SPK Bilgi Sistemleri Yönetimi Tebliği: erişim yönetimi ve iz kayıtları

SPK'nın VII-128.9 sayılı Bilgi Sistemleri Yönetimi Tebliği, sermaye piyasası kurumlarından ve halka açık ortaklıklardan erişim yetkilerini her yıl gözden geçirmelerini, uzaktan erişimi yetkilendirmeyle kontrol etmelerini ve denetim izlerini en az 5 yıl saklamalarını ister. Bu sayfa erişim ve kayıtla ilgili maddeleri ve teknik kanıtın nereden geleceğini özetler.

Tebliğin çerçevesi

• Tebliğ: Bilgi Sistemleri Yönetimi Tebliği (VII-128.9), Resmi Gazete 5.1.2018, sayı 30292; 9.1.2020 tarihli değişiklikle.
• Kapsam: Borsa İstanbul, borsalar ve pazar yerleri, Takasbank, MKK, portföy saklayıcıları, sermaye piyasası kurumları, halka açık ortaklıklar, emeklilik yatırım fonları ve diğer sayılan kuruluşlar.
• Muafiyetler: Halka açık ortaklıklar ve dar yetkili aracı kurumlar gibi bazı kurum türleri belirli maddelerden muaftır (madde 28). Hangi maddelerin sizi bağladığını kurum türünüze göre kontrol edin.

Erişim ve kimlik doğrulama maddeleri

• En az yetki (madde 15): "gerekli olacak en düşük yetkinin atanması ve en kısıtlı erişim hakkının verilmesi yaklaşımı esas alınır".
• Yıllık gözden geçirme (madde 15): "Tüm yetkiler ve erişim hakları her yıl güncel durumla uyumlulukları açısından değerlendirilmeye tabi tutulur."
• İşten ayrılma (madde 15): "İstihdamın sonlanması durumunda, ilgili tüm yetkilendirmeler ivedilikle iptal edilir."
• Uzaktan erişim (madde 13): "Uzaktan erişim sağlayan kullanıcıları kontrol etmek için gerekli yetkilendirmeler yapılır."
• Bağlantı süresi (madde 13): Yüksek riskli uygulamalarda güvenliği artırmak için bağlantı sürelerine kısıtlama getirilir.
• Kimlik doğrulama (madde 14): Risk değerlendirmesi sonucuna uygun kimlik doğrulama yöntemi belirlenir.

İz kayıtları ve değişiklik yönetimi maddeleri

• İçerik (madde 22): Asgari olarak yapılan işlemlerin türü ve niteliği, işlemi gerçekleştiren kişinin kimliği ve işlem zamanı; yetkisiz erişim denemeleri de kaydedilir.
• Saklama (madde 22): "Denetim izleri asgari 5 yıl saklanır."
• Bütünlük (madde 22): Denetim izlerinin bütünlüğünün bozulması önlenir; kayıtlar düzenli incelenir, olağandışı durumlar üst yönetime raporlanır.
• Değişiklik yönetimi (madde 27): Planlanan değişiklikler onay sürecinden geçmeden uygulanmaz; iptal edilen ve reddedilenler dahil tüm değişiklikler gerekçeleriyle belgelenir.

AdeGate hangi maddelerde teknik kanıt üretir?

• Yıllık erişim gözden geçirme (madde 15): Erişim gözden geçirme raporu kullanıcıları, son girişlerini ve uzun süredir kullanılmayan hesapları listeler; incelemeyi kimin ne zaman onayladığını kalıcı olarak kaydeder (Pro ve Enterprise).
• İşten ayrılanın erişimi (madde 15): Uzun süredir giriş yapmayan hesaplar işaretlenir; verilmiş bir erişim izni panelden tek tıkla iptal edilir.
• Uzaktan erişimin yetkilendirilmesi (madde 13): Sunuculara RDP ve SSH, FortiGate VPN ve FortiGate yönetici girişleri yöneticinin onayı olmadan açılmaz; talep, onay ve ret kimin yaptığıyla kaydedilir.
• Bağlantı süresi kısıtlaması (madde 13): Onaylar süreli verilir; süre dolunca yeniden onay istenir, VPN'de istenirse açık oturum da sonlandırılır.
• Kimlik doğrulama (madde 14): FortiGate VPN ve yönetici girişlerine Google veya Microsoft Authenticator ile iki faktörlü doğrulama.
• Kayıt bütünlüğü (madde 22): Değişiklik ve yönetici giriş kayıtları kriptografik zincirle birbirine bağlanır; geçmiş bir kaydın değiştirilmesi tespit edilir (Pro ve Enterprise).
• 5 yıllık saklama (madde 22): AdeGate kayıtları plana göre 30, 180 veya 365 gün tutar; 5 yıllık saklama için kayıtlar syslog ile kurumun merkezi log arşivine iletilir (Pro ve Enterprise).
• Güvenlik duvarı değişiklikleri (madde 27): FortiGate'teki her yapılandırma değişikliği kullanıcı, arayüz ve değişen nesneyle kaydedilir ve kritik değişikliklerde anında alarm verilir. AdeGate değişikliği önceden onaya bağlamaz; onay süreci kurumun değişiklik yönetimi prosedüründe kalır.

İlgili: Özel entegratör bilgi sistemleri denetimi, ISO 27001 erişim gözden geçirme ve FortiGate değişiklik takibi.

Sık sorulanlar