{"id":1000,"date":"2026-09-29T09:36:10","date_gmt":"2026-09-29T09:36:10","guid":{"rendered":"https:\/\/www.vps.tc\/blog\/?p=1000"},"modified":"2026-09-29T09:30:51","modified_gmt":"2026-09-29T09:30:51","slug":"soc-2-nedir-guvenlik-ve-uyum-rehberi","status":"publish","type":"post","link":"https:\/\/www.vps.tc\/blog\/tr\/soc-2-nedir-guvenlik-ve-uyum-rehberi\/","title":{"rendered":"SOC 2 Nedir? G\u00fcvenlik ve Uyum Rehberi"},"content":{"rendered":"<div class=\"aiw-summary\" id=\"aiw-ozet\">\n<p class=\"aiw-summary-title\">H\u0131zl\u0131 \u00d6zet &#8211; SOC 2<\/p>\n<p>SOC 2, hizmet kurulu\u015flar\u0131n\u0131n g\u00fcvenlik kontrollerini ba\u011f\u0131ms\u0131z denetimle kan\u0131tlayan bir raporlama \u00e7er\u00e7evesidir; sertifika veya tek ba\u015f\u0131na g\u00fcvenlik garantisi de\u011fildir.<\/p>\n<ul>\n<li><strong>Temel ama\u00e7<\/strong> \u2014 M\u00fc\u015fteri verilerini ve hizmetlerini korumaya y\u00f6nelik kontrollerin tasar\u0131m\u0131n\u0131 ve i\u015fletimini de\u011ferlendirmektir.<\/li>\n<li><strong>Be\u015f kriter<\/strong> \u2014 G\u00fcvenlik temel kriterdir; kullan\u0131labilirlik, i\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc, gizlilik ve mahremiyet hizmete g\u00f6re se\u00e7ilir.<\/li>\n<li><strong>Type I<\/strong> \u2014 Kontrollerin belirli bir tarihte uygun tasarlan\u0131p tasarlanmad\u0131\u011f\u0131n\u0131 inceler.<\/li>\n<li><strong>Type II<\/strong> \u2014 Kontrollerin belirli bir d\u00f6nem boyunca ger\u00e7ekten i\u015fletildi\u011fini test eder.<\/li>\n<li><strong>Denet\u00e7i<\/strong> \u2014 Raporlama ba\u011f\u0131ms\u0131z bir CPA firmas\u0131 taraf\u0131ndan y\u00fcr\u00fct\u00fcl\u00fcr.<\/li>\n<li><strong>M\u00fc\u015fteri kontrol\u00fc<\/strong> \u2014 Sa\u011flay\u0131c\u0131n\u0131n SOC 2 raporu, m\u00fc\u015fterinin eri\u015fim, yedekleme ve uygulama g\u00fcvenli\u011fi sorumluluklar\u0131n\u0131 ortadan kald\u0131rmaz.<\/li>\n<\/ul>\n<\/div>\n<p class=\"aiw-lead\">SOC 2, bir hizmet sa\u011flay\u0131c\u0131n\u0131n g\u00fcvenlik kontrollerini ger\u00e7ekten tasarlay\u0131p uygulad\u0131\u011f\u0131n\u0131 ba\u011f\u0131ms\u0131z denetimle g\u00f6steren rapordur. G\u00fcvenlik temel kriterdir; hizmete g\u00f6re kullan\u0131labilirlik, i\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc, gizlilik ve mahremiyet de incelenebilir. Type I tek tarihli, Type II ise belirli d\u00f6nem boyunca yap\u0131lan testleri i\u00e7erir.<\/p>\n<div class=\"aiw-toc\" style=\"border:1px solid #dbe3ea;border-radius:8px;padding:16px 20px;margin:0 0 28px\">\n<p class=\"aiw-toc-head\"><strong>\u0130\u00e7indekiler<\/strong><span class=\"aiw-toc-meta\"> \u00b7 10 dk okuma<\/span><\/p>\n<ol style=\"margin:10px 0 0;padding-left:22px\">\n<li><a href=\"#soc-2-tam-olarak-neyi-olcer\">SOC 2 tam olarak neyi \u00f6l\u00e7er?<\/a><\/li>\n<li><a href=\"#soc-2-raporundaki-bes-guven-kriteri-nedir\">SOC 2 raporundaki be\u015f g\u00fcven kriteri nedir?<\/a><\/li>\n<li><a href=\"#soc-2-type-i-ve-type-ii-arasindaki-fark-nedir\">SOC 2 Type I ve Type II aras\u0131ndaki fark nedir?<\/a><\/li>\n<li><a href=\"#denetim-sureci-nasil-ilerler\">Denetim s\u00fcreci nas\u0131l ilerler?<\/a><\/li>\n<li><a href=\"#hizmet-saglayicidan-hangi-kanitlar-istenmeli\">Hizmet sa\u011flay\u0131c\u0131dan hangi kan\u0131tlar istenmeli?<\/a><\/li>\n<li><a href=\"#soc-2-ile-iso-27001-ayni-sey-mi\">SOC 2 ile ISO 27001 ayn\u0131 \u015fey mi?<\/a><\/li>\n<li><a href=\"#teknik-ekip-soc-2-hazirliginda-ne-yapmali\">Teknik ekip SOC 2 haz\u0131rl\u0131\u011f\u0131nda ne yapmal\u0131?<\/a><\/li>\n<li><a href=\"#rapor-nasil-okunur-hangi-sinirlara-dikkat-edilir\">Rapor nas\u0131l okunur, hangi s\u0131n\u0131rlara dikkat edilir?<\/a><\/li>\n<li><a href=\"#soc-2-raporunu-incelemeden-once-sunlari-kontrol-edin\">SOC 2 Raporunu \u0130ncelemeden \u00d6nce \u015eunlar\u0131 Kontrol Edin<\/a><\/li>\n<li><a href=\"#sik-sorulan-sorular\">S\u0131k Sorulan Sorular<\/a><\/li>\n<li><a href=\"#kaynaklar\">Kaynaklar<\/a><\/li>\n<\/ol>\n<\/div>\n<h2 id=\"soc-2-tam-olarak-neyi-olcer\">SOC 2 tam olarak neyi \u00f6l\u00e7er?