DORA Denetim Rehberi 2025: JET Neleri Kontrol Edecek?

Finans sektöründe operasyonel dayanıklılık giderek kritik hale geliyor. DORA Denetim Rehberi 2025, JET’in odaklanacağı siber güvenlik ve BT risk yönetimi alanlarını detaylandırıyor. Bu makale, kurumların bu kapsamlı denetime nasıl hazırlanabileceğine dair pratik bilgiler sunmaktadır.

Dijital Operasyonel Dayanıklılık Yasası (DORA), Avrupa Birliği’nin finansal hizmetler sektöründeki kuruluşların bilgi ve iletişim teknolojileri (BİT) risklerini yönetmelerine yönelik çığır açan bir düzenlemesidir. Bildiğiniz gibi, günümüz dünyasında finansal hizmetlerin sunumu büyük ölçüde dijital altyapılara bağımlı. Bu bağımlılık, siber saldırı risklerini, sistem kesintilerini ve üçüncü taraf hizmet sağlayıcılarına olan güveni artırıyor. İşte tam da bu noktada DORA devreye giriyor.

DORA’nın temel amacı, finansal kuruluşların dijital operasyonel dayanıklılığını artırarak, ciddi BİT kesintileri durumunda dahi hizmetlerini sürdürebilmelerini sağlamaktır. Bu, sadece bir teknik uygunluk meselesi değil, aynı zamanda müşteri güvenliğini, pazar istikrarını ve genel ekonomik sağlığı doğrudan etkileyen stratejik bir zorunluluktur. Peki, DORA’nın getirdiği yenilikler nelerdir? DORA, tek bir çatı altında beş temel alana odaklanır: BİT risk yönetimi, BİT olay yönetimi ve raporlama, dijital operasyonel dayanıklılık testleri, üçüncü taraf BİT hizmet risk yönetimi ve bilgi paylaşımı. Bu alanlar, finansal kuruluşların BİT ortamlarının her yönünü kapsayan bütüncül bir yaklaşım sunar.

Özellikle 2025 yılı ve sonrasında DORA’nın tam olarak yürürlüğe girmesiyle birlikte, denetimlerin sıklığı ve derinliği artacak. Bu, sadece büyük bankalar ya da sigorta şirketleri için değil, aynı zamanda yatırım firmaları, kripto varlık hizmet sağlayıcıları ve hatta kritik üçüncü taraf BİT hizmet sağlayıcıları için de geçerli olacak. Yani, ekosistemin her oyuncusu bu yeni düzenlemeye ayak uydurmak zorunda kalacak. Şüphesiz ki, bu, sektörde önemli bir paradigma değişimi anlamına geliyor. Kuruluşlar artık sadece teknik güvenlik önlemleri almakla kalmayacak, aynı zamanda operasyonel süreçlerini, risk değerlendirme metodolojilerini ve iş sürekliliği planlarını da DORA çerçevesine uygun hale getirmek zorunda kalacaklar. Bu kapsamlı yaklaşım, siber tehditlerin sürekli evrildiği bir ortamda finansal istikrarın korunması açısından hayati önem taşıyor.

DORA’ya uyum süreci, kuruluşlar için kapsamlı bir değerlendirme, yatırım ve dönüşüm gerektiriyor. Bu, sadece bir mevzuat gerekliliğini yerine getirmekten öte, kurumun genel direncini ve güvenilirliğini artırmak için bir fırsat olarak görülmelidir. Sonuç olarak, DORA, finans sektörünün dijital geleceğini şekillendirecek ve bu alandaki risk yönetimi standartlarını kalıcı olarak yükseltecek kritik bir düzenlemedir.

JET Ekibi: Kimdir ve Görev Alanları Nelerdir?

Finansal sektördeki düzenleyici denetimler, genellikle karmaşık ve çok yönlüdür. DORA ile birlikte bu denetimlerin odak noktası ve kapsamı daha da genişleyecek. İşte bu denetim sürecinde kilit bir rol oynayacak aktörlerden biri de Ortak Denetim Ekibi (Joint Examination Team – JET) olarak karşımıza çıkıyor. Peki, JET tam olarak kimdir ve DORA 2025 Denetim Rehberi kapsamında görev alanları nelerdir? Aslında, JET, tek bir sabit birimden ziyade, farklı ulusal yetkili otoritelerin ve Avrupa Denetim Otoritelerinin (ESA’lar – EBA, ESMA, EIOPA) uzmanlarından oluşan, duruma göre şekillenen bir denetim ekibi veya koordinasyon mekanizmasıdır. Amaçları, DORA’nın sektör genelinde tutarlı ve etkili bir şekilde uygulanmasını sağlamaktır. Bu yapı, özellikle sınır ötesi faaliyet gösteren veya kritik BİT hizmet sağlayıcılarıyla çalışan finansal kuruluşların denetiminde büyük önem taşır.

