Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği

13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (“Tebliğ”), sermaye piyasaları ve finansal sektörde faaliyet gösteren belirli kurum, kuruluş ve ortaklıkların bilgi sistemlerinin yönetimine ilişkin usul ve esasları düzenlemektedir.

Tebliğ kapsamında olanlar arasında Borsa İstanbul, piyasa işleticileri, emeklilik yatırım fonları, Merkezi Kayıt Kuruluşu (MKK), portföy saklayıcılar, sermaye piyasası kurumları, halka açık ortaklıklar, Türkiye Sermaye Piyasaları Birliği, Türkiye Değerleme Uzmanları Birliği ve kripto varlık hizmet sağlayıcıları (“KVHS”) yer almaktadır. Yazımızın devamında Tebliğ kapsamında uyulması gereken başlıca yükümlülükleri görebilirsiniz.

A. Yönetim Kurulunun Sorumlulukları

İlgili kurum ve kuruluşlar, bilgi sistemlerinin güvenliğini sağlamak amacıyla kapsamlı bir Bilgi Güvenliği Politikası oluşturmakla yükümlüdür. Bu politika, üst yönetimin bilgisi ve onayı doğrultusunda hazırlanmalı ve nihai olarak Yönetim Kurulu tarafından onaylanarak yürürlüğe konulmalıdır.

Bilgi sistemlerinin güvenli, etkin ve kesintisiz şekilde işletilebilmesi için Yönetim Kurulunca gerekli tüm kontrol mekanizmaları kurulmalı ve bu sistemler düzenli olarak denetim süreçlerine tabi tutulmalıdır. Denetimlerden elde edilen bulgular, vakit kaybetmeksizin değerlendirilerek gerekli iyileştirici önlemler hızlıca uygulamaya alınmalıdır. Ayrıca, Yönetim Kurulu tarafından onaylanmış İş Sürekliliği Planı çerçevesinde, olası kesintilere karşı Bilgi Sistemleri Süreklilik Planı hazırlanmalı ve gerektiğinde devreye alınmalıdır. Bilgi sistemlerine erişimi olan tüm kullanıcılar düzenli olarak denetlenmeli, erişim hakları gözden geçirilmeli ve kullanıcıların bilgi güvenliği standartlarına uygun davranması sağlanmalıdır.

Bu bağlamda, bilgi sistemlerinde meydana gelebilecek hata, eksiklik veya kötüye kullanım risklerini azaltmak amacıyla “görev ayrılığı” ilkesi esas alınmıştır. İşbu önlemler, bilgi sistemlerinin yalnızca teknik değil, aynı zamanda organizasyonel düzeyde de güvenliğini ve sürekliliğini sağlamak için stratejik öneme sahiptir.

B. Bilgi Sistemleri Risk Yönetimi ve Varlık Envanteri

Bilgi sistemlerine yönelik risklerin belirlenmesi, ölçülmesi, izlenmesi, işlenmesi ve raporlanması amacıyla kapsamlı risk yönetimi prosedürleri oluşturulmalıdır. Bu prosedürler, bilgi güvenliğinin sürekliliğini temin etmek için düzenli aralıklarla gözden geçirilmeli, ortaya çıkan yeni tehditler, teknolojik gelişmeler ve iş süreçlerindeki değişiklikler dikkate alınarak güncellenmelidir. Kurum ve kuruluşlar, bilgi sistemlerinin güvenli ve etkin yönetimi için sahip oldukları tüm bilgi varlıklarını kapsayan bir Bilgi Varlık Envanteri oluşturmakla yükümlüdür. Bu envanter, sadece varlıkların tespitini değil, aynı zamanda bunların korunması, sınıflandırılması ve yönetilmesi için temel bir araçtır. Sürekli güncel tutulması gereken envanterde, her bilgi varlığı için aşağıdaki bilgilerin yer alması gerekmektedir:

• Tanım: Bilgi varlığının adı ve kısa açıklaması.

• Edinim Tarihi, Garanti ve Bakım Bilgisi: Varlığın temin edildiği tarih, garanti süresi ve varsa periyodik bakım gereklilikleri.

• Lisans Bilgisi veya Seri Numarası: Yazılım veya donanım varlıklarına ait lisans numarası ya da seri numarası.

• Konum: Bilgi varlığının fiziksel veya dijital olarak bulunduğu yer.

• Sahibi: Varlığın yönetsel sorumluluğunu üstlenen kişi veya birim.

• Kullanıcısı: Varlığı aktif olarak kullanan kişi ya da departman.

• Güvenlik Sınıfı: Varlığın gizlilik, bütünlük ve erişilebilirlik derecesini gösteren güvenlik sınıflandırması.

