Madde 10 — Kimlik doğrulama
MADDE 10 – (1) Kuruluş, bilgi sistemlerinde gerçekleştirilen işlemlerde kullanılmak üzere yeterli ve etkin bir kimlik doğrulama sistemi kurar. Kurulacak kimlik doğrulama sistemi çerçevesinde personele tanımlanan roller ve sorumluluklar açık bir şekilde yazılı olarak oluşturulur.
(2) Kullanılacak kimlik doğrulama tekniklerine, sekizinci fıkra hükümleri saklı kalmak kaydıyla, yapılacak risk değerlendirmesi sonucuna göre karar verilir. Risk değerlendirmesi, bilgi sistemleri üzerinden gerçekleştirilmesi planlanan işlemlerin türü, niteliği, varsa doğuracağı finansal ve finansal olmayan etkilerin büyüklüğü, işlemin gerçekleştirilmesinde kullanılan ödeme aracı, işlem çeşitleri, işleme konu verinin hassaslık derecesi, talimata dayalı düzenli ödeme olması, müşterinin işlem limitleri, işlemin karşı tarafının güvenli alıcılar listesinde olması, kimlik doğrulama tekniğinin kullanım kolaylığı ve acil duruma özgü yetkilendirme ihtiyacı dâhil olmak üzere gerekli hususlar göz önünde bulundurularak gerçekleştirilir.
(3) Kuruluş, kimlik doğrulama sisteminin bilgi sistemlerinin hangi alt unsurları için geçerli olacağını ve kimlik doğrulama sisteminde hangi alt unsur için hangi kimlik doğrulama tekniklerinin kullanılacağını açıkça belirler.
(4) Kimlik doğrulama için günün teknolojisine uygun ve güvenli bir parola politikası belirlenir. Kimlik doğrulamada kullanılacak tek kullanımlık parolaların, ihtiyaç duyulan güvenlik seviyesini sağlayacak kadar uzun olması, yetkisiz kişilerce tespit ve tahmin edilmesine ilişkin riskleri asgari düzeye indirecek yöntemleri gözetmesi ve belirli bir süre için geçerli olması gerekir.
(5) Kimlik doğrulama için kullanılacak parola, değişken parola, tek kullanımlık parola cihazı, şifreleme gizli anahtarı, akıllı kart ve işlem doğrulama kodu gibi bileşenlerin güvenliği üretim aşamasından başlayarak kullanıcıya ulaştırılmasına dek sağlanır. İşlem doğrulama kodu aracılığıyla güçlü kimlik doğrulama unsurlarından hiçbiri hakkında bilgi edinilememesi, bilinen bir işlem doğrulama kodu ile geçerli başka işlem doğrulama kodlarının türetilememesi, işlem doğrulama kodlarının taklit edilememesi sağlanır. İşlem doğrulama kodunun üretilmesinde hata meydana gelmesi ya da üretilememesi halinde, kimlik doğrulama teşebbüsünde bulunan kişi tarafından hatanın hangi kimlik doğrulama unsurundan kaynaklandığının anlaşılamamasını sağlayacak önlemler alınır.
(6) Kuruluş, kimlik doğrulama için kullanılan verilerin gizliliğinin, bütünlüğünün ve güvenliğinin sağlanarak saklanması ve aktarılması için gerekli altyapının oluşturulmasını sağlar. Kimlik doğrulama işlemleri esnasında, müşterinin bildiği kimlik doğrulama unsurları ile tek kullanımlık parola veya işlem doğrulama kodu gibi bileşenlerin, personelin dahli ve erişimi olmadan ilgili kanal üzerinden girişinin yapılması sağlanır.
(7) Kimlik doğrulamada;
a) Kullanıcıya sisteme girdiği anda önceki başarısız kimlik doğrulama teşebbüsleri hakkında bilgi verilmesi,
b) Başarısız teşebbüslerin belirli bir sayıyı aşması halinde ilgili kullanıcı erişiminin bloke edilmesi,
c) Başarısız kimlik doğrulama teşebbüsleri sonrasında, kullanıcı adının sistemde olmadığı veya parolanın hatalı girildiği gibi bilgilerin verilmemesi,
ç) Belli bir süre işlem yapılmayan veya güvenli bir şekilde çıkış yapılmadığından arka planda çalışır şekilde kalan oturumun belirli bir süre sonra sonlandırılması,
d) Birden fazla müşterinin aynı ödeme hesabını kullanmaları ya da aynı anda farklı oturumlar açabilmeleri konusunda yetkilendirildiği durumlar hariç olmak üzere, aynı müşteri için aynı anda birden fazla oturum açılmaya çalışılması durumunda buna izin verilmemesi ve müşterinin uyarılması,
gerekir.
