Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ

Resmî Gazete Bankacılık Düzenleme ve Denetleme Kurumundan: BİRİNCİ KISIM Başlangıç Hükümleri Amaç ve kapsam MADDE 1 – (1) Bu Tebliğin amacı, bankaların, faaliyetlerinin ifasında kullandıkları bilgi sistemlerinin yönetiminde esas alınacak asgari usul ve esasları düzenlemektir. Dayanak MADDE 2 – (1) Bu Tebliğ, 19/10/2005 tarihli ve 5411 sayılı Bankacılık Kanununun 93 üncü maddesi ve 1/11/2006 tarihli ve 26333 sayılı Resmî Gazete’de yayımlanan Bankaların İç Sistemleri Hakkında Yönetmeliğin 11 inci maddesinin beşinci fıkrası ile 16 ncı maddesinin üçüncü fıkrası uyarınca düzenlenmiştir. Tanımlar ve kısaltmalar MADDE 3 – (1) Bu Tebliğde yer alan; a) Akıllı kart: Üzerinde, bilginin kaydedilebildiği ve işlenebildiği çip barındıran kartı, b) ATM: Otomatik para çekme işleminin yanı sıra diğer bankacılık işlemlerinin tamamının veya bir bölümünün gerçekleştirilmesine imkân veren elektronik işlem cihazlarını, c) Banka: Kanunun 3 üncü maddesinde tanımlanan bankaları, ç) Bilgi sistemleri yönetimi: Bankaca gerçekleştirilen faaliyetlerin ve verilen hizmetlerin etkin, güvenilir ve kesintisiz bir şekilde yürütülmesi; mevzuattan kaynaklanan yükümlülüklerinin yerine getirilmesi; muhasebe ve finansal raporlama sisteminden sağlanan bilgilerin bütünlüğünün, tutarlılığının, güvenilirliğinin, zamanında elde edilebilirliğinin ve gereken durumlarda gizliliğinin sağlanması amacıyla uygun bilgi sistemleri ortamının tesis edilmesine, bilgi sistemleri kaynaklarının verimli olarak kullanılmasına, söz konusu bilgi sistemlerinin kullanılmasından kaynaklanacak risklerin kontrolünün ve izlenmesinin sağlanmasına, bu amaçla gerekli sistemsel ve yönetsel önlemlerin alınmasına ilişkin faaliyetleri, d) Biyometrik: Bir kişinin diğer şahıslardan ayrılmasını sağlayan, bu kişiye ait ölçülebilir bir biyolojik veya davranışsal karakteristiğini, e) BSDHY: 16/5/2006 tarihli ve 26170 sayılı Resmî Gazete’de yayımlanan Bankalarda Bağımsız Denetim Kuruluşlarınca Gerçekleştirilecek Bilgi Sistemleri Denetimi Hakkında Yönetmeliği, f) COBIT: Bilgi Sistemleri Denetim ve Kontrol Birliği (ISACA) Bilgi Teknolojileri Yönetişim Enstitüsü (ITGI) tarafından yayınlanmış olan Bilgi Teknolojilerine İlişkin Kontrol Hedefleri’nin (COBIT) güncel versiyonunu, g) Değişken parola: Kimlik doğrulamada kullanılan, belirli dönemlerde değiştirilmesi zorunlu kılınan gizli alfabetik ve/veya rakamsal karakterler dizisini, ğ) Denetim izi: Bir finansal ya da operasyonel işlemin başlangıcından bitimine kadar adım adım takip edilmesini sağlayacak kayıtları, h) Elektronik imza: 15/01/2004 tarihli ve 5070 sayılı Elektronik İmza Kanununda tanımlanan elektronik imzayı, ı) Güvenlik duvarı: Farklı güvenlik hassasiyet düzeylerine sahip ağlar arasında kontrollü geçişe imkân tanıyan yazılım ya da donanım temelli çözümleri, i) İç Sistemler Yönetmeliği: 1/11/2006 tarihli ve 26333 sayılı Resmî Gazete’de yayımlanan Bankaların İç Sistemleri Hakkında Yönetmeliği, j) İnternet bankacılığı: Müşterilerin banka tarafından sunulan hizmetlere internet yoluyla ulaşmalarını ve yapmak istedikleri işlemleri gerçekleştirmelerini sağlayan bankacılık hizmeti dağıtım kanalını, k) İşlem doğrulama kodu: Kimlik doğrulama yöntemlerinden biriyle kendisini sisteme tanıtan bir kişinin gerçekleştirmek istediği bir işlem için, bu işlemi onaylayıp onaylamadığına dair sisteme tanıttığı kimliğe yöneltilen, bir kereye mahsus kullanılmak üzere yaratılmış belirli uzunlukta alfabetik ve/veya rakamsal karakter dizisinden oluşan kodu, l) Kanun: 19/10/2005 tarihli ve 5411 sayılı Bankacılık Kanununu, m) Kimlik doğrulama: Bildirilen bir kimliğin gerçekten bildiren şahsa ait olduğuna dair güvence sağlayan mekanizmayı, n) Kontrol: Banka içerisinde bilgi teknolojileri süreçleriyle ilgili olarak gerçekleştirilen ve iş hedeflerinin gerçekleştirilmesi, istenmeyen olayların engellenmesi, belirlenmesi ve düzeltilmesi ile ilgili olarak yeterli derecede güvenceyi oluşturma amacı güden politikalar, prosedürler, uygulamalar ve organizasyonel yapıların tamamını, o) Oturum: Veri aktarımı, sunuşu veya gerçekleştirilecek finansal işlemler için taraflar arasında kurulan mantıksal bağı, ö) Parola: Kimlik doğrulamada kullanılan, değiştirilmesi zorunlu kılınmayan gizli alfabetik ve/veya rakamsal karakterler dizisini, p) Parolanın/değişken parolanın sıfırlanması: Bir kullanıcıya ait parolanın/değişken parolanın kullanım dışı kaldığı, unutulduğu, kullanıcı hesabının kilitlendiği ya da ilk defa parolanın/değişken parolanın atanmasının gerektiği gibi durumlarda, bir yardım masası vasıtasıyla ya da sistemsel bir takım sorgulardan geçerek, kullanıcıya kendi parolasını/değişken parolasını belirleme imkânının verilmesini veya rastgele oluşturulmuş bir alfabetik ve/veya rakamsal karakterler dizisinin yeni kullanıcı parolası/değişken