Çocukların verisi, gereğinden fazla kimseye görünmez
Optikurs reşit olmayan öğrencilerin verisini işler. Aşağıda bugün yazılımda olan ve test edilen önlemleri, altında da henüz kararı verilmemiş konuları ayrı ayrı listeliyoruz.
Bugün yazılımda olanlar
Herkes yalnızca kendi alanını görür
- Yetki ekranda değil, sunucuda her istekte denetlenir.
- Veli yalnızca bağlı olduğu çocuğu görür; başka bir öğrencinin numarasını denemek işe yaramaz.
- Öğretmen yalnızca kendi sınıflarını görür ve değiştirir.
- Veli bağlantısı veya öğretmen ataması kaldırıldığında erişim hemen kapanır.
- Her kurumun verisi veritabanı düzeyinde ayrılır: başka bir kurumun verisine ulaşmaya çalışan 768 saldırı denemesinin hepsi testte engellendi.
Dört rolün 44 API işleminin her birine erişimi otomatik testle denetlenir. Yetki ve kurum ayrımı testlerinin tamamı geçti (1176 / 1176).
Giriş ve oturum
- Parolalar geri döndürülemez biçimde (scrypt) saklanır.
- Oturum anahtarları veritabanında yalnızca özet olarak tutulur; 12 saat sonra geçersiz olur.
- Web oturumları HttpOnly çerez ve CSRF korumasıyla çalışır; mobil uygulama anahtarı cihazın güvenli deposunda tutar.
- Tekrarlanan hatalı girişler sınırlandırılır.
Kayıt ve şifreleme
- Her değişiklik kimin, ne zaman, neyi değiştirdiğiyle kayda geçer; kayıtlar uygulama içinden düzenlenemez veya silinemez.
- Yüklenen optik okuyucu dosyaları AES-256-GCM ile şifreli saklanır.
- Sınav sonuçları yayımlanmadan veli ve öğrenciye görünmez.
Yedek ve az veri
- Her gece 03:00'te (Türkiye saati) otomatik yedek alınır. Yedeğin boş bir veritabanına eksiksiz geri yüklenmesi ve tek bir kurumun ayrıca geri yüklenmesi test edildi.
- Öğrenci kaydında TC kimlik numarası alanı yoktur.
- Uygulamada reklam veya analiz aracı yoktur; herkese açık sıralama yoktur.
Henüz belirlenmemiş olanlar
Aşağıdakiler karara bağlanmadan size söz vermiyoruz:
- Verilerin barındırılacağı yer ve hizmet sağlayıcı
- Kesintisiz çalışma (uptime) taahhüdü
- Sertifikalar ve bağımsız güvenlik denetimi
- Sunucu dışında şifreli yedek ve saklama süreleri
- Gerçek öğrenci kimlik bilgilerinin optik eşleştirmede kullanılması
KVKK
Veri sorumlusu ve veri işleyen rolleri, sözleşme ve veri işleme koşullarıyla birlikte kurulum öncesinde netleştirilir.
Hukuki inceleme gerekli. KVKK aydınlatma metni ve çerez politikası sayfaları şimdilik yer tutucudur. Bu sayfa hukuki görüş değildir.
Bu web sitesi
Bu site çerez, analiz aracı veya üçüncü taraf izleyici kullanmaz. Yazı tipleri bu sunucudan yüklenir.
Sorularınızı demo sırasında konuşalım
Yetki modelini, yedekleme düzenini ve açık konuları kurumunuzun ihtiyaçlarıyla birlikte ele alalım.