Bankacılık, finans teknolojileri, elektronik para ve ödeme hizmetleri sektörlerinde bilgi güvenliği; yalnızca BT altyapısının korunmasına yönelik teknik bir faaliyet değildir. Finansal kuruluşların faaliyet izinleri, operasyonel sürekliliği, müşteri güveni, veri gizliliği ve düzenleyici kurumlara karşı hesap verebilirliği doğrudan bilgi sistemlerinin güvenilirliğine bağlıdır. Bir bankanın müşteri verilerine yetkisiz erişim yaşaması, bir ödeme kuruluşunun işlem altyapısının kesintiye uğraması veya bir fintek şirketinin API servisleri üzerinden finansal verilerinin açığa çıkması; teknik bir güvenlik olayının ötesinde hukuki, mali ve operasyonel sonuçlar doğurabilir.
İçindekiler
Bu nedenle bankacılık ve finans sektöründe ISO 27001, yalnızca uluslararası geçerliliğe sahip bir sertifikaya ulaşma hedefi olarak değerlendirilmemelidir. ISO 27001 belgelendirmesi için temel oluşturan ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi (BGYS), kuruluşun bilgi varlıklarını tanımlamasını, güvenlik risklerini analiz etmesini, uygun kontrolleri seçmesini, sorumlulukları belirlemesini ve kontrol etkinliğini sürekli izlemesini sağlayan yönetim sistemi çerçevesidir.
Finansal kuruluşlar açısından bu yapının önemi, Türkiye'deki düzenleyici gerekliliklerle birlikte daha belirgin hâle gelir. Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), bankaların bilgi sistemleri ve elektronik bankacılık hizmetlerine ilişkin asgari kontrol ve risk yönetimi yükümlülüklerini düzenler. Türkiye Cumhuriyet Merkez Bankası (TCMB) ise ödeme ve elektronik para kuruluşlarının bilgi sistemleri ile ödeme hizmetleri alanındaki veri paylaşım servislerine ilişkin düzenleyici çerçeveyi belirler.
ISO 27001 bu düzenlemelerin yerine geçen bir mevzuat belgesi değildir. Bununla birlikte, yasal yükümlülüklerin kurumsal politikalara, risk yönetimi süreçlerine, teknik kontrollere, denetim kanıtlarına ve sürekli iyileştirme faaliyetlerine dönüştürülmesinde güçlü bir sistematik sunar.
Bir finansal bilgi güvenliği denetiminde asıl değerlendirme konusu, kuruluşun yalnızca politika dokümanlarına sahip olması değil; müşteri verilerinin hangi sistemlerde işlendiğini, erişimlerin nasıl sınırlandırıldığını, güvenlik olaylarının nasıl yönetildiğini, dış hizmet sağlayıcıların nasıl izlendiğini ve kritik sistemlerin kesinti durumunda nasıl sürdürüleceğini kanıtlayabilmesidir.
BDDK Bilgi Sistemleri Yönetmeliği ve ISO 27001 İlişkisi
BDDK tarafından yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, bankaların faaliyetlerinde kullandıkları bilgi sistemlerinin yönetimi, elektronik bankacılık hizmetlerinin sunulması ve bu hizmetlere ilişkin risklerin kontrol edilmesi için asgari usul ve esasları düzenler.
Yönetmelik; bilgi sistemleri yönetişimi, risk yönetimi, bilgi varlıklarının korunması, erişim güvenliği, dış hizmet alımı, kayıt ve izleme, olay yönetimi, iş sürekliliği ve elektronik bankacılık güvenliği gibi alanlarda kuruluşların yerine getirmesi gereken yükümlülükler ortaya koyar.
Burada önemli bir ayrım vardır: BDDK düzenlemesi, bankaların ISO 27001 belgesine sahip olmasını her durumda doğrudan ve tek başına zorunlu tutan bir sertifikasyon hükmü olarak yorumlanmamalıdır. Düzenleyici yükümlülük, bilgi sistemlerinin güvenli ve kontrollü biçimde yönetilmesidir. ISO 27001 ise bu yükümlülüklerin kurumsal bir yönetim sistemi içinde ele alınmasına yardımcı olur.
