.png)
Bankacılık sektörü 27001 gereksinimleri nelerdir?
Bankacılık sektöründe ISO 27001 Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) uygulanması, yalnızca iyi bir güvenlik pratiği olmanın ötesinde, sektöre özgü düzenleyici gereklilikleri karşılamak için stratejik bir zorunluluktur .
💡 Ortak Gereksinimler: Bilgi Güvenliğinin Temel İlkeleri
Tüm bankalar için geçerli olan ana gereksinimler, standardın temel yapısı etrafında şekillenir:
BGYS Kurulumu: Planla-Uygula-Kontrol Et-Önlem Al (PDCA) döngüsüne dayalı bir Bilgi Güvenliği Yönetim Sistemi kurmak, uygulamak, izlemek ve sürekli iyileştirmek temel şarttır .
Risk Değerlendirmesi: Bankanın özel risklerini (müşteri veri ihlali, dolandırıcılık vb.) tanımlamak ve bu riskleri yönetmek için uygun kontrolleri seçmek esastır .
Ek A Kontrollerinin Uygulanması: ISO 27001:2022'nin Ek A'sında yer alan 93 kontrol maddesinden (Organizasyonel, İnsan, Fiziksel ve Teknolojik) risk analizi sonucunda bankaya uygun olanların seçilip hayata geçirilmesi gerekir . Önemli: Bu 93 kontrolün hepsi zorunlu değildir; Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA) ile hangilerinin uygulandığı ve hangilerinin neden uygulanmadığı belgelenir .
🏦 Bankacılığa Özel Gereksinimler: ISO 27001'in Ötesi
Bankacılık sektörü, ISO 27001'in temel gereksinimlerinin ötesine geçen ek yükümlülükler getirir . Bu, genellikle ISO 27001 kontrollerinin sektörel düzenlemelerle (örneğin; PSD2, GDPR, yerel mevzuat) eşleştirilmesiyle sağlanır .
Aşağıdaki tablo, ISO 27001 kontrollerinin bankacılık düzenlemeleriyle nasıl bütünleştirilebileceğine dair bazı kritik örnekleri göstermektedir:
Gereksinim Alanı | İlgili ISO 27001 Kontrolü | Bankacılık Düzenlemesi ve Özel Gereksinim |
Güçlü Müşteri Kimlik Doğrulama (SCA) | A.9.2 (Kullanıcı Kaydı ve Erişim Yönetimi) | PSD2 Madde 97, ödeme işlemleri için çok faktörlü kimlik doğrulama zorunluluğu getirir. ISO 27001'deki genel kimlik doğrulama gereksinimi, bu özel düzenlemeyi karşılayacak şekilde detaylandırılmalıdır . |
Veri Sorumlusu Denetim Hakları | A.5.23 (Tedarikçi İlişkilerinde Bilgi Güvenliği) | GDPR Madde 28, veri işleyenlerin (bulut sağlayıcıları gibi) denetim ve incelemeye izin vermesini zorunlu kılar. Tedarikçi sözleşmelerine bu özel haklar eklenmelidir . |
Olay Bildirim Süreleri | A.8.14 (Olay Yönetimi) | GDPR Madde 33, kişisel veri ihlallerinde denetim makamlarına 72 saat içinde bildirim yapılmasını zorunlu kılar. ISO 27001'de belirtilmeyen bu süre, bankanın olay müdahale prosedürlerine eklenmelidir . |
Ödeme Kartı Veri Güvenliği | A.10.1 (Şifreleme) ve diğer ilgili kontroller | PCI DSS standardı, kart sahibi verilerinin korunması için çok özel ve detaylı gereksinimler (güvenlik duvarı kuralları, şifreleme, erişim kontrolü, ağ izleme vb.) getirir . |
👨💼 Yönetişim ve Hesap Verebilirlik
Bankacılık düzenleyicileri, bilgi güvenliği yönetişiminde üst yönetimin ve yönetim kurulunun aktif rolünü bekler . ISO 27001'in Ek A.5'inde yer alan organizasyonel kontroller, bir yönetim kurulu sorumluluğu olarak görülür . Düzenleyiciler, güvenlik politikalarının onaylandığı ve gözden geçirildiğine dair yönetim kurulu toplantı tutanaklarını inceleyebilir. Bu kontrollerin yeterince ele alınmaması, doğrudan yönetim kurulu üyeleri için kişisel sorumluluk ve yaptırımlara yol açabilir .
📅 Güncel Sürüme Geçiş Zorunluluğu
Bankaların, özellikle akredite sertifikalarını korumak için ISO/IEC 27001:2022 sürümüne geçiş yapmaları beklenmektedir . Bu geçiş için belirlenen son tarihler (örneğin, IAF için 31 Temmuz 2026) dikkate alınmalıdır . Yeni sürüm, kontrol yapısını önemli ölçüde değiştirmiş ve bulut güvenliği (A.5.23), tehdit istihbaratı (A.5.7) gibi güncel konulara odaklanan yeni kontroller eklemiştir .
Sıkça Sorulan Sorular (SSS)
1. Bankalar için ISO 27001 sertifikası zorunlu mu?Yasal bir zorunluluk olmasa da, birçok ülkede düzenleyici kurumlar (örneğin, Nijerya Merkez Bankası) bunu bir standart olarak benimsemiş ve bankaların uyum sağlamasını beklemektedir . Ayrıca, müşteri güveni ve rekabet avantajı için stratejik bir gerekliliktir .
2. ISO 27001 bankaları hangi siber tehditlerden korur?Standart, ATM dolandırıcılığı, kimlik avı saldırıları, aracı saldırılar, kart kopyalama ve içeriden yapılan dolandırıcılıklar gibi bankacılık sektörünü hedef alan çok çeşitli siber tehditlere karşı koruma sağlayacak bir çerçeve sunar .
3. Bir banka ISO 27001:2022'deki tüm 93 kontrolü uygulamak zorunda mı?Hayır. Hangi kontrollerin uygulanacağı, bankanın kendi risk değerlendirmesine bağlıdır. Uygulanmayan kontroller, gerekçeleriyle birlikte Uygulanabilirlik Bildirgesi'nde (SoA) belgelenmelidir .
4. ISO 27001 sertifikasyon süreci bankalar için ne kadar sürer?Süreç, bankanın büyüklüğüne ve mevcut hazırlık seviyesine bağlı olarak değişir. Örneğin, First Bank of Nigeria, sertifikasyon hedefine ulaşmak için yaklaşık bir buçuk yıl (18 ay) gibi bir süre ayırmıştır .
5. ISO 27001 ile PCI DSS arasındaki fark nedir?ISO 27001, bilgi güvenliği yönetimi için geniş kapsamlı bir çerçeve sunarken; PCI DSS, özellikle kart sahibi verilerinin korunmasına odaklanan, sektöre özgü ve daha dar kapsamlı bir standarttır. Bankalar genellikle her ikisini de uygular .
Yorumlar