(8) Müşteriler tarafından elektronik kanal üzerinden yapılan ve finansal sonuç doğuran veya finansal sonuç doğurmayan işlemlerde, düzenlemelerde açıkça aksine imkan tanınmadığı sürece güçlü kimlik doğrulama kullanılması esastır. Güçlü kimlik doğrulama esnasında müşterinin sahip olduğu bileşenin müşteriye özgü olması ve taklit edilememesi esastır. Kimlik doğrulamada T.C. Kimlik Kartının kart PIN'i veya biyometrik veri ile birlikte kullanılması veya güvenli elektronik imzanın kullanılması hallerinde bu fıkranın gerekleri yerine getirilmiş sayılır. Kuruluşun mobil uygulamasının kontrolünde olmayıp cihaz üreticisi kontrolünde olan parola, PIN ya da biyometrik veriler, bu fıkra kapsamında güçlü kimlik doğrulama unsurları olarak kullanılamaz.
(9) 11/10/2006 tarihli ve 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanuna ilişkin yükümlülükler kapsamında, 22 nci maddeye göre sözleşme kurulması sonrasında kimlik tespiti gerektiren müteakip ödemeler elektronik kanaldan başlatıldığında, güçlü kimlik doğrulama yöntemi kullanılır.
(10) Ödeme aracının ve kimlik doğrulama aracının müşteriye ulaştırılmasında kullanılan telefon numarası ve adres gibi bilgilerin, müşteri tarafından tanımlanan güvenli alıcılar listesinin ve tek bileşene dayalı kimlik doğrulama kullanılarak yapılabilecek işlem listesinin değiştirilmesinde güçlü kimlik doğrulama yöntemi kullanılır.
(11) Hassas müşteri verilerine erişim sağlandığında veya düzenli ödeme talimatı verilirken güçlü kimlik doğrulama yöntemi kullanılır.
(12) 5549 sayılı Kanuna ilişkin yükümlülükler saklı kalmak üzere, dokuzuncu fıkraya göre güçlü kimlik doğrulama ile gerçekleştirilmesi gereken işlemler için müşterinin sözleşme ile ya da güvenli yöntemlerle onayının alınmış olması ve ödeme işleminin güvenli alıcılar listesindeki bir alıcı ile gerçekleştirilmesi halinde güçlü kimlik doğrulama uygulanması zorunlu değildir.
(13) Müşteri tarafından gerçekleştirilecek finansal işlemler için kuruluş tarafından müşteri onayını almak üzere işlem doğrulama kodu üretilir ve işlem bilgisi ile birlikte müşteriye sunularak müşteri onayı alınır. Finansal sonuç doğurmayan işlemler için ise işlem doğrulama kodu kullanılıp kullanılmayacağına kuruluş tarafından yapılacak ikinci fıkrada belirtilen risk değerlendirmesine göre karar verilir ve işlem doğrulama kodu kullanılmayan işlemlerle ilgili olarak gerçekleştirilen işlemin müşteri tarafından yapıldığını ispat etme yükümlülüğü kuruluşa ait olur. Tek bileşene dayalı kimlik doğrulama yapıldığında, işlem doğrulama kodunun kimlik doğrulamada kullanılandan farklı bir bileşen oluşturacak şekilde müşteriye onay için sunulması ile güçlü kimlik doğrulama yerine getirilmiş kabul edilir.
(14) Kuruluşun bu madde uyarınca gerekli hallerde güçlü kimlik doğrulama mekanizması sunmaması halinde, gerçekleştirilen işlemlerin müşteri tarafından yetkilendirilmiş olduğunu ispat yükümlülüğü kuruluşa aittir.
(15) Anonim ön ödemeli araçlarla ilgili işlemlerde güçlü kimlik doğrulama zorunluluğu yoktur.
