Finansal veri paylaşımı, doğruluğu kadar güvenliğiyle de değerlendirilen bir faaliyettir. Bilgi alışverişi kuruluşları ile Risk Merkezinin bilgi sistemleri yönetimine ve denetimine ilişkin Tebliğ, bu yapıların bilgi sistemleri yönetişimini, güvenlik kontrollerini ve bağımsız denetime tabi olma biçimini düzenler.
Yönetişim Katmanı: Sorumluluk Kimde?
Bilgi sistemleri yönetimi, teknik ekibin görevi olmaktan çıkıp yönetim kurulu düzeyinde sahiplenilmesi gereken bir konudur. Politikaların onaylanması, risk iştahının belirlenmesi ve denetim bulgularının takibi üst yönetimin sorumluluğundadır. Bu zincirin kâğıt üzerinde kalması, denetimde en sık raporlanan bulgu tipidir.
Kişisel Veri Boyutu
Bu kuruluşların işlediği veriler, gerçek kişilerin kredi ve borç bilgilerini içerdiğinden 6698 sayılı Kişisel Verilerin Korunması Kanunu ile finansal gizlilik yükümlülükleri aynı anda uygulanır. Erişim yetkilerinin görev tanımıyla sınırlı olması, sorgu loglarının izlenebilirliği ve amaç dışı sorgunun tespit edilebilmesi; hem tebliğ hem KVKK bakımından beklenen asgari kontrollerdir. Yetkisiz sorgu iddiası, aynı fiil bakımından idari yaptırım ve ayrıca hukuki sorumluluk doğurabilir.
Denetim Sürecine Hazırlık
- Bilgi sistemleri envanterinin ve veri akış şemalarının güncel tutulması
- Yetki matrisi ile fiilî erişim listesinin periyodik karşılaştırılması
- Değişiklik yönetimi kayıtlarının onay izleriyle birlikte saklanması
- İş sürekliliği ve olağanüstü durum senaryolarının test edilmiş olması
- Loglama sürelerinin ve bütünlüğünün ispatlanabilir olması
Veri İhlali Anında Doğru Sıralama
- Olayı tespit eder etmez kapsamı sınırlandırın ve delil niteliğindeki logları koruyun.
- Etkilenen veri kategorilerini ve ilgili kişi sayısını belirleyin.
- KVKK kapsamındaki ihlal bildirimi yükümlülüğünü ve sektörel bildirim yükümlülüklerini ayrı ayrı değerlendirin.
- İç inceleme raporunu tarih sırasıyla, müdahale adımlarını gösterecek biçimde yazın.
Yaptırıma Karşı Savunma Ekseni
Denetim sonucunda uygulanan idari yaptırımlara karşı savunmanın gücü, çoğunlukla kuruluşun olay öncesinde aldığı önlemleri belgeleyebilmesine bağlıdır. Sonradan üretilmiş politika metinleri değil, tarihli onay ve test kayıtları ikna edicidir. Yaptırım kararına karşı hangi merciye, hangi sürede başvurulacağı ise kararın dayandığı mevzuata göre belirlenir ve süre hesabı ilk günden yapılmalıdır.
Yukarıdaki açıklamalar genel bir çerçeve sunar. Bilgi sistemleri denetimi ve veri ihlali süreçleri teknik ve hukuki boyutu birlikte taşıdığından, somut olayda uzmanlık alanlarının birlikte yürütülmesi tavsiye edilir.