Uygulama Kontrolleri Konu Anlatımı

Uygulama Kontrollerinin Yeri

Bilgi sistemleri ortamında kontroller genel kontroller ve uygulama kontrolleri olarak iki ana grupta ele alınır.

Genel kontroller daha geniş bilgi sistemleri ortamını desteklerken, uygulama kontrolleri belirli bir iş sürecinin uygulama içindeki veri akışına odaklanır.

Kaynak, uygulama kontrollerini iş süreçlerinin bilgi sistemlerine girişinden çıkışına kadar tam ve doğru işlev görmesi için tasarlanan kontroller olarak açıklar.

Bu tanımda uçtan uca düşünme esastır.

Veri sisteme girerken, sistem içinde işlenirken ve kullanıcıya çıktı olarak dönerken kontrol devam etmelidir.

Bu nedenle girdi, işlem ve çıktı ayrımı konunun omurgasıdır.

Uygulama kontrolü yalnızca yazılım güvenliği değildir; organizasyonel hedeflere katkı sağlayan iş süreci güvence mekanizmasıdır.

Temel Amaçlar

Uygulama kontrolleriyle bilgisayar sistemlerine yalnızca doğru, geçerli ve tam verilerin girilmesi amaçlanır.

Sistem belirlenmiş doğru görevleri yerine getirmeli, kayıt altına alınan veriler korunmalı ve gerçekleşen sonuçlar beklentileri karşılamalıdır.

Hatalı veri doğru işlenirse bile sonuç hatalı olur.

Doğru veri yetkisiz kişi tarafından girilirse güvenilirlik zedelenir.

Doğru işlenen çıktı yanlış kullanıcıya verilirse kontrol yine başarısızdır.

Kaynak, uygulama kontrollerinin yetkilendirme, gizlilik, bütünlük, tutarlılık, hata tespiti, raporlama, veri işleme, hesaplama, mutabakat ve çıktı kontrollerini kapsadığını belirtir.

İstisnai durumlar ve hatalar yalnızca görülmekle bırakılmaz; kök nedenleri araştırılır ve otomatik kontrollerle prosedürler birlikte kullanılarak aksiyon alınır.

Bu yaklaşım, kontrolün yaşayan bir süreç olduğunu gösterir.

Denetçinin Yaklaşımı

Bilgi sistemleri denetçisi önce uygulamadaki operasyonel tarafları ve kritik iş adımlarını anlamalıdır.

Hangi uygulama bileşenlerinin kritik olduğu ve hangi adımların hata veya yetkisiz işlem riski taşıdığı belirlenmeden test stratejisi kurulamaz.

Denetçi kontrol etkinliğini, kontrol zayıflıklarının etkisini ve planlanan hedeflere ulaşılıp ulaşılmadığını değerlendirir.

Kaynak denetçinin test stratejisi belirlemesini, kontrolleri test etmesini, test sonuçlarını ve diğer denetim kanıtlarını analiz etmesini bekler.

Yalnızca kontrolün varlığına bakmak yeterli değildir.

Kontrol tasarlanmış olabilir ancak çalışmıyor olabilir.

Bazı zayıf görünen prosedürler ise otomatik sistem kısıtlarıyla desteklenmiş olabilir.

Bu nedenle tasarım ve işleyiş etkinliği birlikte incelenmelidir.

Girdi Kontrolleri

Girdi kontrolleri, sisteme veri girişinin doğru, geçerli, eksiksiz ve güvenli olmasını sağlar.

Kaynak, bu kontrollerin işlemlerin yönetim tarafından onaylandığını ve yetkilendirmelerin yapıldığını doğruladığını belirtir.

Sadece geçerli ve yetki verilmiş verilerin girilmesi, işlemlerin yalnızca bir kez yapılması ve yetkisiz veri girişlerinin önlenmesi bu kapsamın merkezindedir.

Yetkilendirme süreci belgelerdeki imzaların yetkili kişilerce atılıp atılmadığını, basılı veya dijital kaynakların referans kontrollerini, erişim kısıtlarını, parola yönetimini, yetkisiz erişimlerin raporlanmasını ve görev adımlarının rol tanımlarına göre sınırlandırılmasını kapsar.

Erişim düzeyleri kullanıcının hangi veriye erişeceği ve hangi işlemi yapacağı üzerinden tanımlanır.

Erişim İlkeleri

En az yetki ilkesi, her kullanıcının görevini yerine getirmesi için gerekli asgari erişime sahip olmasını ister.

Görevler ayrılığı, kritik işlemlerin tek kişi tarafından başlatılıp sonuçlandırılmasını engeller.

