Finans sekt\u00f6r\u00fcnde operasyonel dayan\u0131kl\u0131l\u0131k giderek kritik hale geliyor. DORA Denetim Rehberi 2025, JET’in odaklanaca\u011f\u0131 siber g\u00fcvenlik ve BT risk y\u00f6netimi alanlar\u0131n\u0131 detayland\u0131r\u0131yor. Bu makale, kurumlar\u0131n bu kapsaml\u0131 denetime nas\u0131l haz\u0131rlanabilece\u011fine dair pratik bilgiler sunmaktad\u0131r.<\/p>\n
Dijital Operasyonel Dayan\u0131kl\u0131l\u0131k Yasas\u0131 (DORA), Avrupa Birli\u011fi’nin finansal hizmetler sekt\u00f6r\u00fcndeki kurulu\u015flar\u0131n bilgi ve ileti\u015fim teknolojileri (B\u0130T) risklerini y\u00f6netmelerine y\u00f6nelik \u00e7\u0131\u011f\u0131r a\u00e7an bir d\u00fczenlemesidir. Bildi\u011finiz gibi, g\u00fcn\u00fcm\u00fcz d\u00fcnyas\u0131nda finansal hizmetlerin sunumu b\u00fcy\u00fck \u00f6l\u00e7\u00fcde dijital altyap\u0131lara ba\u011f\u0131ml\u0131. Bu ba\u011f\u0131ml\u0131l\u0131k, siber sald\u0131r\u0131 risklerini, sistem kesintilerini ve \u00fc\u00e7\u00fcnc\u00fc taraf hizmet sa\u011flay\u0131c\u0131lar\u0131na olan g\u00fcveni art\u0131r\u0131yor. \u0130\u015fte tam da bu noktada DORA devreye giriyor.<\/p>\n
DORA’n\u0131n temel amac\u0131, finansal kurulu\u015flar\u0131n dijital operasyonel dayan\u0131kl\u0131l\u0131\u011f\u0131n\u0131 art\u0131rarak, ciddi B\u0130T kesintileri durumunda dahi hizmetlerini s\u00fcrd\u00fcrebilmelerini sa\u011flamakt\u0131r. Bu, sadece bir teknik uygunluk meselesi de\u011fil, ayn\u0131 zamanda m\u00fc\u015fteri g\u00fcvenli\u011fini, pazar istikrar\u0131n\u0131 ve genel ekonomik sa\u011fl\u0131\u011f\u0131 do\u011frudan etkileyen stratejik bir zorunluluktur. Peki, DORA’n\u0131n getirdi\u011fi yenilikler nelerdir? DORA, tek bir \u00e7at\u0131 alt\u0131nda be\u015f temel alana odaklan\u0131r: B\u0130T risk y\u00f6netimi, B\u0130T olay y\u00f6netimi ve raporlama, dijital operasyonel dayan\u0131kl\u0131l\u0131k testleri, \u00fc\u00e7\u00fcnc\u00fc taraf B\u0130T hizmet risk y\u00f6netimi ve bilgi payla\u015f\u0131m\u0131. Bu alanlar, finansal kurulu\u015flar\u0131n B\u0130T ortamlar\u0131n\u0131n her y\u00f6n\u00fcn\u00fc kapsayan b\u00fct\u00fcnc\u00fcl bir yakla\u015f\u0131m sunar.<\/p>\n
\u00d6zellikle 2025 y\u0131l\u0131 ve sonras\u0131nda DORA’n\u0131n tam olarak y\u00fcr\u00fcrl\u00fc\u011fe girmesiyle birlikte, denetimlerin s\u0131kl\u0131\u011f\u0131 ve derinli\u011fi artacak. Bu, sadece b\u00fcy\u00fck bankalar ya da sigorta \u015firketleri i\u00e7in de\u011fil, ayn\u0131 zamanda yat\u0131r\u0131m firmalar\u0131, kripto varl\u0131k hizmet sa\u011flay\u0131c\u0131lar\u0131 ve hatta kritik \u00fc\u00e7\u00fcnc\u00fc taraf B\u0130T hizmet sa\u011flay\u0131c\u0131lar\u0131 i\u00e7in de ge\u00e7erli olacak. Yani, ekosistemin her oyuncusu bu yeni d\u00fczenlemeye