parolası olarak atanarak, bu parolanın/değişken parolanın kullanıcıya iletilmesini, r) Sızma testi: Sistemin güvenlik açıklarını istismar edilmeden önce tespit etmek ve düzeltmek amaçlı gerçekleştirilen atakları, s) Şifreleme açık anahtarı: Açık anahtarlı şifrelemede kullanılan, herkesin erişimine ve kullanımına açık olan, şifreleme gizli anahtarı ile matematiksel bağlantısı bulunan ve şifreleme gizli anahtarı ile atılan imzayı kontrol etmek, yapılan şifrelemeyi çözmek, ya da sadece şifreleme gizli anahtarının çözebileceği şekilde verinin şifrelenmesi için kullanılan şifreleme anahtarını, ş) Şifreleme anahtarı: Şifreleme algoritmasının şifreleme ve şifre çözme amacıyla kullandığı karakter dizisini, t) Şifreleme gizli anahtarı: Açık anahtarlı şifrelemede imza atma, şifreleme ve karşılığı olan şifreleme açık anahtarıyla şifrelenmiş veriyi çözmek için kullanılan, sadece sahibi tarafından bilinmesi ve kullanılması gereken anahtarı, u) Tek kullanımlık parola: Kimlik doğrulamada sadece bir kez kullanılmak üzere rastgele yaratılan alfabetik ve/veya rakamsal karakterler dizisini, ü) Üst düzey yönetim: İç Sistemler Yönetmeliğinin 3 üncü maddesinde tanımlanan üst düzey yönetimi, v) Üst yönetim: İç Sistemler Yönetmeliğinin 3 üncü maddesinde tanımlanan üst yönetimi, y) Yama: Programlarda tespit edilen açıklıkları veya programın içeriğindeki hatalı bir fonksiyonu düzeltme amaçlı hazırlanan program eklentisini, z) Yetkilendirme veritabanı: Müşteri ve kullanıcı erişim haklarının ve yetkilendirmeye ilişkin bilgilerin tutulduğu yapıyı ifade eder. Bankalarda bilgi sistemleri yönetiminin önemi MADDE 4 – (1) Banka, bilgi sistemlerinin yönetimini kurumsal yönetim uygulamalarının bir parçası olarak ele alır. Bankanın operasyonlarını istikrarlı, rekabetçi ve gelişen bir çizgide sürdürebilmesi için bilgi sistemlerine ilişkin stratejinin iş hedefleri ile uyumlu olması sağlanır, bilgi sistemleri yönetimine ilişkin unsurlar yönetsel hiyerarşi içerisinde uygun yere yerleştirilir ve bilgi sistemlerinin doğru yönetimi için gerekli finansman ve insan kaynağı tahsis edilir. (2) Banka, bilgi sistemlerinin yönetimine ilişkin politikalar, prosedürler ve süreçler tesis eder. Prosedürler ve süreçler ilgili iş alanında gerçekleşen değişiklikler veya teknolojik gelişmeler doğrultusunda gerekiyorsa yenilenmek üzere düzenli olarak gözden geçirilir. (3) Bilgi sistemleri üzerinde tesis edilen yönetimin etkinliği; risk yönetimi, iç kontrol sistemi ve iç denetim kapsamında yürütülecek çalışmaların da katkısıyla sağlanır. İKİNCİ KISIM Bilgi Sistemlerine İlişkin Risk Yönetimi ve İç Kontrollerin Tesisi BİRİNCİ BÖLÜM Bilgi Sistemlerine İlişkin Risk sistemleri risk yönetimi MADDE 5 – (1) Banka, bankacılık faaliyetlerinde bilgi teknolojilerini kullanıyor olmasından kaynaklanan riskleri ölçmek, izlemek, kontrol etmek ve raporlamak üzere gerekli önlemleri alır. Bilgi sistemlerine ilişkin risklerin yönetilmesi, bilgi sistemleri yönetiminin önemli bir bileşeni olarak ele alınır. Bilgi teknolojilerinin bankacılık faaliyetlerinde kullanılması nedeniyle oluşan risklerin temel kaynağı olarak kabul edilebilecek unsurlardan aşağıda sıralananlar banka tarafından göz önünde bulundurulur, risk yönetiminde değerlendirmeye katılır: a) Bilgi teknolojilerindeki hızlı gelişmeler sebebiyle rekabetçi ortamda bu gelişmelere uymamanın olumsuz sonuçları ve bu gelişmelere uyma konusundaki zorluklar, b) Bilgi sistemlerinin bilinenlerden farklı hatalara ve dolandırıcılıklara zemin hazırlayabilmesi, c) Bilgi sistemlerinin bankacılık faaliyetlerinde kullanımının artmasına bağlı olarak yaygınlaşan destek hizmeti alımı, buna bağlı olarak operasyonlarda destek hizmeti kuruluşlarına bağımlılığın doğmuş olması, ç) Bankanın iş sürekliliğinin önemli oranda bilgi sistemlerinin işlerliğine bağlı duruma gelmesi, d) Bilgi sistemleri üzerinden gerçekleştirilen işlemlerin ve tutulan, aktarılan ve işlenen verilerin güvenliğinin sağlanmasının, müşteri tanımanın, inkâr edilemezliğin ve işlem izlerine ilişkin kayıtların tutulmasının zorlaşmış olması. (2) Banka, risk yönetim politika ve süreçlerini, bilgi teknolojilerinin kullanımına bağlı olarak gözden geçirip, buradan kaynaklanacak risklerin yönetimini kapsayacak şekilde yeniler. Bilgi teknolojilerinden kaynaklanan risklerin operasyonel risk kapsamında değerlendirilmesinin yanısıra bu risklerin bankacılık faaliyetlerinden kaynaklanan diğer risklerin de bir çarpanı olabileceğinden, bilgi teknolojilerinden kaynaklanan riskleri de içeren bütünleşik bir risk yönetim yaklaşımı tüm bankacılık faaliyetleri için benimsenir, bilgi teknolojilerinin takibi ve gözetimine ilişkin çalışmalardan edinilen verilerin bankanın bütünsel risk yönetim çerçevesinin bir parçası haline gelmesi sağlanır. (3) Banka, belirleyeceği dönemlerde veya bilgi sistemlerinde meydana gelecek önemli