Bu nedenle bankalar ve finansal kuruluşlar için ISO 27001 kontrol matrisi hazırlanırken yalnızca standardın Ek-A listesi esas alınmamalıdır. İlgili mevzuat maddeleri, kuruluşun faaliyet modeli, kullanılan teknolojiler, dış hizmet ilişkileri ve risk değerlendirmesi birlikte dikkate alınmalıdır. Hazırlanan mevzuat-standart eşleştirme matrisi, hangi düzenleyici gerekliliğin hangi politika, prosedür, teknik kontrol ve denetim kanıtıyla karşılandığını göstermelidir.
Bilgi varlıklarının envanteri ve sınıflandırılması
Finansal kuruluşların bilgi varlıkları yalnızca sunucular, ağ cihazları ve veri tabanlarından oluşmaz. Müşteri hesap bilgileri, ödeme kartı verileri, kimlik doğrulama kayıtları, işlem geçmişleri, kredi değerlendirme verileri, API anahtarları, kaynak kodları, kriptografik anahtarlar, yedekleme ortamları ve üçüncü taraf platformlarda tutulan veriler de bilgi varlığı olarak değerlendirilmelidir.
ISO 27001 kapsamında kuruluşun bilgi varlıklarını tanımlaması, sahiplerini belirlemesi, sınıflandırması ve bu varlıklara ilişkin güvenlik risklerini değerlendirmesi gerekir. Finans sektöründe bu çalışma, verinin gizlilik derecesinin yanında finansal etkisini, bütünlük gereksinimini ve erişilebilirlik ihtiyacını da dikkate almalıdır.
Örneğin ödeme işlemlerinin yürütüldüğü bir sistemde veri bütünlüğünün bozulması, yalnızca bilgi kaybı anlamına gelmez. Hatalı işlem kayıtları, mükerrer tahsilatlar, mutabakat sorunları ve finansal kayıplar ortaya çıkabilir. Bu nedenle varlık envanteri ile iş süreçleri arasındaki ilişki açık biçimde kurulmalıdır.
ISO 27001:2022 Ek-A kapsamında A.5.9 Bilgi ve diğer ilişkili varlıkların envanteri, A.5.12 Bilginin sınıflandırılması ve A.5.13 Bilginin etiketlenmesi kontrolleri bu alanda değerlendirilir.
Erişim hakları ve ayrıcalıklı kullanıcı yönetimi
Finansal sistemlerde yetkisiz erişim, doğrudan müşteri varlıklarını ve işlem güvenliğini etkileyebilir. Bu nedenle kullanıcı hesaplarının açılması, değiştirilmesi, yetkilendirilmesi ve kapatılması kontrollü bir süreç olarak yönetilmelidir.
Görevler ayrılığı ilkesi, özellikle finansal işlemlerin oluşturulması, onaylanması ve muhasebeleştirilmesi süreçlerinde önem taşır. Bir kullanıcının aynı işlem üzerinde hem başlatma hem onaylama yetkisine sahip olması, kötüye kullanım ve hata riskini artırabilir.
Ayrıcalıklı kullanıcı hesapları, veri tabanı yöneticileri, sistem yöneticileri, bulut altyapısı yöneticileri ve uygulama servis hesapları düzenli olarak gözden geçirilmelidir. Çok faktörlü kimlik doğrulama, güçlü parola politikaları, oturum kayıtları, geçici yetkilendirme ve ayrıcalıklı erişim yönetimi çözümleri risk seviyesine göre uygulanmalıdır.
ISO 27001:2022 Ek-A'da A.5.15 Erişim kontrolü, A.5.16 Kimlik yönetimi, A.5.18 Erişim hakları, A.8.2 Ayrıcalıklı erişim hakları ve A.8.5 Güvenli kimlik doğrulama kontrolleri bu gereksinimlerin yönetiminde önem taşır.
Denetimde yalnızca erişim politikasının varlığı yeterli kabul edilmemelidir. Kullanıcı listeleri, rol matrisleri, onay kayıtları, periyodik erişim gözden geçirme sonuçları ve işten ayrılan personelin erişimlerinin zamanında kapatıldığını gösteren kayıtlar da incelenmelidir.
Siber tehdit istihbaratı, olay yönetimi ve zafiyet takibi
Finans kuruluşları; kimlik avı, fidye yazılımı, hesap ele geçirme, zararlı yazılım, hizmet engelleme saldırıları, API istismarları ve tedarik zinciri kaynaklı güvenlik tehditleriyle karşı karşıyadır. Tehdit ortamının sürekli değişmesi, güvenlik faaliyetlerinin yalnızca olay gerçekleştikten sonra müdahale edilmesine dayandırılmasını yetersiz kılar.