ayak uydurmak zorunda kalacak. \u015e\u00fcphesiz ki, bu, sekt\u00f6rde \u00f6nemli bir paradigma de\u011fi\u015fimi anlam\u0131na geliyor. Kurulu\u015flar art\u0131k sadece teknik g\u00fcvenlik \u00f6nlemleri almakla kalmayacak, ayn\u0131 zamanda operasyonel s\u00fcre\u00e7lerini, risk de\u011ferlendirme metodolojilerini ve i\u015f s\u00fcreklili\u011fi planlar\u0131n\u0131 da DORA \u00e7er\u00e7evesine uygun hale getirmek zorunda kalacaklar. Bu kapsaml\u0131 yakla\u015f\u0131m, siber tehditlerin s\u00fcrekli evrildi\u011fi bir ortamda finansal istikrar\u0131n korunmas\u0131 a\u00e7\u0131s\u0131ndan hayati \u00f6nem ta\u015f\u0131yor.<\/p>\n
DORA’ya uyum s\u00fcreci, kurulu\u015flar i\u00e7in kapsaml\u0131 bir de\u011ferlendirme, yat\u0131r\u0131m ve d\u00f6n\u00fc\u015f\u00fcm gerektiriyor. Bu, sadece bir mevzuat gereklili\u011fini yerine getirmekten \u00f6te, kurumun genel direncini ve g\u00fcvenilirli\u011fini art\u0131rmak i\u00e7in bir f\u0131rsat olarak g\u00f6r\u00fclmelidir. Sonu\u00e7 olarak, DORA, finans sekt\u00f6r\u00fcn\u00fcn dijital gelece\u011fini \u015fekillendirecek ve bu alandaki risk y\u00f6netimi standartlar\u0131n\u0131 kal\u0131c\u0131 olarak y\u00fckseltecek kritik bir d\u00fczenlemedir.<\/p>\n
Finansal sekt\u00f6rdeki d\u00fczenleyici denetimler, genellikle karma\u015f\u0131k ve \u00e7ok y\u00f6nl\u00fcd\u00fcr. DORA ile birlikte bu denetimlerin odak noktas\u0131 ve kapsam\u0131 daha da geni\u015fleyecek. \u0130\u015fte bu denetim s\u00fcrecinde kilit bir rol oynayacak akt\u00f6rlerden biri de Ortak Denetim Ekibi (Joint Examination Team – JET) olarak kar\u015f\u0131m\u0131za \u00e7\u0131k\u0131yor. Peki, JET tam olarak kimdir ve DORA 2025 Denetim Rehberi kapsam\u0131nda g\u00f6rev alanlar\u0131 nelerdir? Asl\u0131nda, JET, tek bir sabit birimden ziyade, farkl\u0131 ulusal yetkili otoritelerin ve Avrupa Denetim Otoritelerinin (ESA’lar \u2013 EBA, ESMA, EIOPA) uzmanlar\u0131ndan olu\u015fan, duruma g\u00f6re \u015fekillenen bir denetim ekibi veya koordinasyon mekanizmas\u0131d\u0131r. Ama\u00e7lar\u0131, DORA’n\u0131n sekt\u00f6r genelinde tutarl\u0131 ve etkili bir \u015fekilde uygulanmas\u0131n\u0131 sa\u011flamakt\u0131r. Bu yap\u0131, \u00f6zellikle s\u0131n\u0131r \u00f6tesi faaliyet g\u00f6steren veya kritik B\u0130T hizmet sa\u011flay\u0131c\u0131lar\u0131yla \u00e7al\u0131\u015fan finansal kurulu\u015flar\u0131n denetiminde b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r.<\/p>\n