değişikliklerden önce planlanan değişiklikleri de göz önünde bulundurarak bilgi sistemlerine ilişkin risk analizlerini tekrarlar ve risk analizlerinin ne şekilde gerçekleştirileceğine ilişkin prosedürleri hazırlar. (4) Bilgi sistemlerine ilişkin risklerin yönetimi amacıyla geliştirilen politika ve prosedürlerin gerekleri, bankanın organizasyonel ve yönetsel yapıları içerisinde fiili olarak işleyecek şekilde yerleştirilir, bunların işlerliğine ilişkin gözetim ve takip gerçekleştirilir. (5) Risk yönetimine ilişkin politikaların, prosedürlerin ve süreçlerin bilgi teknolojilerinin kullanımından kaynaklanan riskleri de kapsayacak şekilde düzenlenmesi çalışmalarında, bu Tebliğin 6 ila 19 uncu maddeleri arasında yer alan, bilgi sistemlerinin özel niteliklerinden kaynaklanan risk yönetim prensipleri göz önünde bulundurulur. Söz konusu prensipler, üst yönetim gözetimi, güvenlik kontrolleri ile yasal ve itibar riski yönetimi başlıkları kapsamında yapılması gerekenleri ifade eder. Bankanın, kendi risk profiline, operasyonel yapısına, kurumsal yönetim kültürüne ve ilgili diğer mevzuat ile çizilen çerçeveye uygun olarak bilgi sistemlerine ilişkin risk yönetim süreçlerini geliştirmesi ve bilgi teknolojilerinden kaynaklanan riskleri de bu kapsamda değerlendirmeye alması esastır. gözetimi MADDE 6 – (1) Banka üst yönetimi bilgi sistemleri kullanımından kaynaklanan risklerin yönetilmesi için etkin bir gözetim yürütür. Bu amaçla üst yönetim tarafından değerlendirmeden geçirilmiş ve uygunluğu onaylanmış, bilgi sistemlerinin kullanımından kaynaklanan risklerin yönetilmesine yönelik, kapsamlı bir süreç üst düzey yönetim tarafından hazırlanır. Bu süreç sorumlulukların açıkça tanımlanması ile risklerin yönetilmesine ilişkin politikaların oluşturulması ve kontrollerin tesis edilmesi ve izlenmesi faaliyetlerini kapsar. (2) Bilgi sistemleri üzerinde etkin ve yeterli iç kontrollerin tesis edilmesi yönetim kurulunun sorumluluğundadır. (3) Banka risk profili ve stratejisi üzerinde önemli etkileri olacak yeni bilgi sistemi unsurlarının kullanıma alınmasına ilişkin projeler banka üst düzey yönetimi tarafından gözden geçirilir. Üst düzey yönetim, bilgi sistemleri unsurlarına ilişkin bu yeni projelerin getireceği riskleri yönetmek için gerekli uzmanlık düzeyinin banka bünyesinde bulunduğundan emin olmadan, çalışmalara onay vermez. Projelerin banka iç kaynaklarıyla veya destek hizmeti alımı yoluyla gerçekleştirilmesine bakılmaksızın üst düzey yönetim ve personel uzmanlığının, projeye ilişkin uygulamaların ve bunu destekleyen alt yapının gerektirdiği teknik detay ve karmaşıklık ile orantılı olması esastır. Bu yapıyı desteklemek üzere oluşturulacak yönetsel rol ve sorumluluklar açıkça belirlenir. (4) Banka üst yönetimi, bilgi sistemlerine ilişkin güvenlik önlemlerinin uygun düzeye getirilmesi hususunda gerekli kararlılığı gösterir ve bu amaçla yürütülecek faaliyetlere yönelik olarak yeterli kaynağı tahsis eder. Üst yönetim, aşağıdaki faaliyetlerin yerine getirilmesini temin edecek mekanizmaları kurar: a) Bilgi güvenliği politikalarının ve tüm sorumlulukların belirli periyotlarla gözden geçirilmesi ve onay mekanizmasına tabi tutulması, b) Bilgi kaynaklarına yönelik tehditlerin periyodik olarak değerlendirilmesi, c) Bilgi güvenliği ihlaline ilişkin olayların izlenmesi ve periyodik olarak değerlendirilmesi, ç) Bilgi güvenliği hususunda farkındalığı artıracak çalışmaların desteklenmesi. (5) Bankanın bilgi güvenliği politikası, yönetim kurulunun onayından geçmeli ve tatbiki üst yönetim tarafından gözetilmelidir. Güvenlik kontrol sürecinin tesis edilmesi ve yönetilmesi MADDE 7 – (1) Banka üst yönetimi, bilgi güvenliği politikası kapsamında, bilgi sistemlerinden kaynaklanan güvenlik risklerinin yeterli düzeyde yönetildiğinden emin olmak için, güvenlik kontrol sürecini değerlendirmeye tabi tutar ve uygunluğunu onaylar. Banka üst yönetimi, bilgi sistemlerinin ve üzerinde işlenmek, iletilmek, depolanmak ve yedek olarak saklanmak üzere bulunan verilerin gizlilik, bütünlük ve ulaşılabilirliklerini sağlayacak önlemlere ilişkin kontrol altyapısının geliştirilmesi ve düzenli olarak güncellenmesi çalışmalarını gözetimi altında tutar. (2) Güvenlik kontrol süreci ve bilgi güvenliği politikası vasıtasıyla sorumluluklar açıkça tanımlanmış şekilde kişilere atanır. Bu kapsamda güvenlik kontrol süreçlerinin oluşturulması, sürdürülmesi ve yönetilmesine ilişkin açık yönetsel sorumluluklar belirlenir. (3) Bilgi güvenliğinin tesisi amacıyla uygulanacak kontroller asgari olarak aşağıdaki unsurları içerir: a) Bilgi sistemleri ve içerdiği verilerin güvenliği konusunda gerekli kontrollerin ve yapıların oluşturulması çalışmaları kapsamında; risk değerlemesi yapılması, bilgi güvenliği politikası oluşturulması ve uygulanması, bilgi güvenliği testlerinin uygulanması, işlemlerin takip edilip raporlanması