(16) Müşterinin kimliğini tespit etmeye yarayan ve resmi kimlik belgesi yerine geçen belgeler üzerinde yer alan bilgiler ile anne kızlık soyadı, elektronik kanallar üzerinden sunulan Kanun kapsamındaki faaliyetlerin sunulması esnasında hiçbir aşamada kimlik doğrulama amacıyla kullanılamaz. Kimlik doğrulamada müşterinin bildiği bileşen olarak bir güvenlik sorusunun kullanılması durumunda, güvenlik sorusunun resmi kimlik belgesi yerine geçen belgeler üzerinde yer alan bilgilerden birine ilişkin olmaması ve cevabının müşterinin kendisi tarafından belirleniyor olması gerekir.
(17) Bir kimlik doğrulama bileşeninin bir müşteri ile ilk defa ilişkilendirilmesi uzaktan gerçekleştirilecekse, ilişkilendirme güvenli yöntemlerle ve güçlü kimlik doğrulama gerçekleştirilerek yapılır.
(18) Kuruluş, Kanun kapsamında gerçekleştirilen işlemler için inkâr edilemezliği sağlayacak teknolojik ve hukuki altyapıyı oluşturur.
(19) Kuruluş, bilgi sistemlerinin kullanımında oturum güvenliğini sağlayacak tedbirleri ve kimlik doğrulama bilgisinin oturumun başından sonuna kadar doğru olmasını garanti edecek önlemleri alır.
(20) Kuruluş güçlü kimlik doğrulama kapsamında müşterisinin tercih ettiği kimlik doğrulama bileşenlerinin farklı bileşen sınıflarına ait olmasını temin eder. Kuruluş, güçlü kimlik doğrulama sürecinde müşterinin sahip olduğu bileşen sınıfı olarak SMS OTP ya da SMS ile işlem doğrulama kodu kullanabilir. Kuruluşun mobil uygulamasını yükleyerek etkinleştirmiş olan müşterinin güçlü kimlik doğrulaması kapsamında oturum açılması ya da oturumun devamında herhangi bir işlemin doğrulanması için SMS OTP ya da SMS ile işlem doğrulama kodu kullanılması halinde bu faktör güçlü kimlik doğrulamada müşterinin sahip olduğu bileşen olarak sayılamaz. Kuruluşun mobil uygulamasının ilk kurulumu, etkinleştirilmesi, yeniden etkinleştirilmesi aşamalarında ya da kuruluşun mobil uygulamasının kullanılamaz hale gelmesi durumunda güçlü kimlik doğrulama kapsamında müşterinin sahip olduğu bileşen olarak SMS OTP ile ya da SMS ile işlem doğrulama kodu kullanılması bu fıkra hükmüne aykırılık teşkil etmez.
(21) Kimlik doğrulama esnasında SMS teknolojisinin kullanılması durumunda, kuruluş, elektronik haberleşme işletmecileriyle SIM kart değişikliği gerçekleştirmiş veya numara taşıma yoluyla elektronik haberleşme işletmecisini değiştirmiş müşterileri tespit edebilmek için gerekli altyapıyı oluşturur ve bu tür değişiklikler yapmış müşteriye, yapılan değişikliğe ilişkin müşterinin açık teyidi alınmadığı sürece, değişikliğin yapıldığı tarihten itibaren 90 gün boyunca elektronik kanallar üzerinden gerçekleşecek işlemler kapsamında yapılacak kimlik doğrulamada SIM karta dayalı bir yöntem kullanılamaz. Aksi durumda gerçekleştirilen her türlü işlem için gerçekleştirilen işlemin müşteri tarafından yapıldığını ispat etme yükümlülüğü kuruluşa aittir.
(22) Güçlü kimlik doğrulamada kullanılacak müşterinin bildiği bileşenin, mobil uygulama veya internet tarayıcısı tarafından hatırlanarak veya başka lokal kimlik doğrulama yöntemlerine bağlanarak otomatik olarak gönderilmemesi gerekir ve müşterinin bildiği bileşenin müşteri tarafından girilmesi zorunlu tutulur.
(23) İnternet şubesinde kimlik doğrulama işlemi gerçekleştirilirken, oturum açılmadan önce, müşteri tarafından güçlü kimlik doğrulama ile önceden belirlenmiş olan bir karşılama mesajının veya resminin, müşteriye gösterilmesi sağlanır.