JET’in temel görevi, DORA kapsamında belirlenen beş ana alanı göz önünde bulundurarak, finansal kuruluşların dijital operasyonel dayanıklılık yetkinliklerini değerlendirmektir. Bu değerlendirme, sadece evrak üzerinde kalmayıp, kuruluşların BİT altyapılarını, süreçlerini ve personel yetkinliklerini derinlemesine incelemeyi içerir. Örneğin, bir bankanın bulut hizmet sağlayıcısıyla olan ilişkisini denetlerken, JET ekibi sadece sözleşmeleri değil, aynı zamanda bulut hizmetlerinin fiili güvenlik kontrollerini, olay müdahale süreçlerini ve veri izolasyonu mekanizmalarını da irdeleyecektir. Bu kapsamlı denetim, kuruluşların sadece “kutucukları işaretlemesi” yerine, gerçekten operasyonel dayanıklılıklarını inşa etmelerini teşvik eder.

JET’in görev alanları, oldukça geniş bir yelpazeyi kapsar. Öncelikle, kuruluşların BİT risk yönetimi çerçevelerinin DORA gerekliliklerine uygun olup olmadığını kontrol edeceklerdir. Bu, risk değerlendirme metodolojilerinden, risk iştahı tanımlamalarına kadar her şeyi kapsar. İkinci olarak, BİT olay yönetimi ve raporlama süreçleri mercek altına alınacaktır. Kuruluşların olayları ne kadar hızlı tespit ettiği, bunlara nasıl müdahale ettiği ve ilgili otoriteleri ne şekilde bilgilendirdiği kritik önem taşıyacaktır. Üçüncü olarak, dijital operasyonel dayanıklılık testleri, yani sızma testleri ve tehdit odaklı sızma testleri (TLPT) gibi pratik senaryolarla kuruluşların dayanıklılığının sınanması, JET’in en önemli odak noktalarından biri olacaktır. Dördüncü olarak, üçüncü taraf BİT hizmet sağlayıcılarıyla ilişkilerin yönetimi, sözleşmelerin gözden geçirilmesi ve risklerin izlenmesi de denetim gündeminde yer alacaktır. Son olarak, finansal kuruluşlar arasındaki bilgi paylaşım mekanizmalarının etkinliği de değerlendirilecektir. Tüm bu alanlarda, JET, kuruluşların yalnızca teknik uyumunu değil, aynı zamanda operasyonel kültürlerini ve stratejik yaklaşımlarını da sorgulayarak, DORA’nın ruhuna uygun bir denetim gerçekleştirmeyi hedefleyecektir. Bu nedenle, kuruluşların, JET’in bu çok yönlü bakış açısına hazır olmaları büyük önem taşımaktadır.

DORA 2025 Denetim Rehberinin Temel Bileşenleri Nelerdir?

DORA’nın karmaşık yapısı ve geniş kapsamı, finansal kuruluşların denetimlere hazırlanırken doğru odak noktalarını belirlemesini zorunlu kılıyor. 2025 yılında JET’in uygulayacağı denetim rehberi, aslında DORA’nın ana başlıklarını daha detaylı bir şekilde ele alarak, denetçilerin nelere bakacağını netleştiriyor. Bu rehberin temel bileşenlerini anlamak, kurumların uyum stratejilerini geliştirmeleri için vazgeçilmezdir. Genel olarak, DORA 2025 Denetim Rehberi, bir önceki bölümde bahsettiğimiz beş ana eksen etrafında yapılandırılmıştır, ancak her bir başlık altında daha spesifik beklentiler ve kontrol noktaları bulunur.

