Giriş: Küresel Tedarik Zinciri Güvenliği ve WCO SAFE
11 Eylül 2001 terör saldırıları, uluslararası ticaretin güvenlik algısını kökten değiştirmiştir. Gemiler, tırlar ve uçaklarla sınır ötesi taşınan konteyner ve kargo yüklerinin yasa dışı kaçakçılıkta, sabotajda veya terör eylemlerinde birer silaha dönüştürülebileceği riski ortaya çıkmıştır.
Bu küresel tehdit karşısında Dünya Gümrük Örgütü (WCO), uluslararası ticaretin güvenliğini sağlamak ve kolaylaştırmak amacıyla SAFE Standartlar Çerçevesini (Framework of Standards to Secure and Facilitate Global Trade) kabul etmiştir. Bu çerçevenin merkezinde Yetkilendirilmiş Yükümlü (AEO - Authorized Economic Operator) statüsü yer almaktadır.
Türkiye’de bu statü, T.C. Ticaret Bakanlığı koordinasyonunda Yetkilendirilmiş Yükümlü Statüsü (YYS) adıyla uygulanmaktadır.
YYS Başvurusunda ISO/IEC 27001 Zorunluluğunun Yasal Temeli
Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği’nin “Emniyet ve Güvenlik Koşulu” başlıklı Madde 10/1-c hükmü uyarınca başvuru sahibinin:
“Türk Akreditasyon Kurumu (TÜRKAK) veya Avrupa Akreditasyon Birliği (EA) akreditasyon ön anlaşmalarına imza atmış diğer ülkelerin akreditasyon kurumlarınca akredite edilmiş uygunluk değerlendirme kuruluşları tarafından düzenlenecek ve geçerliliği devam eden; ISO 9001 ve ISO 27001 (veya sektörüne göre ISO/TS 16949 / IATF 16949 ve ISO 27001 ya da onaylı sivil havacılık güvenlik sertifikası ve ISO 27001) sertifikalarına sahip olması şarttır.”
YYS sertifikasına başvuracak ihracatçı, ithalatçı veya lojistik firmaları için ISO/IEC 27001 belgesi vazgeçilmez bir yasal ön şarttır. Ayrıca tedarik zinciri güvenliği süreçlerinde ISO 28000 standartları da izinli gönderici/alıcı gibi özel yetkilerde destekleyici emniyet referansı olarak değerlendirilir.
Ek-2 Soru Formu ve Bilgi Güvenliği Kontrolleri
YYS başvuru dosyasının en kritik evrakı olan Ek-2 Soru Formu, şirketin emniyet ve güvenlik düzeyini ayrıntılı olarak sorgular. Formun 5. Bölümü doğrudan bilgi teknolojileri güvenliğine ayrılmıştır:
1. Veri Bütünlüğü ve Değişiklik Kontrolleri
- ERP, gümrükleme ve lojistik yazılımlarına yapılan girişlerin kullanıcı bazında zaman damgalı loglanması.
- Gümrük beyannamelerinde ve faturalarda yetkisiz değişiklik yapılmasını engelleyen onay mekanizmaları.
2. Ağ Güvenliği ve Segmentasyon
- Şirket iç ağı ile dış dünyanın güvenlik duvarları (Firewall) ile ayrılması.
- Misafir Wi-Fi ağı ile operasyonel ağın tamamen izole edilmesi.
3. Erişim Yetkilendirmesi ve Parola Güvenliği
- Rol bazlı erişim yetkilendirmesi (Least Privilege).
- Asgari parola karmaşıklığı, iki faktörlü kimlik doğrulama (2FA) ve düzenli parola değişimi.
4. Yedekleme ve İş Sürekliliği
- Kritik gümrük ve finans verilerinin günlük/haftalık düzenli yedeklenmesi.
- Yedeklerin harici bir güvenli lokasyonda veya felaket kurtarma merkezinde saklanması.
Akreditasyon Şartı: TÜRKAK Onayının Önemi
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- YYS Rehberi: Yetkilendirilmiş Yükümlü Statüsü Nedir ve Şartları Nelerdir?
- ISO 27001 Belgelendirme: ISO 27001 Sertifikası Nasıl Alınır?
5. Resmî Kaynaklar ve Doğrulama Referansları
- T.C. Resmî Gazete (21 Mayıs 2014 / Sayı: 29006): Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği.
- T.C. Ticaret Bakanlığı (Gümrükler Genel Müdürlüğü): Yetkilendirilmiş Yükümlü Rehberi ve Ek-2 Soru Formu.
- WCO (World Customs Organization): SAFE Framework of Standards to Secure and Facilitate Global Trade.
- TS ISO/IEC 27001 & TS ISO 28000 Standartları.