<\/h2>\n<p>SOC 2, bir hizmet kurulu\u015funun m\u00fc\u015fteri verilerini ve hizmetlerini korumak i\u00e7in uygulad\u0131\u011f\u0131 kontrollerin ba\u011f\u0131ms\u0131z bir denet\u00e7i taraf\u0131ndan de\u011ferlendirilmesini sa\u011flayan raporlama \u00e7er\u00e7evesidir. Rapor; g\u00fcvenlik, kullan\u0131labilirlik, i\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc, gizlilik ve mahremiyet kriterlerinden kurulu\u015fun se\u00e7tiklerini inceler. Bir sertifika de\u011fil, belirli bir kapsam ve d\u00f6nem i\u00e7in haz\u0131rlanm\u0131\u015f denetim raporudur.<\/p>\n<p>SOC 2 nedir sorusunun k\u0131sa yan\u0131t\u0131 budur: Bir hosting \u015firketinin, SaaS platformunun veya veri i\u015fleyen ba\u015fka bir hizmet sa\u011flay\u0131c\u0131n\u0131n g\u00fcvenlik kontrollerini nas\u0131l tasarlad\u0131\u011f\u0131n\u0131 ve uygulad\u0131\u011f\u0131n\u0131 g\u00f6steren ba\u011f\u0131ms\u0131z g\u00fcvence raporu. AICPA&#8217;n\u0131n Trust Services Criteria \u00e7er\u00e7evesi kullan\u0131l\u0131r; denetimi yetkili ba\u011f\u0131ms\u0131z bir CPA firmas\u0131 y\u00fcr\u00fct\u00fcr.<\/p>\n<p>SOC 2&#8217;nin hedefi yaln\u0131zca g\u00fcvenlik duvar\u0131 veya \u015fifreleme kontrol\u00fc g\u00f6rmek de\u011fildir. Eri\u015fim yetkilerinin d\u00fczenli incelenmesi, de\u011fi\u015fikliklerin onaylanmas\u0131, olaylar\u0131n izlenmesi, yedeklerin do\u011frulanmas\u0131 ve \u00e7al\u0131\u015fanlar\u0131n g\u00f6rev ayr\u0131l\u0131\u011f\u0131 gibi s\u00fcre\u00e7ler de kapsama girebilir.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Bir hizmet sa\u011flay\u0131c\u0131dan SOC 2 raporu isterken raporun kapsam\u0131n\u0131, tarih aral\u0131\u011f\u0131n\u0131 ve incelenen Trust Services Criteria ba\u015fl\u0131klar\u0131n\u0131 birlikte kontrol edin.<\/p>\n<h2 id=\"soc-2-raporundaki-bes-guven-kriteri-nedir\">SOC 2 raporundaki be\u015f g\u00fcven kriteri nedir?<\/h2>\n<p>AICPA&#8217;n\u0131n Trust Services Criteria \u00e7er\u00e7evesinde be\u015f g\u00fcven kriteri bulunur. G\u00fcvenlik temel kriterdir; di\u011ferleri hizmetin niteli\u011fine ve m\u00fc\u015fteri s\u00f6zle\u015fmelerine g\u00f6re se\u00e7ilebilir.<\/p>\n<table>\n<thead>\n<tr>\n<th>Kriter<\/th>\n<th>Ne incelenir?<\/th>\n<th>\u00d6rnek kontrol<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>G\u00fcvenlik<\/td>\n<td>Yetkisiz eri\u015fim ve tehditlere kar\u015f\u0131 koruma<\/td>\n<td>MFA, eri\u015fim incelemesi, a\u011f segmentasyonu<\/td>\n<\/tr>\n<tr>\n<td>Kullan\u0131labilirlik<\/td>\n<td>Hizmetin \u00fczerinde anla\u015f\u0131lan eri\u015filebilirlik hedeflerine uygunlu\u011fu<\/td>\n<td>\u0130zleme, kapasite plan\u0131, felaket kurtarma testi<\/td>\n<\/tr>\n<tr>\n<td>\u0130\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc<\/td>\n<td>\u0130\u015flemlerin do\u011fru, eksiksiz ve zaman\u0131nda i\u015flenmesi<\/td>\n<td>Girdi do\u011frulama, hata takibi, mutabakat<\/td>\n<\/tr>\n<tr>\n<td>Gizlilik<\/td>\n<td>Gizli olarak tan\u0131mlanan verilerin korunmas\u0131<\/td>\n<td>\u015eifreleme, veri s\u0131n\u0131fland\u0131rma, eri\u015fim politikas\u0131<\/td>\n<\/tr>\n<tr>\n<td>Mahremiyet<\/td>\n<td>Ki\u015fisel verilerin toplanmas\u0131 ve i\u015flenmesi<\/td>\n<td>Onay, saklama s\u00fcresi, veri sahibi talepleri<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Bu ba\u015fl\u0131klar her raporda ayn\u0131 geni\u015flikte yer almaz. \u00d6rne\u011fin bir veritaban\u0131 yedekleme hizmeti i\u00e7in kullan\u0131labilirlik ve gizlilik kritik olabilirken, ki\u015fisel veri i\u015flenmeyen bir altyap\u0131 hizmetinde mahremiyet kriteri kapsam d\u0131\u015f\u0131nda b\u0131rak\u0131labilir.<\/p>\n<p>Se\u00e7im yap\u0131l\u0131rken sat\u0131\u015f sunumuna de\u011fil, hizmetin ger\u00e7ek veri ak\u0131\u015f\u0131na bak\u0131lmal\u0131d\u0131r. M\u00fc\u015fteri verisi nerede tutuluyor, kim eri\u015fiyor, hizmet kesildi\u011finde hangi i\u015f etkileniyor? Kapsam bu sorular\u0131n yan\u0131t\u0131ndan \u00e7\u0131kar.