Madde 8 — Bilgi güvenliği ve bilgi güvenliği yönetimi
MADDE 8 – (1) Kuruluş, genel kabul görmüş ilgili uluslararası standartları ve en iyi uygulama örneklerini de göz önünde bulundurarak, faaliyetlerine ilişkin bilgi sistemlerinin gizliliğini, bütünlüğünü ve kullanılabilirliğini sağlamak amacıyla kural, ilke ve politikaları içeren bilgi güvenliği yönetim çerçevesi oluşturur.
(2) Kuruluş, birinci fıkra kapsamında oluşturduğu bilgi güvenliği yönetim çerçevesine uygun bir bilgi güvenliği yönetim sistemi oluşturur.
(3) Kuruluş, bilgi güvenliği yönetim sisteminin oluşturulmasına, yönetilmesine, yılda en az bir defa düzenli olarak gözden geçirilmesine ve gerekli hallerde güncellenmesine ilişkin görev, yetki ve sorumlulukları açıkça belirler.
(4) Bilgi güvenliği yönetim sistemi kapsamında her kademedeki personelin bilgi güvenliğine ilişkin görev, yetki ve sorumlulukları açıkça belirlenir ve ilgili personelin bundan haberdar olmasını sağlayacak şekilde gerekli bilgilendirmeler yapılır.
(5) Kuruluş, bilgi güvenliği yönetim sistemi kapsamında bilgi güvenliği ihlallerine ilişkin olayların izlenmesi ve raporlanmasına ilişkin gerekli mekanizmaları oluşturur.
(6) Kuruluş, güvenlik gereksinimleri doğrultusunda bilgi varlıklarına ilişkin olarak uygun kontroller tesis etmek için yönetim kurulu tarafından onaylı bir bilgi varlıkları sınıflandırma kılavuzu hazırlar. Her bir sınıftaki bilgi varlıklarına ilişkin erişim hakları ile saklama, iletme ve imha etme prosedürlerini açıkça belirler, sınıflandırma ve bununla ilgili yükümlülükler konusunda tüm personeli bilgilendirir.
(7) Kuruluş tüm bilgi varlıklarını, önem seviyesini ve yasal yükümlülükleri de dikkate alarak bilgi varlıkları sınıflandırma kılavuzuna uygun olarak sınıflandırır. Bilgi varlığının sınıfı belirlenirken gizlilik derecesi, bütünlük gereksinimi, kullanılabilirlik gereksinimi, saklama süresi ve asgari yedekleme sıklığı ile veriler özelinde hassas müşteri verisi, müşteri bilgisi ya da kişisel veri olup olmadığı gibi kriterler göz önünde bulundurulur.
(8) Bilgi güvenliği yönetim sisteminde, personelin işe başlaması, görev ve pozisyon değiştirmesi ve işten ayrılması da dahil olmak üzere personele ilişkin tüm hususlar bilgi güvenliğini etkileyen yönleriyle değerlendirilir ve gerekli tedbirler alınır.
(9) Kuruluş, bilgi güvenliği yönetim sistemi kapsamında faaliyetleri ile ilgili kendi nezdindeki her türlü donanım ile altyapının ve bunlarla ilgili fiziksel çevrenin güvenliğini sağlar. Kuruluş, faaliyetleri ile ilgili kendi nezdinde bulunmayan donanım ile altyapının ve bunlarla ilgili fiziksel çevrenin güvenliğinin sağlanması için gerekli özeni gösterir ve güvenliğin sağlandığını kontrol eder.
(10) Kuruluş, iç ve dış ağlar arasında Kanun kapsamındaki faaliyetler ile ilgili gerçekleşen her türlü iletişim sürecinin ve ana faaliyetlerine ilişkin operasyonel işlemlerin, güvenlik kontrolleri ve araçları kullanılarak gerçekleşecek şekilde tasarlanmasını sağlar. Güvenlik kontrolleri ve araçlarının tesis edilmesinde, bir güvenlik katmanının aşılması halinde diğer güvenlik katmanının devreye girdiği katmanlı güvenlik mimarisi esas alınır ve güncel teknolojiye uygun çözümler kullanılır.
