Madde 7 — Olay yönetimi ve siber olaylar

MADDE 7 – (1) Kuruluş, önceden belirlenmiş prosedürler çerçevesinde müşteri şikâyetlerini de kapsayacak şekilde olayların zamanında tespit edilmesini, makul bir süre içerisinde müdahale edilmesini, kayıt altına alınmasını, raporlanmasını, olayın potansiyel boyutunun, etkisinin, hasarının ve etkilenen müşterilerin tespit edilmesini içerecek şekilde analiz edilmesini, mümkün olan en kısa sürede ve en az hasarla bilgi sistemleri hizmetleri normal işleyişine döndürülecek şekilde çözülmesini ve olay hakkında ilgili tüm paydaşların zamanında bilgilendirilmesini sağlayacak şekilde olay yönetimi yapar.

(2) Kuruluşun müşterilerinin bir kısmının ya da tamamının olaydan etkilenmesi durumunda, müşterilerle iletişime geçilerek olay hakkında bilgi verilir ve varsa konuyla ilgili müşterilerin yapması gereken hususlar aktarılır.

(3) Kuruluş, müşterileri ve Kişisel Verileri Koruma Kurulunu, hassas müşteri verilerinin ya da kişisel verilerin sızmasına ya da ifşasına yol açan bir siber olayın yaşanması veya kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hallerinde mümkün olan en kısa süre içerisinde bilgilendirir.

(4) Kuruluş, her önemli olaydan sonra olayın ayrıntılı olarak incelenmesini, kök neden analizinin yapılmasını, etkilerinin belirlenmesini ve olaya ilişkin sorunun takibini ve raporlamasını içerecek şekilde sorun yönetimi yapar.

(5) Kuruluş, siber olayları da olay yönetimi kapsamında ele alır ve mevzuata uygun şekilde tesis edeceği siber olay yönetimi ve siber olaya müdahale süreci kapsamında Bankaya gerekli bildirimleri yapar.

(6) Kuruluş, siber olayları önemlilik düzeyine göre sınıflandırmak üzere sınıflandırma kriterlerini yazılı olarak hazırlar, gerçekleşen siber olayın bu kapsamda belirlenen önem düzeyine uygun sürede ele alınması ve çözüme kavuşturulmasına yönelik prosedürler ile müdahale planlarını oluşturur. Müdahale planları kapsamında birinci fıkrada yer alan unsurlara ilişkin tüm süreçler ele alınır.

(7) Oluşturulan müdahale planları yılda en az bir defa düzenli olarak test edilir ve test sonuçları yönetim kuruluna raporlanır.

(8) Kuruluş tarafından siber olay yönetimi ve siber olaya müdahale süreci kapsamında yapılması gerekenlere ilişkin usul ve esaslar Banka tarafından çıkarılacak Tebliğ ile belirlenir.

Bilgi güvenliği ve bilgi güvenliği yönetimi