ISO 27001:2022 Ek-A A.5.7 Tehdit istihbaratı kontrolü, kuruluşun bilgi güvenliği tehditlerine ilişkin bilgileri toplamasını ve analiz etmesini destekler. Bu faaliyet; sektörel tehdit bildirimlerinin, güvenlik duyurularının, zafiyet bilgilerinin ve kuruluşun kendi güvenlik kayıtlarının birlikte değerlendirilmesini gerektirir.
A.5.24 Bilgi güvenliği olay yönetiminin planlanması ve hazırlanması, A.5.25 Bilgi güvenliği olaylarının değerlendirilmesi ve karara bağlanması, A.5.26 Bilgi güvenliği olaylarına müdahale ve A.5.27 Bilgi güvenliği olaylarından öğrenilen dersler kontrolleri de olay yönetimi sürecinin kurumsallaştırılmasına katkı sağlar.
Teknik zafiyet yönetimi ise A.8.8 kapsamında ele alınır. Kuruluş; sistemlerdeki güvenlik açıklarını belirlemeli, önem derecelerini değerlendirmeli, düzeltme faaliyetlerini önceliklendirmeli ve kapatılmayan riskler için gerekçeli kararlar oluşturmalıdır.
Sızma testleri ve teknik güvenlik doğrulamaları
Sızma testleri, finansal kuruluşların dışarıdan veya içeriden gerçekleştirilebilecek saldırılara karşı sistemlerinin dayanıklılığını değerlendirmek için kullandığı teknik güvenlik faaliyetlerindendir. Bankaların bilgi sistemlerine ilişkin sızma testleri, BDDK'nın ilgili düzenlemeleri ve sızma testleri hakkındaki genelgesi çerçevesinde ele alınmalıdır.
ISO 27001 belgesi, tek başına mevzuatın öngördüğü sızma testi yükümlülüğünü yerine getirmiş sayılmak için yeterli değildir. Sızma testinin kapsamı, yetkinliği, bağımsızlığı, sıklığı, raporlanması ve bulguların giderilmesi ilgili düzenlemeler ile kuruluşun risk profiline göre yönetilmelidir.
ISO 27001:2022 Ek-A A.8.8 Teknik zafiyetlerin yönetimi, A.8.29 Geliştirme ve kabul aşamalarında güvenlik testleri ve A.8.34 Denetim testleri sırasında bilgi sistemlerinin korunması kontrolleri, teknik doğrulama faaliyetleriyle ilişkilendirilebilir.
Sızma testi raporlarının yalnızca dosyalanması yeterli değildir. Kritik bulgular için sorumlu birim, hedef kapatma tarihi, düzeltici faaliyet, yeniden test sonucu ve kabul edilen artık risk kayıt altına alınmalıdır.
ISO 27001:2022 Ek-A kontrolleri ile finansal mevzuatın eşleştirilmesi
Ek-A kontrolleri ile BDDK veya TCMB düzenlemeleri arasında her zaman birebir ve tek maddelik bir eşleşme bulunmaz. Bir düzenleyici gereklilik birden fazla ISO kontrolüyle karşılanabilir; aynı ISO kontrolü de farklı mevzuat maddelerine kanıt oluşturabilir.
Örneğin erişim yönetimi; kimlik yönetimi, erişim hakları, ayrıcalıklı erişim ve kimlik doğrulama kontrollerinin birlikte uygulanmasını gerektirebilir. Olay yönetimi ise olay hazırlığı, değerlendirme, müdahale, kayıt tutma ve iyileştirme faaliyetlerini kapsar.
Özellikle kontrol numaralarının doğru kullanılması önemlidir. ISO 27001:2022 Ek-A A.8.9 Yapılandırma yönetimi kontrolüdür; ağ güvenliği kontrolü değildir. Ağ güvenliği A.8.20, ağ hizmetlerinin güvenliği A.8.21 ve ağların ayrıştırılması A.8.22 kapsamında değerlendirilir. Tehdit istihbaratı ise A.5.7 altında yer alır. Bu ayrım, ISO 27001 kontrol matrisi hazırlanırken yanlış kontrol ataması yapılmasını ve denetim kanıtlarının hatalı sınıflandırılmasını önler.
