VII-128.10 Tebliği'ne Göre Kurulan Altyapı
Sermaye Piyasası Kurulu'nun Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlandı, 30 Haziran 2025'te yürürlüğe girdi ve eski VII-128.9 Tebliği'nin yerini aldı. Tebliğ; ağ güvenliğinden kayıt yönetimine, şifrelemeden iş sürekliliğine kadar bilgi sistemlerinin nasıl kurulup işletileceğini madde madde tanımlıyor.
Altunakar Bilgisayar, NATO standartlarında kapalı sunucu sistemleri kuran ekibiyle bu maddelerin istediği teknik altyapıyı kuruyor ve sistemi bağımsız denetime hazır hâlde teslim ediyor.
Kimler İçin?
- Aracı kurumlar ve portföy yönetim şirketleri
- Kripto varlık hizmet sağlayıcıları (ek olarak TÜBİTAK ölçütlerine de tabi)
- Halka açık ortaklıklar
- Emeklilik yatırım fonları ve portföy saklayıcıları
- Borsa ve piyasa işleticileri, Takasbank, Merkezi Kayıt Kuruluşu ve sektör birlikleri
Bankalar ve sigorta şirketleri kendi sektör düzenlemelerine tabidir; bu kurumlar için sunucu ve ağ kurulumu ile kurumsal güvenlik duvarı hizmetlerimiz ayrı planlanır.
Tebliğ Ne İstiyor, Biz Neyi Kuruyoruz?
Ağ güvenliği
Katmanlı ağ yapısı; istemci, sunucu ve yönetim ağlarının ayrılması; güvenlik duvarı ile saldırı tespit ve önleme; hassas sistemlere doğrudan internet erişiminin kapatılması; kablosuz ve misafir ağının ayrı tutulması. (md. 13)
Güvenli uzaktan erişim
Çok faktörlü kimlik doğrulama, uçtan uca şifreli bağlantı, oturum zaman aşımı ve kayda alınan erişim. Uzaktan bağlantı yalnız güncel ve tanımlı cihazlardan. (md. 13)
Kimlik ve yetki yönetimi
Kritik sistemlerde ve yetkili hesaplarda çok faktörlü doğrulama, rol bazlı yetki, en az yetki ilkesi, ayrı yönetici hesapları ve hesap kilitleme kuralları. (md. 15–16)
Merkezi kayıt yönetimi
Sistem ve uygulama kayıtlarının tek merkezde toplanması, en az 5 yıl bütünlüğü korunarak saklanması ve tüm sistemlerin tek zaman kaynağına göre senkronize edilmesi. (md. 22–23)
Şifreleme ve veri sızıntısı
Hassas verinin depoda, iletimde ve yedekte şifrelenmesi; anahtarların yönetimi; verinin kurum dışına çıkmasını önleyen kontroller ve güvenli silme. (md. 17–18)
İşletim güvenliği
Kapasite ve eşik izleme ile otomatik uyarı, test edilerek uygulanan güncellemeler, güvenli yapılandırma, taşınabilir medya kontrolü, güncel zararlı yazılım koruması ve e-posta alan adı doğrulaması. (md. 14)
Sistem odası
Erişim kontrolü ve kaydı, kesintisiz güç, iklimlendirme, yangın ve su algılama, kör noktası olmayan 7/24 kamera kaydı. (md. 12)
İş sürekliliği
Yurt içinde birincil ve ikincil sistem, farklı coğrafi konumda tutulan yedek kopya, yedekli donanım ve yılda en az bir kez geri dönüş testi. (md. 27)
Denetimde İstenecek Belgeler Hazır
Bağımsız denetimde ilk istenen şey, sistemin kâğıt üzerindeki karşılığıdır. Kurulumla birlikte şunları teslim ediyoruz:
- Varlık envanteri: donanım, yazılım ve lisansların tanımı, konumu, sahibi, kullanıcısı, güvenlik sınıfı ve yedekleme durumu. (md. 10)
- Ağ topolojisi: güncel ağ şeması ve bölümler arası erişim kuralları. (md. 13)
- Yapılandırma kayıtları: sistemlerin onaylı güvenli yapılandırması ve değişiklik geçmişi. (md. 14, 28)
- Yedekleme ve geri dönüş kayıtları: yedek kopyaların yeri ve yapılan geri dönüş testlerinin sonuçları. (md. 27)
Neyi Yapmıyoruz?
Tebliğ, bazı işlerin kurulumu yapan ekipten bağımsız kişilerce yapılmasını şart koşar. Yıllık sızma testi, kurumda bilgi güvenliği görevi bulunmayan ve bu konuda belgesi olan kişi ya da kuruluşlarca; iç denetim, Bilgi Sistemleri Bağımsız Denetim Lisansı'na sahip kurum personelince; bağımsız denetim ise Kurul'un yetkilendirdiği denetim kuruluşlarınca yapılır. Bu çalışmalar için sistemi hazırlıyor, raporlarda çıkan bulguları kapatıyoruz. Bilgi güvenliği politikası ve bilgi güvenliği sorumlusu da kurumun kendi yükümlülüğüdür; teknik tarafta sorumlunuzla birlikte çalışıyoruz.
Uyum Takvimi
| Tarih | Ne oldu |
|---|---|
| 13 Mart 2025 | VII-128.10 Tebliği Resmî Gazete'de yayımlandı. |
| 30 Haziran 2025 | Tebliğ yürürlüğe girdi, VII-128.9 yürürlükten kalktı. |
| 31 Aralık 2025 | Genel hükümlere ve iş sürekliliği maddesine (md. 27) uyum süresi doldu. |
| 31 Aralık 2026 | İç denetimi yapacak kişilerin Bilgi Sistemleri Bağımsız Denetim Lisansı'na sahip olma şartı (md. 29/3) başlıyor. |
Belgelerimiz
Kurduğumuz altyapıda kullandığımız ürünlerin üreticilerince yetkilendirilmiş iş ortağıyız. Belgelerin tamamı ana sayfadaki sertifikalar bölümünde açık.