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Tedarik\u00e7inin raporunda hangi kriterlerin ger\u00e7ekten incelendi\u011fini s\u00f6zle\u015fme \u00f6ncesinde yaz\u0131l\u0131 olarak teyit edin.<\/p>\n<h2 id=\"soc-2-type-i-ve-type-ii-arasindaki-fark-nedir\">SOC 2 Type I ve Type II aras\u0131ndaki fark nedir?<\/h2>\n<p>SOC 2 Type I, kontrollerin belirli bir tarihte uygun bi\u00e7imde tasarlan\u0131p tasarlanmad\u0131\u011f\u0131n\u0131 de\u011ferlendirir. SOC 2 Type II ise kontrollerin belirli bir d\u00f6nem boyunca tasarland\u0131\u011f\u0131 \u015fekilde \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131na dair i\u015fletim etkinli\u011fi testleri i\u00e7erir. Type II daha uzun s\u00fcreli kan\u0131t gerektirir; tek ba\u015f\u0131na &#8220;daha g\u00fcvenli&#8221; anlam\u0131na gelmez.<\/p>\n<table>\n<thead>\n<tr>\n<th>\u00d6zellik<\/th>\n<th>Type I<\/th>\n<th>Type II<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>De\u011ferlendirme<\/td>\n<td>Belirli bir tarih<\/td>\n<td>Belirli bir d\u00f6nem<\/td>\n<\/tr>\n<tr>\n<td>Kontrol tasar\u0131m\u0131<\/td>\n<td>\u0130ncelenir<\/td>\n<td>\u0130ncelenir<\/td>\n<\/tr>\n<tr>\n<td>Kontrol\u00fcn i\u015fletimi<\/td>\n<td>D\u00f6nemsel kan\u0131t s\u0131n\u0131rl\u0131d\u0131r<\/td>\n<td>D\u00f6nem boyunca test edilir<\/td>\n<\/tr>\n<tr>\n<td>Kullan\u0131m<\/td>\n<td>Yeni kurulmu\u015f programlar i\u00e7in ba\u015flang\u0131\u00e7 kan\u0131t\u0131<\/td>\n<td>S\u00fcrekli i\u015fletilen s\u00fcre\u00e7ler i\u00e7in daha geni\u015f g\u00fcvence<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Type II raporunda inceleme d\u00f6nemi, test edilen kontrol \u00f6rnekleri ve varsa istisnalar dikkatle okunmal\u0131d\u0131r. Raporun tarihi g\u00fcncel olsa bile kapsama al\u0131nan d\u00f6nem aylar \u00f6nce bitmi\u015f olabilir. Bu nedenle rapor tarihinden \u00f6nce <code>period covered<\/code> bilgisini kontrol etmek gerekir.<\/p>\n<p>Bir hizmet sa\u011flay\u0131c\u0131n\u0131n yaln\u0131zca &#8220;SOC 2 uyumluyuz&#8221; demesi de yeterli de\u011fildir. Hangi t\u00fcr rapora sahip oldu\u011fu, hangi hizmetlerin kapsama dahil edildi\u011fi ve istisna bulunup bulunmad\u0131\u011f\u0131 sorulmal\u0131d\u0131r.<\/p>\n<div class=\"aiw-callout aiw-callout-tip\">\n<p class=\"aiw-callout-label\">\u0130pucu<\/p>\n<p>Rapor isterken yaln\u0131zca &quot;SOC 2 var m\u0131?&quot; diye sormay\u0131n; Type I mi Type II mi oldu\u011funu, hangi \u00fcr\u00fcn\u00fcn kapsama girdi\u011fini ve rapor d\u00f6neminin ne zaman bitti\u011fini ayn\u0131 talepte belirtin.<\/p>\n<\/div>\n<h2 id=\"denetim-sureci-nasil-ilerler\">Denetim s\u00fcreci nas\u0131l ilerler?<\/h2>\n<p>SOC 2 haz\u0131rl\u0131\u011f\u0131 bir klas\u00f6r doldurma i\u015fi de\u011fildir. \u00d6nce hizmetin s\u0131n\u0131rlar\u0131 belirlenir; uygulamalar, veri depolar\u0131, bulut hesaplar\u0131, ofis s\u00fcre\u00e7leri ve d\u0131\u015f tedarik\u00e7iler bu s\u0131n\u0131r i\u00e7inde de\u011ferlendirilir. Ard\u0131ndan kontrol hedefleri tan\u0131mlan\u0131r ve her kontrol i\u00e7in kan\u0131t \u00fcretme y\u00f6ntemi belirlenir.<\/p>\n<h3>1. Kapsam\u0131 ve kriterleri belirleme<\/h3>\n<p>Hangi \u00fcr\u00fcn\u00fcn, veri merkezinin, operasyon ekibinin ve m\u00fc\u015fteri verisinin rapora dahil oldu\u011fu yaz\u0131l\u0131 hale getirilir. Kapsam \u00e7ok dar tutulursa rapor m\u00fc\u015fterinin ger\u00e7ek riskini g\u00f6stermeyebilir; gereksiz geni\u015fletilirse kan\u0131t toplama maliyeti artar.<\/p>\n<h3>2. Risk ve kontrol e\u015fle\u015ftirmesi<\/h3>\n<p>Risk kay\u0131tlar\u0131 ile kontroller e\u015fle\u015ftirilir. \u00d6rne\u011fin yetkisiz y\u00f6netici eri\u015fimi riskine kar\u015f\u0131 MFA, ayr\u0131cal\u0131kl\u0131 hesap incelemesi ve eri\u015fim iptali prosed\u00fcr\u00fc birlikte ele al\u0131nabilir. Her kontrol\u00fcn sahibi, s\u0131kl\u0131\u011f\u0131 ve beklenen kan\u0131t\u0131 bulunmal\u0131d\u0131r.