Finansal Kuruluşlarda Bilgi Sistemleri Uyum ve Bağımsız Denetim Rehberi (BDDK ve TCMB)

Türkiye finansal piyasalarında faaliyet gösteren bankalar, ödeme ve elektronik para kuruluşları ile finansal kiralama ve faktoring şirketleri; operasyonel süreklilik, siber dayanıklılık ve müşteri güvenliği bakımından en katı regülasyonlara tabi kurumlardır.

Sektörde sıkça yapılan bir hata, tüm finansal kuruluşların tek bir BDDK tebliği altında yönetildiğinin düşünülmesidir. Gerçekte düzenleyici otoriteler, mevzuat metinleri ve denetim mekanizmaları kuruluş türüne göre farklılaşmaktadır.

---

1. Finansal Kuruluşlara Göre Uygulanan Temel Mevzuat Mimarisi

---

2. Denetimlerin Odaklandığı Temel Güvenlik Kriterleri

Gerek BDDK gerekse TCMB bilgi sistemleri denetimlerinde, bağımsız denetçilerin incelediği ortak kritik alanlar şunlardır:

1. Birincil ve İkincil Sistemlerin Yurt İçinde Bulunması (Veri Yerelliği)

Hem BDDK hem TCMB düzenlemeleri gereğince, finansal kuruluşların birincil sistemleri (üretim sunucuları, veri tabanları) ve ikincil sistemleri (felaket kurtarma merkezleri - FKM) Türkiye Cumhuriyeti sınırları içinde bulunmak zorundadır. Yurt dışı bulut hizmetlerinin kullanımı bu nedenle son derece sıkı izin ve kısıtlamalara tabidir.

2. Kimlik Doğrulama ve Elektronik Hizmet Güvenliği

• İki Bileşenli Kimlik Doğrulama (2FA/MFA): Müşterilerin ve kurum içi ayrıcalıklı kullanıcıların sistemlere erişiminde birbirinden bağımsız iki bileşenin (sahip olunan, bilinen, biyometrik) kullanılması zorunludur.
• SMS OTP Kısıtları: SIM kart kopyalama ve SS7 zafiyetleri nedeniyle SMS şifrelerinin tek başına güçlü doğrulama sayılmaması yönünde teknik tedbirler.

3. Bilgi Sistemleri Risk Yönetimi ve İç Kontrol

• Bilgi varlıklarının sınıflandırılması ve risk değerlendirmesi yapılması.
• Görevler ayrılığı (Segregation of Duties - SoD) ilkesi gereğince yazılım geliştiricilerin canlı ortamlara (production) doğrudan erişiminin engellenmesi.
• Değişiklik yönetimi (Change Management) süreçlerinin onay mekanizmalarıyla işletilmesi.

4. İş Sürekliliği ve Felaket Kurtarma Testleri

• Birincil sistemin çökmesi durumunda ikincil sistemin (FKM) RTO hedefleri içinde devreye girdiğini kanıtlayan yıllık fiili kesinti tatbikatları (failover testleri).
• Kritik verilerin anlık veya azami tolere edilebilir sürede (RPO) ikincil merkeze replike edilmesi.

5. Yıllık Sızma Testleri (Penetration Testing)

• Türk Standardları Enstitüsü (TSE) onaylı siber güvenlik firmaları veya sertifikalı sızma testi uzmanları tarafından yürütülen yıllık harici ve dahili testler.

---

3. Bağımsız Denetim Süreci ve Hazırlık Yol Haritası

Finansal kuruluşların yıllık veya iki yıllık periyotlarla geçmek zorunda olduğu BDK denetim süreci 4 temel aşamadan oluşur:

`` ┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ │ Aşama 1: Gap │────>│ Aşama 2: Kontrol│────>│ Aşama 3: BDK │────>│ Aşama 4: Rapor │ │ Analizi │ │ İyileştirme │ │ Resmî Denetimi │ │ & CAP Yönetimi │ │ (Eksik Tespiti) │ │ (Kanıt Toplama) │ │ (Saha & Mülakat)│ │(Bulgu Kapatma) │ └─────────────────┘ └─────────────────┘ └─────────────────┘ └─────────────────┘ ``

1. Ön Değerlendirme ve Boşluk Analizi (Danışmanlık Desteği): Mevzuat maddeleri tek tek taranarak mevcut durum ile mevzuat gereksinimi arasındaki farklar listelenir.
2. Kontrol ve Dokümantasyon İyileştirme: Eksik politikalar yazılır, loglama altyapısı kurulur, erişim yetki matrisleri düzenlenir ve denetim kanıtları (screenshot, log çıktısı, form) dosyalanır.
3. Resmî Bağımsız Denetim: Yetkilendirilmiş Bağımsız Denetim Kuruluşu sahaya gelerek kanıtları inceler, personelle mülakat yapar ve sistem konfigürasyonlarını kontrol eder.
4. Denetim Raporu ve Düzeltici Eylem Planı (CAP): Denetçi bulgularını (Major/Minor) raporlar; yönetim kurulu ve regülatöre sunulmak üzere bulguların giderilme takvimi hazırlanır.

---

Sıkça Sorulan Sorular (FAQ)

TCMB denetimine tabi bir ödeme kuruluşu genel bulut sağlayıcıları (AWS, Azure) kullanabilir mi?

TCMB Tebliği uyarınca birincil ve ikincil sistemlerin yurt içinde bulunması esastır. Eğer küresel bulut sağlayıcısının Türkiye sınırları içinde yerel bir veri merkezi bölgesi bulunmuyorsa, kritik finansal verilerin bu ortamlarda saklanması mevzuata aykırılık teşkil eder.

Bağımsız denetim sonucunda olumsuz rapor alınırsa ne olur?

Denetim raporunda yer alan kritik bulgular belirli bir süre içinde kapatılmazsa; BDDK veya TCMB idari para cezası uygulayabilir, yeni faaliyet/ürün çıkarma iznini askıya alabilir veya en ağır yaptırım olarak faaliyet iznini (lisansı) iptal edebilir.

---