Finansal Kuruluşlarda ISO 27001 Entegrasyonunun Kritik Alanları
Finansal kuruluşlarda bilgi güvenliği yönetimi, yalnızca kurum içi BT sistemlerini kapsayan dar bir faaliyet olarak tasarlanmamalıdır. Müşteri kanalları, mobil uygulamalar, açık bankacılık servisleri, ödeme altyapıları, bulut hizmetleri, dış kaynak yazılımlar ve iş ortakları aynı güvenlik mimarisinin parçalarıdır. ISO 27001 uygulamasının etkinliği, bu alanların risk temelli bir yaklaşımla BGYS kapsamına alınmasına bağlıdır.
Müşteri verilerinin ve hassas finansal bilgilerin korunması
Bankalar ve finansal teknoloji şirketleri; kimlik bilgileri, iletişim verileri, hesap hareketleri, kredi başvuruları, ödeme kayıtları, kart bilgileri ve müşteri işlem alışkanlıkları gibi yüksek hassasiyete sahip veriler işler. Bu verilerin korunması için öncelikle veri akışlarının belirlenmesi gerekir. Verinin hangi kanaldan toplandığı, hangi uygulamalarda işlendiği, hangi veri tabanlarında saklandığı, hangi hizmet sağlayıcılarla paylaşıldığı ve ne kadar süreyle tutulduğu ortaya konulmalıdır.
Veri sınıflandırması, saklama ve imha politikaları, şifreleme, maskeleme, veri kaybı önleme, kayıt yönetimi ve erişim kontrolü birlikte değerlendirilmelidir. Özellikle üretim ortamlarından test ortamlarına aktarılan müşteri verilerinin kontrolsüz kullanılması önemli bir risk alanıdır. ISO 27001:2022 Ek-A A.8.10 Bilgi silme, A.8.11 Veri maskeleme, A.8.12 Veri sızıntısının önlenmesi ve A.8.24 Kriptografi kullanımı kontrolleri bu kapsamda değerlendirilebilir.
Kişisel verilerin işlenmesinde ise 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yükümlülükleri ayrıca dikkate alınmalıdır. ISO 27001 belgesi, KVKK'ya otomatik uyum veya hukuki sorumluluktan muafiyet sağlamaz. Kuruluşun veri sorumlusu veya veri işleyen sıfatı, işleme amaçları, hukuki sebepler, aydınlatma yükümlülükleri, veri güvenliği tedbirleri ve ilgili kişi başvurularına yönelik süreçleri ayrıca değerlendirilmelidir.
Açık bankacılık ve API güvenliğinde ISO 27001 kontrolleri
Açık bankacılık uygulamaları, müşterilerin izinleri doğrultusunda finansal verilerin farklı hizmet sağlayıcılar arasında güvenli biçimde paylaşılmasını sağlar. API tabanlı servisler, bankalar ile ödeme hizmeti sağlayıcıları ve diğer yetkilendirilmiş kuruluşlar arasında veri alışverişini mümkün kılar. Bu mimari, geleneksel ağ güvenliğinin ötesinde uygulama arayüzlerinin, kimlik doğrulama mekanizmalarının, erişim yetkilerinin ve veri paylaşım izinlerinin de korunmasını gerektirir.
API güvenliğinde değerlendirilmesi gereken başlıca riskler şunlardır:
- Yetkisiz API erişimi ve kimlik doğrulama zafiyetleri.
- Hatalı nesne düzeyi yetkilendirme ve aşırı veri erişimi.
- API anahtarlarının veya erişim belirteçlerinin açığa çıkması.
- İstek yoğunluğu üzerinden hizmet engelleme ve kaynak tüketimi saldırıları.
- Güvensiz veri aktarımı ve yetersiz şifreleme.
- API sürümlerinin ve eski servis uçlarının kontrolsüz biçimde açık bırakılması.
- Üçüncü taraf uygulamalardan kaynaklanan güvenlik açıkları.
ISO 27001:2022 Ek-A A.8.20 Ağ güvenliği, A.8.21 Ağ hizmetlerinin güvenliği, A.8.22 Ağların ayrıştırılması, A.8.24 Kriptografi kullanımı ve A.8.26 Uygulama güvenliği gereksinimleri kontrolleri API mimarisinin güvenlik yönetiminde dikkate alınabilir.
