Kripto varlık hizmet sağlayıcılarının Türkiye'de faaliyet gösterebilmesi için karşılaması beklenen teknik gereksinimler, TÜBİTAK tarafından tanımlanan kriterler çerçevesinde değerlendirilir. Bu kriterler; bilgi güvenliği, sistem sürekliliği, veri yönetimi ve izlenebilirlik gibi başlıklarda asgari bir teknik olgunluk seviyesi tanımlar. Uyum sürecinin sağlıklı ilerleyebilmesi, kriterlerin son aşamada değil, proje planlamasının başında dikkate alınmasına bağlıdır.
Uyum planlaması, yalnızca bir teknik kontrol listesinin doldurulması olarak ele alındığında eksik kalır. Kriterlerin karşılanması; kurumsal sorumlulukların paylaşımı, kaynak planlaması, dokümantasyon disiplini ve doğrulanabilir kanıt üretimi gibi çok sayıda boyutu kapsayan bir süreç olarak yapılandırılır. Bu içerikte, TÜBİTAK teknik kriterlerine yönelik uyum sürecinin nasıl planlanabileceği; kurulum tarifleri yerine planlama ve tedarikçi değerlendirme perspektifiyle ele alınır.
Amaç, kriterleri karşılayan bir teknik altyapının nasıl kurulacağını anlatmak değil; hangi aşamaların hangi sırayla planlanması gerektiğini, kaynakların nasıl konumlandırılacağını ve denetime hazır bir yapının hangi unsurlarla desteklendiğini ortaya koymaktır.
TÜBİTAK Teknik Kriterlerinin Kapsamı
TÜBİTAK teknik kriterleri, kripto varlık hizmet sağlayıcısının bilgi sistemlerinin belirli bir olgunluk düzeyinde işletildiğini gösteren gereksinimleri tanımlar. Kriterlerin ele aldığı başlıklar genel olarak bilgi güvenliği yönetimi, sistem ve hizmet sürekliliği, veri yönetimi ile bütünlüğü ve işlem izlenebilirliği çevresinde toplanır. Bu başlıklar, faaliyetin teknik açıdan sürdürülebilir ve denetlenebilir olmasını hedefler.
Planlamanın ilk adımı, kriterlerin hangi teknik ve operasyonel alanları kapsadığının doğru anlaşılmasıdır. Kriter başlıklarının ürün mimarisiyle, operasyon süreçleriyle ve kurumsal yönetişim yapısıyla nasıl kesiştiği belirlenmeden hazırlanan bir plan, ilerleyen aşamalarda kapsam boşlukları üretir. Kriterlerin temel tanımları ve kapsamı için TÜBİTAK KVHS teknik kriterleri nedir başlığındaki açıklamalar bir giriş noktası oluşturur.
- Bilgi güvenliği başlığı, erişim yönetimi, kayıt tutma ve olay yönetimi gibi alanların bütüncül biçimde ele alınmasını gerektirir.
- Sistem sürekliliği başlığı, hizmetin kesinti karşısında ne ölçüde ayakta kalabildiğinin planlanmasını kapsar.
- Veri yönetimi başlığı, verinin bütünlüğü, saklanması ve yetkisiz değişikliklere karşı korunması ile ilgilenir.
- İzlenebilirlik başlığı, işlemlerin ve sistem olaylarının sonradan incelenebilir biçimde kayıt altına alınmasını öngörür.
Bilgi: TÜBİTAK kriterleri teknik gereksinimleri tanımlar; faaliyet iznini ise SPK verir. Kriterlerin karşılanması, teknik hazırlığın bir göstergesidir ancak tek başına bir faaliyet izni anlamına gelmez.
Mevcut Durum Analizi ile Başlangıç
Uyum planlaması, mevcut teknik ve operasyonel yapının kriterlere göre nerede durduğunun tespit edilmesiyle başlar. Bu aşamada, sistemin hangi kriterleri karşıladığı, hangilerinde kısmi hazırlık bulunduğu ve hangilerinde boşluk olduğu belgelenir. Fark analizi olarak adlandırılan bu çalışma, sürecin geri kalanının önceliklendirilmesine zemin hazırlar.
Fark analizinin çıktısı, yalnızca eksiklerin listesi değil, her eksiğin kapatılması için gereken çabanın ve bağımlılıkların da değerlendirildiği bir tablodur. Bazı gereksinimler yalnızca dokümantasyon ile karşılanabilirken, bazıları mimari düzeyde değişiklik gerektirir. Bu ayrımın erken yapılması, kaynak planlamasının gerçekçi olmasını sağlar.
Sorumlulukların ve Kaynakların Belirlenmesi
Uyum süreci, tek bir ekibin sorumluluğuna bırakıldığında genellikle aksar. Bilgi güvenliği, yazılım geliştirme, operasyon ve hukuk-uyum işlevlerinin sürece hangi noktalarda dahil olacağı planın başında tanımlanır. Her kriter başlığı için sorumlu ve destekleyici rollerin belirlenmesi, ilerlemenin izlenebilir olmasını sağlar.