ve kontrollerin ve oluşturulan yapıların teknolojik gelişmelere göre güncellenmesi faaliyetlerini içeren bir süreç oluşturulur. b) Banka personelinin güvenlik konusunda farkındalık kazanmaları banka tarafından sağlanır, bankanın güvenlik politikası kendilerine aktarılır, uyum konusunda yazılı taahhütleri alınır. c) Bilgi sistemleri ve bilgi sistemleri üzerinde işlenen, iletilen, depolanan ve yedek olarak tutulan veriler güvenlik hassasiyet derecelerine göre sınıflanır, her bir sınıf için uygun düzeyde güvenlik kontrolleri tesis edilir. ç) Bilgi sistemlerinin güvenilirliğinin ve tutarlılığının düzenli olarak incelenmesini sağlayacak süreçler tesis edilir. Bu çerçevede güvenlik ile ilgili hükümlerin gereklerinin yerine getirilmesi hususunda herhangi bir icrai görevi bulunmayan bağımsız ekiplere düzenli aralıklarla sızma testleri yaptırılır. Güvenlik alanındaki güncel gelişmeler ve yeni açıklar takip edilir, gerekli yazılım güncellemeleri yapılır, gerekli yamalar uygulanır. d) Banka, kendi kurumsal ağı dışındaki ağlarla iletişimde bulunduğu hallerde bu dış ağlardan gelebilecek tehditler için gerekli ağ kontrol güvenlik sistemlerini tesis eder. e) Banka, dış ağdan iç ağına yapılacak erişimleri kontrol altında tutmak, ayrıca, iç ağının farklı güvenlik hassasiyetine sahip alt bölümlerini birbirinden ayırarak kontrollü geçişi temin etmek üzere, gerektiği şekilde konfigürasyonu yapılmış ve sürekli gözetim altında tutulan bir veya birden fazla güvenlik duvarını kullanır. f) Bilgi sistemleri güvenliğine ilişkin hükümlerin yerine getirilmesinden ve takibinden sorumlu olan, bilgi sistemleri güvenliğiyle ilgili riskler ve bu risklerin yönetilmesi hususunda bilgi sistemleri yöneticisine rapor veren, yeterli teknik bilgi ve tecrübeye sahip bir bilgi sistemleri güvenliği sorumlusu atanır. sistemlerine ilişkin destek hizmeti alımı sürecinin yönetimi MADDE 8 – (1) Banka üst yönetimi, bilgi sistemleri kapsamında alınacak destek hizmetlerine ilişkin olarak, söz konusu hizmetin destek hizmeti alımı yoluyla gerçekleştirilmesinin banka açısından doğuracağı risklerin yeterli düzeyde değerlendirilmesi, yönetilmesi ve destek hizmeti kuruluşu ile ilişkilerin etkin bir şekilde yürütülebilmesine olanak sağlayacak yeterli bir gözetim mekanizması tesis eder. Tesis edilecek gözetim mekanizması ile asgari olarak; a) Bilgi sistemleri alt yapısına ilişkin destek hizmeti alımının doğuracağı risklerin tüm yönleriyle değerlendirilmesi, b) Destek hizmeti kuruluşunun seçiminde gerekli özenin gösterilmesi, c) Destek hizmeti alımı kapsamındaki tüm sistem ve süreçlerin bankanın kendi risk yönetimi, güvenlik ve müşteri mahremiyeti politikalarına uygun olması, ç) Destek hizmeti kapsamında banka verilerinin destek hizmeti kuruluşuna aktarılmasının gerekli olduğu durumlarda, destek hizmeti kuruluşunun güvenlik konusundaki prensip ve uygulamalarının en az bankanın uyguladıkları düzeyde olması, d) Destek hizmeti alımı kapsamındaki faaliyetlerin banka bünyesinde gerçekleştirilmesi durumunda hangi denetimlere tabi tutulması öngörülüyorsa, herhangi bir kapsam daraltılmasına gidilmeden aynı denetimlere tabi tutulması, faaliyetin destek hizmeti alımı yoluyla gerçekleştirilmesi nedeniyle ek denetim ihtiyacı duyuluyorsa bunların da gerçekleştirilmesi, e) Destek hizmeti alımına ilişkin hususların banka iş süreklilik planı göz önünde bulundurularak düzenlenmesi ve gerekli önlemlerin alınması, destek hizmeti kuruluşunun bu kapsamdaki yükümlülüklerinin sözleşme ile netleştirilmesi, temin edilir. (2) Destek hizmeti alımının, planlananın dışında sonlanması durumlarına ilişkin risklerin yönetilmesine uygun bir çıkış stratejisi belirlenir. (3) Destek hizmeti alımına ilişkin koşul, kapsam ve her türlü diğer tanımlama, ilgili destek hizmeti kuruluşunca da imzalanmış olacak şekilde sözleşmeye bağlanır. Sözleşme, asgari olarak aşağıdaki hususları içerir; a) Hizmet seviyelerine ilişkin tanımlamalar, b) Hizmetin sonlanma koşulları, c) Bankaya ait iş süreklilik planının sekteye uğramasını engelleyecek şekilde destek hizmeti kuruluşunun alması gereken önlemlere ilişkin hükümler, ç) Bankanın güvenlik politikası dâhilinde hassasiyet arz eden konulara ilişkin gereklilikler, d) Sözleşme kapsamında üretilecek olan ürünün sahipliğini, fikri mülkiyet haklarını da göz önünde bulundurarak düzenleyen hükümler, e) Sözleşmede destek hizmeti kuruluşları için yükümlülük teşkil eden hükümlerin, alt yüklenici kuruluşlar ile yapılacak olan sözleşmelerde de bağlayıcı maddeler olarak yer almasını sağlayacak hükümler, f) Destek hizmeti alımının, planlananın dışında sonlanmasından kaynaklanacak risklerin yönetilmesine ilişkin hükümler, g) Bankanın tabi olduğu mevzuat hükümlerinin alınan hizmet çerçevesinde destek hizmeti kuruluşları için de uygulanmasını sağlayacak hükümler. (4) Banka, güvenlik politikasının tanımladığı