Kripto varlık saklama hizmeti, dijital varlıkların özel anahtarlarının güvenli biçimde üretilmesi, saklanması ve yönetilmesi sorumluluğunu üstlenen uzmanlaşmış bir hizmettir. Bir kurum için doğru saklama hizmetinin seçilmesi; yalnızca teknik bir tercih değil, aynı zamanda güvenlik, uyum ve operasyonel süreklilik boyutlarını birlikte ilgilendiren stratejik bir karardır. Yanlış bir seçim, varlık güvenliğini ve düzenleyici uyumu doğrudan etkileyebilir.
Saklama hizmeti seçimi, tek bir ölçüte indirgenemez. Teknik mimari, düzenleyici uyum, operasyonel dayanıklılık ve sözleşmesel sorumluluk gibi farklı boyutların birlikte değerlendirilmesi gerekir. Bu boyutlardan yalnızca birine odaklanan bir değerlendirme, diğer alanlardaki eksiklikleri gözden kaçırma riski taşır.
Bu rehberde, kripto varlık saklama hizmeti seçilirken dikkat edilmesi gereken kriterler; teknik, uyum, operasyonel ve sözleşmesel başlıklar altında yüksek seviyede ele alınmakta ve bir değerlendirme çerçevesi sunulmaktadır.
Saklama Hizmetinin Kapsamı
Saklama hizmetinin kapsamı, sağlayıcıdan sağlayıcıya farklılık gösterir. Bazı hizmetler yalnızca anahtarların güvenli saklanmasını sunarken, bazıları işlem imzalama, çoklu onay akışları, raporlama ve düzenleyici entegrasyonlar gibi daha geniş bir işlev kümesini içerir. Seçim sürecinin ilk adımı, kurumun ihtiyacının hangi kapsama karşılık geldiğinin netleştirilmesidir.
Saklama modelinin temel niteliği de bu aşamada değerlendirilir. Varlıkların doğrudan kurum tarafından mı yoksa uzman bir kuruluş aracılığıyla mı saklanacağı, kurumsal risk iştahına ve düzenleyici çerçeveye göre belirlenir. Saklama kuruluşu kavramının kapsamına ilişkin ayrıntılar için kripto varlık saklama kuruluşunun ne olduğunu ele alan içerik incelenebilir.
Teknik Değerlendirme Kriterleri
Teknik değerlendirmenin merkezinde, anahtar güvenliğinin hangi mimariyle sağlandığı yer alır. Çok taraflı hesaplama (MPC), çoklu imza (multisig) ve donanım güvenlik modülü (HSM) gibi yaklaşımlar, anahtarların korunmasında farklı güvenlik modelleri sunar. Burada amaç, belirli bir teknolojinin diğerinden üstün olduğunu iddia etmek değil; hangi modelin kurumun risk profiline ve operasyonel ihtiyaçlarına uygun düştüğünü değerlendirmektir.
Değerlendirmede ayrıca sıcak, ılık ve soğuk saklama katmanlarının nasıl kurgulandığı, işlem imzalama süreçlerinin hangi onay mekanizmalarına dayandığı ve varlıkların erişilebilirliği ile güvenliği arasındaki dengenin nasıl kurulduğu incelenir. Bu yaklaşımların karşılaştırmalı değerlendirmesi için MPC, multisig ve HSM karşılaştırmasını ele alan içerik referans alınabilir.
Not: Teknik değerlendirmede tek bir mimariye odaklanmak yerine, katmanlı bir yaklaşımın bulunup bulunmadığına bakılması önerilir. Erişilebilirlik ile güvenliğin dengelendiği katmanlı bir saklama yapısı, farklı işlem türlerinin farklı güvenlik seviyeleriyle yönetilmesine imkân tanır.
Uyum ve Düzenleme Kriterleri
Kripto varlık saklama hizmeti, giderek daha yapılandırılmış bir düzenleyici çerçeve içinde değerlendirilmektedir. Seçim sürecinde, sağlayıcının düzenleyici beklentilerle örtüşen bir yaklaşım benimseyip benimsemediği önemli bir kriterdir. Bu kapsamda; SPK kriterlerine uygun bir yapı sunulup sunulmadığı, TÜBİTAK teknik kriterlerini karşılayan bir altyapının bulunup bulunmadığı ve bilgi sistemleri denetimine hazırlık düzeyi göz önünde bulundurulur.
Bu değerlendirmede teknik kriterler ile faaliyet izninin birbirine karıştırılmaması gerekir. TÜBİTAK kriterleri, saklama altyapısının teknik gereksinimlerini tanımlar; faaliyet izni ise SPK tarafından ayrı bir süreçle değerlendirilir. Benzer biçimde, bir kuruluşun Faaliyette Bulunanlar Listesi'nde yer alması, tek başına açık bir faaliyet izni anlamına gelmez. Bu ayrımların net biçimde anlaşılması, seçim sürecinde yanlış varsayımların önüne geçer.