Bu iki ilke hata riskini ve kötü niyetli kullanım riskini azaltır.

Dinamik erişim kontrolleri ise konum, zaman, cihaz tipi veya oturum davranışına göre ek sınırlamalar getirebilir.

Geçici yetkilendirme belirli bir görev için verilen erişimin süreyle sınırlanmasıdır.

Başlangıç ve bitiş zamanı tanımlanmalı, süre dolduğunda yetki otomatik iptal edilmeli ve görev tamamlandığında gereksiz erişim kalmamalıdır.

Erişim izleme ve raporlama, kimlerin hangi verilere ne zaman eriştiğini ve hangi işlemleri yaptığını kayıt altına alır.

Çok faktörlü kimlik doğrulama, şifreye ek olarak sahip olunan veya biyometrik unsurlar gibi farklı doğrulama bileşenleriyle güvenliği artırır.

Toplu Kontroller ve Mutabakat

Girdi kontrollerinin önemli bölümü toplu kontroller ve mutabakattır.

Kaynağa göre girdilerde işlem kontrolleri toplu yapılır ve kontroller sonucunda mutabakat sağlanır.

Toplam para miktarı, belgelerin toplamı, özetler, hesap kontrolleri, iş kayıtlarının toplamı, anlaşmalar ve oluşturulan toplam kalemler gibi veriler doğrulanır.

Bu kontroller özellikle finansal işlemlerde hataların veya hileli girişlerin erken tespit edilmesine yardım eder.

Örneğin ödeme dosyasındaki toplam tutar, banka aktarım toplamı ve muhasebe kaydı toplamı uyumsuzsa girdi aşamasında sorun vardır.

Mutabakat farkı görünür hale getirir ve süreç düzeltilmeden devam etmez.

İşlem Kontrolleri

İşlem kontrolleri, sisteme giren verinin istenen çıktıları üretecek şekilde doğru işlenmesini sağlar.

Kaynak, uygulama işlemlerinin güvenilirliği için işleme prosedürleri ve kontrollerinin izlenmesi gerektiğini belirtir.

Bu kontroller işlemlerin yetkili biçimde yapılmasını, hesaplamaların doğru çalışmasını, verinin süreç boyunca bozulmamasını ve iş akışlarının doğru sırayla ilerlemesini hedefler.

İşlem kontrolleri hesaplama, limit kontrolü, tutarlılık kontrolü, işlem sırası ve hata yönetimi gibi alanlarda önemlidir.

Bir başvuru uygulamasında gelir bilgisinin doğru formatta girilmesi girdi kontrolüdür; başvurunun belirlenen kurallara göre hesaplanması ve limit aşımı varsa durdurulması işlem kontrolüdür.

Böylece girdi aşamasında başlayan kontrol, işleme sırasında devam eder.

Çıktı Kontrolleri

Çıktı kontrolleri, kullanıcılar için oluşturulan verilerin tutarlı ve güvenli sunulmasını sağlar.

Sistemin ürettiği rapor, dosya veya sonuçların doğruluğu, geçerliliği, hedeflere uygunluğu ve kalite standartlarıyla uyumu değerlendirilir.

Hatalı rapor, eksik dosya, yanlış alıcı veya güvenli olmayan dağıtım, çıktı kontrolünün zayıf olduğunu gösterir.

Kaynak, çıktı kontrollerinin yazılım geliştirme sürecinde de önemli olduğunu belirtir.

Güvenlik kontrolleri, belge kontrolleri ve dağıtım kontrolleri yapılmalıdır.

Kullanıcı belgeleri doğru ve güncel olmalı, dağıtım sırasında dosya bozulması veya eksiklik engellenmelidir.

Yazılım yayınlanmadan önce güvenlik ve kalite kontrollerinin yapılması, hatalı çıktının kullanıcıya yansımasını önler.

Otomatik ve Prosedürel Kontroller

Uygulama kontrolleri yalnızca otomatik sistem kurallarından oluşmaz.

Kaynak prosedürel kontroller ve otomatik kontroller arasındaki entegrasyonu vurgular.

Otomatik kontroller hataları hızlı tespit edebilir, yetkisiz işlemi durdurabilir ve istisnaları anında raporlayabilir.

Prosedürel kontroller ise onay mekanizmaları, görev tanımları, manuel gözden geçirmeler ve organizasyonel kurallarla ilişkilidir.

İyi tasarlanmış kontrolde bu iki yapı birlikte çalışır.

Örneğin sistem ödeme limiti aşıldığında işlemi durdurabilir; ayrıca yönetici onayı ve mutabakat prosedürü süreci tamamlar.