ilkeler doğrultusunda, destek hizmeti alımından kaynaklanan riskleri kontrol altında tutmak üzere gerekli organizasyonel değişiklikleri yapar, idari prosedürler tanımlar ve bu kapsamda alınacak önlemleri ilgili tüm diğer bölümlerin günlük işlemlerine ve sistemlerine entegre eder, alınan destek hizmetine ilişkin olarak, destek hizmeti kuruluşuyla ilişkileri yürütecek, yeterli bilgi ve tecrübeye sahip bir sorumlu atar. (5) Destek hizmeti kuruluşlarına verilen erişim hakkı tipleri özel olarak değerlendirilir. Fiziksel veya mantıksal olabilecek bu erişimler için risk değerlendirmesi yapılır; buna göre, eğer gerekiyorsa ek kontroller tesis edilir. Risk değerlendirmesi yapılırken ihtiyaç duyulan erişim tipi, erişilen verinin değeri, destek hizmeti kuruluşu tarafından yürütülmekte olan kontroller ve bu erişimin banka bilgilerinin güvenliği üzerindeki etkileri dikkate alınır. (6) Banka üst yönetimi, destek hizmeti alımı yoluyla gerçekleştirilen servisler için; servisin erişilebilirliğini, performansını, kalitesini, bu servis kapsamında gerçekleşen güvenlik ihlali olayları ile destek hizmeti kuruluşunun güvenlik kontrollerini, finansal koşullarını ve sözleşmeye uygunluğunu yakından takip eder. (7) Bu maddede yer alan hükümler, bilgi sistemlerine ilişkin destek hizmeti alımlarında, 1/11/2006 tarihli ve 26333 sayılı Resmî Gazete’de yayımlanan Bankaların Destek Hizmeti Almalarına ve Bu Hizmeti Verecek Kuruluşların Yetkilendirilmesine İlişkin Yönetmelik’te belirtilen hükümler aynen geçerli olmak kaydıyla, ilave hükümler olarak değerlendirilir. Kimlik doğrulama MADDE 9 – (1) Bilgi sistemleri üzerinden gerçekleşen işlemler için uygun bir kimlik doğrulama mekanizması kurulur. Hangi kimlik doğrulama tekniklerinin kullanılacağına, üst düzey yönetim tarafından yapılacak risk değerlendirmesi sonucuna göre karar verilir. Risk değerlendirmesi, bilgi sistemleri üzerinden gerçekleştirilmesi planlanan işlemlerin türü (tipi, niteliği, varsa doğuracağı finansal ve finansal olmayan etkilerinin büyüklüğü gibi), işleme konu verinin hassaslık derecesi ve kimlik doğrulama tekniğinin kullanım kolaylığı da göz önünde bulundurularak gerçekleştirilir. (2) Uygulanacak kimlik doğrulama mekanizması, müşterilerin ve personelin bilgi sistemlerine dâhil olmalarından, işlemlerini tamamlayıp sistemden ayrılmalarına kadar geçecek tüm süreci kapsayacak şekilde tesis edilir. Kimlik doğrulama bilgisinin oturumun başından sonuna kadar doğru olmasını garanti edecek gerekli önlemler alınır. (3) Bilgi sistemlerine erişim için kullanılan kimlik doğrulama verilerinin tutulduğu veritabanlarının güvenliğini sağlamaya yönelik gerekli önlemler alınır. Bu amaçla alınacak önlemler asgari olarak kimlik doğrulama verilerinin veritabanlarında şifreli olarak muhafaza edilmesi, yapılacak her türlü kontrolsüz değişikliği algılayacak sistemlerin kurulması, yeterli denetim izlerinin tutulması ve bu denetim izlerinin güvenliğinin sağlanması hususlarını içerir. Ayrıca bu veriler kimlik doğrulama amacıyla aktarılırken şifrelenir ve verilerin aktarımı sırasında gizliliğinin sağlanmasına yönelik önlemler alınır. İnkâr edilemezlik ve sorumluluk atama MADDE 10 – (1) Banka, bilgi sistemleri dâhilinde gerçekleşen ve kapsamını kendisinin belirleyeceği kritik işlemler için, inkâr edilemezlik ve sorumluluk atama imkânlarını içeren teknikler kullanır. Görevler ayrılığı prensibi MADDE 11 – (1) Bilgi sistemlerine ilişkin sistem, veritabanı ve uygulamaların geliştirilmesinde, test edilmesinde ve işletilmesinde görevler ve sorumluluklar ayrılığı prensibi uygulanır, atanan görevler ve sorumluluklar görevler ayrılığı prensibine göre periyodik olarak gözden geçirilir ve gerekiyorsa güncellenir. Süreçler ve sistemler, kritik bir işlemin tek bir personel veya destek hizmeti kuruluşu tarafından girilmesi, yetkilendirilmesi ve tamamlanmasına imkân vermeyecek şekilde tasarlanır. (2) Etkin bir görevler ayrılığı ortamının tesis edilebilmesi için banka verileri üzerinde etkileri olabilecek süreçleri yürütecek personele, kendilerine atanan görevler göz önünde bulundurularak, sadece bu görevleri yerine getirmelerine yetecek kadar yetkinin verilmesi temin edilir. (3) Görevlerin tam manasıyla ve uygun şekilde ayrıştırılmasının mümkün olmadığı durumlarda, bu durumdan kaynaklanabilecek hata ve suiistimalleri önlemeye yönelik risk azaltıcı veya telafi edici kontroller tesis edilir. (4) Bilgi sistemlerine ilişkin fonksiyonların gerçekleştirilmesinde görevler ayrılığı ilkesinin gereklerini sağlamak için tesis edilen kontrollerin aşılabilirliğini tespit etmek üzere testler yapılır. Yetkilendirme MADDE 12 – (1) Banka, bilgi sistemlerine ilişkin veritabanlarına, uygulamalara ve sistemlere erişim için uygun bir yetkilendirme ve erişim kontrolü tesis eder. Bu çerçevede bilgi sistemlerinde gerçekleşen faaliyetlere müdahil