требование их исправления и уведомление о произведенной операции третьих лиц, которым были переданы персональные данные,
• Несмотря на то, что обработка осуществляется в соответствии с Законом о защите персональных данных (KVK) и соответствующими положениями других законов, в случае прекращения оснований для обработки персональных данных, требовать их удаления или уничтожения, а также уведомлять третьих лиц, которым были переданы персональные данные, о проведённых действиях,
• Возражение против возникновения неблагоприятного результата для лица путем анализа обрабатываемых данных исключительно с помощью автоматических систем,
• В случае, если вследствие незаконной обработки персональных данных возникла ущерб, лицо имеет право требовать его возмещения.

Как субъект данных, вы должны направлять свои требования к правам нашей Компании в письменной форме. В этом контексте, для обеспечения надлежащего и быстрого рассмотрения ваших заявлений, подаваемых в соответствии со статьей 11 Закона о защите личных данных (KVK), мы рекомендуем использовать документ «Форма запроса информации о субъекте данных», размещённый на нашем сайте в разделе защиты личных данных, а также предоставить необходимые документы и информацию, подтверждающие вашу личность, направив их лично или отправив заказным письмом с уведомлением о вручении. Кроме того, форму запроса информации о субъекте данных вы можете отправить нам как онлайн-пользователь (с ранее зарегистрированного в нашей системе электронного адреса) через .............................com.tr.

Выявление

Персонал учреждения сообщает о случаях потери или неожидочного появления файлов, проблемах в работе антивирусного агента, непроизвольно работающих программах или открывшихся окнах, доступе неавторизованного персонала к критическим информационно-обрабатывающим объектам, о доступности конфиденциальных файлов для внешнего вмешательства, о несоблюдении написанных процедур и других подозрительных ситуациях.

Оценка и отчетность

Когда инциденты нарушения информационной безопасности сообщаются в Отдел управления качеством с помощью İO.FR.001 «Формы уведомления о нежелательном инциденте», Отдел управления качеством оценивает инцидент и, если принимает решение о нарушении, информирует руководство через отчет.

В отчете хотя бы должны быть следующие разделы;

• Собранные доказательства.
• Тип доказательства.
• Место хранения доказательств.
• Дата и время доказательства.
• Если в отношении инцидента начата корректирующая деятельность, то форма корректирующих действий
• Дата и время выявления нарушения.

При отчетности о инцидентах информационной безопасности следует обращать внимание на следующие моменты:

• Сведения о физической безопасности и доступе в помещения.
• Неэффективный контроль безопасности.
• Нарушение конфиденциальности, целостности и доступности информации.
• Человеческие ошибки.
• Неконтролируемые изменения программного или аппаратного обеспечения.
• Неисправности.
• Контроль доступа.
• Несоответствие политикам и процедурам.
• Уязвимости, обнаруженные программным обеспечением системы безопасности

Записи, открытые по вышеупомянутым темам, оцениваются на собраниях по оценке управления качеством. Случаи нарушений измеряются в рамках оценки рисков.

Механизм оценки следующий:

• При оценке случаев нарушений учитываются количество случаев и их влияние.
• Данные о случаях нарушений используются как измерение в оценке рисков.
• Значение воздействия обсуждается на совещаниях по информационной безопасности и отражается в значениях вероятности риска в соответствии с количеством записей и их воздействием.
• В случае увеличения количества записей в конце года на 7–10% пользователям дополнительно предоставляются обучающие мероприятия по повышению осведомленности.
• В случае повышения числа записей в конце года на 11–30% назначается дополнительное собрание для пересмотра процедур.
• В случае увеличения количества записей в конце года на 31% и более принимаются решения о проведении обучений по повышению осведомленности, обновлении процедур, инвестициях и структурных изменениях.

Вмешательство

• Никакие процедуры закрытия не выполняются для уязвимостей, которые могут уничтожить или повредить доказательства.
• Все выявленные случаи с помощью проверок или на основании заявленных ситуаций и собранных доказательств подвергаются исправлению изъяна, ставшего причиной события, прежде чем предпринимать другие действия.
• При необходимости вмешательства применяется BY.PR.001 Процедура обеспечения непрерывности деятельности.

Принятие мер и получение опыта

Необходимые меры принимаются для предотвращения повторного возникновения выявленных и задокументированных инцидентов нарушения информационной безопасности. Все произошедшие инциденты нарушения информационной безопасности анализируются с целью извлечения опыта, и полученные знания фиксируются. Изучение опыта направлено на то, чтобы любой инцидент нарушения не повторялся или, в случае его повторного возникновения, проблема была решена в более короткие сроки.

Для предотвращения инцидента нарушения безопасности можно применить любые из следующих действий:

• Созданные записи проверяются и необходимая информация заносится для нахождения решений.
• Для инцидентов, возникших из-за неправильных действий, обязательно создаются письменные процедуры.
• События, возникающие в результате процедур, пересматриваются и корректируются на основе процедур.
• Проверяется, есть ли запись о рисках для произошедшего инцидента информационной безопасности; если есть, риск оценивается заново, если нет — создается запись о риске для последующей оценки.
• Проблемы, связанные с доступом, проверяются повторно, также контролируются другие аналогичные права доступа.
• В случаях инцидентов, связанных с программным обеспечением и приложениями, проверяются обновления, и инцидент закрывается с помощью методов устранения уязвимости, обновления или создания патча.
• Принятые меры против проблем, возникающих из-за физического оборудования, применяются и к другому схожему оборудованию.
• Для событий, вызванных вредоносным кодом, определяется источник проблемы и оценивается достаточность программного обеспечения безопасности. Найденные меры обязательно применяются ко всем системам.

Регистрация и сбор доказательств

• На этапе записи и сбора доказательств в первую очередь проверяется, что целостность записей, на основании которых можно установить событие и ответственного, не нарушена.
• В качестве доказательства используются только записи, целостность которых сохранена.
• Доказательства, собранные по инцидентам нарушения информационной безопасности, хранятся в течение 3 лет.
• В случаях обнаружения инцидента нарушения информационной безопасности, при наличии, обязательно сохраняются записи с камер, записи доступа, контрольные записи, записи, ведемые системным программным обеспечением безопасности, учет расходов на решение проблем, а также записи, которые могут понадобиться для оценки инцидентов нарушения информационной безопасности и определения частоты, ущерба и предельных расходов будущих инцидентов.

Улучшение,

• Для сотрудников проводится обучение по повышению осведомленности в области информационной безопасности и защиты персональных данных.
• Пароли, используемые в системе управления информацией, соответствуют политикам Министерства по паролям.
• С ответственными за систему управления информацией и пользователями заключается соглашение о конфиденциальности.
• Проводится оценка рисков по вопросам физических угроз системе управления информацией, проблемам с программным обеспечением и аппаратной частью, информационной безопасности, конфиденциальности информации, защите персональных данных, а также ошибкам пользователей.
• В случае нарушений информационной безопасности проводятся корректирующие мероприятия и оценка ситуации, вносятся улучшения, после чего высшее руководство и сотрудники информируются.