JET’in temel g\u00f6revi, DORA kapsam\u0131nda belirlenen be\u015f ana alan\u0131 g\u00f6z \u00f6n\u00fcnde bulundurarak, finansal kurulu\u015flar\u0131n dijital operasyonel dayan\u0131kl\u0131l\u0131k yetkinliklerini de\u011ferlendirmektir. Bu de\u011ferlendirme, sadece evrak \u00fczerinde kalmay\u0131p, kurulu\u015flar\u0131n B\u0130T altyap\u0131lar\u0131n\u0131, s\u00fcre\u00e7lerini ve personel yetkinliklerini derinlemesine incelemeyi i\u00e7erir. \u00d6rne\u011fin, bir bankan\u0131n bulut hizmet sa\u011flay\u0131c\u0131s\u0131yla olan ili\u015fkisini denetlerken, JET ekibi sadece s\u00f6zle\u015fmeleri de\u011fil, ayn\u0131 zamanda bulut hizmetlerinin fiili g\u00fcvenlik kontrollerini, olay m\u00fcdahale s\u00fcre\u00e7lerini ve veri izolasyonu mekanizmalar\u0131n\u0131 da irdeleyecektir. Bu kapsaml\u0131 denetim, kurulu\u015flar\u0131n sadece “kutucuklar\u0131 i\u015faretlemesi” yerine, ger\u00e7ekten operasyonel dayan\u0131kl\u0131l\u0131klar\u0131n\u0131 in\u015fa etmelerini te\u015fvik eder.<\/p>\n
JET’in g\u00f6rev alanlar\u0131, olduk\u00e7a geni\u015f bir yelpazeyi kapsar. \u00d6ncelikle, kurulu\u015flar\u0131n B\u0130T risk y\u00f6netimi \u00e7er\u00e7evelerinin DORA gerekliliklerine uygun olup olmad\u0131\u011f\u0131n\u0131 kontrol edeceklerdir. Bu, risk de\u011ferlendirme metodolojilerinden, risk i\u015ftah\u0131 tan\u0131mlamalar\u0131na kadar her \u015feyi kapsar. \u0130kinci olarak, B\u0130T olay y\u00f6netimi ve raporlama s\u00fcre\u00e7leri mercek alt\u0131na al\u0131nacakt\u0131r. Kurulu\u015flar\u0131n olaylar\u0131 ne kadar h\u0131zl\u0131 tespit etti\u011fi, bunlara nas\u0131l m\u00fcdahale etti\u011fi ve ilgili otoriteleri ne \u015fekilde bilgilendirdi\u011fi kritik \u00f6nem ta\u015f\u0131yacakt\u0131r. \u00dc\u00e7\u00fcnc\u00fc olarak, dijital operasyonel dayan\u0131kl\u0131l\u0131k testleri, yani s\u0131zma testleri ve tehdit odakl\u0131 s\u0131zma testleri (TLPT) gibi pratik senaryolarla kurulu\u015flar\u0131n dayan\u0131kl\u0131l\u0131\u011f\u0131n\u0131n s\u0131nanmas\u0131, JET’in en \u00f6nemli odak noktalar\u0131ndan biri olacakt\u0131r. D\u00f6rd\u00fcnc\u00fc olarak, \u00fc\u00e7\u00fcnc\u00fc taraf B\u0130T hizmet sa\u011flay\u0131c\u0131lar\u0131yla ili\u015fkilerin y\u00f6netimi, s\u00f6zle\u015fmelerin g\u00f6zden ge\u00e7irilmesi ve risklerin izlenmesi de denetim g\u00fcndeminde yer alacakt\u0131r. Son olarak, finansal kurulu\u015flar aras\u0131ndaki bilgi payla\u015f\u0131m mekanizmalar\u0131n\u0131n etkinli\u011fi de de\u011ferlendirilecektir. T\u00fcm bu alanlarda, JET, kurulu\u015flar\u0131n yaln\u0131zca teknik uyumunu de\u011fil, ayn\u0131 zamanda operasyonel k\u00fclt\u00fcrlerini ve stratejik yakla\u015f\u0131mlar\u0131n\u0131 da sorgulayarak, DORA’n\u0131n ruhuna uygun bir denetim ger\u00e7ekle\u015ftirmeyi hedefleyecektir. Bu nedenle, kurulu\u015flar\u0131n, JET’in bu \u00e7ok y\u00f6nl\u00fc bak\u0131\u015f a\u00e7\u0131s\u0131na haz\u0131r olmalar\u0131 b\u00fcy\u00fck \u00f6nem ta\u015f\u0131maktad\u0131r.<\/p>\n