Öncelikle, BİT Risk Yönetimi Çerçeveleri ele alınacaktır. JET, kuruluşların risk yönetim politikalarının, süreçlerinin ve araçlarının DORA’nın gerektirdiği yüksek standartlara uygun olup olmadığını inceleyecektir. Bu, sadece bir risk register’ın varlığından ibaret olmayacak; risklerin nasıl tanımlandığı, değerlendirildiği, önceliklendirildiği ve mitigasyon stratejilerinin ne kadar etkin olduğu derinlemesine sorgulanacaktır. Örneğin, risk değerlendirme metodolojilerinin güncel tehdit manzarasını kapsayıp kapsamadığı, kritik BİT varlıklarının doğru bir şekilde envanterinin tutulup tutulmadığı ve iş etkileri analizlerinin (BIA) gerçekçi verilere dayanıp dayanmadığı kritik kontrol noktalarıdır. Ayrıca, yönetim kurulunun ve üst düzey yöneticilerin BİT risk yönetimi süreçlerine ne kadar dahil olduğu ve bu konudaki sorumluluklarının net bir şekilde tanımlanıp tanımlanmadığı da gözden geçirilecektir.

İkinci önemli bileşen, BİT Olay Yönetimi ve Raporlamadır. Denetim rehberi, kuruluşların BİT olaylarına karşı ne kadar hazırlıklı olduğunu ve bu olayları ne kadar etkin yönetebildiğini değerlendirecektir. Bu, olay tespitinden (örneğin, SIEM sistemlerinin etkinliği), müdahaleye (olay müdahale ekiplerinin yetkinliği ve süreçleri), kurtarmaya ve nihayet raporlamaya kadar uzanan tüm süreci kapsar. JET, özellikle kritik BİT olaylarının düzenleyici otoritelerle paylaşılma sürecinin şeffaflığına, zamanlamasına ve doğruluğuna büyük önem verecektir. Bir olay yönetim planının güncelliği, düzenli tatbikatlarla sınanıp sınanmadığı ve olay sonrası analizlerden çıkarılan derslerin iyileştirme süreçlerine nasıl entegre edildiği de detaylı olarak incelenecektir. Olay günlüğü (log) tutma ve bu günlüklerin analizi de bu bölümde önemli bir yer tutar.

Üçüncü olarak, Dijital Operasyonel Dayanıklılık Testleri bulunmaktadır. Bu bölüm, kuruluşların siber saldırılara ve operasyonel kesintilere karşı gerçek dünya senaryolarında ne kadar dayanıklı olduğunu pratik olarak göstermelerini bekler. Rehber, özellikle tehdit odaklı sızma testlerinin (TLPT) metodolojisine, kapsamına ve sonuçlarının nasıl ele alındığına odaklanacaktır. Testlerin bağımsız bir şekilde yapılıp yapılmadığı, kullanılan senaryoların güncel tehdit istihbaratına dayanıp dayanmadığı ve test sonuçlarının yönetim kuruluna raporlanarak gerekli iyileştirmelerin yapılıp yapılmadığı ana kontrol noktalarıdır. Kuruluşların, bu testleri sadece bir “uygunluk” aktivitesi olarak değil, gerçek bir dayanıklılık sağlama aracı olarak benimsemesi beklenir.

Dördüncü bileşen, Üçüncü Taraf BİT Hizmet Risk Yönetimidir. Günümüzde finansal kuruluşlar, bulut sağlayıcılarından yazılım geliştiricilere kadar birçok üçüncü taraf hizmet sağlayıcısına bağımlıdır. JET, bu bağımlılıkların nasıl yönetildiğini, tedarikçi seçim süreçlerini, sözleşme şartlarını (özellikle olay yönetimi, güvenlik standartları ve denetim hakları ile ilgili maddeler) ve tedarikçilerin performansının nasıl izlendiğini değerlendirecektir. Özellikle kritik BİT hizmet sağlayıcıları ile olan ilişkiler, daha sıkı bir denetime tabi tutulacaktır. Bu, sadece sözleşme yönetiminden ibaret olmayıp, tedarikçilerin operasyonel dayanıklılık seviyelerinin de periyodik olarak değerlendirilmesini içerir.

Son olarak, Bilgi Paylaşımı mekanizmaları denetlenecektir. DORA, finansal kuruluşlar arasında siber tehditler ve güvenlik açıkları hakkında gönüllü bilgi paylaşımını teşvik eder. Denetim rehberi, kuruluşların bu tür bilgi paylaşım platformlarına ne kadar katıldığını, paylaşılan bilgileri kendi risk yönetimi süreçlerine nasıl entegre ettiğini ve bu sayede kolektif siber dayanıklılığa nasıl katkıda bulunduğunu değerlendirecektir. Bu beş temel bileşen, DORA 2025 Denetim Rehberinin omurgasını oluşturmakta ve kuruluşların detaylı bir şekilde hazırlanmasını gerektirmektedir.