kullanıcı, taraf ve sistemlere uygun yetkilendirme düzeyi ve erişim hakkı atanır. Yetkilendirme düzeyi ve erişim haklarının atanmasında ilgili unsurun görev ve sorumlulukları göz önünde bulundurularak, gerekli olacak en düşük yetkinin atanması ve en kısıtlı erişim hakkının verilmesi yaklaşımı esas alınır. Böylelikle sistemlere, servislere ve verilere sadece gerekli yetkiye sahip kullanıcı, taraf ve sistemlerin erişimi mümkün kılınır. Atanacak yetkiler görevler ayrılığı prensibinin tanımladığı ilkeler ile tutarlı olmalıdır. (2) Yetkilendirme ve erişim hakkı tahsisi mekanizması, hiçbir kullanıcı, taraf ya da sistemin kendi yetkilendirme düzeyini ve erişim haklarını önceden tanımlanmış düzeylerin üzerine çıkartmasına izin vermeyecek şekilde tesis edilir. (3) Bilgi sistemleri dâhilinde gerçekleşen kritik faaliyetlerin güncel ve geçerli yetkilendirme veritabanları üzerinden gerçekleştirilmesi temin edilir. Tüm kullanıcı, taraf ve sistemlere atanmış olan yetkiler ve erişim hakları periyodik olarak güncel durumla uyumlulukları açısından değerlendirilmeye tabi tutulur. Yetkilendirme veritabanlarının güvenliği sağlanır ve yapılacak her türlü kontrolsüz değişikliği algılayacak mekanizmalar kurulur. Yetkilendirme veritabanlarına yetkisiz erişim teşebbüsleri kayıt altına alınır ve düzenli olarak gözden geçirilir. (4) Bilgi sistemleri dâhilinde gerçekleşen kritik faaliyetlere ilişkin yetkilendirme veritabanları da dâhil olmak üzere her türlü veritabanı, uygulama ve sistemde meydana gelecek değişiklik, ekleme ve silmenin, kimlik doğrulaması uygun tekniklerle gerçekleştirilmiş yetkili kullanıcılar tarafından yapılması sağlanır. Bu kapsamdaki her türlü işlem için banka bünyesinde etkin bir değişiklik yönetimi tesis edilir, yeterli denetim izi tutulur ve tutulan denetim izlerinin düzenli olarak gözden geçirilmesi sağlanır. (5) Bilgi sistemleri dâhilinde gerçekleşen kritik faaliyetlere ilişkin yetkilendirme veritabanlarının güvenilirliğini yitirmesi durumunda, ilgili veritabanları güncel ve güvenilir duruma getirilene kadar kullanılmaz, güvenilir olmayan veritabanları üzerinden yetkilendirme ve erişim hakkı tahsisi işlemleri gerçekleştirilmez. (6) Ayrıcalıklı yetkilere sahip kullanıcı ve sistem hesapları için ek denetim izleri tutulur ve periyodik olarak gözden geçirilir. (7) Ayrıcalıklı yetkilere sahip kullanıcılar, yetkilerinin başka kişilerce kullanımının önlenmesinin önemi konusunda yeterli düzeyde bilinçlendirilir. (8) Acil durumlar için, yetkili personele ulaşılamaması nedeniyle geçici olarak gerçekleştirilen yetkilendirmelerde, bu yetkilendirme süresince gerçekleştirilecek işlemlerin yeterli düzeyde takibine izin verecek şekilde detaylı denetim izlerinin tutulması sağlanır. (9) Bilgi sistemleri alt yapısına yönelik yetkisiz fiziksel ve mantıksal erişimleri engelleyecek kontroller ve gözetim süreçleri tesis edilir. İşlemlerin, kayıtların ve verilerin bütünlüğü MADDE 13 – (1) Banka, bilgi sistemleri üzerinden gerçekleşen işlemlerin, kayıtların ve verilerin bütünlüğünün sağlanmasına yönelik gerekli tedbirleri alarak bunların doğruluğunu, tamlığını ve güvenilirliğini temin eder. Bütünlüğü sağlamaya yönelik tedbirler verinin iletimi, işlenmesi ve saklanması aşamalarının tamamını kapsayacak şekilde tesis edilir. Destek hizmeti kuruluşları nezdinde gerçekleşen işlemler için de aynı yaklaşım gösterilir. (2) Bilgi sistemlerine ilişkin işlemlerin doğruluğu ve güvenilirliği asgari olarak, yapılmak istenen işleme ait anahtar öneme sahip bilgilerin işlemin başlangıcından tamamlanışına kadar doğruluğunu yitirmemesini ve yapılmak istenen işlemin kendinden beklenen sonucu yerine getirmesini; tamlığı ise asgari olarak bütün işlemlerin hata üretmeden gerçekleşmesini ve mükerrer olamamasını gerektirir. (3) Banka, bilgi sistemlerine ilişkin işlemlerde ve kayıtlarda meydana gelebilecek olası bozulmaları saptayacak teknikleri kullanır. Denetim izlerinin oluşturulması MADDE 14 – (1) Bilgi sistemleri üzerindeki riskler, sistemlerin boyutu ve faaliyetlerin karmaşıklığı göz önünde bulundurularak bilgi sistemlerinin kullanımına ilişkin etkin bir denetim izi kayıt mekanizması tesis edilir. Bu sayede, bilgi sistemleri dâhilinde gerçekleşen ve bankacılık faaliyetlerine ait kayıtlarda değişikliğe sebep olan işlemlere ilişkin denetim izlerinin yeterli detayda ve açıklıkta tutulması temin edilir. Denetim izlerinin bütünlüğünün bozulmasının önlenmesi ve herhangi bir bozulma durumunda bunun tespit edilebilmesi için gerekli teknikler kullanılır. Kayıt sisteminin her türlü yetkisiz sistemsel ve kullanıcı müdahalesine karşı korunmasına yönelik önlemler alınır. Bankacılık faaliyetlerine ait kayıtlarda değişikliğe sebep olan işlemler için asgari olarak; a) Bu kapsamdaki işlemlere ilişkin yetkisiz erişim teşebbüslerine, b) İşlemi gerçekleştiren uygulamaya, c) İşlemi gerçekleştiren