<\/p>\n<h3>3. Kan\u0131t toplama ve test<\/h3>\n<p>Denet\u00e7i politika metnini g\u00f6rmekle yetinmez. Eri\u015fim listeleri, de\u011fi\u015fiklik kay\u0131tlar\u0131, izleme alarmlar\u0131, e\u011fitim kay\u0131tlar\u0131, yedekleme testleri ve olay y\u00f6netimi kay\u0131tlar\u0131ndan \u00f6rnekler isteyebilir. Kan\u0131t\u0131n tarih aral\u0131\u011f\u0131 ve kayna\u011f\u0131 do\u011frulanabilir olmal\u0131d\u0131r.<\/p>\n<h3>4. Raporlama<\/h3>\n<p>Denetim bulgular\u0131, kontrol a\u00e7\u0131klamalar\u0131, test y\u00f6ntemleri ve istisnalar rapora girer. Type II raporunda bir kontrol\u00fcn baz\u0131 \u00f6rneklerde \u00e7al\u0131\u015fmamas\u0131, otomatik olarak t\u00fcm hizmetin ba\u015far\u0131s\u0131z oldu\u011fu anlam\u0131na gelmez; istisnan\u0131n kapsam\u0131 ve d\u00fczeltici faaliyetleri incelenmelidir.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Her kontrol i\u00e7in sorumlu ki\u015fiyi, \u00e7al\u0131\u015fma s\u0131kl\u0131\u011f\u0131n\u0131, kan\u0131t kayna\u011f\u0131n\u0131 ve istisna halinde uygulanacak d\u00fczeltmeyi tek bir kay\u0131t \u00fczerinde tutun.<\/p>\n<h2 id=\"hizmet-saglayicidan-hangi-kanitlar-istenmeli\">Hizmet sa\u011flay\u0131c\u0131dan hangi kan\u0131tlar istenmeli?<\/h2>\n<p>SOC 2 raporu \u00e7o\u011fu zaman m\u00fc\u015fteriye \u00f6zel bir g\u00fcvenlik incelemesinin yerine ge\u00e7mez. Rapor, ba\u011f\u0131ms\u0131z denetim hakk\u0131nda g\u00fc\u00e7l\u00fc bir \u00e7er\u00e7eve sunar; sizin veri s\u0131n\u0131fland\u0131rman\u0131z\u0131, s\u00f6zle\u015fme \u015fartlar\u0131n\u0131z\u0131 ve risk i\u015ftah\u0131n\u0131z\u0131 otomatik olarak kar\u015f\u0131lamaz.<\/p>\n<ul>\n<li>Raporun t\u00fcr\u00fcn\u00fc ve kapsad\u0131\u011f\u0131 d\u00f6nemi isteyin.<\/li>\n<li>Kapsama giren \u00fcr\u00fcnleri, b\u00f6lgeleri ve altyap\u0131 bile\u015fenlerini do\u011frulay\u0131n.<\/li>\n<li>G\u00fcven kriterlerinden hangilerinin incelendi\u011fini kontrol edin.<\/li>\n<li>Denet\u00e7i g\u00f6r\u00fc\u015f\u00fcn\u00fc ve listelenen istisnalar\u0131 okuyun.<\/li>\n<li>Alt hizmet sa\u011flay\u0131c\u0131lar\u0131n &#8220;carve-out&#8221; veya &#8220;inclusive&#8221; y\u00f6ntemiyle nas\u0131l ele al\u0131nd\u0131\u011f\u0131n\u0131 sorun.<\/li>\n<li>Olay bildirimi, veri silme, yedekleme ve geri d\u00f6n\u00fc\u015f s\u00fcrelerini s\u00f6zle\u015fmeyle netle\u015ftirin.<\/li>\n<\/ul>\n<p>\u00d6zellikle VPS veya y\u00f6netilen sunucu hizmeti al\u0131rken SOC 2 kapsam\u0131 ile m\u00fc\u015fteri sorumluluklar\u0131n\u0131 ay\u0131rmak gerekir. Sa\u011flay\u0131c\u0131 fiziksel altyap\u0131, hiperviz\u00f6r ve platform kontrollerini y\u00f6netebilir; i\u015fletim sistemi g\u00fcncellemeleri, uygulama eri\u015fimleri ve veritaban\u0131 yap\u0131land\u0131rmas\u0131 m\u00fc\u015fteride kalabilir. <a href=\"https:\/\/www.vps.tc\/blog\/tr\/vps-snapshot-nedir-anlik-yedekleme-rehberi\/\">VPS Snapshot Nedir? Anl\u0131k Yedekleme Rehberi<\/a> ba\u015fl\u0131\u011f\u0131ndaki yakla\u015f\u0131m burada da ge\u00e7erlidir: sa\u011flay\u0131c\u0131n\u0131n yede\u011fi ile m\u00fc\u015fterinin geri d\u00f6n\u00fc\u015f sorumlulu\u011fu ayn\u0131 \u015fey de\u011fildir.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Raporu sat\u0131n alma karar\u0131 olarak de\u011fil, sa\u011flay\u0131c\u0131n\u0131n kontrolleriyle sizin sorumluluklar\u0131n\u0131z\u0131 kar\u015f\u0131la\u015ft\u0131ran bir kan\u0131t paketi olarak de\u011ferlendirin.<\/p>\n<div class=\"aiw-callout aiw-callout-warn\">\n<p class=\"aiw-callout-label\">Dikkat<\/p>\n<p>Bir sa\u011flay\u0131c\u0131n\u0131n SOC 2 raporu, sizin VPS \u00fczerindeki uygulama g\u00fcncellemelerini, kullan\u0131c\u0131 yetkilerini veya veritaban\u0131 yedeklerini otomatik olarak kapsamaz. Sorumluluk payla\u015f\u0131m\u0131n\u0131 rapor eki ve s\u00f6zle\u015fme \u00fczerinden okuyun.<\/p>\n<\/div>\n<h2 id=\"soc-2-ile-iso-27001-ayni-sey-mi\">SOC 2 ile ISO 27001 ayn\u0131 \u015fey mi?