Bununla birlikte, API güvenliği yalnızca ağ katmanında sağlanamaz. Uygulama güvenliği testleri, yetkilendirme kontrolleri, güvenli yazılım geliştirme, kayıt ve izleme mekanizmaları ile müşteri izinlerinin doğru yönetilmesi birlikte ele alınmalıdır. Açık bankacılık kapsamında veri paylaşımı yapılan her tarafın yetkisi, erişim kapsamı ve sorumlulukları açıkça tanımlanmalıdır. İzin iptali, erişim belirteçlerinin geçerlilik süresi, işlem kayıtları ve olağan dışı kullanım tespiti de denetim kapsamına alınmalıdır.
Üçüncü taraf ve tedarikçi risk yönetimi
Fintek ekosisteminde faaliyet gösteren kuruluşlar; bulut altyapısı sağlayıcıları, veri merkezi işletmecileri, yazılım geliştirme firmaları, çağrı merkezleri, kimlik doğrulama servisleri, ödeme altyapısı sağlayıcıları ve dış kaynak BT hizmetlerinden yararlanabilir. Bu hizmetler operasyonel verimlilik sağlasa da kuruluşun kontrolü dışındaki sistemlerde yeni güvenlik riskleri oluşturabilir. Bir hizmet sağlayıcının yaşadığı veri ihlali veya uzun süreli hizmet kesintisi, hizmet alan finansal kuruluşun müşteri hizmetlerini ve düzenleyici yükümlülüklerini de etkileyebilir.
ISO 27001:2022 Ek-A A.5.19 Tedarikçi ilişkilerinde bilgi güvenliği, A.5.20 Tedarikçi anlaşmalarında bilgi güvenliğinin ele alınması, A.5.21 Bilgi ve iletişim teknolojileri tedarik zincirinde bilgi güvenliğinin yönetimi ve A.5.22 Tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi kontrolleri bu alanın temel bileşenleridir.
Tedarikçi değerlendirmesi yalnızca sözleşme imzalanırken alınan bir güvenlik anketiyle sınırlı tutulmamalıdır. Hizmetin kritikliği, erişilen verinin niteliği, hizmet sağlayıcının alt yüklenicileri, olay bildirim süreleri, denetim hakkı, veri konumu, hizmet sonlandırma koşulları ve iş sürekliliği kapasitesi düzenli olarak değerlendirilmelidir. Bulut hizmetlerinde paylaşılan sorumluluk modeli ayrıca incelenmelidir. Hizmet sağlayıcının sunduğu altyapı güvenliği, müşterinin kimlik ve erişim yapılandırmalarını, uygulama güvenliğini veya veri sınıflandırmasını kendiliğinden güvence altına almaz.
Finans Sektöründe Birlikte Değerlendirilmesi Gereken Standartlar
ISO 27001, finansal kuruluşların bilgi güvenliği risklerini yönetmek için temel bir çerçeve sunar. Ancak kartlı ödeme verileri, kişisel veriler ve kritik iş süreçlerinin kesintisiz yürütülmesi gibi konuların tamamı tek bir standartla karşılanamaz. Bu nedenle finans sektöründe standartların kuruluşun faaliyet modeline, veri işleme kapsamına, yasal yükümlülüklerine ve müşteri gereksinimlerine göre birlikte değerlendirilmesi gerekir.
PCI DSS: Kartlı ödeme verilerinin korunması
PCI DSS (Payment Card Industry Data Security Standard), ödeme kartı hesap verilerinin saklanması, işlenmesi veya iletilmesi süreçlerinde uygulanması gereken teknik ve operasyonel güvenlik gerekliliklerini tanımlar. Kartlı ödeme verilerine temas eden bankalar, ödeme kuruluşları, ödeme geçidi hizmeti sunan firmalar, işlem altyapısı sağlayıcıları ve ilgili hizmet sağlayıcılar; faaliyetlerinin kapsamına göre PCI DSS yükümlülüklerini değerlendirmelidir.
PCI DSS ile ISO 27001 aynı amaca hizmet eden veya birbirinin yerine geçebilen standartlar değildir. ISO 27001, kuruluş genelinde bilgi güvenliği risklerinin yönetilmesine odaklanan bir yönetim sistemi standardıdır. PCI DSS ise kart verisi ortamının güvenliğine yönelik daha ayrıntılı teknik ve operasyonel gereklilikler içerir. Örneğin ISO 27001 kapsamında erişim yönetimi, varlık sınıflandırması, risk değerlendirmesi ve olay yönetimi süreçleri oluşturulabilir. PCI DSS ise kart sahibi verilerinin korunması, ağ güvenliği, güvenli yapılandırma, zafiyet yönetimi, erişim kısıtlamaları, izleme ve test faaliyetleri için kendi gerekliliklerini ortaya koyar.