kişinin kimliğine, ç) Yapılan işlemlerin zamanına, bilgileri içeren denetim izleri tutulur. (2) Kapsamı birinci fıkrada tanımlanmış olan denetim izleri asgari 3 yıl boyunca banka nezdinde saklanır. Ayrıca, bankacılık faaliyetlerine ait kayıtlarda değişikliğe sebep olmasalar bile, Kanunun 73 üncü maddesine göre sır kapsamında olan bilgilerin sorgulanmasına ilişkin işlemlere ait denetim izleri, Kanunun aynı maddesindeki hükümlere aykırı olarak bu bilgilerin ifşası durumunda sorumluların tespitini sağlayacak nitelikte, asgari 1 yıl boyunca banka nezdinde saklanır. Denetim izlerinin, yeterli güvenlik düzeyine sahip ortamlarda korunması ve yedeklerinin alınması suretiyle, yaşanacak olası felaketler sonrasında da öngörülen süre için erişilebilir olmaları temin edilir. (3) Banka, müşterilerini ve personelini, aktivitelerinin kaydının tutulduğu hususunda haberdar eder. (4) Banka, kayıt sisteminin düzenli olarak gözden geçirilmesine ve kayıtların değerlendirilmesine, olağanüstü durumların üst yönetime raporlanmasına ilişkin süreçleri tesis eder. (5) Denetim izlerinin tutulması, mevzuatın diğer hükümleri gereği bankanın belgeleri saklamasına ilişkin yükümlülüklerini değiştirmez. (6) Bilgi sistemleri faaliyetleri kapsamında destek hizmeti alınıyor olması durumunda banka, destek hizmeti kuruluşu tarafından tutulan denetim izlerinin kendi standartlarına uygunluğunu ve bu denetim izlerine erişilebilinmesini temin eder. (7) Bu maddede bilgi ve belge tutulmasına ilişkin yer alan hükümler, diğer mevzuatın bilgi ve belge saklama ile ilgili hükümleri aynen saklı kalmak koşuluyla uygulanır. Veri gizliliği MADDE 15 – (1) Banka, bilgi sistemleri faaliyetleri kapsamında gerçekleşen işlemlerin ve bu işlemler kapsamında iletilen, işlenen ve saklanan verilerin gizliliğini sağlayacak önlemleri alır. Alınacak önlemler, gizliliği sağlanmaya çalışılan işlem ve verilerin gizlilik derecesine uygun olmalı, gerekli yerlerde ek kontroller tesis edilmelidir. Bu çerçevede yapılan çalışmalar, sırların saklanmasına ilişkin mevzuat yükümlülüklerini karşılayacak nitelikte olmak zorundadır. Gizliliği sağlamak üzere yapılacak çalışmalar asgari olarak; a) Değer ve risk analizi gerçekleştirilerek, verilerin hassasiyetine uygun tedbirlerin alınmasının temin edilmesi, bu değerlendirme sırasında bankanın ağ ve sistem yapısının, operasyonlarının, genişliğinin ve çeşitliliğinin göz önünde bulundurulması, b) Verilere, görevler ayrılığı ilkesi göz önünde bulundurularak tanımlanmış kişilerce, kişilerin sorumluluğu gereği kendileri için öngörülen yetkiler çerçevesinde, uygun bir kimlik doğrulama süreci sonrasında ulaşımın temin edilmesi, c) Veri gizliliğini sağlamada kullanılacak şifreleme teknikleri için güncel durum itibariyle güvenilirliği ve sağlamlığı ispatlanmış algoritmaların baz alınması, ilgili algoritmalar için kullanılacak şifreleme anahtarlarının geçerli olacağı ve kullanılabileceği zaman zarfında kırılamayacak şekilde uzun seçilmesi, ç) Geçerliliğini yitirmiş, çalınmış veya kırılmış şifreleme anahtarlarının kullanılabilirliğinin engellenmesi, verinin ve operasyonun kritiklik düzeyine göre anahtarların değiştirilme sıklıklarının belirlenmesi, d) Şifreleme anahtarlarının güvenli bir şekilde oluşturulması, müşteri ve personel kullanımına sunulması ve saklanması, e) Gizlilik arz eden bankacılık verilerine erişimlerin kayıt altına alınması ve bu kayıtların yetkisiz erişim ve müdahalelere karşı korunması, f) Destek hizmeti alımı kapsamında destek hizmeti kuruluşlarının, bankacılık verilerine erişiminin söz konusu olduğu durumlar için bu madde altında söz edilen hususlar ile bankanın bilgi güvenliği standartlarına uyumlu davranmasının sağlanması hususlarını içerir. Müşterilerin bilgilendirilmesi MADDE 16 – (1) Banka tarafından sunulan elektronik bankacılık/alternatif dağıtım kanalları (internet, telefon, televizyon, WAP/GPRS, Kiosk, ATM vb.) hizmetlerinden yararlanacak müşteriler; hizmetlere ilişkin şartlar, riskler ve istisnaî durumlarla ilgili olarak açık bir şekilde bilgilendirilir. Buna ek olarak bankanın söz konusu hizmetlere ilişkin risklerin etkisini azaltmaya yönelik benimsediği güvenlik prensipleri ve bu risklerden korunmak için kullanılması gereken yöntemler müşterinin dikkatine sunulur. (2) Bilgi sistemlerinden ve bunlara dayalı olarak verilen hizmetlerden dolayı müşterilerin yaşayabileceği sorunların takip edilebileceği ve müşterilerin şikâyetlerini ulaştırmalarına imkân tanıyacak mekanizmalar oluşturulur. Ulaşan şikâyet ve uyarılar değerlendirilerek, banka itibarını zedeleyici aksaklıkları giderici çalışmalar yapılır. Müşteri bilgilerinin mahremiyeti MADDE 17 – (1) Banka, faaliyetlerinin ifası sırasında bilgi sistemleri aracılığıyla edindiği veya sakladığı müşteri bilgilerinin mahremiyetini sağlamaya yönelik politika ve prosedürleri oluşturur, yazılı hale