ISO 9001 — Kalite Yönetim Sistemi
Süreçlerin tanımlı, ölçülebilir ve denetlenebilir yürütülmesi.
01
Belgeler ve kapsam
Dört yönetim sistemi belgesinin PDF'i doğrudan indirilebilir. Belgelendirme kuruluşu, kapsam metni ve geçerlilik tarihi belgenin kendi üzerinde yazılıdır — bu sayfada tarihi ayrıca tekrar etmiyoruz, çünkü güncelliğini yitirmiş bir tarihin yayında kalması belgenin kendisinden daha yanıltıcı olur. Tarihi belgeden okuyun.
ISO 27001 — Bilgi Güvenliği Yönetim Sistemi
Bilgi varlıklarının sınıflandırılması, erişim kontrolü, risk yönetimi ve olay yönetimi çerçevesi.
ISO 22301 — İş Sürekliliği Yönetim Sistemi
Kesinti senaryolarının önceden tanımlanması, kurtarma planlarının tatbik edilmesi ve gözden geçirilmesi.
ISO 42001 — Yapay Zekâ Yönetim Sistemi
AI sistemlerinin yaşam döngüsü boyunca yönetişimi: amaç tanımı, risk değerlendirmesi, insan gözetimi ve izlenebilirlik.
Belge değil, uyum yükümlülüğü
KVKK bir sertifika konusu değildir; kanuni bir yükümlülüktür ve aydınlatma, saklama-imha, veri sahibi başvurusu gibi ayrı metinlerle işletilir. Bunları belge listesine karıştırmıyoruz: KVKK aydınlatma metni, saklama ve imha politikası, veri sahibi başvuru formu.
—
Sertifika Kapsam ve Geçerlilik
Her ISO sertifikasının kapsamı, geçerlilik tarihi ve doğrulanabilir belge bağlantısı.
ISO 27001
Bilgi Güvenliği Yönetimi
Kapsam
361 platform, destek süreçleri ve yönetim sistemleri
Geçerlilik
2026-03-01 — 2029-03-01
ISO 27701
Kişisel Veri Yönetimi
Kapsam
ISO 27001 kapsamına ek olarak kişisel veri işleme faaliyetleri
Geçerlilik
2026-03-01 — 2029-03-01
ISO 9001
Kalite Yönetimi
Kapsam
361 platform geliştirme, kurulum ve destek hizmetleri
Geçerlilik
2026-03-01 — 2029-03-01
ISO 20000-1
Hizmet Yönetimi
Kapsam
365/7/24 destek hizmetleri ve olay yönetimi süreçleri
Geçerlilik
2026-03-01 — 2029-03-01
02
Veri akışı: bir istek hangi kapılardan geçer
Güvenlik iddiası ancak akış görünür olduğunda denetlenebilir. Aşağıdaki sıra, kullanıcı bir soru sorduğunda ya da bir otomasyon tetiklendiğinde her seferinde aynıdır. Yerel model de bulut modeli de aynı kapılardan geçer — kapı, modele göre değişmez.
01
İstek ve kimlik
İstek, oturumu açan kullanıcının kimliği ve rolüyle birlikte gelir. Anonim bir AI çağrısı yoktur.
02
Yetki bağlamı
Rol bazlı erişim kontrolü ve satır bazlı güvenlik AI'a da uygulanır. Alanlar role göre süzülür; kullanıcının göremediği alan modele hiç iletilmez.
03
Giriş kapısı
GuardrailPipeline: PII, prompt injection ve maliyet detektörleri isteği inceler. İhlal denetim izine yazılır.
04
Model yönlendirme
İş, seçtiğiniz modele gider: makine içinde çalışan 361 Local veya izin verdiğiniz bir sağlayıcı. localOnly açıkken bulut modelleri listelenmez ve istenirse kategorik olarak reddedilir.
05
Araç çağrısı
Model bir araç çağırdığında izin politikası devreye girer. Riskli araçlarda akış insan onayına düşer; onay verilmezse işlem yapılmaz.
06
Çıkış kapısı
Yanıt aynı boru hattından geri döner: PII maskeleme ve halüsinasyon kontrolü çıkışta da uygulanabilir.
07
Denetim izi
Agent çalıştırma, araç çağrısı, veri erişimi, veri değişikliği, onay kararı, yapılandırma değişikliği, guardrail ihlali, veri dışa aktarımı ve silme — hepsi değiştirilemez olarak kaydedilir.
08
Gözlemlenebilirlik
İzler, metrikler ve loglar OpenTelemetry standardıyla toplanır; kurumun mevcut gözlemlenebilirlik yığınına bağlanabilir.