(11) Kuruluş, iç ağdan gelebilecek tehditlerin etkisini azaltmak ve iç ağın farklı güvenlik hassasiyetine sahip alt bölümlerini birbirinden ayırarak kontrollü geçişi temin etmek üzere ağ segmentasyonu yapar. İç ağdaki her bir servise ilişkin trafiğin yalnızca kendisi için gerekli olan ağ segmentlerine ulaşması, farklı ağ segmentleri arasındaki veri trafiğinin güvenliği ve iç ağa sadece yetkilendirilmiş cihazların bağlanması sağlanır. Kritik ağ segmentlerine yapılan bağlantılar düzenli olarak tespit edilerek bu bağlantıların her biri için gereksinim değerlendirmesi yapılır ve gereksiz bağlantıların sonlandırılması sağlanır.
(12) Hassas müşteri verileri veya müşteri bilgilerine sahip sistemlerin özel iç ağda bulunması ve hiçbir şekilde doğrudan internetten erişilemiyor olması sağlanır. Özel iç ağdaki sistemlere yalnızca vekil uygulamalar veya güvenlik duvarı cihazları üzerinden iletişim kurulur. İnternet üzerinden veya Kuruluş dış ağından görünür olan sunucu veya sistemler, görünür olmalarını gerektirecek geçerli bir iş ihtiyacı olup olmadığının tespit edilmesi amacıyla düzenli olarak kontrol edilir ve eğer gerekli değilse bu sunucu ve sistemlerin Kuruluş iç ağına taşınması ve iç ağ IP adreslerine sahip olması sağlanır.
(13) Ağ üzerindeki kimlik ve erişim yönetimine yönelik kurulan etki alanı yönetim sunucuları gibi yapıların Kuruluşa özgü oluşturulmuş olması ve Kuruluş dışındaki başka bir etki alanı ya da benzerinin bir parçası olmaması esastır.
(14) Kuruluş, iç ağından dış ağa akan trafik içeriğini kontrol eder. Yapılacak içerik kontrolünün, zararlı IP adreslerine olan trafik akışını ve hassas müşteri verileri ile müşteri bilgilerinin sızdırılmasını engelleyecek nitelikte olması ve oturum bilgilerini kayıt altına alarak olağan dışı uzun süreli oturumları tespit edecek ve bunlar için uyarı üretebilecek yetenekte olması sağlanır.
(15) Ağa bağlı her bir sistem üzerindeki portların, protokol ve servislerin sadece gerekliliği onaylanmış iş ihtiyaçlarına istinaden açık ve çalışıyor olması sağlanır. Bu doğrultuda, güvenli bir baz konfigürasyonu temel alınarak önemli sunucu ve sistemler için düzenli olarak port taraması gerçekleştirilir ve güvenli baz konfigürasyonunda bulunmadığı halde açık durumda olan portların kapatılması sağlanır.
(16) Kuruluş, bilgi sistemleri ile ilgili yapılacak her türlü değişiklikte bilgi güvenliğine gereken özeni göstermekle yükümlüdür.
(17) Bilgi güvenliği yönetim sistemine ilişkin görev, yetki ve sorumluluk verilmiş olan personel, bilgi güvenliği yönetim sisteminin bilgi güvenliği konusundaki mevzuata, standartlara ve birinci fıkra kapsamında oluşturulan bilgi güvenliği yönetim çerçevesine uyum durumunu sürekli olarak izler, uyumun sağlanması için gerekli tedbirleri alır ve uyum durumunu Kuruluşun yönetim kuruluna yılda en az bir defa düzenli olarak raporlar.
(18) Kuruluş, personelin bilgi güvenliği hususlarında farkındalığını arttıracak, ilgili mevzuat ve yönergeler hakkında bilgi sahibi olmalarını sağlayacak gerekli faaliyetleri yürütür ve bu çalışmalarını belgeler.
(19) Kuruluş, telefonda verdiği hizmetlerin müşterilere sunulmasında görev alan personele sosyal mühendislik saldırıları ve bilinen diğer dolandırıcılık yöntemleri konusunda periyodik eğitimler aldırmak ve bu çalışanların güvenlik farkındalıklarını artırıcı çalışmalar yapmakla yükümlüdür.
(20) Kuruluş, internet aracılığıyla sunulan hizmetlerde, arayüzün kuruluşa ait olduğunun doğrulanmasını sağlayacak mekanizmaları tesis eder.
(21) Kuruluş, elektronik kanal üzerinden sunduğu hizmetlere ilişkin tüm yazılım ve mobil uygulamaların kaynağının kendisi olduğunun müşteri tarafından doğrulanabilmesini sağlar.
(22) Kuruluş, elektronik kanal üzerinden sunduğu hizmetlere ilişkin tüm yazılım ve mobil uygulamaların bilgi güvenliğini tehlikeye sokacak hususlar içermemesini sağlayacak önlemleri almakla ve güvenlik açıklarını giderecek gerekli yamaları ve güncellemeleri sağlamakla yükümlüdür.