Her iki yapının birlikte yürütülmesi, ortak kontrol alanlarında mükerrer dokümantasyonu azaltabilir. Bununla birlikte ISO 27001 sertifikası, PCI DSS uyum değerlendirmesinin veya gerekli doğrulama süreçlerinin yerine geçmez. PCI DSS kapsamı belirlenirken kart verisi ortamı, bu ortama bağlanan sistemler, güvenlik etkisi bulunan bileşenler ve hizmet sağlayıcı ilişkileri doğru tanımlanmalıdır. Kapsamın hatalı belirlenmesi, teknik kontrollerin eksik uygulanmasına ve uyum değerlendirmesinin güvenilirliğinin zayıflamasına neden olabilir.
ISO 22301: İş sürekliliği ve felaket kurtarma yönetimi
Bankacılık ve ödeme sistemlerinde hizmet kesintisi, müşteri işlemlerinin durması, ödeme akışlarının aksaması, mutabakat süreçlerinin gecikmesi ve finansal kayıplar gibi sonuçlar doğurabilir. Bu nedenle bilgi güvenliği yönetimi ile iş sürekliliği yönetimi birbirini tamamlayan iki yapı olarak ele alınmalıdır. ISO 22301, kuruluşun kritik faaliyetlerini kesinti koşullarında sürdürebilmesi ve kabul edilebilir sürelerde yeniden işler hâle getirebilmesi için sistematik bir çerçeve sunar.
ISO 27001 bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliği üzerindeki riskleri yönetirken ISO 22301 kritik iş faaliyetlerinin kesinti karşısındaki dayanıklılığına odaklanır. İki standart arasında ortak risk değerlendirme, yönetim sorumluluğu, iç denetim, performans değerlendirme ve sürekli iyileştirme alanları bulunur. Finans kuruluşlarında iş etki analizi (BIA), kritik süreçlerin belirlenmesi, kurtarma süresi hedefi (RTO), kurtarma noktası hedefi (RPO), yedekleme politikaları, alternatif çalışma ortamları ve felaket kurtarma planları birlikte değerlendirilmelidir.
Bir felaket kurtarma merkezinin bulunması tek başına iş sürekliliği yeterliliğini kanıtlamaz. Yedeklerin kullanılabilirliği, sistemlerin geri yüklenme süresi, veri tutarlılığı, bağımlı hizmetlerin erişilebilirliği ve personelin kriz anındaki görevleri test edilmelidir. ISO 22301 İş Sürekliliği Yönetim Sistemi, finansal kuruluşların operasyonel dayanıklılığını güçlendirmek ve bilgi güvenliği süreçlerini kesinti yönetimiyle bütünleştirmek için ISO 27001 ile birlikte değerlendirilebilir.
ISO 27701:2025 ve KVKK kapsamında gizlilik yönetimi
Finansal kuruluşlar, müşterilerin kimlik bilgileri ve hesap hareketleri gibi kişisel verileri yoğun biçimde işler. Bu verilerin korunması, yalnızca siber saldırılara karşı teknik önlem alınmasını değil; işleme amaçlarının, hukuki sebeplerin, saklama sürelerinin, veri paylaşım ilişkilerinin ve ilgili kişi haklarının yönetilmesini de gerektirir. ISO 27701, Kişisel Veri Gizliliği Yönetim Sistemi (PIMS) için gereklilikleri tanımlayan güncel uluslararası standarttır. 2025 sürümü, önceki ISO/IEC 27701:2019 sürümünün yerini almıştır ve kişisel veri sorumluları ile kişisel veri işleyen kuruluşların gizlilik yönetimini sistematik hâle getirmesine yönelik bağımsız bir yönetim sistemi çerçevesi sunar.
ISO 27001 ile ISO 27701'in birlikte değerlendirilmesi; bilgi güvenliği riskleri ile kişisel veri işleme risklerinin koordineli yönetilmesine yardımcı olur. Ancak ISO 27701 belgesi de KVKK'ya otomatik uyum anlamına gelmez. Kuruluşun faaliyetleri, veri işleme amaçları, hukuki yükümlülükleri ve Türkiye'deki mevzuat gereklilikleri ayrıca incelenmelidir. Özellikle müşteri tanıma (KYC), uzaktan kimlik tespiti, işlem izleme, dolandırıcılık önleme ve müşteri destek süreçlerinde kişisel verilerin hangi amaçlarla işlendiği ve kimlerle paylaşıldığı açık biçimde belirlenmelidir.