Neden önemli
Bir AI kurulumunda asıl risk modelin ne söylediği değil, neye erişebildiğidir. Yetki bağlamı 02. adımda kurulduğu için, model ne kadar yetenekli olursa olsun kullanıcının yetkisini aşan bir veriyi göremez. Sorunun ayrıntılı hâli IT Onay Paketi'nin üçüncü ve dördüncü başlığında.
03
Tenancy — yalıtım hangi katmanda
"Verileriniz izole" cümlesi tek başına bir şey söylemez; sorulması gereken, yalıtımın hangi katmanda uygulandığıdır. Paylaşımlı altyapıda çalışıldığında yalıtım tek bir yerde değil, beş ayrı katmanda birden vardır.
Depolama
Kullanım, maliyet ve yapılandırma verisi her müşteri alanının kendi dizininde tutulur. Bir alanın kaydı başka bir alandan okunamaz.
Şifreleme
Bağlantı bilgileri ve sağlayıcı anahtarları alan bazında AES-256 ile şifrelenir. Düz metin saklama yoktur.
Entegrasyon
Entegrasyon bağlantıları alan bazında yalıtılır. Her kurum yalnızca kendi tanımladığı bağlantıları görür ve kullanır; ortak bir bağlantı havuzu yoktur.
Olay dağıtımı
Kanal olaylarında alan koruması vardır: bir olay yalnızca ait olduğu alanın aboneliklerine iletilir, komşu alana taşmaz.
Kriptografik ayrım
Her kurulum kendi RSA-2048 anahtar çiftine sahiptir. Yetkilendirme o kuruluma ait imzalı manifest ile taşınır; başka bir kurulumun manifesti geçerli olmaz.
Yetkilendirme
Rol bazlı erişim kontrolü ve satır bazlı güvenlik hem kullanıcıya hem AI'a uygulanır. Yalıtım, veritabanının altında bittiği yerde değil, sorgunun kendisinde de sürer.
Yalıtım istemiyorsanız bile bir seçenek var
Paylaşımlı altyapı kurumsal politikanıza uymuyorsa tenancy tartışması baştan kapanır: yerinde veya air-gap kurulumda paylaşılan bir altyapı yoktur. Modellerin karşılaştırması Kurulum Modelleri sayfasında.
04
Şifreleme: aktarımda ve durağan
Aktarımda (in transit)
Tüm trafik TLS 1.3 ile şifrelenir. Dış sistemlere giden çağrılarda ve gelen webhook'larda imza doğrulaması uygulanır.
Durağan (at rest)
Depolanan veri AES-256 ile şifrelenir. Sağlayıcı ve bağlantı sırları ayrıca alan bazında şifrelenmiş olarak tutulur.
API anahtarları
Platformun kendi ürettiği API anahtarları özet (hash) olarak saklanır; açık değer sistemde tutulmaz. Anahtarı kaybederseniz kurtarılamaz, yenisi üretilir — bu bir eksiklik değil, saklama biçiminin doğrudan sonucudur.
Şifrelemeye hiç ihtiyaç duymayan yol
361 Local ile model makinenin içinde çalıştığında dışarıya giden bir istem, belge veya gömme (embedding) olmaz. Aktarım güvenliği tartışması, aktarım olmadığı için kapanır.
05
Anahtar ve erişim yönetimi
Anahtarın nasıl saklandığı kadar, nasıl döndürüldüğü ve kimin kullanabildiği de sorulur. Dördü birden tanımlıdır.
Rotasyon
API anahtarları döndürülebilir; rotasyon sırasında eski ve yeni anahtarın birlikte geçerli olduğu bir geçiş penceresi tanımlanır, böylece entegrasyonlar kesintiye uğramadan taşınır. Geçiş bitince eski anahtar geçersizleşir.
Kullanım kısıtı
Anahtar başına IP beyaz listesi, dakika bazlı hız sınırı ve günlük kota tanımlanabilir. Sızan bir anahtar, tanımlı ağın dışından kullanılamaz.
Sağlayıcı anahtarları
Bulut AI sağlayıcılarının anahtarları merkezden yönetilir; alan bazında şifrelenir ve kullanıcı arayüzüne düz metin olarak dönmez. Hibrit kurulumda bile bu anahtarlar istemciye inmez.
Kurulum kimliği
Her kurulumun kendi RSA-2048 anahtar çifti vardır ve yetkilendirme imzalı manifestle taşınır. Bir kurulumun lisans veya yetki manifesti başka bir kurulumda çalışmaz.
Anahtar gerektirmeyen çalışma
Yerel çalışma zamanında (gömülü llama.cpp, Ollama, LM Studio) sağlayıcı anahtarı gerekmez — yönetilecek bir sır olmadığı için sızacak bir sır da olmaz.
