- SAML 2.0 çoklu oturum açma
- Google ve Microsoft ile giriş
- bcrypt özetleme, güçlü parola politikası
- Hesap ve IP kilitleme
- Her yerden çıkış
Mentornity Güvenlik Merkezi
Program verileriniz her katmanda korunuyor.
Mentornity şirketler, üniversiteler, hızlandırıcılar ve topluluklar için mentorluk ve koçluk programları yürütür. Bu programlardaki insanları şöyle koruyoruz: verinin nerede durduğu, kimin erişebildiği, nasıl şifrelendiği, izlendiği ve geri yüklendiği, ve her kontrolün arkasındaki politikalar.
- 3veritabanı için erişilebilirlik bölgesi
- 7/24dışarıdan sağlık izlemesi
- 30 günmerkezi kayıt saklama
- 7 günşifreli anlık görüntü geçmişi
- AES-256diskler, anlık görüntüler ve yedekler için şifreleme
- 15yayımlanmış güvenlik politikası
Mimari
Tek bölge, tek özel ağ, kenardan içeriye katmanlı.
Mentornity’ye gelen her istek Cloudflare’den ve TLS’i sonlandıran sağlamlaştırılmış bir kenar katmanından geçer. Uygulama ve veritabanı bunun arkasında, Frankfurt’taki özel bir ağdadır; veritabanı üç erişilebilirlik bölgesine çoğaltılır.
Derinlemesine savunma
Dört katman, her biri tek başına güçlü.
- AğÖnde Cloudflare, sağlamlaştırılmış bir kenar katmanı, varsayılanı reddeden güvenlik gruplarıyla özel bir VPC. Veritabanına internetten hiçbir zaman erişilemez.
- KimlikSAML SSO, Google ve Microsoft ile giriş, güçlü bir politikayla bcrypt parolalar, tekrarlanan hatalı denemelerde kilitleme ve istendiğinde tüm oturumların iptali.
- UygulamaHer istekte sunucuda yetkilendirme, program düzeyinde ayrım, üye cevaplarında alan bazında görünürlük, temizlenmiş zengin metin ve nonce tabanlı İçerik Güvenliği Politikası.
- VeriŞifreli diskler, anlık görüntüler ve yedekler, şifreli bir parametre deposunda sırlar, üç bölgeye çoğaltma ve hiçbir zaman parola ya da token tutmayan kayıtlar.
Dayanıklılık
Her gün, gün boyu koruma.
Veri sürekli çoğaltılır, her gece sunucu dışındaki bir yedeğe yazılır ve her sabah anlık görüntüsü alınır; bu sırada dışarıdan bir yoklama hizmeti gece gündüz denetler.
0tek bir veritabanı düğümü çöktüğünde kaybolan veri: çoğaltma otomatik devralır
≤ 24 sagece yedeğinden tam geri yüklemede kurtarma noktası
7 günher sunucu ve veri diski için şifreli anlık görüntü geçmişi
Kontroller
Bugün yerinde olanlar.
Üretimde çalışan teknik kontrollerin özeti. Her kart, kontrolü ayrıntısıyla anlatan politikaya bağlanır.
- Her rotada sunucu tarafı denetim
- Program düzeyinde veri ayrımı
- Alan bazında cevap görünürlüğü
- Role dayalı yönetici erişimi
- Kapsamı sınırlı, hız sınırlı API anahtarları
- Yalnız TLS 1.2 ve 1.3, HSTS
- Şifreli diskler (AES-256)
- Şifreli anlık görüntüler ve yedekler
- Şifreli kasada sırlar
- Giden e-postada SPF ve DKIM
- Frankfurt’ta ayrılmış AWS VPC
- Varsayılanı reddeden güvenlik grupları
- Sağlamlaştırılmış sunucu üst veri erişimi
- Kod olarak altyapı
- Her değişiklikte otomatik açıklık kapısı
- CloudWatch kayıtları ve alarmları
- AWS CloudTrail denetim izi
- Dışarıdan ölü adam anahtarı yoklaması
- Sertifika süresi denetimi
- Konteyner yeniden başlatma bildirimi
- Günlük işletim sistemi güvenlik güncellemeleri
- Aylık bakım penceresi
- govulncheck ve paket denetimleri
- Desteklenen çalışma ortamları
- Bulgular testle kapanışa kadar izlenir
Politikalar
Güvenlik politikalarımız.
