Kripto varlık hizmet sağlayıcıları için teknik altyapı beklentileri, düzenleyici çerçevenin önemli bir bileşenidir. Türkiye'de bu beklentilerin teknik boyutu, TÜBİTAK tarafından tanımlanan kriterler aracılığıyla belirlenir. Söz konusu kriterler; bilgi sistemleri, güvenlik, iş sürekliliği ve veri yönetimi gibi alanlarda karşılanması beklenen teknik gereksinimleri ortaya koyar.
TÜBİTAK teknik kriterleri, teknik yeterliliğe ilişkin bir çerçeve sunar; faaliyet izni ise SPK tarafından, ayrı bir değerlendirme sürecinde verilir. Bu ayrımın doğru anlaşılması, uyum çalışmalarının hedefini netleştirir. Bu rehberde, TÜBİTAK teknik kriterlerine uyum sürecinin nasıl bir yol haritasıyla planlanabileceği; kapsanan alanlar, aşamalar ve denetim hazırlığı yüksek seviyeli bir bakışla ele alınır.
TÜBİTAK Teknik Kriterleri Nedir?
TÜBİTAK teknik kriterleri, kripto varlık hizmet sağlayıcılarının bilgi sistemleri ve teknik altyapılarında karşılaması beklenen gereksinimleri tanımlayan bir çerçevedir. Bu kriterler, kripto varlıklara ilişkin düzenlemeleri getiren 7518 sayılı Kanun sonrası şekillenen düzenleyici yapının teknik ayağını oluşturur. Amaç, hizmet sağlayıcıların belirli bir teknik olgunluk düzeyini karşılamasını sağlamaktır.
Teknik kriterlerin bir çerçeve olarak tanımlanması, hizmet sağlayıcıların bu gereksinimleri kendi altyapılarına göre karşılamasına olanak tanır. Kriterler belirli bir ürünü veya teknolojiyi zorunlu kılmak yerine, karşılanması beklenen yeterlilik düzeyini belirler. Bu yaklaşım, farklı ölçekteki kuruluşların uygun çözümlerle gereksinimleri sağlamasına imkân verir.
Kriterlerin karşılanması teknik bir yeterlilik göstergesidir; ancak tek başına faaliyet izni anlamına gelmez. Faaliyet izni, SPK'nın kendi değerlendirme süreci sonucunda verilir. Bu nedenle uyum çalışması, TÜBİTAK kriterlerine uygunluğu ve SPK sürecine hazırlığı birlikte gözeten bütünsel bir yaklaşımla yürütülür.
Uyarı: TÜBİTAK teknik kriterleri ile SPK faaliyet izni birbirinden farklı süreçlerdir. Teknik kriterlere uygunluk, faaliyet izninin yerine geçmez; iki süreç ayrı ayrı ele alınır.
Kriterlerin Kapsadığı Başlıca Alanlar
Teknik kriterler, geniş bir başlık yelpazesini kapsar. Her alan, sistemin farklı bir yeterlilik boyutunu değerlendirir. Uyum çalışmasında öne çıkan başlıca alanlar şunlardır:
- Bilgi güvenliği yönetimi, erişim kontrolü, kayıt yönetimi ve güvenlik izleme başlıklarını kapsayan bir yapı gerektirir.
- İş sürekliliği ve felaket kurtarma, hizmetin kesintiye karşı dayanıklılığını değerlendiren gereksinimleri içerir.
- Veri yönetimi ve saklama, verilerin bütünlüğünü ve gizliliğini koruyan yaklaşımları öngörür.
- Sistem izlenebilirliği ve loglama, olayların sonradan incelenebilmesini sağlayan kayıt düzenini gerektirir.
- Değişiklik ve sürüm yönetimi, sistem güncellemelerinin kontrollü biçimde yürütülmesini kapsar.
Bu alanların bir bölümü, ISO 27001 ile uyumlu bilgi güvenliği yaklaşımlarıyla ve yüksek erişilebilirlik ilkeleriyle örtüşür. Erişilebilirlik boyutunun ayrıntılı değerlendirmesi için yüksek erişilebilirlik neden önemlidir içeriği incelenebilir.
Uyum Yol Haritasının Aşamaları
Uyum süreci, tek seferlik bir çalışma değil; birbirini izleyen aşamalardan oluşan bir yol haritasıdır. Aşamaların netleştirilmesi, kaynakların planlanmasını ve ilerlemenin izlenmesini kolaylaştırır. Tipik bir yol haritası; mevcut durumun değerlendirilmesi, boşlukların giderilmesi, dokümantasyonun oluşturulması ve denetime hazırlık adımlarını kapsar.
Her aşamanın kendi çıktısı ve karar noktası bulunur. Bu yapı, uyum çalışmasının belirli aralıklarla gözden geçirilmesini ve önceliklerin güncellenmesini mümkün kılar. Yol haritasının SPK hazırlık süreciyle koordineli yürütülmesi, iki çalışmanın birbirini desteklemesini sağlar. Bu koordinasyon için SPK uyum hazırlığı perspektifi bütünleyici bir çerçeve sunar.
