Madde 6 — Bilgi sistemleri işletimi
MADDE 6 – (1) Kuruluş, tanımlanan hizmet seviyeleri çerçevesinde bilgi sistemlerinin işleyişinin güvenilirliğine, dayanıklılığına ve sürekliliğine ilişkin hedefleri yazılı olarak açıkça belirler ve bu hedefler doğrultusunda bilgi sistemlerinin işletiminin etkin ve verimli yapılabilmesi amacıyla sağlayıcı veya üretici firma desteği süren güncel yazılım sürümlerinin kullanılması da dahil olmak üzere gerekli tedbirleri alır.
(2) Kuruluş, birinci fıkra kapsamında belirlediği hedeflere uyum düzeyini yılda en az bir defa olmak üzere düzenli aralıklarla ölçer ve sonuçların yönetim kurulu tarafından değerlendirilmesini ve uyum sağlanamayan durumlarda konuyla ilgili alınacak aksiyonların belirlenmesini sağlar. Süreç sonucunda ortaya çıkan doküman her yıl için en geç takip eden yılın Ocak ayı sonuna kadar Bankaya raporlanır.
(3) Kuruluş, bilgi sistemlerini tanımlanan hizmet seviyeleri için yeterli kapasiteye sahip olacak şekilde tesis eder, kapasitenin ölçeklenebilir olmasını öncelikli olarak gözetir ve bilgi sistemlerine yönelik etkin bir kapasite yönetimi yapar.
(4) Kuruluş, bilgi sistemleri envanterinin ve konfigürasyon bilgisinin oluşturulmasını, güvenli bir şekilde saklanmasını, güncellenmesini ve üst yönetime raporlanmasını sağlar. Kuruluş, bu çalışmalar kapsamında;
a) Masaüstü, dizüstü, mobil cihazlar ve sunucular üzerindeki işletim sistemi, veritabanları ve uygulamalar ile güvenlik duvarları, yönlendirici ve anahtarlama cihazları gibi ağ cihazları için sıkılaştırılmış ve test edilmiş güvenli standart konfigürasyon bilgilerini oluşturur. Söz konusu standart konfigürasyon bilgilerini, standart konfigürasyondan sapmaları veya standart konfigürasyondaki güncellemeleri değişiklik yönetiminin bir parçası olarak kayıt altına alır ve onay mekanizmasına tabi tutar. Güvenli standart konfigürasyonun dışında kalan her türlü değişiklik isteği için iş gereksinimi, gereksinim süresi ve bu iş gereksinimine ihtiyaç duyan iş sorumlusunun kim olduğu gibi bilgileri kayıt altına alır.
b) Masaüstü, dizüstü, mobil cihazlar ve sunucular üzerindeki işletim sistemleri için bu işletim sistemlerinin tipi, sürüm numarası, yama seviyesi ve üzerinde yüklü olan veritabanları ve uygulamaların listesini gösterecek şekilde bir yazılım envanteri oluşturur.
c) (b) bendi uyarınca oluşturulan yazılım envanterinin aynı zamanda donanım envanteri ile de entegre olmasını ve tek bir noktadan hangi donanım üzerinde hangi yazılımların olduğu bilgisinin takip edilebilir olmasını sağlar.
(5) Kuruluş, bilgi sistemleri ile ilgili yapılacak her türlü değişikliği, süreci belirlenmiş ve üst yönetimce onaylanmış değişiklik yönetimi prosedürlerine uygun olarak gerçekleştirir.
(6) Kuruluş, kurum içi geliştirme veya dış alım yoluyla bilgi sistemlerinde gerçekleştirilecek her türlü projeyi, genel kabul görmüş ilgili uluslararası standartlara ve en iyi uygulama örneklerine uygun olarak belirlemiş olduğu proje yönetimi prosedürlerine uygun olarak yürütür. Yazılım geliştirme süreçlerinde geliştirme, test ve üretim ortamlarının birbirinden ayrı olması ve görevler ayrılığı prensibine uygun olarak geliştirme, test ve üretime geçiş süreçlerinin farklı kişiler tarafından yürütülmesi sağlanır.
(7) Kuruluş, Kanun kapsamındaki faaliyetleri ile ilgili süreç ve sistemleri, kritik bir işlemin tek bir kişi tarafından başlatılması, onaylanması ve tamamlanmasına imkân vermeyecek şekilde tasarlar ve işletir.
(8) Kuruluş, bilgi sistemleri unsurlarının sağlayıcı veya üretici firma desteği bittiğinde veya bu unsurların güncel durumları günün şartlarına göre gerekli güvenlik ve güvenilirlik seviyesini sağlayamadığında ilgili bilgi sistemleri unsurunu kullanımdan kaldırır.
Olay yönetimi ve siber olaylar