Özet: Yetkilendirilmiş Yükümlü Statüsünde ISO 27001 zorunluluğu: 11 Eylül sonrası küresel tedarik zinciri güvenliği, Ticaret Bakanlığı Ek-2 Güvenlik Soru Formu, TÜRKAK/IAF akreditasyonu ve yerinde gümrük denetiminde incelenen BT kanıtları.
Kapsam ve Çerçeve: Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği Ek-2 Soru Formu ve ISO/IEC 27001 standardı doğrultusunda dış ticaret tedarik zinciri bilgi güvenliği uyumu.
Giriş: Küresel Tedarik Zinciri Güvenliği ve WCO SAFE
11 Eylül 2001 terör saldırıları, uluslararası ticaretin güvenlik algısını kökten değiştirmiştir. Gemiler, tırlar ve uçaklarla sınır ötesi taşınan konteyner ve kargo yüklerinin yasa dışı kaçakçılıkta, sabotajda veya terör eylemlerinde birer silaha dönüştürülebileceği riski ortaya çıkmıştır.
Bu küresel tehdit karşısında Dünya Gümrük Örgütü (WCO), uluslararası ticaretin güvenliğini sağlamak ve kolaylaştırmak amacıyla SAFE Standartlar Çerçevesini (Framework of Standards to Secure and Facilitate Global Trade) kabul etmiştir. Bu çerçevenin merkezinde Yetkilendirilmiş Yükümlü (AEO - Authorized Economic Operator) statüsü yer almaktadır.
Türkiye’de bu statü, T.C. Ticaret Bakanlığı koordinasyonunda Yetkilendirilmiş Yükümlü Statüsü (YYS) adıyla uygulanmaktadır.
YYS Başvurusunda ISO/IEC 27001 Zorunluluğunun Yasal Temeli
Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği’nin “Emniyet ve Güvenlik Koşulu” başlıklı Madde 10/1-c hükmü uyarınca başvuru sahibinin:
“Türk Akreditasyon Kurumu (TÜRKAK) veya Avrupa Akreditasyon Birliği (EA) akreditasyon ön anlaşmalarına imza atmış diğer ülkelerin akreditasyon kurumlarınca akredite edilmiş uygunluk değerlendirme kuruluşları tarafından düzenlenecek ve geçerliliği devam eden; ISO 9001 ve ISO 27001 (veya sektörüne göre ISO/TS 16949 / IATF 16949 ve ISO 27001 ya da onaylı sivil havacılık güvenlik sertifikası ve ISO 27001) sertifikalarına sahip olması şarttır.”
YYS sertifikasına başvuracak ihracatçı, ithalatçı veya lojistik firmaları için ISO/IEC 27001 belgesi vazgeçilmez bir yasal ön şarttır. Ayrıca tedarik zinciri güvenliği süreçlerinde ISO 28000 standartları da izinli gönderici/alıcı gibi özel yetkilerde destekleyici emniyet referansı olarak değerlendirilir.
Ek-2 Soru Formu ve Bilgi Güvenliği Kontrolleri
YYS başvuru dosyasının en kritik evrakı olan Ek-2 Soru Formu, şirketin emniyet ve güvenlik düzeyini ayrıntılı olarak sorgular. Formun 5. Bölümü doğrudan bilgi teknolojileri güvenliğine ayrılmıştır:
1. Veri Bütünlüğü ve Değişiklik Kontrolleri
- ERP, gümrükleme ve lojistik yazılımlarına yapılan girişlerin kullanıcı bazında zaman damgalı loglanması.
- Gümrük beyannamelerinde ve faturalarda yetkisiz değişiklik yapılmasını engelleyen onay mekanizmaları.
2. Ağ Güvenliği ve Segmentasyon
- Şirket iç ağı ile dış dünyanın güvenlik duvarları (Firewall) ile ayrılması.
- Misafir Wi-Fi ağı ile operasyonel ağın tamamen izole edilmesi.
3. Erişim Yetkilendirmesi ve Parola Güvenliği
- Rol bazlı erişim yetkilendirmesi (Least Privilege).
- Asgari parola karmaşıklığı, iki faktörlü kimlik doğrulama (2FA) ve düzenli parola değişimi.
4. Yedekleme ve İş Sürekliliği
- Kritik gümrük ve finans verilerinin günlük/haftalık düzenli yedeklenmesi.
- Yedeklerin harici bir güvenli lokasyonda veya felaket kurtarma merkezinde saklanması.
Akreditasyon Şartı: TÜRKAK Onayının Önemi
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- YYS Rehberi: Yetkilendirilmiş Yükümlü Statüsü Nedir ve Şartları Nelerdir?
- ISO 27001 Belgelendirme: ISO 27001 Sertifikası Nasıl Alınır?
5. Resmî Kaynaklar ve Doğrulama Referansları
- T.C. Resmî Gazete (21 Mayıs 2014 / Sayı: 29006): Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği.
- T.C. Ticaret Bakanlığı (Gümrükler Genel Müdürlüğü): Yetkilendirilmiş Yükümlü Rehberi ve Ek-2 Soru Formu.
- WCO (World Customs Organization): SAFE Framework of Standards to Secure and Facilitate Global Trade.
- TS ISO/IEC 27001 & TS ISO 28000 Standartları.
Sık Sorulan Sorular
YYS için sadece ISO 27001 yeterli midir, ISO 9001 de gerekir mi?
Mevzuat gereği her iki belgenin de bulunması şarttır: ISO 9001 Kalite Yönetim Sistemi ve ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi sertifikaları başvuru dosyasında yer almalıdır.
Bakanlık müfettişleri ISO 27001 sertifikasını yeterli görür mü yoksa kendileri de teknik denetim yapar mı?
Sertifika yalnızca bir ön şarttır. Bakanlık ticaret müfettişleri firmaya gelerek YYS Soru Anketindeki 20'den fazla bilgi güvenliği sorusunu (parola politikaları, log yönetimi, uzaktan erişim, sunucu odası fiziksel güvenliği) bizzat yerinde inceler ve kanıt ister.
Tedarik zinciri güvenliği için ISO 28000 zorunlu mudur?
ISO 28000 (Tedarik Zinciri Güvenliği Yönetim Sistemi) YYS mevzuatında doğrudan zorunlu bir belge değildir; ancak YYS Emniyet ve Güvenlik kriterlerini karşılamak isteyen uluslararası lojistik firmaları için en güçlü destekleyici çerçevedir.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.