Yasal Dayanak ve Düzenlemenin Kapsamı
Sermaye piyasalarında bilgi sistemlerinin güvenli, kesintisiz ve mevzuata uygun şekilde işletilmesi Sermaye Piyasası Kurulu gözetimindedir. 6362 sayılı Sermaye Piyasası Kanunu'nun 128. maddesi uyarınca Sermaye Piyasası Kurulu; sermaye piyasası kurumlarının, halka açık şirketlerin, borsaların ve öz düzenleyici kuruluşların bilgi sistemlerinin işletimine ve Kanun çerçevesindeki denetimine ilişkin usul ve esasları belirleme yetkisine sahiptir. Bu yetki kapsamında hazırlanan Bilgi Sistemleri Yönetimi Tebliği (VII-128.9) ile Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2), 5 Ocak 2018 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.
Düzenlemeler; Borsa İstanbul A.Ş., piyasa işleticileri, teşkilatlanmış pazar yerleri, Takasbank, Merkezi Kayıt Kuruluşu, saklayıcı kuruluşlar, Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşu, emeklilik yatırım fonları, halka açık ortaklıklar, sermaye piyasası kurumları ile meslek birliklerini içine alan geniş bir yapıyı bağlamaktadır. Bununla beraber; bankalar, sigorta şirketleri, finansal kiralama, faktöring ve finansman şirketlerinin bilgi sistemlerini kendi özel mevzuatlarında öngörülen ilkelere uygun biçimde idare etmeleri, Bilgi Sistemleri Yönetimi Tebliği altındaki yükümlülüklerin yerine getirilmesi sayılmaktadır.
Birincil ve İkincil Sistemler ile Bulundurma Yükümlülüğü
Mevzuat sistemleri birincil ve ikincil sistemler olarak ikili ayrıma tabi tutmaktadır. Birincil sistem; kurum, kuruluş ve ortaklıkların mevzuattan doğan görevlerini yerine getirmeleri için gereken bilgilerin elektronik ortamda güvenli ve istenildiği an erişilebilir biçimde kaydedilip kullanılmasını sağlayan donanım, yazılım, altyapı ve veriden oluşan bütünsel yapıdır. İkincil sistem ise birincil sistemlerde yürütülen faaliyetlerde aksama yaşanması durumunda, bu faaliyetlerin iş sürekliliği planında belirlenen kabul edilebilir kesinti süreleri içinde sürdürülmesini ve mevzuat sorumlulukları açısından gerekli tüm bilgilere kesintisiz erişilmesini temin eden birincil sistem yedeklerini ifade etmektedir.
Bilgi Sistemleri Yönetimi Tebliği'nin 26. maddesi uyarınca, kapsamdaki kurum, kuruluş ve ortaklıkların birincil ve ikincil sistemlerini Türkiye'de bulundurmaları zorunludur. Bununla birlikte Sermaye Piyasası Kurulu ilke kararı uyarınca, bilgi sistemleri bağımsız denetim zorunluluğu taşımayan halka açık ortaklıklar bakımından aşamalı bir yöntem öngörülmüştür. Bu nitelikteki halka açık ortaklıkların ilk aşamada birincil sistemlerini yurt içinde bulundurma zorunluluğu bulunmamakta, bu yükümlülük bağımsız denetim kapsamına dahil olacakları dönem itibarıyla başlamaktadır.
Yönetim Sorumlulukları ve Bilgi Güvenliği Standartları
Bilgi sistemlerinin kuruluşuna, yönetimine, kullanımına ve bilgi güvenliğine ilişkin her türlü kural ve politika üst yönetim tarafından hazırlanır ve yönetim kurulunun onayına sunulur. Onaylanan politikalar çalışanlara duyurulur. Yönetim kurulu, kontrollerin bilgi sistemleri üzerinde etkin ve yeterli biçimde tesis edilmesinden sorumlu tutulurken, kabul edilen politikaların uygulanmasının gözetimi üst yönetimin sorumluluğundadır.
Üst yönetim ayrıca belirlenen politikaları ve bunlara dair sorumlulukları yıllık olarak gözden geçirmek üzere mekanizmalar kurmak, risk tespiti ile yönetimini yürütmek, bilgi güvenliğini ihlal eden olayları izleyip değerlendirmek ve personelin bilgi güvenliği farkındalığını artırıcı eğitimler düzenlemekle yükümlüdür.
Kurum, kuruluş ve ortaklıkların bilgi güvenliği süreç ve prosedürlerinin takibini gerçekleştirmek üzere yeterli teknik bilgi ve tecrübeye sahip bir bilgi sistemleri güvenliği sorumlusu görevlendirmesi zorunludur. Bu sorumlu, riskler ve risk yönetimi hususunda üst yönetime rapor sunar. Öte yandan bilgi sistemleri, bilgi güvenliği standartları doğrultusunda, sızma testi konusunda ulusal veya uluslararası belgeye sahip gerçek veya tüzel kişilerce en az yılda bir kez sızma testinden geçirilmelidir.
Kontrol Kıstasları ve Yükümlülüklere Aykırılığın Yaptırımı
Bilgi sistemleri kontrollerinde uyulması gereken asgari kıstaslar tebliğ bünyesinde belirlenmiştir. Bu kapsamda süreç sahibinin, görev rollerinin, faaliyet ve sorumlulukların açıkça tanımlanması, kontrol süreçlerinin periyodik olarak belirlenmesi ve her kontrol sürecinin hedef ve amaçlarının netleştirilerek performansının ölçülebilir kılınması aranmaktadır.
Bilgi Sistemleri Yönetimi Tebliği ile getirilen yükümlülüklere ve güvenlik kurallarına uyulmaması idari yaptırıma bağlanmıştır. Tebliğ hükümlerine aykırılık teşkil eden işlem ve eylemlerde, 6362 sayılı Sermaye Piyasası Kanunu'nun 103. maddesindeki genel esaslar çerçevesinde idari para cezası uygulanmaktadır.
Bilgi sistemleri için sızma testi yaptırılması zorunlu mudur?
Evet, kapsamdaki kurum, kuruluş ve ortaklıkların bilgi sistemleri, sızma testi konusunda ulusal veya uluslararası belgeye sahip uzmanlar tarafından en az yılda bir kez sızma testine tabi tutulmalıdır.
Banka ve sigorta şirketleri Tebliğ hükümlerine doğrudan tabi midir?
Banka ve sigorta şirketleri ile faktöring, finansman ve finansal kiralama şirketlerinin bilgi sistemlerini kendi özel mevzuatlarına uygun yönetmeleri, tebliğ yükümlülüklerinin yerine getirilmesi hükmünde sayılmaktadır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy