Bilgi Sistemleri Denetimi Kavramları Konu Anlatımı

Bilgi sistemleri denetimi, bir kuruluşun teknoloji altyapısına yalnız teknik gözle bakmakla sınırlı değildir; sistemlerin amaçlara hizmet edip etmediğini, kontrollerin tasarlanıp işletilip işletilmediğini ve bu değerlendirmeyi destekleyen kanıtların yeterli olup olmadığını inceleyen bir güvence faaliyetidir.

Tanımın merkezinde bilgi sistemleri, uygulamalar ve operasyonlar içinde tasarlanan kontrollerin tasarım ve işlevlerine ilişkin kanıtların toplanması ve değerlendirilmesi bulunur.

Denetim kanıtları değerlendirildikten sonra bilgi sistemlerinin varlıkları koruyup korumadığı, veri bütünlüğünü sürdürüp sürdürmediği ve kuruluşun amaç ve hedeflerine etkin ve verimli şekilde hizmet edip etmediği hakkında görüş oluşturulur.

Bilgi sistemleri denetimi, finansal tabloların denetimiyle birlikte yapılabildiği gibi bağımsız bir faaliyet olarak da yürütülebilir.

BSBD Tebliği'nde bilgi sistemleri bağımsız denetimi; bilgi sistemleri yönetimi ve işletimi kapsamındaki faaliyet, yazılım ve donanım gibi bilgi sistemi unsurları ile bu sistem içinde tesis edilen kontrollerin bilgi sistemleri yönetim ilkeleri doğrultusunda değerlendirilmesi sonucunda görüş oluşturulması ve rapora bağlanması aşamalarından oluşan süreç olarak tanımlanır.

Temel amaç, denetlenenin bilgi sistemleri ve bu sisteme ilişkin iç kontrollerinin uyumluluk, etkinlik ve yeterliliği hakkında görüşe ulaşmaktır.

Bilgi sistemleri denetimi iç denetim veya dış denetim biçiminde gerçekleştirilebilir.

İç denetimin bir parçası olarak bağımsız uzman bir grup tarafından yürütülebileceği gibi finansal ve uygunluk denetimleriyle bütünleşik şekilde de yapılabilir.

Dışarıdan bir kişi veya kuruluşun bilgi sistemleri denetim hizmeti sağlaması da mümkündür.

Bu ayrım, denetimin amacını değiştirmez; ancak denetim ekibinin konumu, raporun muhatabı, bağımsızlık beklentisi ve çalışmanın kapsamı bakımından farklı sonuçlar doğurabilir.

Finansal denetim, mali kayıtlar ve bilgilerin doğruluğunu saptamaya yönelir; işletmenin finansal tablolarının muhasebe ilkelerine ve yasal düzenlemelere uygun olup olmadığı ve gerçek finansal durumu yansıtıp yansıtmadığı hakkında görüş oluşturur.

Teknolojinin her alanda yoğun kullanılması nedeniyle finansal denetim bilgi sistemleri denetimiyle yakından ilişkilidir.

Finansal raporları üreten uygulamalar, veri tabanları, erişim yetkileri ve işlem kayıtları güvenilir değilse mali kayıtların doğruluğu da etkilenebilir.

Bu nedenle bilgi sistemleri kontrolleri, finansal denetim için de önemli bir dayanak alanıdır.

Operasyonel denetim, bir işletmenin operasyonlarının etkinlik ve verimliliği ile stratejilerine uyumunu ve organizasyon yapısı ile kültürünün iş hedefleriyle uyumunu değerlendirir.

İşletme politikaları, süreçleri ve prosedürleri bu denetimin temel odağıdır.

İç kontrol, iş hedeflerinin gerçekleşeceğine ve istenmeyen olayların önleneceğine, tespit edileceğine ya da düzeltileceğine dair makul güvence sağlamak üzere tasarlanan politika, prosedür, uygulama ve organizasyonel yapıları ifade eder.

Bilgi sistemleri denetimi bu iç kontrol mantığına teknoloji altyapısı, uygulamalar ve veri süreçleri üzerinden yaklaşır.