Mentornity’nin nasıl işletildiğini 15 politika anlatır: erişim kontrolü ve şifrelemeden olay müdahalesi ve kurtarmaya kadar. Bunları güvenlik incelemenizle paylaşabilirsiniz; her müşteriye bir Veri İşleme Sözleşmesi sunulur.
Yönetişim ve gizlilik
Bilgi Güvenliği Politikası
Programın tamamı: kapsam, ilkeler, roller ve bu sitedeki diğer politikaların birbirine nasıl bağlandığı.
Politikayı okuyun →Veri Koruma ve Gizlilik Politikası
Verinin nerede durduğu, kimin kontrol ettiği, neyin toplandığı ve nasıl iade edildiği ya da silindiği.
Politikayı okuyun →Tedarikçi ve Tedarik Zinciri Risk Yönetimi Politikası
Tedarikçilerin nasıl seçildiği ve gözden geçirildiği, ve alt işleyenlerin tam listesi.
Politikayı okuyun →Yapay Zekâ ve Veri Kullanımı Politikası
Mentornity AI ve MCP bağlayıcısının program verilerini nasıl kullandığı ve onlarla asla ne yapmadığı.
Politikayı okuyun →Sorumlu Açıklama Politikası
Bir zafiyeti nasıl bildireceğiniz, karşılığında neyi taahhüt ettiğimiz ve uyulacak kurallar.
Politikayı okuyun →Veri koruma
Erişim Kontrolü Politikası
Kullanıcıların, yöneticilerin, mühendislerin ve makinelerin kimliğinin nasıl doğrulandığı ve her birinin nereye erişebildiği.
Politikayı okuyun →Şifreleme ve Anahtar Yönetimi Politikası
Her yerde TLS; şifreli diskler, anlık görüntüler ve yedekler; yönetilen bir kasada tutulan sırlar.
Politikayı okuyun →Altyapı ve Ağ Güvenliği Politikası
Frankfurt’ta ayrılmış bir AWS ağı, tek bir sağlamlaştırılmış giriş noktası ve internetten kimsenin ulaşamadığı bir veritabanı.
Politikayı okuyun →Operasyon ve dayanıklılık
Kayıt Yönetimi ve İzleme Politikası
Hangi kayıtların tutulduğu, içlerinde ne olduğu, ne kadar saklandıkları ve kimin izlediği.
Politikayı okuyun →Zafiyet ve Yama Yönetimi Politikası
Günlük işletim sistemi güvenlik güncellemeleri, aylık bakım penceresi ve bilinen sorunu sıfıra indiren bağımlılık taraması.
Politikayı okuyun →Olay Müdahalesi Politikası
Tespitten bildirime ve olay sonrası incelemeye: aşamalar, roller ve zaman çizelgeleri.
Politikayı okuyun →Yedekleme ve Kurtarma Operasyonları Politikası
Üç erişilebilirlik bölgesine çoğaltma, günlük anlık görüntüler, sunucu dışında gece yedekleri ve belgelenmiş geri yüklemeler.
Politikayı okuyun →İş Sürekliliği Politikası
Tedarikçi, altyapı ve insan kaynaklı aksaklıklarda hizmetin ve ekibin çalışmaya devam etmesi.
Politikayı okuyun →Güvenli mühendislik
Güvenli Geliştirme ve Değişiklik Yönetimi Politikası
Her değişiklik, otomatik ve geri alınabilir bir dağıtımdan önce otomatik kapılardan geçen, incelenmiş bir pull request’tir.
Politikayı okuyun →OWASP Top 10 Kontrolleri
Platformun en kritik on web uygulaması güvenlik riskinin her birini nasıl ele aldığı.
Politikayı okuyun →Alt işleyenler
Veriye başka kim dokunuyor.