JET, BİT Risk Yönetiminde Nelere Dikkat Edecek? (Vaka Analizi)

BİT Risk Yönetimi, DORA’nın ve dolayısıyla JET’in denetim odağının merkezinde yer alır. Kuruluşların sadece “bir planı var” demesi yeterli olmayacak; bu planın etkinliğini, güncelliğini ve yönetim tarafından ne kadar sahiplenildiğini kanıtlaması gerekecek. JET’in bu alanda nelere dikkat edeceğini bir vaka analizi üzerinden daha somut hale getirelim.

Vaka Analizi: Alpha Bank’ın Risk Yönetimi Eksiklikleri

Alpha Bank, orta ölçekli ve hızla büyüyen dijital bir bankaydı. DORA öncesinde de BİT risk yönetimi süreçleri bulunuyordu; ancak bu süreçler genellikle uyum ekibi tarafından bağımsız olarak yürütülüyor ve üst yönetime sınırlı raporlama yapılıyordu. JET, Alpha Bank’ı denetlediğinde şu eksiklikleri tespit etti:

1. Güncel Olmayan Risk Değerlendirmeleri: Bankanın son kapsamlı risk değerlendirmesi 3 yıl önce yapılmıştı. Bu süre zarfında yeni bulut hizmetleri, mobil uygulamalar ve yapay zeka tabanlı kredi skorlama sistemleri devreye alınmış, ancak bu yeni teknolojilerin getirdiği riskler yeterince değerlendirilmemişti.
2. Yetersiz Kritik Varlık Tanımlaması: Banka, yalnızca sunucular ve veri tabanları gibi fiziksel varlıkları kritik olarak tanımlamıştı. Ancak, müşteri veri analizi algoritmaları, mobil uygulama API’leri ve üçüncü taraf kimlik doğrulama hizmetleri gibi yazılımsal ve hizmet tabanlı kritik varlıklar göz ardı edilmişti. Bu durum, potansiyel risklerin doğru bir şekilde önceliklendirilmesini engelliyordu.
3. Zayıf Risk İştahı ve Toleransı Tanımlaması: Yönetim kurulu tarafından onaylanmış bir BİT risk iştahı beyanı bulunmuyordu. Operasyonel birimler kendi risk tolerans seviyelerini belirlemede serbest bırakılmıştı, bu da tutarsız ve potansiyel olarak tehlikeli risk alma davranışlarına yol açmıştı.
4. Etkin Olmayan Kontrol İzleme: Uygulanan güvenlik kontrollerinin (güvenlik duvarı kuralları, erişim kontrolleri vb.) etkinliği düzenli olarak test edilmiyor veya izlenmiyordu. Bir sızma testi yapılmış olsa da, test sonrası bulunan zafiyetlerin giderilip giderilmediği yeterince takip edilmemişti.

JET, bu eksiklikler nedeniyle Alpha Bank’a önemli yaptırımlar uyguladı ve bankanın BİT risk yönetim çerçevesini acilen DORA’ya uygun hale getirmesi için kesin bir süre tanıdı. Bu vaka, JET’in sadece kağıt üzerindeki politikalara değil, bu politikaların gerçek dünyadaki uygulanışına ve etkinliğine odaklanacağını açıkça gösteriyor.

JET’in BİT Risk Yönetiminde Odaklanacağı Anahtar Noktalar:

• Yönetim Kurulu Katılımı: Risk yönetim stratejileri ve risk iştahının üst yönetim tarafından belirlenmesi ve düzenli olarak gözden geçirilmesi beklenir.
• Kapsamlı Risk Değerlendirmeleri: Tüm BİT sistemleri, uygulamaları, ağları ve veri işleme süreçleri için düzenli ve güncel risk değerlendirmeleri. Özellikle yeni teknolojilerin ve üçüncü taraf entegrasyonlarının riskleri derinlemesine incelenmeli.
• Kritik BİT Fonksiyonlarının Tanımlanması: İş Sürekliliği Analizi (BIA) ile uyumlu olarak, hangi BİT fonksiyonlarının kritik olduğunun net bir şekilde belirlenmesi ve bunlara özel risk yönetimi önlemlerinin uygulanması.
• Risk İştahı ve Toleransı: Risk iştahının ve risk toleransının açıkça tanımlanması, belgelenmesi ve bu limitlere uyumun düzenli olarak izlenmesi.
• Kontrol Etkinliğinin Ölçülmesi: Uygulanan güvenlik kontrollerinin sadece varlığını değil, etkinliğini de kanıtlayacak metriklerin ve izleme mekanizmalarının bulunması.
• Sürekli İyileştirme: Risk yönetimi sürecinin düzenli olarak gözden geçirilmesi, öğrenilen derslerin entegre edilmesi ve sürekli iyileştirme döngüsünün işletilmesi.