getirir, ilgili tüm birimlere iletir ve bunların gerektirdiği tedbirleri alır, (2) Birinci fıkra kapsamındaki müşteri bilgileri, yasalarla açıkça yetkili kılınan merciler dışındaki taraflarla, ancak paylaşım sınırları açıkça belirtilmek ve müşterilerin yazılı rızaları alınmak kaydıyla paylaşılabilir. Müşterilere bilgilerini söz konusu taraflarla paylaşıp paylaşmama konusunda seçenek sunulmalı ve müşterinin böyle bir seçeneğinin bulunduğuna dair mutlaka bilgilenmesi sağlanmalıdır. Bilgi sistemlerine ilişkin iş sürekliliği ve kurtarma planı MADDE 18 – (1) Bilgi sistemlerinde yaşanabilecek problemler nedeniyle faaliyetlerin kesintiye uğramasını önlemek üzere yönetim kurulu tarafından onaylanmış bilgi sistemlerine ilişkin bir iş süreklilik ve kurtarma planı hazırlanır. Bu kapsamda banka uygun bir yedekleme altyapısı tesis eder, performans takip teknikleri kullanır, kapasite planlaması yapar, ağ altyapısından kaynaklanabilecek kesintilere karşı uygun alternatif kanallar oluşturur. Hazırlanan plan, acil ve beklenmedik durum planı ile uyumlu olacak şekilde düzenlenir. Planın bankanın hedefleri ve öncelikleriyle uyumlu, güncel ve yeterli olması esastır. Plan, yaşanabilecek problemler için alternatif kurtarma prosedürlerini de içerecek şekilde düzenlenir. Planda görevler, roller ve riskler açık ve net olarak tanımlanır. Plana ilişkin olarak tüm personel bilgilendirilir, görev ve sorumlulukları konusunda eğitilir. (2) Bilgi sistemlerine ilişkin iş süreklilik ve kurtarma planı hazırlanırken; iş etki analizi, risk değerlendirmesi, risk azaltma ve risk izleme faaliyetleri gerçekleştirilir. (3) Mevcut planın etkinliğini ve güncelliğini temin etmek üzere düzenli olarak testler yapılır ve test sonuçları üst yönetime raporlanır. (4) Bilgi sistemlerine ilişkin iş süreklilik ve kurtarma planı periyodik olarak güncellenmenin yanında bunları etkileyecek değişikliklerden sonra da gözden geçirilir ve güncellenir. (5) İç Sistemler Yönetmeliğinin 13 üncü maddesinin beşinci fıkrasında yer alan hüküm uyarınca veri yedekleme merkezi kurulurken, riskleri asgari seviyeye indirgemek üzere yer seçiminde gerekli dikkat gösterilir. Gerçek sistem ile yedekleme merkezinin aynı risklere karşı hassas olmaması öncelikli hedef olarak alınır. (6) Banka, bilgi sistemleri varlıklarının ve tutulan verilerin kritikliğini değerlendirerek olası kesintilerin etkilerini analiz eder. Bu etki analizinin sonuçlarına göre her bir servis için kabul edilebilir kesinti süreleri belirleyerek, bu kesinti süresi içerisinde servisin tekrar erişime açılabilmesine imkân tanıyacak kurtarma prosedürleri geliştirir ve buna göre gerekli önlemleri alır. (7) Banka, bilgi sistemleri alt yapısının kapasitesinin ölçeklenebilirliğini, genel piyasa dinamikleri ve planlanmış müşteri kazanma oranı ışığında analiz eder. İşlem hacmi tahminleri doğrultusunda gerçekleştirilecek stres testleri ile alt yapının dayanıklılığı periyodik olarak test edilir. (8) Bilgi sistemlerine ilişkin iş süreklilik ve kurtarma planı geliştirilirken eğer varsa ilgili destek hizmeti kuruluşları da dikkate alınır, testlere destek hizmeti kuruluşları da dâhil edilerek önlemlerin etkinliği kontrol edilir. Acil ve beklenmedik durum planı MADDE 19 – (1) Banka, bilgi sistemlerine ilişkin beklenmedik olayları yönetmek ve bunların etkilerini en aza indirmek üzere, İç Sistemler Yönetmeliğinin 13 üncü maddesinde düzenlenen acil ve beklenmedik durum planı çerçevesinde gerekli önlemleri alır. (2) Birinci fıkra kapsamında yapılacak çalışmalarla riskin olasılığı ve etkisi göz önünde bulundurularak, öngörülen senaryolar için, faaliyetlerin güvenilir bir şekilde sürdürülmesini sağlayan hızlı, etkili ve düzenli bir tepki süreci tesis edilir. (3) Banka, bilgi sistemlerine ilişkin beklenmedik olayları erken haber almayı sağlayacak mekanizmaları tesis eder. (4) Acil ve beklenmedik durum planı kapsamında, bilgi sistemlerine ilişkin olayın kaynağını hızlı bir şekilde bulmayı sağlama, hasarı tespit etme, olayın potansiyel boyutunu ve etkisini gösterme, yetkili yönetim birimine ulaştırılmasını sağlama ve etkilenen müşterileri tespit etme süreçleri ele alınır. (5) Acil ve beklenmedik durum planı, bankanın, müşterileri ve yayın organları ile hangi iletişim yöntemlerinin kullanılacağının da belirtildiği bir haberleşme stratejisini içerir. Söz konusu strateji ile banka müşterileri ve yayın organlarının zamanında ve doğru haber alması temin edilir. (6) Banka, bilgi sistemlerine ilişkin gerçekleşecek her türlü beklenmedik olay için, olayın sonradan incelenmesine imkân tanıyacak, adli incelemede kullanılabilecek nitelikte kayıtları ve bilgileri toplayan bir mekanizma tesis eder. Tutulacak kayıtlar uğranılan parasal kaybı belirlemeyi sağlayacak bilgileri de içerir. İKİNCİ BÖLÜM Bilgi Sistemlerine İlişkin İç Kontrollerin Tesisi ve Takibi sistemleri kontrolleri