DORA’n\u0131n karma\u015f\u0131k yap\u0131s\u0131 ve geni\u015f kapsam\u0131, finansal kurulu\u015flar\u0131n denetimlere haz\u0131rlan\u0131rken do\u011fru odak noktalar\u0131n\u0131 belirlemesini zorunlu k\u0131l\u0131yor. 2025 y\u0131l\u0131nda JET’in uygulayaca\u011f\u0131 denetim rehberi, asl\u0131nda DORA’n\u0131n ana ba\u015fl\u0131klar\u0131n\u0131 daha detayl\u0131 bir \u015fekilde ele alarak, denet\u00e7ilerin nelere bakaca\u011f\u0131n\u0131 netle\u015ftiriyor. Bu rehberin temel bile\u015fenlerini anlamak, kurumlar\u0131n uyum stratejilerini geli\u015ftirmeleri i\u00e7in vazge\u00e7ilmezdir. Genel olarak, DORA 2025 Denetim Rehberi, bir \u00f6nceki b\u00f6l\u00fcmde bahsetti\u011fimiz be\u015f ana eksen etraf\u0131nda yap\u0131land\u0131r\u0131lm\u0131\u015ft\u0131r, ancak her bir ba\u015fl\u0131k alt\u0131nda daha spesifik beklentiler ve kontrol noktalar\u0131 bulunur.<\/p>\n
\u00d6ncelikle, B\u0130T Risk Y\u00f6netimi \u00c7er\u00e7eveleri<\/strong> ele al\u0131nacakt\u0131r. JET, kurulu\u015flar\u0131n risk y\u00f6netim politikalar\u0131n\u0131n, s\u00fcre\u00e7lerinin ve ara\u00e7lar\u0131n\u0131n DORA’n\u0131n gerektirdi\u011fi y\u00fcksek standartlara uygun olup olmad\u0131\u011f\u0131n\u0131 inceleyecektir. Bu, sadece bir risk register’\u0131n varl\u0131\u011f\u0131ndan ibaret olmayacak; risklerin nas\u0131l tan\u0131mland\u0131\u011f\u0131, de\u011ferlendirildi\u011fi, \u00f6nceliklendirildi\u011fi ve mitigasyon stratejilerinin ne kadar etkin oldu\u011fu derinlemesine sorgulanacakt\u0131r. \u00d6rne\u011fin, risk de\u011ferlendirme metodolojilerinin g\u00fcncel tehdit manzaras\u0131n\u0131 kapsay\u0131p kapsamad\u0131\u011f\u0131, kritik B\u0130T varl\u0131klar\u0131n\u0131n do\u011fru bir \u015fekilde envanterinin tutulup tutulmad\u0131\u011f\u0131 ve i\u015f etkileri analizlerinin (BIA) ger\u00e7ek\u00e7i verilere dayan\u0131p dayanmad\u0131\u011f\u0131 kritik kontrol noktalar\u0131d\u0131r. Ayr\u0131ca, y\u00f6netim kurulunun ve \u00fcst d\u00fczey y\u00f6neticilerin B\u0130T risk y\u00f6netimi s\u00fcre\u00e7lerine ne kadar dahil oldu\u011fu ve bu konudaki sorumluluklar\u0131n\u0131n net bir \u015fekilde tan\u0131mlan\u0131p tan\u0131mlanmad\u0131\u011f\u0131 da g\u00f6zden ge\u00e7irilecektir.<\/p>\n \u0130kinci \u00f6nemli bile\u015fen, B\u0130T Olay Y\u00f6netimi ve Raporlama<\/strong>d\u0131r. Denetim rehberi, kurulu\u015flar\u0131n B\u0130T olaylar\u0131na kar\u015f\u0131 ne kadar haz\u0131rl\u0131kl\u0131 oldu\u011funu ve bu olaylar\u0131 ne kadar etkin y\u00f6netebildi\u011fini de\u011ferlendirecektir. Bu, olay tespitinden (\u00f6rne\u011fin, SIEM sistemlerinin etkinli\u011fi), m\u00fcdahaleye (olay m\u00fcdahale ekiplerinin yetkinli\u011fi ve s\u00fcre\u00e7leri), kurtarmaya ve nihayet raporlamaya kadar uzanan