• Yedekleme Bilgisi: Bilgi varlığının yedeklendiği yer, yedekleme sıklığı ve yedeklerin saklandığı ortam.

C. Kritik Bilgi Sistemleri için Veri Merkezi Güvenlik Önlemleri

Tebliğ kapsamında, kritik bilgi sistemlerinin barındırıldığı veri merkezlerinde yüksek düzeyde güvenlik önlemlerinin alınması zorunlu hale getirilmiştir. Bu önlemler, yetkisiz erişimlerin önlenmesi, sistem sürekliliğinin sağlanması ve veri güvenliğinin korunması amacıyla hayata geçirilmelidir. Bu çerçevede, veri merkezlerinde uygulanması gereken başlıca güvenlik tedbirleri şu şekilde sıralanabilir:

• Çok faktörlü kimlik doğrulama: Kullanıcıların sisteme erişebilmesi için en az iki farklı doğrulama yöntemi (örneğin parola + biyometrik veri) kullanılarak güvenlik sağlanmalıdır. Bu, özellikle kritik sistemlere erişimlerde temel güvenlik kuralı olarak uygulanır.

  
  

• Kesintisiz güç kaynağı, iklimlendirme, yangın ve felaket koruması: Fiziksel altyapının her türlü kesinti ve felakete karşı dayanıklı olması sağlanmalıdır. Bu kapsamda; enerji sürekliliği için kesintisiz güç kaynakları, uygun çalışma ortamı için iklimlendirme sistemleri, yangın söndürme ve doğal afet riskine karşı dayanıklılık önlemleri alınmalıdır.

  
  

• Kamera ile izleme ve kayıtların saklanması: Veri merkezleri ve güvenli alanlar 24/7 kamera sistemiyle izlenmeli, bu kayıtlar en az bir yıl süreyle saklanmalıdır. Bu sayede, olası bir güvenlik ihlali veya olay sonrası geriye dönük inceleme yapılabilmesi mümkün olur.

  
  

• Bakım ve onarım personeli için gizlilik sözleşmesi: Veri merkezinde görev yapan, dış kaynaklı veya geçici bakım-onarım personeline, bilgi güvenliğini koruma yükümlülüğünü içeren gizlilik sözleşmesi imzalatılmalıdır. Bu personel, görev süresince kurum personelinin refakati altında çalıştırılmalıdır.

Ayrıca, kimlik doğrulama süreçleri, kullanıcıların erişim seviyeleri ve eriştikleri bilgi sistemlerinin güvenlik sınıfına uygun şekilde tasarlanmalı; kimlik doğrulama, oturum boyunca kesintisiz geçerliliğini koruyacak şekilde yönetilmelidir.

D. Denetim İzi MekanizmasıKurum ve kuruluşlar bilgi sistemlerinde gerçekleştirilen tüm işlemleri izlemek, sistemlerin bütünlüğünü sağlamak ve olası güvenlik ihlallerine karşı zamanında müdahale edebilmek amacıyla etkin ve kapsamlı bir denetim izi (log) mekanizması kurmakla yükümlüdür. Bu mekanizma, bilgi sistemlerinin sağlıklı çalışmasının yanı sıra, mevzuata uyumun ve iç denetim süreçlerinin temelini oluşturur. Bu kapsamda kurum ve kuruluşlar, aşağıdaki yükümlülükleri eksiksiz şekilde yerine getirmelidir:

• Bilgi sistemlerinde gerçekleştirilen her bir işlem kayıt altına alınmalıdır. Bu kayıtlar; işlemi gerçekleştiren kullanıcının kimliği, işlemin ne zaman ve hangi sistem veya uygulama üzerinden yapıldığı, erişilen veriler, işlem sonuçları ve varsa hata mesajları gibi kritik bilgileri içermelidir.

  
  

• Denetim kayıtları, güvenli bir ortamda saklanmalı ve bu kayıtlara yönelik herhangi bir yetkisiz erişim veya müdahaleye karşı koruma sağlanmalıdır. Kayıtların bütünlüğünün bozulmaması için kriptografik yöntemler ve bütünlük kontrol mekanizmaları kullanılmalı; kayıtların yetkisiz şekilde değiştirilmesi veya silinmesi teknik olarak engellenmelidir.

  
  

• Bu kayıtlar, olası bir olay veya denetim ihtimali karşısında incelenebilmesi amacıyla, sistematik şekilde en az 5 yıl süreyle arşivlenmeli ve güvenli biçimde

  erişilebilir durumda tutulmalıdır.