Bütünleşik denetim, finansal denetim, operasyonel denetim ve bilgi sistemleri denetiminin takım çalışmasıyla ve risk odaklı bir yaklaşımla birlikte yürütülmesidir.

Bu yaklaşımda ilgili iç kontroller bir arada değerlendirilir ve süreç sonunda tek bir konsolide rapor ortaya çıkar.

Bütünleşik denetimin amacı, denetim paydaşları arasında farkındalığı artırmak, etkin ve verimli bir iç kontrol ortamı oluşturmak, zaman ve maliyet açısından kazanım sağlamaktır.

Bilgi sistemleri denetimi bu yapıda diğer denetim alanlarının teknik altyapı ve veri güvenilirliği boyutunu tamamlar.

Uyum denetimi, önceden belirlenmiş yasalara, düzenlemelere ve uygulamalara uyulup uyulmadığını inceler.

Sözleşmesel yükümlülükler, iç politikalar, gönüllü gereklilikler ve yasal zorunluluklar uyum kapsamına girebilir.

Kurumsal politika, prosedür ve yönergelere uyum çoğu zaman iç denetimde ele alınırken, yasal ve düzenleyici gerekliliklere uygunluğun belirlenmesi dış denetimle sağlanabilir.

Bilgi sistemleri açısından bu kavram, erişim yönetimi, veri saklama, güvenlik politikaları, hizmet sürekliliği ve raporlama gibi alanların düzenleme gerekleriyle uyumlu olup olmadığının incelenmesini gerektirir.

Bilgi sistemleri denetimiyle birlikte anılan diğer denetim türleri, denetimin amaç ve kanıt yönünü somutlaştırır.

Adli denetim, dolandırıcılar veya suçlular tarafından gerçekleştirilen eylemleri ve bunları yapanları tespit etmeyi, parasal boyutu ortaya koymayı ve adli makamlarca kullanılabilecek kanıtları elde etmeyi hedefler.

Dolandırıcılık denetimi, kasıtlı aldatmaya yönelik usulsüzlükleri ve yasa dışı eylemleri belirli araçlar ve veri analizi teknikleriyle inceler.

Adli bilişim denetimi ise dijital kanıtların yasal olarak kabul edilebilir biçimde tanımlanması, korunması, analiz edilmesi ve sunulması sürecine odaklanır.

Üçüncü taraf hizmet denetimi, bilgi sistemleri hizmetlerinin dışarıdan alınmasıyla önem kazanır.

SaaS modelleri, bulut bilişim ve harici ortamlarda barındırılan sistem bileşenleri yaygınlaştıkça, hizmet sağlayıcılar tarafından yürütülen süreçlerin denetlenmesi gerekir.

Bu denetim sonunda ortaya çıkan raporlar, hizmet alan kuruluşun bilgi sistemleri denetiminde değerlendirilir.

Kuruluş kendi kontrol ortamının bir bölümünü dış hizmet sağlayıcıya devretmiş olsa bile, dışarıdan alınan hizmetin güvenilirliği, sürekliliği, erişim kontrolleri ve raporlama çıktıları denetimin kapsamı dışında kalmaz.

Kontrol kavramı, bilgi sistemleri denetiminin omurgasını oluşturur.

Kontroller, işletmenin risklerini yönetmek için idari, teknik, yönetimsel veya yasal nitelikte olabilecek politika, prosedür, kılavuz, uygulama veya organizasyon yapılarıdır.

İyi tasarlanmış bir kontrol, riskli olayın gerçekleşmesini engelleme, gerçekleşen olayı fark ettirme, etkisini daraltma veya olay sonrasında toparlanmayı destekleme işlevlerinden birini ya da birkaçını yerine getirir.

İç kontroller iş hedeflerinin gerçekleşeceğine ve istenmeyen olayların önleneceğine, tespit edileceğine veya düzeltileceğine dair makul güvence sağlamak üzere geliştirilir.

Bu hedefler için birincil sorumluluk üst yönetimdedir.

Kontroller alanına göre genel kontroller ve uygulama kontrolleri olarak ayrılır.