Kimlik doğrulama tipleri
Dış sistemlere bağlanırken altı tip desteklenir: kimlik doğrulamasız, Basic, Bearer, API anahtarı, OAuth 2.0 (üç akış) ve Digest.
06
Yedekleme, saklama ve süreklilik
Yedekleme kapsamı ile saklama süresi iki ayrı konudur: birincisi "kaybedersem geri gelir mi", ikincisi "ne kadar süre elimde kalsın". İkisi de yapılandırılabilir; varsayılanları aşağıda.
Yedekleme kapsamı
Bir kurulumun geri getirilmesi için gereken parçalar:
- iş verisi veritabanı,
- AI yapılandırma dizini (ajanlar, prompt'lar, otomasyonlar, sağlayıcı tanımları),
- bilgi tabanları ve vektör deposu,
- yerel model dosyaları (yerinde ve air-gap kurulumda ayrıca yedeklenir, çünkü yeniden indirilemez).
Saklama süreleri — varsayılanlar
Kurumunuza göre değiştirilebilir; aşağıdakiler kutudan çıkan değerlerdir:
- genel veri saklama: 90 gün,
- konuşma geçmişi: 30 gün,
- log kayıtları: 90 gün,
- süresi dolanı otomatik silme: varsayılan olarak kapalı — açılması bilinçli bir karardır.
Silme ve geri alma
Silme talebinde 30 günlük geri alma süresi işler; sürenin ardından deterministik anonimleştirme uygulanır ve kayıt kimliği geri döndürülemez biçimde ayrıştırılır. Denetim kayıtlarında ilgili alanlar maskelenir — denetim izinin kendisi silinmez.
Çalışma zamanı dayanıklılığı
Yerel model ayrı bir süreçte çalışır; modelin çökmesi platformu durdurmaz ve sürekli yeniden başlayan bir süreç sistemi meşgul etmez. Şema değişikliği yeniden başlatma gerektirmez. Bağlantı koptuğunda çevrimdışı kuyrukta istek tekilleştirme uygulanır; 24 saatlik pencerede aynı istek yeniden gönderilse bile ikinci kayıt oluşmaz.
RPO ve RTO — bu sayfada rakam yok, sebebi şu
Kurtarma noktası hedefi (RPO) ve kurtarma süresi hedefi (RTO), seçtiğiniz kurulum modeline, yedekleme sıklığınıza, donanımınıza ve veri hacminize göre değişir. Herkes için geçerli tek bir rakam yazmak, sizin kurulumunuz için yanlış bir taahhüt üretir; bu yüzden burada bir sayı yayımlamıyoruz.
Kurulum modeli ve yedekleme planı netleştiğinde RPO/RTO hedefleri POC kapsamında ölçülür ve hizmet sözleşmesinde yazılı olarak verilir. İş sürekliliği yönetim çerçevesi ISO 22301 belgesi kapsamında yürütülür.
07
Alt işleyiciler (subprocessors)
Alt işleyici sorusunun cevabı kurulum modeline göre kökten değişir. Tek bir liste vermek yerine, hangi modelde neyin geçerli olduğunu yazıyoruz.
Yerinde ve air-gap kurulumda
Alt işleyici yoktur. localOnly açıkken hiçbir istem, belge veya gömme kurum sınırını geçmez; işlenecek veri dışarıya çıkmadığı için dışarıda bir işleyen de olmaz.
Bulut ve hibrit kurulumda
Alt işleyici kümesi sizin etkinleştirdiğiniz sağlayıcı ve kanallardan oluşur. Platform 17 AI sağlayıcı ve 8 kanal ailesinde 44 adaptör destekler; ancak hangisinin açık olacağı sizin kararınızdır ve etkinleştirmediğiniz bir sağlayıcıya hiçbir veri gitmez.
Neden burada sabit bir liste yok
Genel bir alt işleyici listesi yayımlamıyoruz, çünkü liste kurulumdan kuruluma değişiyor: bir kurumda yalnızca yerel çalışma zamanı açıkken, bir başkasında iki bulut sağlayıcı ve üç kanal etkin olabiliyor. Ortalama bir liste, iki kurum için de yanlış olurdu.
Sizin kurulumunuzda etkin olan barındırma, AI sağlayıcı ve kanal alt işleyicilerinin adı, işlevi, işlediği veri türü ve veri yerleşimi sözleşme ekinde yazılı olarak verilir; bu kümede bir değişiklik olduğunda önceden bildirilir. Talep ederseniz değerlendirme aşamasında da paylaşırız — iletişim.
