Madde 12 — Güvenlik açıkları ve ihlalleri
MADDE 12 – (1) Kuruluş, bilgi güvenliği yönetim çerçevesi ile uyumlu bir şekilde, bilgi sistemlerine yönelik olası güvenlik ihlallerinin araştırılmasını, güvenlik ihlallerinin önlenmesi için alınması gereken uygun tedbirlerin belirlenmesini, güvenlik ihlalinin gerçekleşmesi halinde ihlalin tespit edilerek zamanında müdahale edilebilmesi için gerekli tedbirlerin alınmasını, gerçekleşen güvenlik ihlallerinin ve tespit edilen güvenlik açıklarının değerlendirilerek kayıt altına alınmasını sağlar.
(2) Kuruluş, sahip olduğu ve sistemle ilişkili olan tüm sunucular ile iletişim ağını ilk işletime alınmadan önce ve sonrasında düzenli aralıklarla yılda en az altı defa zafiyet taramasından geçirir.
(3) Kuruluş, bilgi sistemlerinin, bilgi güvenliği gereklerinin yerine getirilmesi hususunda herhangi bir görevi bulunmayan ve sızma testi konusunda ulusal veya uluslararası belgeye sahip gerçek veya tüzel kişiler tarafından, gerçekleşebilecek iç ve dış tehditleri kapsayan senaryolar doğrultusunda yılda en az bir defa düzenli olarak sızma testine tabi tutulmasını sağlar.
(4) Sızma testleri EK-5’te yer alan usul ve esaslar çerçevesinde uygulanır.
(5) Kuruluş, olası ve gerçekleşmiş güvenlik ihlallerinin değerlendirilmesi ile zafiyet taraması ve sızma testleri sonucunda tespit ettiği öncelikli bulguları, bulguların önem derecelerini, birlikte oluşturabilecekleri riskleri, tespit edildiği varlıkların değerini ve sızma testi raporlarında yer alan önerileri dikkate alarak mümkün olan en kısa süre içerisinde giderir ve bu bulgular giderilinceye kadar uygun koruyucu tedbirlerin alınmasını sağlar. Bulguların makul bir süre içerisinde giderilmesi, bu amaçla oluşturulan ve kuruluş yönetim kurullarınca onaylanan bir eylem planı çerçevesinde takip edilir. Alınan tedbirlerin tespit edilmiş olan güvenlik açığını giderdiği veya güvenlik açığından kaynaklanan riskleri kabul edilebilir düzeye indirdiği kontrol edilir.
(6) Kuruluş, gerçekleşen güvenlik ihlallerini, sızma testinin sonuçlarını ve tespit edilen kritik güvenlik açıklarını, bunların giderilmesine yönelik alınan tedbirleri ve sonuçlarını içeren raporu yılda en az bir defa Bankanın uygun gördüğü yöntemle Bankaya sunar.
(7) Kuruluş, gerçekleşen güvenlik ihlalleriyle ilgili delilleri en az on yıl süreyle güvenli bir şekilde muhafaza eder.
Denetim izlerinin oluşturulması