Vertacert ile Finansal Bilgi Güvenliği Denetimi ve Belgelendirme Süreçleri
Bankalar, ödeme kuruluşları, elektronik para şirketleri ve fintek işletmeleri için bilgi güvenliği yönetim sistemi; yalnızca dokümantasyon hazırlığı veya sertifikasyon denetimi öncesinde tamamlanacak bir proje olarak görülmemelidir. Kuruluşun teknoloji mimarisi, operasyonel süreçleri, müşteri verileri, tedarikçi ilişkileri ve mevzuat yükümlülükleriyle birlikte yönetilmesi gereken kurumsal bir kontrol yapısıdır.
Vertacert, bankacılık, finans ve fintek kuruluşlarının bilgi güvenliği altyapılarını ISO 27001 standartları ve sektörel düzenlemeler çerçevesinde değerlendirir. Denetim yaklaşımında kuruluşun faaliyet kapsamı, bilgi varlıkları, risk değerlendirmesi, kontrol tasarımı, uygulama kanıtları ve sürekli iyileştirme mekanizmaları birlikte ele alınır. Bu kapsamda değerlendirme konusu olan başlıca alanlar; bilgi güvenliği yönetişimi, varlık yönetimi, erişim kontrolü, güvenli yapılandırma, siber olay yönetimi, teknik zafiyet takibi, dış hizmet sağlayıcıların kontrolü, iş sürekliliği ve denetim kayıtlarıdır.
Vertacert, bankacılık, finans ve fintek kuruluşlarınızın bilgi güvenliği altyapılarını ISO 27001 standartları ve sektörel regülasyonlar çerçevesinde bağımsız olarak denetler ve belgelendirir. BDDK mevzuat şartlarına uyum sağlamak, finansal risklerinizi proaktif olarak yönetmek ve kurumsal güvenilirliğinizi tescillemek için uzman başdenetçi kadromuzla yanınızdayız.
ISO 27001 belgelendirme sürecinin kapsamı, kuruluşun faaliyet alanı ve BGYS sınırları esas alınarak belirlenmelidir. Bankacılık veya ödeme hizmetleri gibi düzenlemeye tabi bir alanda faaliyet gösterilmesi, denetim kapsamının yalnızca merkez ofis ve temel BT altyapısıyla sınırlandırılmasını yeterli kılmaz. Kritik dış hizmetler, müşteri kanalları, işlem sistemleri ve bilgi güvenliğini etkileyen süreçler de kapsam değerlendirmesine dâhil edilmelidir.
ISO 27001 belgesi, BDDK veya TCMB tarafından yürütülen düzenleyici denetimlerin yerine geçmez ve tek başına mevzuata tam uyum garantisi oluşturmaz. Bununla birlikte etkin biçimde işletilen bir BGYS; kontrol sahipliğini, risklerin izlenmesini, uygulama kanıtlarının düzenli tutulmasını ve kurumsal hesap verebilirliği güçlendirir.
Finansal kuruluşunuzun bilgi güvenliği yönetim sistemini ISO 27001:2022 kapsamında değerlendirmek, sektörel gerekliliklerle kontrol yapınızı ilişkilendirmek ve belgelendirme kapsamınızı netleştirmek için ISO 27001 belgesi nasıl alınır sayfamız üzerinden bilgi alabilirsiniz.
Sıkça Sorulan Sorular
Fintek ve ödeme kuruluşları için ISO 27001 belgesi almak yasal olarak zorunlu mudur?
Her fintek şirketi veya ödeme kuruluşu için ISO 27001 sertifikasını doğrudan ve istisnasız biçimde zorunlu kılan genel bir hüküm bulunduğunu söylemek doğru değildir. Ödeme ve elektronik para kuruluşları, TCMB'nin 6493 sayılı Kanun ve ilgili ikincil düzenlemeler kapsamında bilgi sistemlerinin yönetimi, güvenliği ve bağımsız denetimiyle ilgili yükümlülüklere tabidir. Bu düzenlemeler, kuruluşların bilgi güvenliği kontrollerini etkin biçimde işletmesini gerektirir. ISO 27001 sertifikası, bu kontrollerin sistematik yönetimini ve bağımsız belgelendirme yoluyla gösterilmesini destekler. Ayrıca lisanslama, iş ortaklığı, banka entegrasyonu veya müşteri sözleşmeleri kapsamında ISO 27001 belgesi ya da eşdeğer güvenlik kanıtları talep edilebilir. Somut zorunluluk, kuruluşun lisans türü, faaliyet modeli ve tabi olduğu güncel düzenlemeler üzerinden değerlendirilmelidir.