<\/h2>\n<p>Hay\u0131r. SOC 2, bir hizmet kurulu\u015funun belirli g\u00fcven kriterlerine g\u00f6re kontrollerini ve bu kontrollerin i\u015fletimini raporlayan denetim \u00e7er\u00e7evesidir. ISO\/IEC 27001 ise bilgi g\u00fcvenli\u011fi y\u00f6netim sisteminin belirli bir standarda g\u00f6re kurulmas\u0131n\u0131 ve belgelendirilmesini ele al\u0131r.<\/p>\n<table>\n<thead>\n<tr>\n<th>Ba\u015fl\u0131k<\/th>\n<th>SOC 2<\/th>\n<th>ISO\/IEC 27001<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Odak<\/td>\n<td>Hizmet kontrolleri ve kan\u0131tlar\u0131<\/td>\n<td>Bilgi g\u00fcvenli\u011fi y\u00f6netim sistemi<\/td>\n<\/tr>\n<tr>\n<td>\u00c7\u0131kt\u0131<\/td>\n<td>Denetim raporu<\/td>\n<td>Belgelendirme veya sertifikasyon<\/td>\n<\/tr>\n<tr>\n<td>De\u011ferlendirme<\/td>\n<td>Se\u00e7ilen Trust Services Criteria<\/td>\n<td>Standard\u0131n gereklilikleri ve kapsam\u0131<\/td>\n<\/tr>\n<tr>\n<td>Okuyucu<\/td>\n<td>Genellikle m\u00fc\u015fteriler ve i\u015f ortaklar\u0131<\/td>\n<td>Payda\u015flar, m\u00fc\u015fteriler ve d\u00fczenleyiciler<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\u0130ki \u00e7al\u0131\u015fma birlikte y\u00fcr\u00fct\u00fclebilir. Ortak kan\u0131tlar; varl\u0131k envanteri, eri\u015fim y\u00f6netimi, olay m\u00fcdahalesi, tedarik\u00e7i de\u011ferlendirmesi ve s\u00fcreklilik testlerinde toplanabilir. Bir standard\u0131n varl\u0131\u011f\u0131 di\u011ferinin otomatik kar\u015f\u0131land\u0131\u011f\u0131n\u0131 g\u00f6stermez.<\/p>\n<p>G\u00fcvenlik program\u0131n\u0131n teknik taraf\u0131nda MFA, merkezi loglama ve de\u011fi\u015fiklik y\u00f6netimi gibi kontrollerin ger\u00e7ekten \u00e7al\u0131\u015fmas\u0131 gerekir. \u00d6rne\u011fin sunucularda temel eri\u015fim sertle\u015ftirmesi i\u00e7in <a href=\"https:\/\/www.vps.tc\/blog\/tr\/winrm-nedir-windows-sunucularda-uzaktan-yonetim\/\">WinRM Nedir? Windows Sunucularda Uzaktan Y\u00f6netim<\/a> ve <a href=\"https:\/\/www.vps.tc\/blog\/tr\/windows-server-core-nedir-guisiz-yonetim-rehberi\/\">Windows Server Core Nedir? GUI&#8217;siz Y\u00f6netim Rehberi<\/a> i\u00e7eriklerinde anlat\u0131lan y\u00f6netim s\u0131n\u0131rlar\u0131, SOC 2 kan\u0131t plan\u0131na dahil edilebilir; tek ba\u015flar\u0131na SOC 2 uyumu olu\u015fturmaz.<\/p>\n<div class=\"aiw-callout aiw-callout-example\">\n<p class=\"aiw-callout-label\">\u00d6rnek<\/p>\n<p>Bir SaaS sa\u011flay\u0131c\u0131s\u0131 g\u00fcvenlik ve kullan\u0131labilirlik kriterlerini kapsayan Type II rapora sahip olabilir. Ki\u015fisel veri i\u015fleniyorsa mahremiyet kriterinin kapsam d\u0131\u015f\u0131nda b\u0131rak\u0131l\u0131p b\u0131rak\u0131lmad\u0131\u011f\u0131 ayr\u0131ca sorulmal\u0131d\u0131r.<\/p>\n<\/div>\n<h2 id=\"teknik-ekip-soc-2-hazirliginda-ne-yapmali\">Teknik ekip SOC 2 haz\u0131rl\u0131\u011f\u0131nda ne yapmal\u0131?<\/h2>\n<p>Teknik ekip i\u00e7in zor k\u0131s\u0131m tek bir g\u00fcvenlik \u00fcr\u00fcn\u00fc kurmak de\u011fil, s\u00fcre\u00e7lerin d\u00fczenli ve geriye d\u00f6n\u00fck kan\u0131tlanabilir bi\u00e7imde i\u015fletilmesidir. Root eri\u015fimleri, SSH anahtarlar\u0131, bulut IAM rolleri, kod depolar\u0131 ve CI\/CD s\u0131rlar\u0131 ayn\u0131 eri\u015fim ya\u015fam d\u00f6ng\u00fcs\u00fcnde ele al\u0131nmal\u0131d\u0131r.<\/p>\n<h3>Eri\u015fim y\u00f6netimi<\/h3>\n<p>\u00c7al\u0131\u015fan i\u015fe ba\u015flad\u0131\u011f\u0131nda, g\u00f6rev de\u011fi\u015ftirdi\u011finde ve ayr\u0131ld\u0131\u011f\u0131nda eri\u015fim talebi ile iptal kayd\u0131 olu\u015fmal\u0131d\u0131r. Ayr\u0131cal\u0131kl\u0131 hesaplar ki\u015fiye \u00f6zel olmal\u0131, ortak root hesab\u0131 kullan\u0131lmamal\u0131 ve MFA m\u00fcmk\u00fcn olan her yerde zorunlu tutulmal\u0131d\u0131r. Ayl\u0131k veya \u00fc\u00e7 ayl\u0131k inceleme s\u0131kl\u0131\u011f\u0131, risk ve kurum politikas\u0131na g\u00f6re belirlenebilir; incelemenin kan\u0131t\u0131 saklanmal\u0131d\u0131r.<\/p>\n<h3>De\u011fi\u015fiklik ve olay y\u00f6netimi<\/h3>\n<p>\u00dcretim de\u011fi\u015fiklikleri talep, onay, uygulama ve geri d\u00f6n\u00fc\u015f plan\u0131 ile izlenmelidir. Acil de\u011fi\u015fikliklerde sonradan inceleme yap\u0131labilir; &#8220;acildi&#8221; ifadesi kay\u0131ts\u0131z i\u015flem i\u00e7in gerek\u00e7e de\u011fildir. Olay kay\u0131tlar\u0131nda ba\u015flang\u0131\u00e7 zaman\u0131, etkilenen sistem, al\u0131nan aksiyon ve kapan\u0131\u015f nedeni bulunmal\u0131d\u0131r.