t\u00fcm s\u00fcreci kapsar. JET, \u00f6zellikle kritik B\u0130T olaylar\u0131n\u0131n d\u00fczenleyici otoritelerle payla\u015f\u0131lma s\u00fcrecinin \u015feffafl\u0131\u011f\u0131na, zamanlamas\u0131na ve do\u011frulu\u011funa b\u00fcy\u00fck \u00f6nem verecektir. Bir olay y\u00f6netim plan\u0131n\u0131n g\u00fcncelli\u011fi, d\u00fczenli tatbikatlarla s\u0131nan\u0131p s\u0131nanmad\u0131\u011f\u0131 ve olay sonras\u0131 analizlerden \u00e7\u0131kar\u0131lan derslerin iyile\u015ftirme s\u00fcre\u00e7lerine nas\u0131l entegre edildi\u011fi de detayl\u0131 olarak incelenecektir. Olay g\u00fcnl\u00fc\u011f\u00fc (log) tutma ve bu g\u00fcnl\u00fcklerin analizi de bu b\u00f6l\u00fcmde \u00f6nemli bir yer tutar.<\/p>\n \u00dc\u00e7\u00fcnc\u00fc olarak, Dijital Operasyonel Dayan\u0131kl\u0131l\u0131k Testleri<\/strong> bulunmaktad\u0131r. Bu b\u00f6l\u00fcm, kurulu\u015flar\u0131n siber sald\u0131r\u0131lara ve operasyonel kesintilere kar\u015f\u0131 ger\u00e7ek d\u00fcnya senaryolar\u0131nda ne kadar dayan\u0131kl\u0131 oldu\u011funu pratik olarak g\u00f6stermelerini bekler. Rehber, \u00f6zellikle tehdit odakl\u0131 s\u0131zma testlerinin (TLPT) metodolojisine, kapsam\u0131na ve sonu\u00e7lar\u0131n\u0131n nas\u0131l ele al\u0131nd\u0131\u011f\u0131na odaklanacakt\u0131r. Testlerin ba\u011f\u0131ms\u0131z bir \u015fekilde yap\u0131l\u0131p yap\u0131lmad\u0131\u011f\u0131, kullan\u0131lan senaryolar\u0131n g\u00fcncel tehdit istihbarat\u0131na dayan\u0131p dayanmad\u0131\u011f\u0131 ve test sonu\u00e7lar\u0131n\u0131n y\u00f6netim kuruluna raporlanarak gerekli iyile\u015ftirmelerin yap\u0131l\u0131p yap\u0131lmad\u0131\u011f\u0131 ana kontrol noktalar\u0131d\u0131r. Kurulu\u015flar\u0131n, bu testleri sadece bir “uygunluk” aktivitesi olarak de\u011fil, ger\u00e7ek bir dayan\u0131kl\u0131l\u0131k sa\u011flama arac\u0131 olarak benimsemesi beklenir.<\/p>\n D\u00f6rd\u00fcnc\u00fc bile\u015fen, \u00dc\u00e7\u00fcnc\u00fc Taraf B\u0130T Hizmet Risk Y\u00f6netimi<\/strong>dir. G\u00fcn\u00fcm\u00fczde finansal kurulu\u015flar, bulut sa\u011flay\u0131c\u0131lar\u0131ndan yaz\u0131l\u0131m geli\u015ftiricilere kadar bir\u00e7ok \u00fc\u00e7\u00fcnc\u00fc taraf hizmet sa\u011flay\u0131c\u0131s\u0131na ba\u011f\u0131ml\u0131d\u0131r. JET, bu ba\u011f\u0131ml\u0131l\u0131klar\u0131n nas\u0131l y\u00f6netildi\u011fini, tedarik\u00e7i se\u00e7im s\u00fcre\u00e7lerini, s\u00f6zle\u015fme \u015fartlar\u0131n\u0131 (\u00f6zellikle olay y\u00f6netimi, g\u00fcvenlik standartlar\u0131 ve denetim haklar\u0131 ile ilgili maddeler) ve tedarik\u00e7ilerin performans\u0131n\u0131n nas\u0131l izlendi\u011fini de\u011ferlendirecektir. \u00d6zellikle kritik B\u0130T hizmet sa\u011flay\u0131c\u0131lar\u0131 ile olan ili\u015fkiler, daha s\u0131k\u0131 bir denetime tabi tutulacakt\u0131r. Bu, sadece s\u00f6zle\u015fme y\u00f6netiminden ibaret olmay\u0131p, tedarik\u00e7ilerin operasyonel dayan\u0131kl\u0131l\u0131k seviyelerinin de periyodik olarak de\u011ferlendirilmesini i\u00e7erir.