Genel kontroller, işletmenin tüm bilgi sistemleri altyapısı ve destek hizmetleri dâhil faaliyetlerin sürekliliğini sağlamaya yönelik politika, prosedür ve uygulamalardır.

Uygulama yazılımlarının güvenilir çalışabilmesi, bu genel kontrol ortamının erişim, işletim, ağ, fiziksel güvenlik ve süreklilik başlıklarında sağlam kurulmasına bağlıdır.

Yönetim kontrolleri, fiziksel ve çevresel kontroller, ağ yönetimi ve güvenliği kontrolleri, mantıksal erişim kontrolleri, işletim kontrolleri, değişim yönetimi kontrolleri, acil durum ve iş sürekliliği planlaması kontrolleri genel kontroller arasında yer alır.

Yönetim kontrolleri, bilgi sistemlerinin işletme amaçlarına uygun çalışması için strateji, politika, organizasyon, varlık yönetimi, personel, eğitim ve yasal düzenlemelere uygunluk alanlarında alınan tedbirleri kapsar.

Fiziksel ve çevresel kontroller, donanım ve yazılımın izinsiz erişim, bozulma, çalınma, yangın, su, elektrik dalgalanması, güç yetersizliği, toz, nem ve sıcaklık gibi tehlikelere karşı korunmasını amaçlar.

Ağ yönetimi ve güvenliği kontrolleri, iç ve dış ağ varlıklarını korur, ağ hizmetlerinin güvenli yürütülmesini sağlar ve katmanlı güvenlik anlayışıyla izinsiz erişim tehlikelerini azaltır.

Mantıksal erişim kontrolleri, işletim sistemine, ağa, veri tabanına ve uygulama programlarına izinsiz erişimi önlemeyi hedefler.

Erişim politikası, şifre politikası, yetkilendirme prosedürleri, erişimlerin kayıt altına alınması ve yetkisiz erişimlerin raporlanması bu alandadır.

İşletim kontrolleri, bilgi sistemlerinin faaliyet sürekliliği ve güvenliği içinde işletilmesini kapsar; işletim sistemi, bilgisayar işlemleri ve veri tabanı güvenliği bu kapsamda değerlendirilir.

Sistem geliştirme ve değişim yönetimi kontrolleri ise proje yönetimi, risk değerlendirmesi, tasarım belgesi, testler, kullanıcı kabulü, veri aktarımı ve uygulama sonrası izleme gibi süreçleri içerir.

Acil durum ve iş sürekliliği planlaması kontrolleri, deprem, yangın, sel, sabotaj, yazılım veya donanım hatası, elektrik ve telekomünikasyon kesintisi gibi olaylarda işletmenin işlevlerini sürdürebilmesini amaçlar.

Risk değerlendirmesi yapılması, her risk için tedbir alınması, acil durum ve iş sürekliliği planının hazırlanması, planın gözden geçirilmesi, güncellenmesi, test edilmesi ve yedekleme yapılması bu kontrol grubunun parçasıdır.

İşletme böyle bir planı devreye sokamazsa yasal sorumluluklarını yerine getirememe, ana faaliyetlerine makul sürede dönememe ve kayıpların artması riskleriyle karşılaşabilir.

Uygulama kontrolleri, bilgilerin sistemlere eksiksiz, zamanında ve yalnız bir kez girilmesini; işlemlerin istenen sıra ve düzen içinde gerçekleşmesini; raporların tam ve güvenilir üretilmesini, yetkili kişilere ulaştırılmasını ve uygun biçimde arşivlenmesini sağlar.

Girdi kontrolleri verilerin tam, doğru ve yetkili kişilerce girilmesini hedefler.

Veri transfer kontrolleri verilerin uçtan uca tam, doğru, zamanında ve güvenli aktarılmasını sağlar.

İşlem kontrolleri verinin iş süreçlerine uygun, doğru ve denetlenebilir biçimde işlenmesine yönelir.

Çıktı kontrolleri ise çıktıların doğruluğu, dağıtımı, gizliliği, hata incelemesi ve muhafazasını kapsar.

Kontroller uygulanma biçimine göre otomatik ve manuel olabilir.