Yol haritasının erken aşamada tanımlanması, uyum çalışmasının maliyet ve zaman açısından öngörülebilir olmasını sağlar. Aşamaların sırası kuruma göre değişebilse de, mevcut durum değerlendirilmeden iyileştirmeye başlanması çoğu zaman verimsizliğe yol açar. Bu nedenle yol haritası; tespit ile başlayan ve doğrulama ile tamamlanan bir döngü olarak kurgulanır.
Mevcut Durum ve Boşluk Analizi
Yol haritasının ilk adımı, mevcut teknik altyapının kriterler karşısındaki durumunu tespit etmektir. Boşluk analizi olarak adlandırılan bu çalışmada, her kriter için sistemin mevcut yeterliliği değerlendirilir ve eksik alanlar belirlenir. Analizin çıktısı, hangi başlıklarda iyileştirme gerektiğini gösteren önceliklendirilmiş bir listedir.
Boşluk analizinin nesnel yürütülmesi, sonraki aşamaların doğru planlanması açısından belirleyicidir. Bu aşamada tespit edilen eksikler; kritik, önemli ve iyileştirilebilir olarak sınıflandırılır. Sınıflandırma, sınırlı kaynakların en yüksek etkiyi sağlayacak alanlara yönlendirilmesine olanak tanır.
Bilgi: Boşluk analizi, yalnızca teknik bileşenleri değil; süreçleri, rolleri ve dokümantasyonu da kapsar. Teknik altyapı yeterli olsa bile, süreç ve kayıt eksiklikleri uyum boşluğu oluşturabilir.
Dokümantasyon ve Denetim Hazırlığı
Teknik kriterlere uygunluğun gösterilebilmesi, sistemin yalnızca doğru çalışmasına değil, bu durumun belgelenmesine de bağlıdır. Dokümantasyon; süreçlerin, kontrollerin ve sorumlulukların yazılı ve izlenebilir biçimde tanımlanmasını kapsar. Denetim hazırlığı, bu belgelerin ve kayıtların bir değerlendirmeye hazır (Audit Ready) durumda tutulmasını amaçlar.
Denetime hazırlık, denetim gereksinimlerine göre yapılandırılmış bir kayıt düzeni ve kanıt yönetimini içerir. Bu hazırlığın proje boyunca sürdürülmesi, denetim döneminde oluşabilecek yoğunluğu azaltır. Denetim hazırlığının bütünsel yönetimi için regülasyon uyum ve denetim hazırlığı yaklaşımı referans alınabilir.
Kanıt yönetimi, denetim sırasında istenebilecek kayıtların önceden düzenli biçimde tutulmasını kapsar. Kayıtların dağınık veya güncel olmayan biçimde tutulması, teknik altyapı yeterli olsa bile uygunluğun gösterilmesini zorlaştırır. Bu nedenle dokümantasyon, sistemle eş zamanlı güncellenen bir süreç olarak yönetilir.
Sürdürülebilir Uyum Yönetimi
Teknik kriterlere uygunluk, bir kez ulaşılan ve sabit kalan bir durum değildir. Sistemler geliştikçe, tehdit ortamı değiştikçe ve düzenlemeler güncellendikçe uyum durumunun sürdürülmesi gerekir. Bu nedenle uyum, periyodik gözden geçirme ve iyileştirme döngüsüyle yönetilen sürekli bir süreç olarak ele alınır. Bu süreklilik, uygunluğun bir proje sonu hedefi değil, kalıcı bir operasyonel yetkinlik olarak konumlanmasını gerektirir.
Sürdürülebilir uyum, sorumlulukların tanımlı olduğu, değişikliklerin kontrollü yürütüldüğü ve düzenli değerlendirmelerin yapıldığı bir yönetim yapısını gerektirir. Bu yapı, hem TÜBİTAK teknik kriterlerine uygunluğun korunmasını hem de SPK denetim süreçlerine hazırlığın sürekliliğini destekler. Teknik kriterlere yönelik hazırlık çalışmalarının kapsamı için TÜBİTAK KVHS hazırlığı içeriği değerlendirilebilir.
Sonuç
TÜBİTAK teknik kriterlerine uyum, kripto varlık hizmet sağlayıcıları için teknik olgunluğu gösteren önemli bir aşamadır. Sürecin bir yol haritasıyla planlanması; mevcut durumun doğru tespit edilmesini, boşlukların önceliklendirilmesini ve denetim hazırlığının sürdürülebilir biçimde yönetilmesini sağlar. Teknik kriterlerin faaliyet izninden ayrı bir çerçeve olduğunun bilinmesi, uyum çalışmasının hedefini netleştirir ve SPK süreciyle koordineli ilerlemeyi mümkün kılar.
TÜBİTAK teknik kriterlerine uyum, planlı ve sürdürülebilir bir yol haritasıyla yönetilir. Teknik hazırlık ve denetim hazırlığı süreçleri için danışmanlık seçenekleri değerlendirilebilir.