ISO 27001 belgesi olan bir banka veya finans kurumu PCI DSS denetiminden muaf olur mu?
Hayır. ISO 27001 sertifikası PCI DSS uyum değerlendirmesinin yerine geçmez. ISO 27001 kuruluş genelinde bilgi güvenliği risk yönetimini ele alırken PCI DSS kart sahibi verilerinin korunmasına yönelik özel teknik ve operasyonel gereklilikler getirir. Bununla birlikte ISO 27001 kapsamında oluşturulan erişim yönetimi, risk değerlendirmesi, olay yönetimi, varlık envanteri ve tedarikçi kontrolü gibi süreçler PCI DSS çalışmalarında ortak kontrol altyapısı sağlayabilir. Kuruluşun PCI DSS kapsamı ayrıca belirlenmeli ve ilgili doğrulama yükümlülükleri yerine getirilmelidir.
BDDK denetimlerinde ISO 27001:2022 revizyonuna geçiş için son durum nedir?
ISO/IEC 27001:2022 sürümüne geçiş için Uluslararası Akreditasyon Forumu'nun (IAF) yayımladığı geçiş takviminde sertifikalı kuruluşların geçiş işlemlerini tamamlaması için son tarih 31 Ekim 2025 olarak belirlenmiştir. Bu tarih itibarıyla önceki sürüme göre düzenlenmiş akredite sertifikaların geçiş süreci sona ermiştir. Kasım 2026 itibarıyla geçerli bir akredite ISO 27001 sertifikası için esas alınması gereken sürüm ISO/IEC 27001:2022'dir. BDDK denetimleri açısından ise standardın sürümünden bağımsız olarak ilgili mevzuat yükümlülüklerinin karşılanması gerekir. ISO 27001:2022 sertifikasına sahip olmak, BDDK'nın bilgi sistemleri denetiminde inceleyeceği tüm yükümlülüklerin otomatik olarak karşılandığı anlamına gelmez.
ISO 27001 belgesi BDDK mevzuatına tam uyum sağlandığını kanıtlar mı?
Hayır. ISO 27001 belgesi, belgelendirme kapsamındaki Bilgi Güvenliği Yönetim Sistemi'nin standardın gerekliliklerine uygunluğunu gösterir. BDDK mevzuatı ise bankalara yönelik sektörel ve bağlayıcı yükümlülükler içerir. Bu nedenle mevzuat maddeleri ile ISO 27001 kontrolleri ayrıca eşleştirilmeli; standardın kapsamı dışında kalabilecek düzenleyici gereklilikler için ek kontroller ve kanıtlar oluşturulmalıdır.
ISO 27001 ile ISO 22301 aynı denetim kapsamında değerlendirilebilir mi?
Evet. İki standart ortak yönetim sistemi süreçlerine sahip olduğundan entegre denetim yaklaşımıyla değerlendirilebilir. ISO 27001 bilgi güvenliği risklerine, ISO 22301 ise iş kesintilerine karşı kurumsal dayanıklılığa odaklanır. Ortak risk değerlendirme, dokümantasyon, iç denetim, yönetimin gözden geçirmesi ve iyileştirme süreçleri entegre yönetilebilir. Bununla birlikte her standardın kendine özgü gereklilikleri ayrı ayrı karşılanmalıdır.
ISO 27001:2022 Ek-A'da ağ güvenliği hangi kontrol altında yer alır?
Ağ güvenliği ISO 27001:2022 Ek-A A.8.20 kontrolü altında ele alınır. A.8.21 ağ hizmetlerinin güvenliğini, A.8.22 ise ağların ayrıştırılmasını kapsar. A.8.9 kontrolü ağ güvenliği değil, donanım, yazılım, hizmet ve ağların güvenlik yapılandırmalarının oluşturulması, belgelenmesi, izlenmesi ve gözden geçirilmesiyle ilgili yapılandırma yönetimidir.