Program verilerini işleyen tedarikçiler, ne için ve nerede işledikleri. İsteğe bağlı entegrasyonları kurum ya da katılımcı açar. Tedarikçi risk yönetimi politikası
| Tedarikçi | Amaç | Veri konumu |
|---|---|---|
| Amazon Web Services | Barındırma, veritabanı, dosya depolama, yedekler, kayıtlar, işlemsel e-posta (SES) | AB (Frankfurt) |
| Cloudflare | DNS, CDN, DDoS koruması, herkese açık formlarda bot denetimi, gelen e-posta yönlendirme | Küresel kenar ağı |
| Stripe | Abonelik faturalaması ve kart ödemeleri (yalnız fatura irtibatları) | AB ve ABD |
| İsteğe bağlı: Google ile giriş, Google Takvim eşitleme | Katılımcının Google hesabına göre | |
| Microsoft | İsteğe bağlı: Microsoft ile giriş, Outlook takvim eşitleme | Katılımcının Microsoft hesabına göre |
| Zoom | İsteğe bağlı: Zoom görüşme bağlantıları | Kurumun Zoom hesabına göre |
| Anthropic | İsteğe bağlı: kurumun kendi API anahtarıyla Mentornity yapay zekâ asistanı | ABD |
Güvenlik soruları ve cevapları
Mentornity verileri nerede saklanıyor?
Tüm üretim verisi Avrupa Birliği’nde, Frankfurt’taki (Almanya) AWS eu-central-1 bölgesinde, üç erişilebilirlik bölgesinde saklanır ve işlenir. Yedekler ve kayıtlar aynı bölgede kalır.
Veriler şifreleniyor mu?
Evet. Her bağlantı yalnız HTTPS’tir; TLS 1.2 ya da 1.3 ve HSTS kullanılır. Sunucu diskleri, veritabanı diskleri, anlık görüntüler ve yedekler depolamada AES-256 ile şifrelenir; parolalar yalnız bcrypt özeti olarak saklanır.
Mentornity çoklu oturum açmayı (SSO) destekliyor mu?
Evet. Kurumlar kendi kimlik sağlayıcılarıyla SAML 2.0 çoklu oturum açma kullanabilir; katılımcılar ayrıca Google ya da Microsoft ile giriş yapabilir.
Mentornity GDPR’a uygun mu?
Mentornity program verilerini müşteri kurumun talimatıyla veri işleyen olarak işler, AB’de barındırır ve her müşteriye GDPR 28. maddeye göre bir Veri İşleme Sözleşmesi sunar.
Veriler nasıl yedekleniyor?
Veritabanı üç erişilebilirlik bölgesine sürekli çoğaltılır, her gece ayrı ve şifreli bir depoya yedeklenir; her sunucu ve veri diskinin her gün anlık görüntüsü alınır ve yedi günlük geçmiş tutulur.
Mentornity hangi alt işleyenleri kullanıyor?
Barındırma, depolama ve e-posta için Amazon Web Services, DNS, CDN ve DDoS koruması için Cloudflare, faturalama için Stripe. Google, Microsoft, Zoom ve Anthropic yalnız bir kurum ya da katılımcı ilgili entegrasyonu açtığında kullanılır.
Mentornity AI verilerimizle eğitiliyor mu?
Hayır. Yapay zekâ asistanı program bazında açılır, kurumun kendi API anahtarı üzerinden Anthropic’in Claude modelleriyle çalışır ve Anthropic ticari API’si üzerinden gönderilen verilerle modellerini eğitmez.
Bir güvenlik sorununu nasıl bildiririm ya da güvenlik anketi nasıl isterim?
privacy@mentornity.com adresine e-posta gönderin. Zafiyet bildirimlerinin alındığı üç iş günü içinde bildirilir; güvenlik anketleri ve Veri İşleme Sözleşmesi talepleri de aynı adrese gider.
Bir zafiyet mi buldunuz? Güvenlik anketinizin cevaplanması mı gerekiyor?
Araştırmacıların bildirimlerini ve güvenlik ekibinizin incelemelerini memnuniyetle karşılıyoruz. Her bildirimin alındığını üç iş günü içinde bildiririz. Sorumlu açıklama politikasını okuyun.
privacy@mentornity.com Güvenlik bildirimleri, anketler ve Veri İşleme Sözleşmesi talepleri