Kaynak planlaması, yalnızca insan kaynağını değil, gereken teknoloji bileşenlerini ve dış tedarik ihtiyaçlarını da kapsar. Kriterlerin bir bölümü kurum içi kabiliyetlerle karşılanabilirken, bir bölümü için dış çözüm veya danışmanlık değerlendirmesi gündeme gelir. Bu değerlendirmede tedarikçinin teknik olgunluğu, sürdürülebilirliği ve denetim gereksinimlerine göre yapılandırılmış bir yaklaşım sunup sunmadığı incelenir.
Teknik Altyapının Kriterlere Göre Değerlendirilmesi
Teknik altyapının değerlendirilmesi, mimarinin kriter başlıklarını yapısal olarak destekleyip desteklemediğinin incelenmesiyle yürütülür. Erişim yönetimi, kayıt üretimi, yedeklilik ve veri koruma gibi alanların mimaride nasıl konumlandığı, sonradan eklenen noktasal çözümlerle değil, bütüncül bir tasarım anlayışıyla ele alınır.
Bu değerlendirmede önemli olan, altyapının yalnızca bugünkü ihtiyaçları değil, denetlenebilirlik ve sürdürülebilirlik beklentilerini de karşılayacak biçimde planlanmasıdır. Kriterleri sağlayan bir mimari, gereksinimleri sonradan yamalarla karşılamaya çalışan bir yapıya kıyasla hem daha öngörülebilir hem de daha düşük işletme riskiyle yönetilir.
- Erişim ve yetki düzeni, kim hangi işleme ne zaman eriştiğinin sonradan incelenebilmesini destekleyecek biçimde planlanır.
- Kayıt ve izleme yapısı, sistem olaylarının bütünlüğünü koruyacak şekilde tasarlanır.
- Süreklilik ve yedeklilik yaklaşımı, hizmet kesintilerinin etkisini sınırlayacak düzeyde değerlendirilir.
- Veri yönetimi, verinin yaşam döngüsü boyunca korunmasını hedefleyen bir çerçevede ele alınır.
Dokümantasyon ve İzlenebilirlik Hazırlığı
Teknik kriterlerin karşılanması kadar, bunun belgelenebilir olması da sürecin ayrılmaz bir parçasıdır. Denetim aşamasında incelenen unsurların önemli bir bölümü, sistemin nasıl kurgulandığını ve işletildiğini gösteren dokümantasyondan oluşur. Bu nedenle dokümantasyon, sürecin sonunda toparlanan bir yük değil, en baştan biriktirilen bir kanıt bütünü olarak planlanır.
İzlenebilirlik hazırlığı, işlemlerin ve kritik sistem olaylarının sonradan doğrulanabilir biçimde kayıt altına alınmasını kapsar. Kayıtların bütünlüğü ve erişilebilirliği, denetim sürecinde teknik hazırlığın somut biçimde gösterilebilmesini sağlar. Bu hazırlık, mevzuat gereksinimleriyle örtüşecek biçimde tasarlandığında, ilerleyen denetimlerde tekrar eden hazırlık yükünü azaltır.
Test, Doğrulama ve Denetime Hazırlık
Planın son aşaması, karşılandığı düşünülen kriterlerin doğrulanmasıdır. Bu doğrulama; iç gözden geçirmeler, teknik testler ve bağımsız değerlendirmeler yoluyla yürütülebilir. Doğrulama aşamasının amacı, denetim öncesinde açık noktaların tespit edilmesi ve giderilmesidir.
Denetime hazırlık, tüm bu çalışmaların derli toplu biçimde bir araya getirilmesiyle tamamlanır. Fark analizi, sorumluluk dağılımı, teknik değerlendirme ve dokümantasyon çıktıları tutarlı bir bütün oluşturduğunda, süreç öngörülebilir hale gelir. Bu bütünlük, benzer düzenleyici hazırlıkların da temelini oluşturduğundan, kurumsal denetim olgunluğuna kalıcı bir katkı sağlar.
Not: Uyum planı, statik bir belge değil, mevzuat ve teknik gereksinimlerdeki güncellemelere göre gözden geçirilen yaşayan bir yapı olarak ele alınmalıdır.
Sonuç
TÜBİTAK teknik kriterlerine uyum, tek seferlik bir hazırlık değil, planlama disipliniyle yönetilen bir süreçtir. Mevcut durum analiziyle başlayan, sorumlulukların ve kaynakların netleştirilmesiyle ilerleyen, teknik değerlendirme ve dokümantasyonla desteklenen bir yaklaşım; kriterlerin sürdürülebilir biçimde karşılanmasını mümkün kılar. Kriterlerin teknik gereksinimleri tanımladığı, faaliyet izninin ise ayrı bir düzenleyici karar olduğu gözetildiğinde, hazırlığın doğru konumlandırılması daha da önem kazanır.
TÜBİTAK teknik kriterlerine yönelik uyum süreci, planlama aşamasından denetim hazırlığına kadar bütüncül biçimde yapılandırılabilir. Süreç, mevcut durum analizi ve tedarikçi değerlendirmesiyle sağlam bir temele oturtulur.