Güvenlik, Gizlilik ve Sektörel Uyum — Trust Pro Identity & Digital Trust
Bir ürünün ISO/NIST/eIDAS/W3C gereksinimlerini özellik kataloğunda eşlemesi, şirketin veya müşterinin sertifikalı, uygunluk belgeli ya da hukukî olarak uyumlu olduğu anlamına gelmez. Türkiye ve AB uygulama profilleri ürünün gerçek faaliyet…
Rapor bölümleri · 14/17
REFERANS
ÜRÜNDEKİ KARŞILIĞI / SINIR
NIST SP 800-63-4
Kimlik kanıtlama, kimlik doğrulama ve federasyon güvence yaklaşımı (IAL/AAL/FAL).
NIST SP 800-63A-4
Identity proofing, enrollment ve fraud risk değerlendirmesi.
NIST SP 800-63B-4
Authenticator lifecycle, phishing resistance ve recovery güvenliği.
NIST SP 800-63C-4
Federation, assertions, RP ve IdP etkileşimi.
NIST SP 800-207
Zero Trust kaynak merkezli politika / PDP–PEP mimarisi.
FIDO2 / WebAuthn
Public-key tabanlı ve phishing-resistant passkeys.
OAuth 2.0 / OIDC / SAML
Token, uygulama federasyonu ve assertion kontrol ilkeleri; profil/rfc sürümleri ayrı doğrulanır.
SCIM 2.0 RFC 7643/7644
Kullanıcı ve grup provisioning / schema sözleşmesi.
SPIFFE / SPIRE
Workload identity ve federated trust domain modeli.
W3C Verifiable Credentials 2.0
Issuer, holder, verifier ve kriptografik proof içerikleri.
EU eIDAS / EUDI Wallet
AB içindeki kimlik cüzdanı ve trust services uygulama profilleri; müşteri ülke/faaliyet durumuna göre.
ISO/IEC 27001
Kurumsal bilgi güvenliği yönetim sistemi ve risk kontrolleri.
ISO/IEC 27701
Gizlilik bilgi yönetimi çerçevesi; geçerli sürüm ayrıca doğrulanır.
KVKK
Kişisel veri ve özel nitelikli veriler için hukukî dayanak, teknik ve idari tedbirler.
NIST CSF 2.0
Govern–Identify–Protect–Detect–Respond–Recover ile kimlik kontrol haritası.
Gizlilik ve güvenlik kontrol temel kuralları
Data minimization: biometric raw media ve document images, kullanım amacıyla sınırlı ve retention kontrollü saklanır.
Encryption: TLS in transit, per-tenant key separation ve HSM/KMS ile kritik token/secret koruması.
Audit: signing key değişimi, yüksek privilege, attestation ve fraud kararları immutable izlenebilir tutulur.
Deny-by-default: kritik yetki, tenant, app ve audience doğrulamasından geçmeyen işlem kapalı kabul edilir.
Developer security: dependency inventory, signed builds, SBOM ve secure SDLC süreçleri uygulanır.
Privacy rights: kimlik verisi silme talebi ile yasal saklama istisnası ayrıştırılır.