<\/p>\n<h3>Yedekleme ve s\u00fcreklilik<\/h3>\n<p>Yedekleme g\u00f6revinin ba\u015far\u0131l\u0131 g\u00f6r\u00fcnmesi, geri d\u00f6n\u00fc\u015f\u00fcn \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 kan\u0131tlamaz. Rastgele dosya geri d\u00f6n\u00fc\u015f\u00fc, veritaban\u0131 geri y\u00fckleme ve kritik hizmetin yeniden aya\u011fa kald\u0131r\u0131lmas\u0131 periyodik olarak denenmelidir. Linux sunucular\u0131nda disk kullan\u0131m\u0131n\u0131 incelemek i\u00e7in <code>ncdu<\/code>, yedek b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc y\u00f6netmek i\u00e7in <code>borgbackup<\/code> veya uygun bir kurumsal ara\u00e7 kullan\u0131labilir.<\/p>\n<p>\u0130zleme taraf\u0131nda uptime \u00f6l\u00e7\u00fcm\u00fc tek ba\u015f\u0131na yeterli de\u011fildir. CPU, bellek, disk gecikmesi, yedekleme ba\u015far\u0131s\u0131, sertifika s\u00fcresi ve kritik log hatalar\u0131 ayr\u0131 alarmlara ba\u011flanmal\u0131d\u0131r. Yedekleme politikas\u0131 ile ger\u00e7ek geri d\u00f6n\u00fc\u015f hedefleri aras\u0131nda fark varsa, bu fark risk olarak kaydedilmelidir.<\/p>\n<p>\u0130\u015fletim sistemi ve uygulama d\u00fczeyindeki kontrolleri ay\u0131rmak i\u00e7in <a href=\"https:\/\/www.vps.tc\/blog\/tr\/ubuntu-nginx-kurulumu-ilk-yapilandirma\/\">Ubuntu&#8217;da Nginx Kurulumu ve \u0130lk Yap\u0131land\u0131rma<\/a>, <a href=\"https:\/\/www.vps.tc\/blog\/tr\/windows-server-yedekleme-nasil-yapilir\/\">Windows Server Yedekleme Nas\u0131l Yap\u0131l\u0131r<\/a>? ve <a href=\"https:\/\/www.vps.tc\/blog\/tr\/passkey-nedir-sifresiz-giris-nasil-calisir\/\">Passkey Nedir? \u015eifresiz Giri\u015f Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/a> kaynaklar\u0131ndaki teknik ayr\u0131nt\u0131lar ilgili prosed\u00fcrlere ba\u011flanabilir.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Eri\u015fim, de\u011fi\u015fiklik, olay ve yedekleme s\u00fcre\u00e7lerinin her biri i\u00e7in denet\u00e7i d\u0131\u015far\u0131dan geldi\u011finde a\u00e7\u0131labilecek \u00f6rnek bir kan\u0131t dosyas\u0131 haz\u0131rlay\u0131n.<\/p>\n<div class=\"aiw-callout aiw-callout-field\">\n<p class=\"aiw-callout-label\">Sahadan not<\/p>\n<p>Bir m\u00fc\u015fterinin sitesine y\u00f6nelen gece boyu DDoS sald\u0131r\u0131s\u0131nda rate limit uygulad\u0131m ve sald\u0131r\u0131 trafi\u011fini upstream seviyesinde karartt\u0131rd\u0131m. Olay zaman \u00e7izelgesini, e\u015fik de\u011ferlerini ve al\u0131nan aksiyonlar\u0131 kaydettim; sonradan bu kay\u0131tlar olay y\u00f6netimi kontrol\u00fcn\u00fcn kan\u0131t\u0131 olarak kullan\u0131ld\u0131.<\/p>\n<\/div>\n<h2 id=\"rapor-nasil-okunur-hangi-sinirlara-dikkat-edilir\">Rapor nas\u0131l okunur, hangi s\u0131n\u0131rlara dikkat edilir?<\/h2>\n<p>\u0130lk olarak raporun kapsam b\u00f6l\u00fcm\u00fcne bak\u0131n. \u015eirketin t\u00fcm \u00fcr\u00fcnleri tek raporda yer almayabilir; yaln\u0131zca belirli bir hizmet, b\u00f6lge veya t\u00fczel ki\u015filik dahil edilmi\u015f olabilir. &#8220;SOC 2 raporu var&#8221; c\u00fcmlesi, sat\u0131n al\u0131nacak hizmetin rapor i\u00e7inde oldu\u011fu anlam\u0131na gelmez.<\/p>\n<p>Ard\u0131ndan denet\u00e7i g\u00f6r\u00fc\u015f\u00fcn\u00fc, y\u00f6netimin kontrol a\u00e7\u0131klamas\u0131n\u0131 ve test sonu\u00e7lar\u0131n\u0131 okuyun. Type II raporunda istisnalar listeleniyorsa bunlar\u0131n hangi kontrol\u00fc, ka\u00e7 \u00f6rne\u011fi ve hangi tarihi etkiledi\u011fi incelenmelidir. Bir istisnan\u0131n varl\u0131\u011f\u0131 otomatik ret sebebi de\u011fildir; riskin kullan\u0131m senaryosuyla ili\u015fkisi de\u011ferlendirilmelidir.<\/p>\n<p>Raporun payla\u015f\u0131m k\u0131s\u0131tlar\u0131 da \u00f6nemlidir. SOC 2 raporlar\u0131 genellikle belirli kullan\u0131c\u0131larla ve gizlilik \u015fartlar\u0131 alt\u0131nda payla\u015f\u0131l\u0131r. Rapordaki m\u00fc\u015fteri verilerini, altyap\u0131 ayr\u0131nt\u0131lar\u0131n\u0131 veya g\u00fcvenlik kontrollerini herkese a\u00e7\u0131k depolara koymak g\u00fcvence s\u00fcrecinin amac\u0131na ayk\u0131r\u0131d\u0131r.