E. Bilgi Sistemleri Sızma Testleri ve İç Denetim Yükümlülükleri

Tebliğ kapsamında, kurum ve kuruluşlar bilgi sistemlerinin güvenliğini sağlamak amacıyla düzenli test ve denetimler gerçekleştirmekle yükümlüdür. Bu kapsamda

iki temel güvenlik kontrolü uygulanmalıdır:

1. Sızma Testleri

• Kurum ve kuruluşlar, Tebliğ’in ekinde belirtilen standartlar çerçevesinde yılda en az bir kez sızma testine tabi tutulmalıdır.

• Bu testler, ulusal veya uluslararası sertifikaya sahip uzmanlar tarafından gerçekleştirilmelidir.

• Sızma testlerinin sonuçları rapor haline getirilerek, en geç takip eden yılın 31 Ocak tarihine kadar Sermaye Piyasası Kurulu’na (SPK) iletilmelidir.

2. Bilgi Sistemleri İç Denetimi

• Kurum ve kuruluşlar yılda en az bir kez bilgi sistemlerine yönelik iç denetim yapmak zorundadır. Bu denetimler yalnızca kurum içi kaynaklarla gerçekleştirilmeli,

  Tebliğ gereği dışarıdan hizmet alınmamalıdır.

• İç denetim sonuçları rapor haline getirilerek üst yönetime sunulmalıdır.

• Denetim raporunda tespit edilen eksikliklere yönelik olarak bir aksiyon planı oluşturulmalı ve bu plan üst yönetim tarafından onaylanmalıdır.

• Hazırlanan aksiyon planı, bir sonraki iç denetim faaliyetinde dikkate alınarak süreçlerin iyileştirilmesi sağlanmalıdır.

F. Yurt İçi Sistem Zorunluluğu

Kurum ve kuruluşların kullandığı bilgi sistemlerinin birincil (asıl çalışan sistemler) ve ikincil (yedek sistemler) altyapıları Türkiye sınırları içinde barındırılmak zorundadır. Bu zorunluluk, bilgi güvenliği, veri bütünlüğü ve ulusal düzenlemelere uyum açısından kritik öneme sahiptir. İkincil sistemler; doğal afetler, altyapı kesintileri veya felaket senaryoları gibi durumlarda birincil sistem devre dışı kaldığında, en geç 24 saat içinde devreye girerek faaliyetlerin kesintisiz sürdürülmesini sağlamalıdır. Bu sistemler, coğrafi olarak birincil sistemle aynı risklere maruz kalmayacak farklı lokasyonlarda konumlandırılmalıdır. Ayrıca, yurt dışı bulut hizmeti kullanımı yalnızca bazı kısıtlı ve özel durumlarda mümkündür. Örneğin, kripto varlık hizmet sağlayıcılar, müşteri emirlerinin eşleştiği sistemlerde yurt dışı bulut hizmeti kullanabilir ancak bu hizmet sağlayıcının Türkiye’de temsilciliği bulunmalı ve tüm sistem kayıtları gün sonunda yurt içine aktarılmalıdır.

Bu düzenleme, verilerin yerel mevzuatla korunmasını, siber güvenlik tehditlerine karşı hızlı müdahaleyi ve yetkili otoritelerin denetim kolaylığını sağlamayı hedeflemektedir

G. Geçiş Hükümleri

KVHS’lerin, bilgi sistemlerini Türkiye sınırları içinde barındırma yükümlülüğü kapsamında gerekli altyapılarını 31 Aralık 2025 tarihine kadar oluşturması gerekmektedir. Ayrıca, bilgi sistemleri iç denetimini gerçekleştirecek kişilerin lisans sahibi olması şartına ise 31 Aralık 2026 tarihine kadar uyum sağlamak zorundadır. Diğer kurum, kuruluşlar için de iç denetim faaliyetlerini yürütecek kişilerin lisanslı olması yükümlülüğü 31 Aralık 2026 tarihine kadar diğer tüm düzenlemelere ise 31 Aralık 2025 tarihine kadar uyulması gerekmektedir. İşbu geçiş süresi boyunca KVHS harici kurum ve kuruluşlar için 5 Ocak 2018 tarihli ve 30292 sayılı Resmî Gazete’de yayımlanan Bilgi Sistemleri Yönetimi Tebliği (VII-128.9) yürürlükte kalacak olup belirlenen tarihlere kadar eski tebliğ hükümlerine göre işlem yapılacaktır.

İşbu not, 13 Mart 2025 tarihinde gerçekleşmiş mevzuat gelişmeleri ışığında ve yalnızca genel bir bilgilendirme yapmak amacıyla hazırlanmış olup tanıtım/reklam amacı taşımamaktadır ve herhangi bir durum özelinde bir hukuki görüş içermemektedir. Vardar Şanlı Avukatlık Bürosu bu durumlardan sorumlu tutulamaz.