(23) Kuruluş, mobil uygulamalarının kullandığı hassas müşteri verileri ile müşteri bilgilerinin, mobil uygulamanın kullanıldığı cihazda yer alan diğer yazılım ve uygulamalar tarafından erişilemez olmasını sağlayacak önlemler alır.
(24) Kuruluş, mobil uygulamalarının kullanıldığı cihazın kaybolması, çalınması, ele geçirilmesi gibi durumlarda, bu durumun müşteri tarafından kuruluşa bildirilmesini müteakip derhal cihazda bulunan hassas müşteri verileri ve müşteri bilgilerinin yetkisiz kişilerce erişilemez olmasını sağlamakla ve bu kapsamda doğabilecek riskleri azaltmak için günün teknolojisine uygun önlemleri almakla yükümlüdür.
(25) Personelin iç ağdaki uygulama ve sistemlere kuruluşun dışından uzaktan erişim gerçekleştirmesine, ilgili kontrol mekanizmalarından geçerek işin ve günün şartlarının gerekleri doğrultusunda onaylanmadığı sürece izin verilmez. Uzaktan erişime izin verildiği durumlarda güçlü kimlik doğrulamaya dayanan güvenli bağlantı yöntemleri uygulanır, erişimlere ilişkin denetim izleri tutulur, bağlantının süresi ve bağlantının yapılabileceği cihazlar kısıtlanır ve personel belli aralıklarla kimliğini tekrar doğrulamaya zorlanır.
(26) Kuruluş, faaliyetleri ile ilgili olarak görevler ayrılığı ve görevin gerektirdiği kapsam kadar yetki prensipleri ile tutarlı etkin bir kimlik doğrulama ve erişim yönetimi yapısı oluşturmakla yükümlüdür.
(27) Kuruluş, bilgi güvenliği yönetim sisteminin etkinliğini yılda en az bir defa düzenli olarak test eder, test sonuçlarını kayıt altına alır ve üst yönetime raporlar.
(28) Kuruluş, kullanmakta olduğu veya ihtiyaç duyabileceği uygulamalar için bir beyaz liste oluşturur ve bilgi sistemleri unsurlarında sadece ihtiyaç duyulan uygulamaların yüklü olmasını sağlar, bu unsurlara beyaz liste dışındaki uygulamaların yüklenmesini ve bu uygulamaların çalıştırılmasını engelleyecek önlemleri alır.
(29) Kuruluş, bilgi sistemleri unsurları üzerinde beyaz listede yer almayan herhangi bir uygulamanın yüklü olup olmadığına yönelik düzenli olarak tarama gerçekleştirir.
(30) Kuruluş, bilgi sistemleri unsurlarını gerekli sıklıkta ve düzenli bir şekilde kontrol ederek zararlı yazılımların ve güvenlik açıklarının tespit edilmesini sağlayacak altyapıyı oluşturur.
(31) Kuruluş, e-posta sunucusuna gelen ve giden e-postaları tarayarak zararlı yazılım barındıran ya da kuruluşun iş ihtiyaçları doğrultusunda gereksiz olan eklentiler içeren e-postaları engelleyecek çözümler kullanır. Kuruluştan gönderilen e-postalar için e-posta sunucularında gönderici kimliğini doğrulayıcı teknikler kullanılır.
(32) Kuruluşun bilgi sistemleri unsurları, bu unsurlara taşınabilir bir medya veya harici cihaz takıldığında otomatik olarak içeriği oynatmayacak şekilde yapılandırılır ve zararlı yazılım engelleme araçları bu tür cihazlar takıldığında otomatik olarak bu cihazları tarayacak şekilde ayarlanır. Bunun yanında bu tür harici cihazların bağlanacağı bağlantı arayüzlerinin ön tanımlı olarak kullanıma kapatılarak bu tür cihazların kullanımının yalnızca iş gereksinimi olan personelle sınırlı tutulması ve harici cihazları kullanma denemesi yapılan durumların da takip edilmesi sağlanır.
(33) Personelin, zorunlu iş gereksinimi olmadıkça yerel yönetici yetkisine sahip olmasına izin verilmez. Buna yönelik bir ihtiyaç olması durumunda iş birimi ve bilgi sistemleri yöneticisinin onayını müteakip söz konusu yetkinin tanımlı ve kayıtlı prosedürler çerçevesinde ve iş bitiminde tekrar geri alınacak şekilde verilmesi sağlanır.
Veri güvenliği ve mahremiyeti