<\/p>\n<p>Son kontrol, raporun g\u00fcncelli\u011fidir. \u0130nceleme d\u00f6nemi sona erdikten sonra ge\u00e7en s\u00fcre uzunsa sa\u011flay\u0131c\u0131dan k\u00f6pr\u00fc mektubu, g\u00fcncel kontrol durumu veya de\u011fi\u015fiklik a\u00e7\u0131klamas\u0131 istenebilir. Bu belge yeni bir Type II raporunun yerine ge\u00e7mez; iki rapor d\u00f6nemi aras\u0131ndaki durumu a\u00e7\u0131klamaya yarar.<\/p>\n<p><strong>Ne yap\u0131lmal\u0131<\/strong> &#8211; Rapor tarihini, kapsama al\u0131nan hizmeti, istisnalar\u0131 ve s\u00f6zle\u015fmedeki bildirim s\u00fcrelerini sat\u0131n alma dosyan\u0131za ayr\u0131 alanlar olarak kaydedin.<\/p>\n<h2 id=\"soc-2-raporunu-incelemeden-once-sunlari-kontrol-edin\">SOC 2 Raporunu \u0130ncelemeden \u00d6nce \u015eunlar\u0131 Kontrol Edin<\/h2>\n<ul class=\"aiw-checklist\">\n<li>Raporun Type I veya Type II oldu\u011funu do\u011frulay\u0131n.<\/li>\n<li>Kapsama giren \u00fcr\u00fcnleri, b\u00f6lgeleri ve altyap\u0131y\u0131 listeleyin.<\/li>\n<li>\u0130ncelenen Trust Services Criteria ba\u015fl\u0131klar\u0131n\u0131 e\u015fle\u015ftirin.<\/li>\n<li>Raporun kapsad\u0131\u011f\u0131 d\u00f6nemin biti\u015f tarihini kaydedin.<\/li>\n<li>Denet\u00e7i g\u00f6r\u00fc\u015f\u00fcn\u00fc ve istisnalar\u0131 okuyun.<\/li>\n<li>Alt hizmet sa\u011flay\u0131c\u0131lar\u0131n raporda nas\u0131l ele al\u0131nd\u0131\u011f\u0131n\u0131 sorun.<\/li>\n<li>Kendi eri\u015fim, yedekleme ve olay m\u00fcdahale sorumluluklar\u0131n\u0131z\u0131 yaz\u0131l\u0131 hale getirin.<\/li>\n<\/ul>\n<div class=\"aiw-cta\">\n<p>Bir hizmet sa\u011flay\u0131c\u0131n\u0131n SOC 2 raporunu incelerken \u00f6nce kapsam\u0131, sonra istisnalar\u0131 ve sorumluluk payla\u015f\u0131m\u0131n\u0131 kar\u015f\u0131la\u015ft\u0131r\u0131n. Raporun g\u00f6sterdi\u011fi kontroller ile i\u015fletmeniz gereken kontrolleri ayn\u0131 listede tutmak, g\u00fcvenlik de\u011ferlendirmesini daha somut hale getirir.<\/p>\n<p class=\"aiw-cta-action\"><a href=\"https:\/\/www.vps.tc\/tr\/vps\">VPS paketlerini inceleyin<\/a><\/p>\n<\/div>\n<h2 id=\"sik-sorulan-sorular\">S\u0131k Sorulan Sorular<\/h2>\n<div class=\"aiw-faq\">\n<details class=\"aiw-faq-item\" open>\n<summary>SOC 2 bir sertifika m\u0131d\u0131r?<\/summary>\n<p>Hay\u0131r. SOC 2, ba\u011f\u0131ms\u0131z denet\u00e7i taraf\u0131ndan haz\u0131rlanan bir kontrol raporudur. Raporda hizmet kurulu\u015funun belirli Trust Services Criteria kapsam\u0131ndaki kontrolleri, denetim prosed\u00fcrleri ve bulgular\u0131 yer al\u0131r. ISO\/IEC 27001 belgelendirmesiyle ayn\u0131 yap\u0131ya sahip de\u011fildir. Bu nedenle sa\u011flay\u0131c\u0131n\u0131n yaln\u0131zca &quot;sertifikal\u0131y\u0131z&quot; ifadesi yerine raporun t\u00fcr\u00fc, kapsam\u0131 ve d\u00f6nemi istenmelidir.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>SOC 2 Type II neden daha \u00e7ok tercih edilir?<\/summary>\n<p>Type II, kontrollerin yaln\u0131zca belirli bir tarihte var oldu\u011funu de\u011fil, raporda belirtilen d\u00f6nem boyunca i\u015fletildi\u011fini test eder. Eri\u015fim incelemeleri, de\u011fi\u015fiklik onaylar\u0131, olay kay\u0131tlar\u0131 ve yedekleme kontrolleri gibi s\u00fcre\u00e7lerden d\u00f6nemsel kan\u0131t toplan\u0131r. Bu, hizmetin g\u00fcnl\u00fck operasyonunda kontrollerin uygulan\u0131p uygulanmad\u0131\u011f\u0131n\u0131 anlamay\u0131 kolayla\u015ft\u0131r\u0131r; rapor kapsam\u0131 ve istisnalar yine ayr\u0131ca incelenmelidir.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>SOC 2 raporu m\u00fc\u015fterinin g\u00fcvenli\u011fini garanti eder mi?