(24) İnternet şubesinde güçlü kimlik doğrulama işlemi gerçekleştirilirken, müşteriye atanmış bir şifreleme gizli anahtarı ile imzalanacak şekilde işlem doğrulama kodu üretilir. İşlem doğrulama kodunun, müşteriye atanmış bir şifreleme gizli anahtarı ile imzalanmasının mümkün olmadığı hallerde, yirminci fıkra hükümleri saklı kalmak kaydıyla, müşteriye SMS ile doğrulama kodu iletilebilir.
(25) Mobil uygulama için tanımlanan uygulama PIN'inin veya kimlik doğrulama unsuru olarak belirlenmiş olan müşteriye ait bir biyometrik verinin müşteriye özgü bir şifreleme anahtarına erişmek üzere kullanılması ve bu şifreleme anahtarı yoluyla müşteriyle ilintili biricik bir bilginin kuruluş nezdinde çevrim içi olarak doğrulanması halinde, güçlü kimlik doğrulama yerine getirilmiş kabul edilir.
(26) Mobil uygulamanın etkinleştirilerek müşterinin sahip olduğu bir kimlik doğrulama unsuru olarak kullanılması şartıyla, müşterinin yalnızca mobil uygulama aracılığıyla müşteri ve hesap bilgilerini görüntülemek istemesi, ödemenin göndereni ve alıcısının aynı olması, müşterinin talimatına istinaden gerçekleştirilen düzenli bir ödeme olması, ödeme işleminin daha önce tanımlanmış güvenli alıcılar listesindeki bir alıcı ile gerçekleştirilmesi ve kuruluşun ikinci fıkrada belirtilen risk değerlendirmesi sonucunda bu yönde karar verdiği, bu madde başta olmak üzere ilgili düzenlemelerde güçlü kimlik doğrulamanın kullanılmasının zorunlu tutulmadığı diğer ödeme işlemleri esnasında ilave bir kimlik doğrulama unsuruna gerek kalmadan tek bileşene dayalı kimlik doğrulama sekizinci fıkraya aykırılık teşkil etmez. Tek bileşene dayalı kimlik doğrulama yapılan bu işlemlerle ilgili olarak gerçekleştirilen işlemin müşteri tarafından yapıldığını ispat etme yükümlülüğü kuruluşa ait olur. Müşterinin mobil uygulamada ilk defa oturum açması veya güçlü kimlik doğrulama ile açtığı son oturumun üzerinden 90 günden daha fazla bir süre geçmiş olması halinde, güçlü kimlik doğrulamaya tabi tutulması esastır.
(27) Finansal olmayan işlemler dahil olmak üzere telefon ile gerçekleştirilecek işlemlerde güçlü kimlik doğrulama uygulanması esastır. Güçlü kimlik doğrulama uygulanmadan telefon aracılığıyla hizmet vermek üzere müşteriyi karşılayan personelin müşteriye ilişkin bilgileri görememesi veya müşteriye ilişkin işlem menüsünün aktif olmaması sağlanır. Müşterinin kendi hesapları arasındaki finansal işlemler ile finansal olmayan işlemlerin gerçekleştirilmesi için uygulanacak kimlik doğrulamada PIN bilgisi müşterinin bildiği unsur olarak kullanılabilir.
(28) Kayıp, çalıntı ve dolandırıcılık gibi riskli işlem bildirimi durumunda, personele bağlanan müşterilerin kimlik doğrulaması yapılmaksızın personelin bilmesi gerektiği kadar müşteri bilgisine erişebilmesi sağlanır ve gerekli güvenlik önlemleri alınır.
(29) Telefon bağlantısı olmaksızın ya da bağlantının sonlanması halinde kayıp, çalıntı ve dolandırıcılık gibi riskli işlem bildirimi haricinde müşteriye ilişkin herhangi bir işlem gerçekleştirilemez.
(30) Müşterinin telefon kanalıyla, elektronik kanallarda kullandığı kimlik doğrulama veya telefon bilgilerinde değişiklik gerçekleştirmek istemesi halinde bu değişikliğin personelin dahli ve erişimi olmadan otomatik sistemler üzerinden gerçekleştirilmesi sağlanır.
(31) Müşterinin telefon ile aranmasının gerektiği durumlarda, arama gerçekleştirilmeden önce telefonun başka bir numaraya yönlendirilmemiş olduğuna ilişkin kontroller işletilir.
(32) Banka, bu maddede düzenlenen kimlik doğrulama kuralları bakımından istisna getirmeye veya ilave güvenlik önlemleri ihdas etmeye yetkilidir.
Erişim yönetimi