Bir Test Ağında Çalışıyoruz, Hiçbir Sertifika Tutmuyoruz ve İşte Gerçekte Sildiklerimiz

SOC 2, ISO 27001 ve eIDAS nitelikli statüsü 2027 yol haritası hedefidir: elde tutulmuyor, başlanmadı, sürmüyor. Genişletilmiş kara para aklamayla mücadele kapsamı ertelenmiştir, inşa edilmemiştir. Buradaki hiçbir şey hukuki tavsiye değildir.

O paragraf sayfanın kendisidir. Aşağıdaki her şey ayrıntıdır.

Neden bununla başlıyoruz

Bir güvenlik sayfası genellikle rozetlerle açılır. Bizimki açamaz, çünkü hiçbirini tutmuyoruz; ve bunu mimari şemaların altına gömen bir sayfa, gömmeyi bilerek yapıyordur.

Buradaki açık sözlülük bir çekince değil stratejinin kendisidir. Sertifika durumumuzu durum tespiti sırasında keşfeden bir alıcı iki şey öğrenir ve ikincisi bizim hakkımızdadır.

Neyi ne zaman siliyoruz

Çoğu satıcının belirsiz tarif ettiği kısım budur, o yüzden işte somut hâli.

Kimlik belgeleri yakalamadan 30 gün sonra silinir. Bunu yöneten alan, birinin hatırlaması gereken bir politika belgesiyle değil, kaydın kendisinde ayarlanır.

Oturum kayıtları yakalamadan 365 gün sonra silinir. Bilerek daha uzun, çünkü bir kayıt, bir denetçinin olaydan çok sonra inceleyebileceği bir kontrol için denetim kanıtıdır. Saklama süresi bir varsayılandan devralınmak yerine her kayıtta açıkça ayarlanır.

Ve silme gerçekten çalışıyor. Zamanlanmış bir iş, silme zamanını geçmiş kayıtları tarar, saklanan medyayı siler ve kaydı işaretler. Üretimde etkindir, her gün çalışır ve en son geçişi kuru çalışma olmayan modda başarıyla tamamlanmıştır.

Önem taşıyan cümle sonuncusudur. Kimsenin uygulamadığı bir saklama penceresi bir kontrol değil bir politikadır ve fark dışarıdan görünmez.

Neyi silmiyoruz ve silemiyoruz

Kendi kendine hesap silme yoktur ve veri sahibi için silinme uç noktası yoktur.

Bugün bizden bir hesabı silmemizi isterseniz, ürünün içinde bunu yapan bir yol yoktur. Saklama taraması belgeleri ve kayıtları kendi takviminde kaldırır; talep üzerine bir hesabı kaldırmaz.

Bu gerçek bir boşluktur ve onu yumuşatmak için bir yol haritası maddesi diye tarif etmeyeceğiz. Yükümlülükleriniz talep üzerine bir silinme yolu gerektiriyorsa, bizde yok ve bunu bir takvim sorusu olarak değil bugünkü bir olgu olarak tartmalısınız.

Kimlik bilgisi tasarımı riski neden azaltıyor

Buradaki en güçlü güvenlik özelliği bir kontrol değildir. Bir doğrulayıcının daha azını alabilmesidir.

Seçici açıklama, bir müşteriyi kontrol eden bir işletmeye belgenin kendisi yerine ihtiyaç duyduğu belirli alanların ve bir ihraççının bütün kümeyi imzaladığına dair bir kanıtın verilebilmesi demektir. Hiç iletilmemiş veri, onu hiç tutmamış sistemden sızamaz ve bu, bir sertifika kontrol listesinde görünecek kontrollerin çoğundan daha değerlidir.

Bunlar farklı özelliklerdir ve hangisini aldığınızı bilmenizi tercih ederiz.

Sertifika konumu, tarihiyle birlikte

SOC 2 Type II, ISO 27001 ve eIDAS nitelikli güven hizmeti sağlayıcısı statüsü 2027 için hedeflenmiştir.

Hiçbiri elde tutulmuyor. Hiçbiri sürmüyor. Hiçbir değerlendirme sipariş edilmedi ve akredite hiçbir kuruluş çalıştırdığımız hiçbir şeye bakmadı. 2027 rakamı, zaten var olan bir değerlendirme takvimi değil, bize karşı kullanılabilsin diye açıkça belirttiğimiz bir hedeftir.

Bunlardan herhangi birini ima eden bir rozet, mühür ya da onay işareti bir Solidus yüzeyinde görünürse, yanlıştır ve nerede olduğunun bize söylenmesini isteriz.

Bir alıcı bize ne sormalı ve cevaplarımız

"Bağımsız olarak neyiniz doğrulandı?" Hiçbir şey.

"Saklamanız nedir ve silme çalışıyor mu?" Belgeler için otuz gün, kayıtlar için üç yüz altmış beş gün; her gün çalışan ve son geçişini başarıyla tamamlamış zamanlanmış bir işle uygulanıyor.

"Bir hesabın silinmesini talep edebilir miyim?" Hayır. Bugün böyle bir yol yok.

"Bize bağlı olmayan kaç doğrulayıcı taraf kimlik bilgilerinizi kabul etti?" Sıfır. Solidus dışında hiç kimse üretimde birine dayanmadı.

Bu karar için ne anlama geliyor

Satın alma süreciniz güncel bir SOC 2 ya da ISO 27001 raporu gerektiriyorsa, bunu 2026'da karşılayamayız ve karşılayacağımız varsayımıyla bir pilot çalıştırmamalısınız.

Kaygınız müşterilerinizin verisinin ne kadarının, sonra onu korumak zorunda kalacak sistemlerde birikeceğiyse, mimari bunu kayda değer ölçüde azaltır, saklama pencereleri kısadır ve gerçekten uygulanır; yukarıdaki silinme boşluğu ise buna karşı tartılacak şeydir.