SPK Bilgi Sistemleri Denetiminde İncelenen Başlıca Alanlar

SPK bilgi sistemleri denetimi, sermaye piyasası alanında faaliyet gösteren ya da faaliyet izni almayı planlayan kuruluşların teknoloji altyapısını düzenleyici beklentiler çerçevesinde değerlendiren bir denetim türüdür. Denetimin kapsamı geniş tutulduğundan, hangi alanların inceleneceğinin önceden bilinmesi hazırlık sürecinin sağlıklı planlanmasına katkı sağlar. Denetimin genel çerçevesi ve amacı, SPK bilgi sistemleri denetiminin ne olduğu başlığında ayrıca ele alınmıştır.

Bu yazıda, denetim kapsamında öne çıkan başlıca alanlar yüksek seviyede ele alınır. Amaç, teknik bir uygulama tarifi sunmak değil; hazırlık yapan karar vericilere, uyum ekiplerine ve teknoloji yöneticilerine değerlendirme perspektifi kazandırmaktır. Her alan, denetimde nelerin gözetildiğine ilişkin genel bir çerçeve olarak okunmalıdır.

Bilgi Güvenliği Yönetimi

Bilgi güvenliği yönetimi, denetimde ilk sırada değerlendirilen alanlardan biridir. Kuruluşun bilgi varlıklarını koruma yaklaşımının tanımlı, izlenebilir ve sürdürülebilir olması beklenir. Güvenlik politikalarının belgelenmiş olması, sorumlulukların netleştirilmesi ve risklerin düzenli aralıklarla değerlendirilmesi bu alanın temel unsurları arasında yer alır.

Değerlendirmenin sağlıklı yürütülebilmesi için kuruluşun bilgi varlıklarını tanımlamış olması, bu varlıkların kritiklik düzeyine göre sınıflandırılması ve koruma önlemlerinin bu sınıflandırmayla ilişkilendirilmiş olması gözetilir. Risklerin yalnızca bir kez değil, belirli bir düzen içinde yeniden değerlendirilmesi, güvenlik yönetiminin canlı bir süreç olarak işlediğini gösterir.

Denetimde, güvenlik kontrollerinin yalnızca belge düzeyinde tanımlanmış olması değil, işletme süreçlerine yansıtılmış olması da gözetilir. Bu nedenle güvenlik yönetimi, teknik önlemlerle organizasyonel süreçlerin birlikte ele alındığı bütüncül bir alan olarak değerlendirilir. ISO 27001 ile uyumlu bir yaklaşım, bu başlıktaki hazırlığın yapılandırılmasında referans oluşturabilir.

Erişim ve Yetkilendirme Kontrolleri

Sistemlere ve verilere erişimin kim tarafından, hangi gerekçeyle ve hangi kapsamda sağlandığı denetimin kritik başlıklarındandır. En az yetki ilkesinin uygulanması, kritik işlemlerde görevler ayrılığının gözetilmesi ve erişim haklarının düzenli olarak gözden geçirilmesi beklenir.

Personelin işe başlaması, görev değiştirmesi ve ayrılması süreçlerinde erişim haklarının güncel tutulması, bu alandaki en görünür kontrollerden biridir. Kullanımdan kalkmış ya da gereksiz hâle gelmiş yetkilerin zamanında kaldırılması, birikmiş erişim haklarının oluşturduğu riski sınırlar. Yetkilendirme yapısının merkezi biçimde yönetilmesi ve erişim kayıtlarının izlenebilir olması, bu alandaki olgunluğun göstergesi olarak değerlendirilir. Ayrıcalıklı hesapların ayrı bir dikkatle ele alınması ve bu hesaplara ilişkin işlemlerin kayıt altına alınması önem taşır.

Değişiklik ve Sürüm Yönetimi

Üretim ortamına yansıyan değişikliklerin kontrollü biçimde yönetilmesi, denetimde incelenen bir diğer alandır. Değişikliklerin planlanması, test edilmesi, onaylanması ve gerektiğinde geri alınabilir biçimde uygulanması beklenir. Kontrolsüz değişiklikler hem güvenlik hem de süreklilik açısından risk oluşturduğundan bu başlık ayrı bir önem taşır.

Değişikliklerin hangi gerekçeyle yapıldığının, kim tarafından onaylandığının ve ne zaman uygulandığının kayıt altında olması, denetimde izlenebilirlik açısından değerlendirilir. Acil değişikliklerin dahi belirli bir çerçevede ele alınması ve sonradan kayda geçirilmesi, sürecin bütünlüğünü korur.

İş Sürekliliği ve Felaket Kurtarma

Hizmetin kesintiye uğraması durumunda kuruluşun ne kadar sürede ve hangi veri kaybıyla toparlanabileceği denetimde değerlendirilir. Kurtarma süresi ve kabul edilebilir veri kaybı hedeflerinin tanımlı olması, süreklilik planlarının belgelenmesi ve bu planların düzenli olarak sınanması beklenir. İş sürekliliğinin neden önemli olduğu, hazırlık aşamasında ele alınması gereken temel konulardandır.