Bu süreçlerde, olay günlüklerinin (logların) ve denetim izlerinin tutulması hayati önem taşır. JET, kuruluşların yalnızca olayları yönetme kapasitesini değil, aynı zamanda bu olayların kök nedenlerini analiz etmek ve benzer olayların tekrarlanmasını önlemek için ne tür veriler topladığını ve analiz ettiğini de inceleyecektir. Örneğin, bir sunucu üzerindeki yetkisiz erişim denemelerini veya bir uygulamanın anormal davranışlarını izlemek için aşağıdaki gibi loglama yaklaşımları önemlidir:

import logging
import datetime

# Loglama yapılandırması
logging.basicConfig(filename='security_events.log', level=logging.INFO,
                    format='%(asctime)s - %(levelname)s - %(message)s')

def log_security_event(event_type, user_id, ip_address, details):
    """
    Güvenlik olaylarını loglar.
    """
    timestamp = datetime.datetime.now().isoformat()
    log_message = f"Event Type: {event_type}, User ID: {user_id}, IP: {ip_address}, Details: {details}"
    logging.info(log_message)
    print(f"Logged: {log_message}")

# Örnek güvenlik olayları
log_security_event("Login Failure", "user123", "192.168.1.10", "Yanlış parola denemesi.")
log_security_event("Unauthorized Access", "admin", "10.0.0.5", "Kritik veritabanına erişim denemesi.")
log_security_event("System Alert", "system", "localhost", "CPU kullanımı %90 üzerinde.")

Bu tür detaylı loglama ve analitik yetenekler, JET denetimleri sırasında bir kuruluşun proaktif güvenlik duruşunu ve risk yönetimi olgunluğunu gösteren önemli kanıtlardır. Logların merkezi bir SIEM (Security Information and Event Management) sisteminde toplanması, korelasyonu ve alarm üretimi, modern BİT risk yönetiminin temel taşlarındandır.

Üçüncü Taraf Risk Yönetimi: Tedarikçi Denetimlerinde JET'in Beklentileri Nelerdir?

Finans sektöründe "hiç kimse tek başına değildir" ilkesi, üçüncü taraf BİT hizmet sağlayıcılarına olan bağımlılık arttıkça daha da önem kazanmaktadır. Bulut hizmetlerinden yazılım sağlayıcılarına, danışmanlık firmalarından veri merkezlerine kadar birçok dış kaynak, bir finansal kuruluşun operasyonel dayanıklılığının ayrılmaz bir parçası haline gelmiştir. DORA, bu bağımlılığın getirdiği riskleri net bir şekilde ele almayı ve kuruluşların bu riskleri etkin bir şekilde yönetmesini bekler. JET'in üçüncü taraf risk yönetimindeki beklentileri, sadece bir "tedarikçi listesi" tutmanın ötesine geçer; kapsamlı bir yaşam döngüsü yönetimi gerektirir.

Örnek Senaryo: Bulut Sağlayıcısı ile İlişkiler ve JET Denetimi

Büyük bir yatırım bankası olan "Global Finance", kritik finansal analiz ve raporlama altyapısını önde gelen bir bulut hizmet sağlayıcısına (CSP) taşımıştır. JET denetiminde, Global Finance'ın CSP ile olan ilişkisi detaylı bir incelemeye alındı:

