WordPress VIP Güvenlik ve Uyumluluk: Sertifikalar ve Kontroller

🇬🇧 English: Read this in English →

Kurumsal bir platform kararında kısa listeyi genellikle bu başlık belirler. Özellik karşılaştırmasını pazarlama ekipleri yapar, ama son sözü bilgi güvenliği ve hukuk söyler. Bu sayfa WordPress VIP’in güvenlik ve uyumluluk duruşunu, denetim masasına götürebileceğiniz biçimde topluyor.

Genel çerçeve: WordPress VIP nedir.

Sertifikasyonlar ve yetkilendirmeler

• SOC 2 — bağımsız denetimle doğrulanmış bilgi güvenliği kontrolleri, yıllık tekrarlanan denetimlerle.
• ISO 27001 — sertifikalı veri merkezleri.
• ABD federal kamu yetkilendirmesi (FedRAMP Moderate). VIP bu yetkilendirmeye sahip tek kurumsal WordPress platformu olduğunu belirtiyor. Kamu kurumlarıyla çalışan şirketler için genellikle bir ön koşul.
• Eyalet ve yerel kamu yetkilendirmeleri (GovRAMP, TX-RAMP).
• Erişilebilirlik uyumu — WCAG 2.0 AA ve Section 508 standartlarına uyum, bir üst seviye hedefleniyor.

Türkiye’deki kurumlar için pratik not: bu çerçevelerin çoğu ABD merkezlidir ve burada yerel bir zorunluluk değildir. Satın alma komitelerinde olgunluk göstergesi olarak okunurlar: bağımsız denetimden geçmiş bir sağlayıcıyla çalıştığınızı gösterirler. KVKK uyumu ve verinin hangi coğrafyada duracağı ayrı konulardır ve sözleşme aşamasında netleştirilmesi gerekir.

Güvenlik açıkları: en kritik fark

WordPress’e özgü ve kurumsal tarafta en çok değer üreten madde budur. Standart bir kurulumda döngü şöyle işler: bir açık duyurulur, yaması yayımlanır, sizin ekibiniz yamayı uygular. Aradaki boşluk saatlerle günler arasında değişir ve saldırganlar tam olarak o boşlukta çalışır.

VIP bu boşluğu kapatıyor: açıklar sürekli taranıyor ve platform tarafında, siz haberdar olmadan kapatılıyor. Kurumsal karşılığı şu: güvenlik yaması takibi sizin ekibinizin işi olmaktan çıkıyor.

Veri, yedekleme ve süreklilik

• Tam ayrıştırma. Her kurumun verisi ayrı tutulur; başka bir müşteriyle paylaşılan bir ortam yoktur.
• Sürekli yedekleme. Yedekler kesintisiz alınır, bir aya kadar geriye dönülebilir ve saha dışında da saklanır.
• Bağımsız kopya. Üst hizmet seviyelerinde yedekler kurumunuzun kendi kontrolündeki ayrı bir depoya da gönderilebilir. İç politikanız sağlayıcıdan bağımsız bir kopya şart koşuyorsa bu madde belirleyicidir.
• Felaket kurtarma. Belgelenmiş kurtarma prosedürleri; üst seviyelerde yedekli çalışma.
• Yapısal koruma. Platform, WordPress dünyasındaki en yaygın saldırı yollarından birini mimari olarak kapatır; bu bir ayar değil, değiştirilemeyen bir tasarım kararıdır.

Kim neye erişiyor

• Kurumsal kimlik sisteminizle tekil oturum açma. Bir çalışan ayrıldığında erişimi merkezî olarak kapanır.
• Çok adımlı doğrulama ve rol tabanlı yetkilendirme.
• Eksiksiz denetim kaydı. Kimin neyi ne zaman yaptığı kayıtlıdır.
• Ayrıntılı yayın yetkilendirmesi. Yetki yalnızca sayfa ya da rol seviyesinde değil, içeriğin tek tek bölümleri seviyesinde tanımlanabilir.
• Aynı ayrıntıdaki sınırlar yapay zekâ araçları için de geçerlidir.

Son iki madde birlikte okunmalı. Kurumsal bir ortamda yapay zekâya yayın yetkisi vermek, o yetkiyi ayrıntılı biçimde sınırlayamıyorsanız iç denetimden geçmez. VIP’in yapay zekâ tarafındaki asıl katkısı model değil, bu kontrol katmanıdır.

Bir not: bu katmanı kendi VIP ortamımızda denedik ve dokümantasyonda yer almayan birkaç davranışa rastladık; bulgularımızı Automattic’e ilettik. Yapay zekâ kullanımını denetlemeyi planlıyorsanız, bu konuyu değerlendirme aşamasında satıcıyla açıkça konuşmanızı öneririz.

Olay anında ne oluyor

• Yedekten geri dönüş kabiliyeti ve belgelenmiş kurtarma adımları.
• Hizmet seviyenize bağlı taahhütlü yanıt süresi; en üst seviyede on beş dakika.
• İhlal bildirimi ve soruşturma desteği.
• Üçüncü taraf hukuki taleplerde şeffaflık taahhüdü.

Güvenlik değerlendirmesine girmeden önce

Bu beşini önceden netleştirmek süreci belirgin biçimde kısaltır:

1. Hangi sertifikasyon sözleşmede şart, hangisi tercih? Bu ayrım yapılmadan yürüyen değerlendirmeler aylarca uzar.
2. Veriniz hangi coğrafyada durmalı?
3. Hangi kimlik sisteminizle entegre olacak?
4. Denetim kayıtlarını ne kadar süre saklamanız gerekiyor ve nereye akmalı?
5. Yapay zekâ araçlarına vereceğiniz yetkinin sınırı ne?

Kurumunuzun gereksinimlerini platformun gerçek kabiliyetleriyle karşılaştıran bir değerlendirme çıkarabiliriz: şart olan maddeler, açık kalan sorular ve satıcıya sorulacaklar. Nasıl çalıştığımıza bakın ya da bize ulaşın.