Denetim, süreklilik kabiliyetinin yalnızca doküman düzeyinde değil, tatbikatlarla doğrulanmış biçimde var olmasını gözetir. Yedekli mimari, alternatif çalışma senaryoları ve kurtarma testlerinin sonuçları bu alanda dikkate alınan unsurlar arasındadır. Test edilmemiş bir planın sunduğu güvence, uygulanabilirliği kanıtlanana kadar sınırlı olarak değerlendirilir.

Loglama, İzleme ve Olay Yönetimi

Sistemlerde gerçekleşen işlemlerin kayıt altına alınması ve bu kayıtların anlamlı biçimde izlenmesi, denetimin önemli başlıklarındandır. Kayıtların bütünlüğünün korunması, yeterli süre saklanması ve güvenlik olaylarının tespitine imkân verecek biçimde yapılandırılması beklenir. Kayıtların toplandığı ancak izlenmediği bir yapı, olayların zamanında fark edilmesini güçleştirir.

Olay yönetimi ise tespit edilen durumların nasıl ele alındığıyla ilgilenir. Olayların sınıflandırılması, önceliklendirilmesi ve çözüm süreçlerinin kayıt altına alınması, bu alandaki olgunluğun değerlendirilmesinde esas alınır. Olay sonrası yürütülen değerlendirmelerin benzer durumların tekrarını önlemeye katkı sağlaması beklenir.

Veri Bütünlüğü ve Yedekleme

Verilerin doğruluğunun, tutarlılığının ve erişilebilirliğinin korunması denetimde gözetilen bir diğer alandır. Yedekleme süreçlerinin tanımlı olması, yedeklerin düzenli alınması ve geri yükleme testleriyle doğrulanması beklenir. Yalnızca yedek almak değil, yedekten dönülebildiğini kanıtlamak da bu başlığın kapsamında değerlendirilir.

Yedeklerin korunma biçimi, saklandığı konum ve erişimin sınırlandırılması da değerlendirmenin parçasıdır. Yedeklerin asıl sistemlerle aynı risklere maruz kalmayacak biçimde konumlandırılması, kurtarma kabiliyetinin güvenilirliğini artırır.

Fiziksel ve Çevresel Güvenlik

Bilgi sistemlerinin barındırıldığı ortamların fiziksel güvenliği de denetimde gözetilen alanlar arasındadır. Sistemlerin bulunduğu ortamlara erişimin kontrol altında olması, çevresel risklere karşı önlem alınmış olması ve kritik altyapının süreklilik açısından desteklenmesi beklenir. Bu unsurların dış hizmet sağlayıcı üzerinden karşılandığı durumlarda, ilgili güvencelerin sözleşmeyle tanımlı olması önem taşır.

Fiziksel güvenlik, çoğu zaman yazılım tarafındaki kontrollerin gölgesinde kalsa da, bütünlüklü bir güvenlik yaklaşımının ayrılmaz parçası olarak değerlendirilir. Mantıksal kontroller ne kadar güçlü olursa olsun, fiziksel erişim risklerinin göz ardı edilmesi bütünü zayıflatır.

Üçüncü Taraf ve Tedarikçi Yönetimi

Dış hizmet sağlayıcılarla yürütülen ilişkiler kuruluşun risk yüzeyini genişlettiğinden denetimde ayrıca değerlendirilir. Tedarikçilerin sağladığı hizmetlerin sözleşmelerle tanımlanmış olması, sorumluluk sınırlarının netleştirilmesi ve kritik bağımlılıkların izlenmesi beklenir. Teknoloji sağlayıcı bağımlılığının yarattığı risklerin farkında olunması, hazırlık sürecinde göz ardı edilmemesi gereken bir konudur.

Tek bir sağlayıcıya yoğunlaşan bağımlılıkların oluşturduğu risk ile bu bağımlılıkların hizmet kesintisi durumunda nasıl yönetileceği de değerlendirme kapsamındadır. Kritik hizmetlerde alternatiflerin önceden düşünülmüş olması, süreklilik açısından güvence sağlar.

Sonuç

SPK bilgi sistemleri denetimi; teknik altyapının güvenlik, süreklilik, izlenebilirlik ve yönetişim boyutlarıyla bütüncül biçimde değerlendirildiği bir süreçtir. İncelenen alanların önceden bilinmesi, hazırlığın dağınık değil öncelikli ve planlı biçimde yürütülmesine imkân tanır. Bu başlıkların birbiriyle ilişkili olduğunun görülmesi, bir alandaki eksikliğin diğerlerini de etkileyebileceğinin fark edilmesini sağlar. SPK uyum hazırlığı kapsamında yürütülen çalışmalar, mevcut durumun bu başlıklar üzerinden değerlendirilmesiyle sağlam bir temele oturur.