1. Due Diligence Süreci: Global Finance'ın CSP'yi seçerken yaptığı ön değerlendirme (due diligence) belgeleri incelendi. Sadece teknik güvenlik kontrolleri değil, CSP'nin operasyonel dayanıklılık planları, coğrafi dağılımı ve olası bir kesinti durumunda alternatif sağlayıcıya geçiş (exit strategy) planları da sorgulandı. JET, Global Finance'ın tek bir CSP'ye olan aşırı bağımlılığını ve bu bağımlılığın yönetilmesi için yeterli alternatif planların eksikliğini bir zayıflık olarak not etti.
2. Sözleşme Maddeleri: CSP ile yapılan sözleşmelerin DORA gerekliliklerini (örneğin, denetim hakları, performans metrikleri, olay bildirim yükümlülükleri, veri lokasyonu ve iş sürekliliği garantileri) yeterince kapsayıp kapsamadığı kontrol edildi. Özellikle, JET, Global Finance'ın sözleşmede kendi adına denetim yapma hakkının sınırlı olduğunu ve CSP'nin siber güvenlik olaylarını bildirme sürelerinin DORA'nın öngördüğü sürelere göre daha uzun olduğunu tespit etti.
3. Risk İzleme ve Yönetimi: Global Finance'ın CSP'nin operasyonel performansını ve güvenlik duruşunu nasıl izlediği incelendi. JET, bankanın düzenli olarak CSP'den aldığı güvenlik raporlarını yeterince analiz etmediğini ve CSP'nin potansiyel zafiyetlerine karşı proaktif önlemler almadığını buldu. Ayrıca, CSP'nin bir bölgedeki büyük bir kesintisi durumunda Global Finance'ın hizmetlerini nasıl sürdüreceğine dair detaylı bir planın eksik olduğu görüldü.

Bu senaryo, JET'in üçüncü taraf risk yönetiminde ne kadar detaya ineceğini ve sadece sözleşmelerin varlığını değil, bunların içeriğini ve uygulamasını da titizlikle inceleyeceğini göstermektedir.

JET'in Tedarikçi Denetimlerindeki Beklentileri:

• Kritik Tedarikçilerin Belirlenmesi: Hangi üçüncü taraf BİT hizmet sağlayıcılarının kritik olduğunun net bir şekilde tanımlanması ve bu tedarikçiler için daha sıkı kontrol ve izleme mekanizmalarının uygulanması.
• Kapsamlı Due Diligence: Yeni bir tedarikçi ile çalışmaya başlamadan önce, sadece mali ve teknik yeterliliklerin değil, aynı zamanda siber güvenlik, iş sürekliliği ve operasyonel dayanıklılık yetkinliklerinin de kapsamlı bir şekilde değerlendirilmesi.
• Sağlam Sözleşmeler: Sözleşmelerin, DORA'nın denetim hakları, çıkış stratejileri, olay yönetimi, güvenlik standartları ve SLA'lar (Hizmet Seviyesi Anlaşmaları) ile ilgili gerekliliklerini içermesi.
• Sürekli İzleme ve Yönetim: Tedarikçilerin performansının, güvenlik duruşunun ve DORA uyumunun düzenli olarak izlenmesi. Tedarikçi risk profillerinin güncel tutulması ve risklerin proaktif olarak yönetilmesi.
• Çıkış Stratejileri: Kritik BİT hizmet sağlayıcılarıyla ilişkinin sona ermesi veya bir arıza durumunda, hizmetlerin nasıl başka bir sağlayıcıya taşınacağına veya şirket içinde nasıl yürütüleceğine dair sağlam ve test edilmiş planların bulunması.
• Bağımlılık Yönetimi: Aşırı konsantrasyon risklerinin (tek bir tedarikçiye aşırı bağımlılık) değerlendirilmesi ve yönetilmesi.

Aşağıdaki tablo, bir kuruluşun kritik tedarikçi risk değerlendirmesi sırasında kullanabileceği basit bir örneği göstermektedir:

Bu tür bir tablo, kuruluşların tedarikçi portföylerini görselleştirmelerine ve JET'in beklentilerine uygun olarak riskleri daha etkin bir şekilde yönetmelerine yardımcı olabilir. Unutulmamalıdır ki, bir üçüncü tarafın operasyonel kesintisi, doğrudan finansal kuruluşun kendi operasyonel dayanıklılığını etkiler ve DORA kapsamında kendi sorumluluğunda değerlendirilir.

Operasyonel Dayanıklılık Testleri ve Raporlama Süreçleri Nasıl İyileştirilir?