Uyarı: Bir sağlayıcının teknik kriterlerle uyumlu olması, otomatik olarak faaliyet iznine sahip olduğu anlamına gelmez. Teknik yeterlilik ile düzenleyici yetkilendirme ayrı süreçlerdir ve seçim sürecinde her ikisinin durumu ayrı ayrı teyit edilmelidir.
Operasyonel ve Süreklilik Kriterleri
Saklama hizmetinin güvenilirliği, yalnızca teknik mimariyle değil; operasyonel dayanıklılığıyla da ölçülür. Bu kapsamda, hizmetin iş sürekliliği ve felaket kurtarma yaklaşımı, kurtarma hedeflerinin (RTO/RPO) tanımlı olup olmadığı, raporlama ve mutabakat imkânları ile operasyonel süreçlerin şeffaflığı değerlendirilir. Bir saklama sağlayıcısının kesinti veya olağan dışı durum senaryolarına nasıl hazırlandığı, uzun vadeli güvenilirliğin göstergesidir. Ayrıca varlıkların müşteri bazında ayrıştırılması, bağımsız mutabakat imkânı ve olası kayıplara karşı sunulan güvence düzenlemeleri de operasyonel değerlendirmenin kapsamına dâhil edilir. Bu unsurların şeffaf biçimde belgelenmesi, sağlayıcının operasyonel olgunluğunu ortaya koyan somut göstergeler arasında yer alır.
Kurumsal müşteriler açısından, varlıkların her koşulda erişilebilir kalması ve mutabakatın güvenilir biçimde yapılabilmesi büyük önem taşır. Bu boyutların banka ve finansal kuruluş perspektifiyle değerlendirilmesi için bankalar için kripto varlık saklama rehberi tamamlayıcı bir kaynak sunar.
Sözleşme ve Sorumluluk
Saklama ilişkisinin çerçevesi, sözleşmeyle belirlenir. Sözleşmede; tarafların sorumluluklarının nasıl dağıtıldığı, varlıkların mülkiyet ve ayrıştırma esaslarının nasıl tanımlandığı, olay durumunda bildirim ve müdahale yükümlülüklerinin ne olduğu ve hizmetin sonlandırılması hâlinde varlıkların nasıl devredileceği açıkça yer almalıdır. Bu unsurların belirsiz bırakılması, ileride ciddi hukuki ve operasyonel riskler doğurabilir.
Sorumluluk dağılımının netliği, saklama anlaşmasının en kritik bileşenlerinden biridir. Saklama anlaşmasının kapsamına ve dikkat edilmesi gereken unsurlara ilişkin ayrıntılar için kripto varlık saklama anlaşmasının ne olduğunu ele alan içerik incelenebilir.
Değerlendirme Boyutlarının Özeti
Aşağıdaki tablo, saklama hizmeti seçiminde ele alınan başlıca değerlendirme boyutlarını ve her boyutta öne çıkan soruları özetlemektedir. Tablo, ayrıntılı bir denetim listesi değil; değerlendirmeye başlangıç noktası oluşturan bir çerçeve olarak kullanılabilir.
| Boyut | Öne Çıkan Değerlendirme Sorusu |
|---|---|
| Teknik mimari | Anahtar güvenliği hangi modelle sağlanıyor ve katmanlı bir saklama yapısı mevcut mu? |
| Uyum | SPK kriterlerine uygun ve TÜBİTAK teknik kriterleriyle örtüşen bir yapı sunuluyor mu? |
| Operasyon | İş sürekliliği, kurtarma hedefleri ve raporlama imkânları tanımlı mı? |
| Sözleşme | Sorumluluk dağılımı, varlık ayrıştırması ve çıkış senaryoları net biçimde belirlenmiş mi? |
Sonuç
Kripto varlık saklama hizmeti seçimi, teknik mimari, düzenleyici uyum, operasyonel dayanıklılık ve sözleşmesel sorumluluğun birlikte değerlendirildiği bütünsel bir karardır. Bu boyutların yalnızca birine odaklanmak, diğer alanlardaki eksiklikleri gözden kaçırma riski taşır. Sağlıklı bir seçim, kurumun ihtiyacının netleştirilmesiyle başlar ve her boyutun ayrı ayrı incelenmesiyle olgunlaşır.
Teknik yeterlilik ile düzenleyici yetkilendirmenin ayrı ayrı teyit edilmesi, seçim sürecinde yanlış varsayımların önüne geçer. Bütünsel bir değerlendirme çerçevesiyle yürütülen bir seçim süreci, varlık güvenliğini ve uyum hazırlığını uzun vadede güvence altına alan bir temel oluşturur.
Saklama hizmeti seçimi, teknik ve düzenleyici boyutların bir arada değerlendirilmesini gerektirir. Güvenlik mimarisi, uyum hazırlığı ve operasyonel dayanıklılığın bütünsel ele alındığı bir yaklaşım, doğru kararın temelini oluşturur.