08
Olay (incident) bildirimi
Bir olayın fark edilebilmesi, önce kayıt altına alınmasına bağlıdır. Teknik temeli ve süreç tarafını ayrı ayrı yazıyoruz.
Tespit — teknik temel
Değiştirilemez denetim izi on olay tipini kaydeder: agent çalıştırma, araç çağrısı, sohbet mesajı, veri erişimi, veri değişikliği, onay kararı, yapılandırma değişikliği, guardrail ihlali, veri dışa aktarımı ve veri silme. Guardrail ihlalleri ayrıca sorgulanabilir. İzler ve metrikler OpenTelemetry ile toplanır.
Bildirim — süreç
Bir olayın kime, hangi kanaldan ve hangi süre içinde bildirileceği hizmet sözleşmesinde tanımlanır. Kişisel veri ihlali kapsamına giren durumlarda KVKK'nın öngördüğü bildirim yükümlülükleri ayrıca işletilir; bu yükümlülük sözleşmeye bağlı değildir.
Bu sayfada olmayan iki şey
Geçmiş olay kayıtları yayımlanmıyor. Sözleşmeli müşterilere yalnızca kendi kurulumlarını ilgilendiren olaylar yazılı olarak raporlanır; kamuya açık bir olay geçmişi sayfamız yok.
"Bugüne kadar hiç olay yaşanmadı" gibi bir cümle de yok. Doğrulanabilir olmadığı sürece böyle bir iddia güven üretmez, yalnızca risk üretir — bu yüzden yazmıyoruz.
09
Sorumlu açıklama (responsible disclosure)
Bir güvenlik açığı bulduysanız duyurmadan önce bize ulaşın. Bulguyu değerlendirir, düzeltir ve isterseniz teşekkür ederiz.
Nereye bildirilir
E-posta: info@361.com.tr — konu satırına "Güvenlik bildirimi" yazmanız yeterlidir.
Makine okunur karşılığı RFC 9116 biçiminde yayımlanmıştır: /.well-known/security.txt
Bildirimde ne bekleriz
- etkilenen adres, uç nokta veya ekran,
- yeniden üretim adımları,
- gözlemlenen etki ve varsa kanıt (ekran görüntüsü, istek/yanıt),
- düzeltme yayına girene kadar bulgunun kamuya açık paylaşılmaması.
Test ederken sınırlar
- başka kullanıcıların verisine erişmeyin, indirmeyin, değiştirmeyin,
- hizmeti bozacak testler yapmayın (yük/hizmet dışı bırakma testi dâhil),
- sosyal mühendislik ve fiziksel erişim denemeleri kapsam dışıdır,
- erişim elde ettiyseniz derinleştirmek yerine durup bildirin.
Biz ne yaparız
Bildirimi aldığımızı teyit eder, doğrular, etkisini değerlendirir ve düzeltiriz. Süreç boyunca sizi bilgilendiririz; dilerseniz bulguyu bildiren olarak adınıza yer veririz. Bu kurallara uyarak yapılan iyi niyetli araştırmaya karşı hukuki işlem başlatmayız.
Henüz olmayan iki şey
Ödüllü bir güvenlik açığı programımız (bug bounty) yok. Ayrıca taahhüt edilmiş bir ilk yanıt süresi hedefi yayımlamıyoruz — tutulamayacak bir süre yazmaktansa hiç yazmamayı tercih ediyoruz. İkisi de değiştiğinde bu bölüm ve security.txt aynı anda güncellenecek.
10
Devamı nerede yazılı
Bu sayfa bir giriş kapısıdır; her başlığın ayrıntısı kendi sayfasında durur ve orada tek kez yazılır.
Güvenlik mimarisi
Erişim kontrolü, guardrail detektörleri, denetim izi, gözlemlenebilirlik ve 361 Local ile veri yerleşimi.
IT Onay Paketi
IT ve güvenlik ekiplerinin satın alma öncesi sorduğu soruların tamamı, sekiz başlıkta ve yazdırılabilir biçimde.
Kurulum Modelleri
SaaS, özel bulut, yerinde ve air-gap — hangisinde ne çalışır, ne çalışmaz, sorumluluk kimde.
Veri sahipliği
Verinizi dışarı alma, kesinti dayanıklılığı, silme hakkı ve ayrılık senaryosunun dört adımı.
Yerel AI saha rehberi
Donanım tablosu, gömülü model seti, yerel yığın ve "ne yerel, ne bulut" karar tablosu.
KVKK ve yasal metinler
Aydınlatma, saklama-imha politikası, veri sahibi başvurusu, açık rıza ve AI kullanıcı bilgilendirmesi.