DORA'nın en pratik ve sonuç odaklı bileşenlerinden biri de operasyonel dayanıklılık testleridir. Bu testler, kuruluşların sadece kağıt üzerinde değil, gerçek dünya senaryolarında bir siber saldırıya veya ciddi bir operasyonel kesintiye karşı ne kadar hazırlıklı olduğunu ölçmeyi amaçlar. JET, bu testlerin kalitesine, kapsamına ve sonuçlarının nasıl ele alındığına büyük önem verecektir. Peki, kuruluşlar bu test süreçlerini ve raporlama mekanizmalarını nasıl iyileştirebilirler?

Tehdit Odaklı Sızma Testleri (TLPT) ve Senaryo Bazlı Tatbikatlar

JET'in özellikle odaklanacağı test türlerinden biri, tehdit odaklı sızma testleri (Threat-Led Penetration Testing - TLPT) olacaktır. Bu testler, genellikle TIBER-EU çerçevesi gibi belirli standartlara göre yapılır ve gerçekçi tehdit aktörlerinin taktiklerini, tekniklerini ve prosedürlerini (TTP'ler) simüle eder. Kurumların sadece "sızma testi yaptık" demesi yeterli değildir; bu testlerin kapsamının, seçilen senaryoların ve uygulayıcı ekiplerin (kırmızı takım) bağımsızlığının ve yetkinliğinin kanıtlanması gerekir. İşin aslı, TLPT'ler, tipik sızma testlerinin ötesine geçerek, kurumun siber savunma yeteneklerini (mavi takım) ve olay müdahale süreçlerini de sınar.

Bununla birlikte, sadece siber saldırı senaryolarına odaklanmak yeterli değildir. DORA, geniş anlamda "operasyonel dayanıklılık" kavramını vurgular. Bu nedenle, kuruluşların doğal afetler, kritik altyapı kesintileri (elektrik, internet), üçüncü taraf hizmet sağlayıcı arızaları veya iç hatalar gibi farklı türdeki operasyonel kesinti senaryolarını da test etmeleri gerekir. Bu testler, iş sürekliliği ve felaket kurtarma (BC/DR) planlarının etkinliğini değerlendirmek için kritik öneme sahiptir. Örneğin, bir veri merkezinin tamamen kullanılamaz hale geldiği bir senaryoda, yedek sistemlere geçişin ne kadar hızlı ve sorunsuz gerçekleştiği, veri kaybının ne kadar olduğu ve hizmetlerin ne kadar süreyle kesintiye uğradığı gibi metrikler detaylıca incelenmelidir.

Raporlama Süreçleri ve Yönetim Kurulu Bilgilendirmesi

Testlerin yapılması kadar, sonuçlarının doğru bir şekilde raporlanması ve bu raporların üst yönetim tarafından anlaşılıp gerekli aksiyonların alınması da hayati öneme sahiptir. JET, raporlama süreçlerinin şeffaflığını, doğruluğunu ve zamanlamasını denetleyecektir. Test sonuçlarının, sadece teknik detaylardan ibaret kalmayıp, iş riskleri açısından ne anlama geldiğini net bir şekilde açıklayan ve yönetim kurulu için anlaşılır özetler içeren raporlar sunulması beklenir.

• Kapsamlı Raporlama: Testin kapsamı, uygulanan metodoloji, bulunan zafiyetler, bu zafiyetlerin potansiyel iş etkisi ve önerilen iyileştirme adımları net bir şekilde belirtilmelidir.
• Risk Odaklı Sunum: Bulguların teknik terimlerle boğulmadan, iş riskleri açısından potansiyel etkileri ve kurumun genel dayanıklılığı üzerindeki anlamı vurgulanmalıdır.
• Aksiyon Planları: Her bir zafiyet için net bir iyileştirme aksiyon planı, sorumlusu ve zaman çizelgesi belirlenmelidir. Bu planların uygulanması düzenli olarak izlenmeli ve JET'e kanıtlarıyla sunulabilmelidir.
• Yönetim Kurulu Katılımı: Test sonuçlarının yönetim kuruluna düzenli olarak sunulması ve kurulun bu sonuçlar doğrultusunda stratejik kararlar alması beklenir. Kurulun, test sonuçlarının risk iştahı ve toleransı ile uyumunu değerlendirmesi önemlidir.
• Sürekli Geri Bildirim Döngüsü: Testlerden elde edilen derslerin, kurumun BİT risk yönetimi çerçevesine, olay müdahale planlarına ve genel güvenlik politikalarına entegre edilmesi, sürekli bir iyileştirme döngüsü oluşturulması gerekir.

