Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği VII-128.10 Konu Anlatımı

VII-128.10, bilgi sistemleri yönetimini yalnız teknik altyapı konusu olarak değil, sermaye piyasası kurumlarının iş hedeflerine ulaşmasını destekleyen bir kontrol ve sorumluluk düzeni olarak ele alır.

Bilgi sistemleri kurulur, işletilir, yönetilir ve kullanılırken bilginin gizliliği, bütünlüğü ve gerektiğinde erişilebilirliği korunmalıdır.

Bu nedenle tebliğin sınav açısından özü, kurumun bilgi sistemlerinden kaynaklanan riskleri önceden tanıması, bu riskleri kurumsal hedeflerle ilişkilendirmesi ve kontrolleri sürekli izlenebilir hale getirmesidir.

Bir kontrol yalnız bir yazılım ayarı değildir; politika, prosedür, uygulama, kılavuz, organizasyon yapısı, teknik önlem ve yönetim gözetimi birlikte düşünüldüğünde anlam kazanır.

Bilgi sistemleri denetiminde kontrol kavramı, varlıkların korunması, veri bütünlüğünün sürdürülmesi, faaliyetlerin etkin ve verimli yürütülmesi ve kuruluş amaçlarına ulaşılması bakımından incelenir.

Etkili bir kontrol, istenmeyen olayları önlemeye, gerçekleşen hataları veya yetkisiz kullanımları tespit etmeye, ortaya çıkan sorunun etkisini sınırlamaya ya da düzeltmeye yarar.

Bu bakış VII-128.10 için önemlidir; çünkü tebliğ kapsamındaki kurumdan beklenen şey, olay olduktan sonra tepki vermekle sınırlı değildir.

Yönetim, bilgi sistemleriyle ilgili hedefleri belirlemeli, bu hedeflere yönelik riskleri değerlendirmeli ve kontrollerin gerçekten çalışıp çalışmadığını izlemelidir.

Sorumluluk dağılımında birincil ağırlık üst yönetimdedir.

İş hedeflerine ulaşmak her çalışanın görevi olsa da, kurumsal hedeflerin gerçekleştirilmesine yönelik planlama, organizasyon ve yönlendirme faaliyetleri yönetim tarafından yapılır.

Yönetim kontrolleri bu nedenle VII-128.10'un omurgasını oluşturur.

Yazılı bilgi sistemleri stratejisi, bu stratejinin uygulanmasına ilişkin plan, düzenli risk değerlendirmesi, yönetimce onaylanmış bilgi güvenliği politikası, politikanın güncellenmesi, bilgi sistemlerinin etkin yönetilmesini sağlayacak organizasyon yapısı, varlık envanteri, personelin bilgi güvenliği eğitimleri ve düzenleme gereklerine uyumun denetlenmesi, kontrol ortamının yalnız teknik değil yönetsel olduğunu gösterir.

Genel kontroller, kurumun tüm bilgi sistemleri altyapısı ve destek hizmetleri üzerinde güvenli bir çalışma zemini sağlar.

Fiziksel ve çevresel kontroller donanım ve yazılımın izinsiz erişim, kasıtlı ya da kasıtsız hasar, yangın, su, elektrik kesintisi, voltaj dalgalanması, toz, nem ve sıcaklık gibi tehditlere karşı korunmasını hedefler.

Ağ yönetimi ve güvenliği kontrolleri iç ve dış ağ varlıklarının korunmasını, ağ hizmetlerinin güvenli yürütülmesini ve ağ üzerinden gelebilecek izinsiz erişim risklerinin azaltılmasını amaçlar.

Mantıksal erişim kontrolleri işletim sistemine, ağa, veri tabanına ve uygulamalara yetkisiz erişimi sınırlar; erişimlerin kayıt altına alınması, izlenmesi ve yetkisiz erişimlerin raporlanması bu alanın tipik kanıtlarıdır.

İşletim kontrolleri bilgi sistemlerinin sürekliliğini ve güvenli işletimini korur.

İşletim sisteminin seçimi, kurulumu, güvenli yönetimi, bakım süreçleri, yamaların izlenmesi, güçlendirme kontrol listeleri, geri yükleme noktaları, kapasite tahminleri ve veri tabanı güvenliği bu kapsamda değerlendirilir.

Sistem geliştirme ve değişim yönetimi kontrolleri ise proje yönetiminin, sistem geliştirme kalitesinin, iç kontrol ve denetim izinin korunmasını sağlar.

Fizibilite raporu, tasarım belgesi, bütünlük ve doğruluk testleri, kullanıcı kabul testleri, uygulamaya geçiş prosedürleri, veri aktarımı, paralel çalıştırma ve uygulama sonrası izleme gibi unsurlar, değişikliklerin kontrolsüz biçimde canlı ortama taşınmasını önler.