<\/summary>\n<p>Hay\u0131r. Rapor, hizmet sa\u011flay\u0131c\u0131n\u0131n belirli kontrolleri hakk\u0131nda ba\u011f\u0131ms\u0131z g\u00fcvence sa\u011flar; m\u00fc\u015fterinin uygulama kodu, kullan\u0131c\u0131 yetkileri, i\u015fletim sistemi g\u00fcncellemeleri veya veri s\u0131n\u0131fland\u0131rmas\u0131 rapor d\u0131\u015f\u0131nda kalabilir. Sa\u011flay\u0131c\u0131n\u0131n ve m\u00fc\u015fterinin sorumluluklar\u0131 hizmet s\u00f6zle\u015fmesinde ayr\u0131lmal\u0131d\u0131r. \u00d6zellikle VPS hizmetlerinde platform g\u00fcvenli\u011fi ile sanal makine i\u00e7indeki y\u00f6netim i\u015fleri farkl\u0131 sorumluluk alanlar\u0131d\u0131r.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>SOC 2 kapsam\u0131nda hangi g\u00fcvenlik kriterleri bulunur?<\/summary>\n<p>G\u00fcvenlik temel kriterdir. Hizmete g\u00f6re kullan\u0131labilirlik, i\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc, gizlilik ve mahremiyet kriterleri de rapora eklenebilir. G\u00fcvenlik yetkisiz eri\u015fim ve tehditlere kar\u015f\u0131 kontrolleri; kullan\u0131labilirlik kapasite ve s\u00fcreklili\u011fi; i\u015flem b\u00fct\u00fcnl\u00fc\u011f\u00fc do\u011fru ve eksiksiz i\u015f ak\u0131\u015f\u0131n\u0131; gizlilik tan\u0131mlanan gizli verileri; mahremiyet ise ki\u015fisel verilerin i\u015flenmesini ele al\u0131r.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>SOC 2 raporu ne kadar s\u00fcre ge\u00e7erlidir?<\/summary>\n<p>SOC 2 raporunun evrensel bir ge\u00e7erlilik s\u00fcresi yoktur; rapor belirli bir tarih veya d\u00f6nem i\u00e7in haz\u0131rlan\u0131r. Type II raporu d\u00f6nem biti\u015finden sonraki operasyonlar\u0131 otomatik olarak kapsamaz. Sat\u0131n alma s\u0131ras\u0131nda rapor d\u00f6neminin ne zaman sona erdi\u011fine bak\u0131lmal\u0131, aradaki d\u00f6nem i\u00e7in sa\u011flay\u0131c\u0131dan g\u00fcncel durum veya k\u00f6pr\u00fc mektubu istenmelidir. Bu belgeler yeni bir denetimin yerine ge\u00e7mez.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>Bir hosting \u015firketinden SOC 2 raporu isterken ne sormal\u0131y\u0131m?<\/summary>\n<p>Raporun Type I mi Type II mi oldu\u011funu, hangi hizmet ve veri merkezlerini kapsad\u0131\u011f\u0131n\u0131, hangi kriterlerin se\u00e7ildi\u011fini ve istisna bulunup bulunmad\u0131\u011f\u0131n\u0131 sorun. Alt hizmet sa\u011flay\u0131c\u0131lar\u0131n nas\u0131l de\u011ferlendirildi\u011fini, olay bildirim s\u00fcrelerini, veri silme prosed\u00fcr\u00fcn\u00fc ve yedekleme sorumluluklar\u0131n\u0131 da s\u00f6zle\u015fmeyle kar\u015f\u0131la\u015ft\u0131r\u0131n. Raporun g\u00fcncel olmas\u0131 kadar sat\u0131n al\u0131nan hizmeti ger\u00e7ekten kapsamas\u0131 da \u00f6nemlidir.<\/p>\n<\/details>\n<\/div>\n<h2 id=\"kaynaklar\">Kaynaklar<\/h2>\n<ul class=\"aiw-sources\">\n<li><a href=\"https:\/\/iso.org\/\" target=\"_blank\" rel=\"noopener\">ISO &#8211; ISO\/IEC 27001 Information Security Management Systems<\/a> \u2014 iso.org<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>SOC 2; hizmet sa\u011flay\u0131c\u0131lar\u0131n g\u00fcvenlik ve di\u011fer Trust Services Criteria kontrollerini ba\u011f\u0131ms\u0131z denetimle kan\u0131tlad\u0131\u011f\u0131 raporlama \u00e7er\u00e7evesidir. Type I, Type II, denetim kan\u0131tlar\u0131 ve teknik ekip sorumluluklar\u0131n\u0131 a\u00e7\u0131kl\u0131yoruz.<\/p>\n","protected":false},"author":2,"featured_media":998,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[497],"tags":[],"class_list":["post-1000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-veri-merkezi"],"lang":"tr","translations":{"tr":1000,"en":1001},"pll_sync_post":[],"_links":{"self":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/comments?post=1000"}],"version-history":[{"count":1,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1000\/revisions"}],"predecessor-version":[{"id":1002,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1000\/revisions\/1002"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/media\/998"}],"wp:attachment":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/media?parent=1000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/categories?post=1000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/tags?post=1000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}