Bu süreçlerde, testlerin planlanması, yürütülmesi ve raporlanması için modern araçlar ve platformlar kullanmak, hem verimliliği artırır hem de JET denetimleri sırasında kanıt sunmayı kolaylaştırır. Örneğin, sızma testi bulgularını yönetmek için bir zafiyet yönetim platformu veya olay müdahale planlarının adımlarını takip eden bir iş akışı aracı kullanılabilir. Bu, süreçlerin standardize edilmesine ve daha şeffaf hale gelmesine yardımcı olur.

Mobil Uyumlu HTML ve Raporlama Arayüzleri: Neden Önemli?

DORA, finansal kuruluşların iç ve dış raporlama yükümlülüklerini artırırken, bu raporların ve ilgili yönetim arayüzlerinin erişilebilirliği de önemli bir faktör haline geliyor. Özellikle karar vericilerin, risk yöneticilerinin ve hatta denetçilerin, kritik bilgilere her an ve her yerden erişebilmesi, mobil uyumluluğu zorunlu kılıyor. JET denetimlerinde, sadece içeriğin doğruluğu ve eksiksizliği değil, bu içeriğe erişim sağlayan platformların kullanıcı dostu ve güvenli olup olmadığı da dolaylı olarak değerlendirilecektir. Mobil uyumlu HTML, bu bağlamda devreye girer.

Mobil uyumluluk, bilindiği üzere, bir web sitesinin veya uygulamanın farklı ekran boyutlarına (akıllı telefonlar, tabletler) ve cihaz türlerine otomatik olarak uyum sağlayabilmesi anlamına gelir. Finans sektöründe yöneticilerin ve denetçilerin sık sık hareket halinde olduğu düşünüldüğünde, DORA uyum raporlarını, risk gösterge tablolarını veya olay müdahale konsollarını mobil cihazlarından kolayca görüntüleyebilmesi kritik bir beklentidir. Eğer bir raporlama arayüzü masaüstü odaklı tasarlanmış ve mobil cihazlarda okunaksız veya kullanılamaz hale geliyorsa, bu durum bilgiye erişimi kısıtlar ve karar alma süreçlerini yavaşlatabilir. JET, bu tür durumların, özellikle kritik anlarda, operasyonel dayanıklılığı olumsuz etkileyebileceğini göz önünde bulunduracaktır.

Mobil uyumlu HTML üretmek, temel olarak duyarlı (responsive) tasarım prensiplerini uygulamayı gerektirir. Bu, CSS'in (Basamaklı Stil Sayfaları) gücünü kullanarak, ekran boyutuna göre elementlerin boyutlarını, konumlarını ve görünürlüklerini ayarlamak anlamına gelir. Örneğin, geniş bir masaüstü ekranında yan yana duran iki sütunluk bir rapor, mobil bir cihazda alt alta istiflenerek daha kolay okunabilir hale getirilebilir. Metin boyutları otomatik olarak ayarlanır, butonlar dokunmaya uygun hale getirilir ve görsel öğeler (grafikler, tablolar) ekran boyutuna göre ölçeklenir.

Bir finansal kuruluşun DORA uyum portalı veya iç denetim arayüzleri gibi kritik sistemlerinde mobil uyumluluğu sağlamak için aşağıdaki HTML ve CSS prensipleri uygulanır:

    
    
    
    


    

        
DORA Uyumluluk Genel Durum Raporu (Q4 2024)
        
Bu rapor, kuruluşumuzun DORA uyumluluk seviyesini ve operasyonel dayanıklılık metriklerini özetlemektedir.

        

            
BİT Risk Yönetimi Durumu
            
Toplam 120 risk tespit edildi, 95'i azaltıldı. Kalan 25 risk için iyileştirme planları devam ediyor.
        

        

            
Olay Yönetimi Metrikleri
            
Ortalama olay tespit süresi: 15 dakika. Ort. müdahale süresi: 45 dakika. Bildirilen kritik olay sayısı: 2.
        

        

            
Operasyonel Dayanıklılık Testleri
            

                

                    

                        
Test Tipi
                        
Sonuç
                        
Durum
                    
                
                

                    

                        
TLPT (Red Team)
                        
5 Kritik Zafiyet
                        
Aksiyon Bekliyor
                    
                    

                        
BC/DR Tatbikatı
                        
Başarılı
                        
Tamamlandı
                    
                
            
        
    

Yukarıdaki örnekte, HTML yapısı