Acil durum ve iş sürekliliği planlaması, VII-128.10'un risk mantığını somutlaştıran başka bir alandır.

Deprem, yangın, sel, sabotaj, donanım veya yazılım hatası, elektrik ve telekomünikasyon kesintisi gibi olaylar bilgi sistemlerini geçici ya da sürekli aksatabilir.

Kurumun acil durum ve iş sürekliliği için yönetim süreci oluşturması, risk değerlendirmesi yapması, plan hazırlaması, planı gözden geçirmesi, güncellemesi, test etmesi ve kritik dosyaları düzenli yedeklemesi beklenir.

Bu yapılmadığında kurum ana faaliyetlerine makul sürede dönememe, yasal yükümlülüklerini yerine getirememe ve kayıpların büyümesi gibi risklerle karşılaşır.

Uygulama kontrolleri, bilgilerin sistemlere tam, doğru, zamanında ve yalnız bir kez girilmesini; işlemlerin beklenen sıra ve düzen içinde gerçekleşmesini; raporların tam, güvenilir, yetkili kişilere ulaştırılmış ve uygun biçimde arşivlenmiş olmasını hedefler.

Girdi, veri transferi, işlem ve çıktı kontrolleri bu nedenle birlikte düşünülmelidir.

Uygulama değerlendirilmeden önce veri akışları, manuel ve otomatik kontroller, yasal düzenlemelerle ve muhasebe sistemiyle ilişkiler anlaşılmalıdır.

Denetçi, uygulamaların güvenilirliğine ilişkin makul güvence elde etmek için kontrolleri test eder ve gerektiğinde bilgisayar destekli denetim tekniklerinden yararlanır.

Kontrol hedefleri VII-128.10 anlatımında sınav sorusuna dönüşebilecek ana bağlayıcı kavramdır.

Operasyonel süreçlerin etkinliği ve verimliliği, mevzuata uygunluk, varlıkların korunması, bilginin güvenilirliği ve bütünlüğü kontrol hedefi olarak düşünülür.

Bu hedeflere ulaşmak için kontrol önlemleri tanımlanır; örneğin güncelleme ve yama yönetimi, zararlı yazılımları önleyici uygulamalar, güvenlik duvarı, veri yedeği, veri sınıflandırması, şifreleme, erişim denetimi politikası, işlem ve iletim kayıtları, hata düzeltme, iş sürekliliği planları ve kapasite planlaması farklı riskleri azaltır.

Böylece tebliğ, soyut bir uygunluk metni olmaktan çıkar ve izlenebilir kontrol faaliyetlerine bağlanır.

VII-128.10 ile III-62.2 arasındaki ilişki rapor örneklerinde belirginleşir.

Denetlenen yönetim kurulu, bilgi sistemleri kontrollerinin VII-128.10'da belirtilen usul ve esaslara uygun oluşturulmasından, etkin işletilmesinden ve yeterli kontrol ortamının tesis edilmesinden sorumludur.

Yetkili denetim kuruluşunun görevi ise yaptığı çalışmaya dayanarak görüş bildirmektir.

Bu ayrım sınavda önemlidir: VII-128.10 kontrol ortamının nasıl kurulacağını ve yönetimin yükümlülüğünü anlatır; denetçi bu ortamın etkin, yeterli ve uyumlu olup olmadığını kanıtlarla değerlendirir.

Kontrollerin uygulama şekline göre sınıflandırılması da yönetim bakışını tamamlar.

Otomatik kontroller, benzer işlemlerin sürekli tekrarlandığı durumlarda insan hatasını azaltır; format kontrolleri, hazır raporlama şablonları, otomatik uyarılar ve sistemsel doğrulamalar bu gruba girer.

Manuel kontroller ise insan müdahalesi ve karar gerektiren süreçlerde kullanılır.

Önleyici kontroller istenmeyen olayın gerçekleşmesini engellemeye çalışır; tespit edici kontroller hata, ihmal veya yetkisiz kullanımın meydana geldiğini belirler; düzeltici kontroller ise tespit edilen sorunun kaynağına uygun çözüm geliştirir.

Teknik, fiziksel ve idari kontrollerin birlikte kullanılması, bilgi sistemleri risklerinin tek bir güvenlik önlemiyle yönetilemeyeceğini gösterir.

Denetim açısından VII-128.10'u çalışırken en yararlı yöntem, her kontrolü bir hedefe bağlamaktır.

Veri bütünlüğü için mutabakat, sıra ve limit kontrolleri; gizlilik için erişim denetimi ve şifreleme; erişilebilirlik için yedekleme, kapasite ve iş sürekliliği planları; uygulama geliştirme güvenliği için güvenli geliştirme ortamları, değişiklik yönetimi ve canlı ortama geçişte güvenlik testleri beklenir.