BDDK & SPK BT Uyumluluk — Finans Sektörünün Zorunlu Güvenlik Standartları
BDDK'nın Bilgi Sistemleri Yönetmeliği ve SPK'nın bilgi güvenliği gereksinimleri; yıllık zorunlu sızma testi, BT genel kontroller denetimi ve olay bildirim yükümlülükleri içeriyor. Lisans başvurusu, yıllık denetim veya regülatör soruşturmasına hazırlık — hangi aşamada olursanız olun, uyumluluk sürecinde yanınızdayız.
Bu hizmet hangi sorunu çözer?
Finans sektöründe BT uyumluluğu; teknik güvenliğin ötesinde yönetişim, dokümantasyon ve denetim izlenebilirliği gerektirir. Regülatörün beklediği düzey; politika varlığı değil, politikaların fiilen uygulandığının kanıtlanmasıdır. Denetim dönemine hazırlıksız giren şirketler bulgu yükü ve itibar riskiyle karşılaşır.
- Regülatör denetiminde sistematik bulgular → iyileştirme taahhütleri ve para cezası
- Yıllık zorunlu sızma testinin yapılmaması → lisans ihlali riski
- Olay bildirim gecikmesi → BDDK yaptırımı
- Lisans başvurusunda BT yeterliliğinin kanıtlanamaması
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Boşluk Analizi
- BDDK Bilgi Sistemleri Yönetmeliği'ne göre mevcut BT kontrollerinin değerlendirilmesi
- SPK bilgi güvenliği gereksinimlerine uyumluluk kontrolü
- Yönetişim, teknik kontroller ve operasyon süreçleri değerlendirmesi
Zorunlu Sızma Testi Koordinasyonu
- BDDK formatında sızma testi kapsamı belirleme
- Test yürütme veya bağımsız test firması koordinasyonu
- Regülatör formatında nihai rapor hazırlama
- Bulgu aksiyon planı ve yeniden test
BT Politika ve Prosedür Paketi
- Bilgi güvenliği üst politikası ve yönetişim çerçevesi
- Erişim yönetimi, değişiklik kontrolü prosedürleri
- Olay yönetimi ve BDDK bildirimi prosedürü
- İş sürekliliği ve felaket kurtarma planı
- Tedarikçi ve bulut hizmet yönetimi politikası
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Ayrıcalıklı hesap yönetimi (PAM) yok
Sistem yöneticisi hesaplarının paylaşıldığı, işlemlerin izlenemediği ve ayrıcalıklı erişim günlüklerinin tutulmadığı tespit edildi.
ÖneriPAM çözümü kurulumu; kişisel yönetici hesabı, oturum kaydı ve periyodik erişim gözden geçirmesi.
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- BDDK/SPK boşluk analizi raporu
- Önceliklendirilmiş aksiyon planı
- BT politika ve prosedür paketi (regülatör uyumlu)
- Zorunlu sızma testi raporu (BDDK formatı)
- ITGC denetim hazırlık kontrol listesi
- Olay bildirim prosedürü ve şablonları
Kimler için?
- BDDK lisanslı bankalar, ödeme ve e-para kuruluşları
- BDDK lisansı başvurusunda bulunan fintech şirketleri
- SPK lisanslı aracı kurumlar ve portföy yönetim şirketleri
Bu hizmeti ne zaman düşünmelisiniz?
- Yıllık BDDK denetimi öncesinde
- Lisans başvurusu veya lisans yenilemesi sürecinde
- Zorunlu sızma testinin zamanı geldiğinde
- Yeni BT sistemi veya bulut geçişi planlandığında
BDDK vs ISO 27001 — Birbirini Tamamlar mı?
| BDDK BT Uyumluluk | ISO 27001 | |
|---|---|---|
| Zorunluluk | BDDK lisansı için yasal zorunlu | Piyasa ve müşteri baskısı ile de facto zorunlu |
| Odak | Finans sektörü özelinde BT yönetişimi | Sektörden bağımsız bilgi güvenliği sistemi |
| Örtüşme | Çoğu BDDK kontrolü ISO 27001'e eşlenir | BDDK'nın finans özelinde ekleri yok |
| Strateji | Önce BDDK, paralelde ISO 27001 hazırlığı | Sinerjiyle çift uyumluluk mümkün |
Sıkça Sorulan Sorular
BDDK sızma testi yılda kaç kez zorunlu?
Lisans başvurusu için BT altyapısını hazır mı göstermem gerekiyor?
İlgili hizmetler, araçlar ve rehberler
BDDK & SPK BT Uyumluluk için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.