Sektörlere Özel Uyulması Gereken Mevzuatlar
Değerli veri olarak nitelendirilen kimlik bilgileri ve finansal bilgilerin saklanıp işlendiği sektörlerde Türkiye’de ve dünyada sıkı regülasyonlar söz konusudur. Bankacılık, ödeme sistemleri, sağlık ve e-ticaret gibi birçok sektör için özel olarak belirlenmiş regülasyonların neler olduğuna göz atalım.
Bankacılık Sektörü
Bankacılık sektörü tüm dünyada olduğu gibi ülkemizde de en sıkı regülasyonlar ile düzenlenen sektörlerin başında gelir. Bankacılık sektöründe faaliyet gösteren kurumların BT altyapıları konusunda hazırlanmış düzenlemeler ise 5411 sayılı Bankacılık Kanunu'nun 73. maddesi[1] ve Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik[2] ile belirtilmiştir. Aynı zamanda bankaların, BT altyapı hizmetlerine dair çeşitli alanlarda dışarıdan destek hizmeti almaları durumunda “Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik” kapsamında hareket etmeleri gerekir.
Bankacılık sektörünü ilgilendiren regülasyonlar bunlarla sınırlı değildir. BDDK tarafından hazırlanan İçsel Sermaye Değerlendirme Süreci’ne (İSEDES) dair “Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmelik”[3] ile belirlenenler gibi birçok farklı konuda da uyumluluk sağlanması gereken regülasyonlar bulunur.
Ödeme Sistemleri
Ödeme sistemleri de tıpkı bankacılık sektöründe olduğu gibi sıkı regülasyonlara sahiptir. 6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun[4] (Ödeme Sistemleri Kanunu) ile söz konusu bu sektörlerde faaliyet gösteren kuruluşlar tarafından uyulması gereken usul ve esaslar belirlenmiştir.
Bu kanuna ek olarak BDDK tarafından hazırlanan Ödeme Kuruluşları ve Elektronik Para Kuruluşlarının Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ[5] ile de bilgi sistemlerine dair regülasyonlar ortaya konmuştur.
Sermaye Piyasaları
Ülkemizde sıkı regülasyonlara sahip bir diğer sektör de sermaye piyasalarıdır. 6362 Sayılı Sermaye Piyasası Kanunu[6] ile sermaye piyasasının güvenilir, şeffaf, istikrarlı ve adil bir ortamda işlemesi için gerekli düzenlemeler belirtilmiştir. Bununla birlikte SPK tarafından hazırlanan "Bilgi Sistemleri Yönetimi Tebliği" (VII-128.9)[7] ve SPK tarafından yetkilendirilmiş veri depolama kuruluşlarının yükümlülüklerine dair hazırlanmış olan “Veri Depolama Kuruluşunun Faaliyet, Çalışma ve Denetim Esasları Hakkında Yönetmelik”[8] bulunur.
E-Ticaret Sektörü
Her gün binlerce işlemin gerçekleştiği e-ticaret sektörü, ülkemizde sıkı regülasyona tabi olan bir diğer sektördür. Elektronik ticarete ilişkin esas ve usullerin belirtildiği “6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkındaki Kanun”[9] ise e-ticaret sektörü için özel gereksinimlerin ortaya çıkmasına yol açar.
E-ticaretin düzenlenmesi amacıyla oluşturulan kanun kapsamında, hizmet sağlayıcı ve aracı hizmet sağlayıcıların sorumlulukları ile elektronik iletişim araçlarıyla yapılan sözleşmeler ve elektronik ticarete ilişkin bilgi verme yükümlülükleri belirlenmiştir.
Sağlık Sektörü
Sağlık sektöründe BT altyapılarının güvenliği ve güvenilirliği, işlenen verilerin hassaslığı ve hata kabul etmeyen yapısı gereği oldukça önemlidir. Kişisel bilgilerin yanı sıra sağlık verilerinin de işlendiği sağlık sektöründe, verilerin saklanması ve işlenmesi sırasında gerçekleşebilecek herhangi bir sorun, telafisi mümkün olmayan olumsuz durumlara sebebiyet verebilir.
Sağlık sektöründe faaliyet gösteren kurumları ilgilendiren regülasyonlar ise kişisel sağlık verilerinin işlenip saklanması ve erişimi sırasında uyulması gereken usul ve esasların belirlendiği, Sağlık Bakanlığı tarafından hazırlanan “Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik”[10] ve 4735 Sayılı Kamu İhale Sözleşmeleri Kanunudur[11].
Leasing, Faktoring ve Finansman Kuruluşları
Leasing, faktoring ve finansman kuruluşlarının BT altyapıları için uyması gereken regülasyonlar, “Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ”[12] ile belirlenmiştir.
BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) tarafından hazırlanan söz konusu mevzuatta, ilgili kuruluşların bilgi sistemlerinin yönetimi, bilgi güvenliği, risk yönetimi, yetkilendirme ve erişim kontrolü, kimlik doğrulama ve bilgi sistemlerinin sürekliliğinin planlanması gibi BT altyapısına dair birçok konuda uyulması gereken zorunluluklar ifade edilmiştir.
Enerji Sektörü
Enerji sektöründe faaliyet gösteren şirketleri BT konusunda ilgilendiren regülasyonlar ise enerji altyapılarında kullanılan endüstriyel kontrol sistemlerinin (EKS) bilişim süreçlerinin takibi, sürekliliğinin ve siber güvenliğinin sağlanması amacıyla oluşturulan “Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilgi Güvenliği Yönetmeliği”[13] ile belirlenmiştir.
Bu yönetmelikle birlikte EPDK (Enerji Piyasası Düzenleme Kurumu) tarafından kritik altyapı olarak belirlenen yükümlü kuruluşların bilişim sistemlerinin güvenliğinin sağlanması ve olası risklerin azaltılıp ortadan kaldırılması amaçlanır.