Otomatik kontroller, benzer işlemlerin sürekli yapıldığı ve önceden belirlenmiş işlevlerin teknoloji aracılığıyla kendiliğinden yürütüldüğü süreçlerde kullanılır; insan hatasını azaltır fakat teknoloji riski ve karmaşıklık yaratabilir.

Manuel kontroller insan eylemi gerektirir; hata ve tutarsızlık riski daha yüksek olmakla birlikte acil durumlar, yüksek maliyetli otomasyon alanları veya otomatik kontrollerin izlenmesi için gerekli olabilir.

Bir kontrol amacına ulaşmak için otomatik ve manuel kontroller birlikte de kullanılabilir.

Kontroller amaçlarına göre önleyici, tespit edici ve düzeltici olarak sınıflanır.

Önleyici kontroller, istenmeyen olaylar, hatalar ve diğer oluşumlar ortaya çıkmadan bunları engellemeyi hedefler; görevler ayrılığı, kartlı giriş, güvenlik duvarı, erişim kontrolü, antivirüs, yedekleme ve etik kodlar buna örnek verilebilir.

Tespit edici kontroller, hata, ihmal, yetkisiz kullanım veya kayıtlar gerçekleştikten sonra bunları belirleyip raporlamak için vardır; iz kayıtlarının izlenmesi, iç denetim, saldırı tespit sistemleri ve performans raporları bu mantığa girer.

Düzeltici kontroller ise tespit edilen sorunların etkisini azaltma ve işleyişi uygun duruma getirme amacına yönelir.

Risk ve önemlilik, bilgi sistemleri denetiminin kapsamını belirleyen temel kavramlardır.

Risk, olasılık ve etkinin birlikte değerlendirilmesiyle anlaşılır.

Bilgi sistemleri özelinde tehdit, zafiyet, varlık değeri ve olayın gerçekleşme ihtimali bir arada düşünülür.

İşletmeler riskleri tamamen ortadan kaldıramaz; yönetim, iş hedeflerine yönelik riskleri yönetir.

Denetim faaliyetleri de risklerin ne kadar iyi yönetildiğini izlemeye yardımcı olur.

Bu nedenle etkin denetim için yalnız işletmenin maruz kaldığı riskler değil, denetçinin yanlış sonuca varma ihtimalini anlatan denetim riski de anlaşılmalıdır.

Denetim riski, denetim bulgularına dayanarak yanlış bir sonuca varma veya önemli yanlışlık bulunmasına rağmen uygun olmayan denetim görüşü verme riskidir.

Doğal risk, kontrol uygulanmadan önce bilgi sistemi varlıklarını etkileyebilecek risk düzeyidir.

Kontrol riski, kontrollerin hataları veya eksiklikleri önleyememesi, ortaya çıkaramaması ya da zamanında düzeltememesi riskidir.

Tespit riski ise denetçinin uyguladığı prosedürlerin önemli bir yanlışlığı ortaya çıkaramaması ihtimalidir.

Denetçi, önemli veya kayda değer kontrol eksikliği riski yüksek alanlarda tespit riskini düşürecek uygun denetim teknikleri kullanmalıdır.

Önemlilik, denetim riskiyle yakından ilişkilidir ve planlama, yoğunlaşma, bulguların değerlendirilmesi ve raporlama için kullanılır.

Denetim riski yüksek alanlar daha ayrıntılı incelenir ve daha fazla kanıta başvurulur.

Bilgi sistemleri denetiminde güvenli ve sürekli işleyiş, veri bütünlüğü, tutarlılık, güvenilirlik, gereken durumlarda gizlilik ve faaliyetlerin sürekliliği önemlilik değerlendirmesinde etkili olabilir.

Önemlilik yalnız nicel büyüklük değildir; bir kontrol eksikliğinin raporlama, uyum, güvenlik veya operasyonel süreklilik üzerindeki etkisi de dikkate alınır.

Denetim kanıtı, denetim görüşünü desteklemek için kullanılan bilgidir.

Denetim faaliyetlerinin büyük bölümü, görüş oluşturmak için kanıt toplama ve değerlendirme çalışmalarından oluşur.