Finans ve sigorta tarafındaki altyapı görüşmeleri diğer sektörlerden bir noktada ayrılıyor: masada teknik ekibin yanında bir de uyum tarafı oluyor ve sorular "çalışıyor mu" değil "bunu nasıl kanıtlarız" biçiminde geliyor. Bu fark, mimarinin nasıl kurulacağını baştan değiştiriyor.
Altyapıyı zorlayan ne
Birincisi denetim izi. Kimin ne zaman neye eriştiği, hangi değişikliğin kim tarafından yapıldığı kayıt altında olmalı ve bu kayıt sonradan değiştirilememeli. Log tutmak yetmiyor; log'un bütünlüğünün korunduğunu da göstermek gerekiyor.
İkincisi ortam ayrımı. Üretim, test ve geliştirme ortamlarının birbirinden ayrılmış olması bekleniyor. Uygulamada en sık karşılaştığımız bulgu, üretim verisinin test ortamına kopyalanmış olması. Test ortamı genelde daha gevşek yetkilendirilmiş olduğu için bu, verinin en zayıf halkaya taşınması anlamına geliyor.
Üçüncüsü erişim yönetimi. Paylaşılan yönetici hesapları, ayrılan personelin kapatılmamış erişimi ve gözden geçirilmemiş yetkiler denetimde ilk bakılan yerler. Bizde erişimler kişiye bağlı ve kayıt altında; paylaşılan yönetici hesabı kullanmıyoruz, yönetim arayüzlerinde çok faktörlü doğrulama zorunlu.
Dördüncüsü kesinti toleransı. İşlem kesintisinin doğrudan finansal ve itibari karşılığı var. Bu, felaket kurtarma hedeflerinin diğer sektörlerden daha sıkı belirlenmesi anlamına geliyor.
Mevzuat tarafı
Sektörün bilgi sistemleri düzenlemeleri, verinin nerede tutulacağı ve dış hizmet alımının nasıl yönetileceği konusunda çerçeve çiziyor. Altyapı tarafında bunun pratik karşılığı verinin yurt içinde kalması ve hizmet sağlayıcının denetlenebilir olması.
Bizde veriler Türkiye'deki veri merkezlerimizde, kendi donanımımız üzerinde duruyor ve yurt dışına çıkmıyor. Verinin nerede durduğunun neyi çözüp neyi çözmediğini, yani konum tek başına yeterli olmadığı için başka nelere bakmak gerektiğini veri egemenliği yazımızda ele aldık.
KVKK tarafında sık sorulan bir soru var: uyum için ISO 27001 belgesi şart mı? Hukuken zorunlu değil. KVKK teknik ve idari tedbirlerin alınmasını istiyor ama belirli bir belgeyi şart koşmuyor. Buna karşılık ISO 27001, bu tedbirlerin sistematik biçimde kurulduğunu ve bağımsız denetimden geçtiğini göstermenin en yaygın yolu; denetim ve ihale süreçlerinde işi belirgin biçimde kolaylaştırıyor. Belgelerimizin tam listesi güven merkezinde.
Kapsamımızda ne var
Ağ tarafında segmentasyon uyguluyoruz ve servisler arası trafiği varsayılan olarak açık bırakmıyoruz. Bu, denetimde "ortamlar nasıl ayrılmış" sorusuna verilecek cevabı somutlaştırıyor. Yaklaşımın tamamı zero-trust security sayfasında, temel kavram zero-trust nedir sayfasında.
Yedekler ayrı bir depolama sisteminde, belirlenen saklama süresi boyunca değiştirilemez biçimde tutuluyor. Fidye yazılımı bulaşması halinde bile yedekler silinemez veya şifrelenemez. Sistem ve erişim günlükleri merkezî olarak toplanıyor; 5651 sayılı Kanun kapsamındaki trafik kayıtları mevzuatın öngördüğü süre boyunca saklanıyor.
Uyum çalışmasının kendisinde de destek veriyoruz: veri envanteri, politika dokümantasyonu ve denetim hazırlığı uyumluluk yönetimi kapsamında. Zafiyet tarafında düzenli tarama yapılıyor, kritik açıklar planlı bakım penceresi beklenmeden ele alınıyor.
Dış hizmet alımı nasıl belgelenir
Altyapıyı dışarıdan almak, sorumluluğu dışarı vermek anlamına gelmiyor. Düzenlemeler dış hizmet sağlayıcısının denetlenebilir olmasını ve alınan hizmetin kapsamının yazılı olmasını bekliyor. Pratikte bunun karşılığı üç belge oluyor: hizmet kapsamı, hizmet seviyesi taahhüdü ve sorumluluk sınırı.
Üçü de sitede yazılı. Hizmet seviyesi taahhüdümüz, olay önceliklendirme ve hizmet kredisi işleyişi destek ve hizmet seviyeleri sayfasında; hangi katmandan kimin sorumlu olduğu sorumluluk paylaşımı sayfasında katman katman; taahhüt metninin tamamı SLA politikasında.
Tedarikçi değerlendirme formlarını doldurmaya alışkınız. Talep üzerine ISO belgelerinin geçerli kopyalarını, kapsam beyanını, ilgili aya ait erişilebilirlik raporunu ve felaket kurtarma tatbikatı sonuç raporunu paylaşıyoruz. Cevaplayamadığımız bir madde olursa boş bırakmak yerine neden cevaplayamadığımızı yazıyoruz.
Nereden başlanır
Uyum çalışması veri envanterinden başlıyor. Hangi kişisel verinin nerede tutulduğu, kimin eriştiği ve nereye aktarıldığı çıkarılmadan yapılan her adım tahmine dayanıyor. Çoğu kurum bu çalışmada verinin üretim veri tabanı dışında yedeklerde, log'larda ve üretimden kopyalanmış test ortamlarında da durduğunu ilk kez görüyor.
Envanter çıktıktan sonra sıra kanıt üretmeye geliyor. Denetçi politikayı değil, politikanın uygulandığına dair kanıtı arıyor: erişim yetkilerinin gözden geçirildiğine, imha turlarının çalıştığına ve yedeklerin geri yüklenebildiğine dair kayıtlar. Kanıt üretmeyen bir süreç denetimde yok sayılıyor.
Geçişin nasıl planlandığını geçiş süreci sayfasında, hangi katmandan kimin sorumlu olduğunu sorumluluk paylaşımı sayfasında bulabilirsiniz. Diğer sektörler için çözümler sayfasına bakın.
Uyum tarafındaki ekibinizle teknik ekibin aynı masada olduğu bir keşif görüşmesi, bu sektörde en verimli başlangıç oluyor. İki taraf farklı sorular soruyor ve ikisinin cevabı da mimariyi etkiliyor; ayrı ayrı yapılan görüşmelerde çıkan tablo genelde sonradan, üstelik değiştirmenin en pahalı olduğu noktada revize ediliyor. Diğer sektörler için çözümler sayfasına, mimarinin nasıl göründüğü için referans mimarilere bakabilirsiniz.