<\/p>\n Son olarak, Bilgi Payla\u015f\u0131m\u0131<\/strong> mekanizmalar\u0131 denetlenecektir. DORA, finansal kurulu\u015flar aras\u0131nda siber tehditler ve g\u00fcvenlik a\u00e7\u0131klar\u0131 hakk\u0131nda g\u00f6n\u00fcll\u00fc bilgi payla\u015f\u0131m\u0131n\u0131 te\u015fvik eder. Denetim rehberi, kurulu\u015flar\u0131n bu t\u00fcr bilgi payla\u015f\u0131m platformlar\u0131na ne kadar kat\u0131ld\u0131\u011f\u0131n\u0131, payla\u015f\u0131lan bilgileri kendi risk y\u00f6netimi s\u00fcre\u00e7lerine nas\u0131l entegre etti\u011fini ve bu sayede kolektif siber dayan\u0131kl\u0131l\u0131\u011fa nas\u0131l katk\u0131da bulundu\u011funu de\u011ferlendirecektir. Bu be\u015f temel bile\u015fen, DORA 2025 Denetim Rehberinin omurgas\u0131n\u0131 olu\u015fturmakta ve kurulu\u015flar\u0131n detayl\u0131 bir \u015fekilde haz\u0131rlanmas\u0131n\u0131 gerektirmektedir.<\/p>\n B\u0130T Risk Y\u00f6netimi, DORA’n\u0131n ve dolay\u0131s\u0131yla JET’in denetim oda\u011f\u0131n\u0131n merkezinde yer al\u0131r. Kurulu\u015flar\u0131n sadece “bir plan\u0131 var” demesi yeterli olmayacak; bu plan\u0131n etkinli\u011fini, g\u00fcncelli\u011fini ve y\u00f6netim taraf\u0131ndan ne kadar sahiplenildi\u011fini kan\u0131tlamas\u0131 gerekecek. JET’in bu alanda nelere dikkat edece\u011fini bir vaka analizi \u00fczerinden daha somut hale getirelim.<\/p>\n Alpha Bank, orta \u00f6l\u00e7ekli ve h\u0131zla b\u00fcy\u00fcyen dijital bir bankayd\u0131. DORA \u00f6ncesinde de B\u0130T risk y\u00f6netimi s\u00fcre\u00e7leri bulunuyordu; ancak bu s\u00fcre\u00e7ler genellikle uyum ekibi taraf\u0131ndan ba\u011f\u0131ms\u0131z olarak y\u00fcr\u00fct\u00fcl\u00fcyor ve \u00fcst y\u00f6netime s\u0131n\u0131rl\u0131 raporlama yap\u0131l\u0131yordu. JET, Alpha Bank’\u0131 denetledi\u011finde \u015fu eksiklikleri tespit etti:<\/p>\n JET, bu eksiklikler nedeniyle Alpha Bank’a \u00f6nemli yapt\u0131r\u0131mlar uygulad\u0131 ve bankan\u0131n B\u0130T risk y\u00f6netim \u00e7er\u00e7evesini acilen DORA’ya uygun hale getirmesi i\u00e7in kesin bir s\u00fcre tan\u0131d\u0131. Bu vaka, JET’in sadece ka\u011f\u0131t \u00fczerindeki politikalara de\u011fil, bu politikalar\u0131n ger\u00e7ek d\u00fcnyadaki uygulan\u0131\u015f\u0131na ve etkinli\u011fine odaklanaca\u011f\u0131n\u0131 a\u00e7\u0131k\u00e7a g\u00f6steriyor.<\/p>\n Bu s\u00fcre\u00e7lerde, olay g\u00fcnl\u00fcklerinin (loglar\u0131n) ve denetim izlerinin tutulmas\u0131 hayati \u00f6nem ta\u015f\u0131r. JET, kurulu\u015flar\u0131n yaln\u0131zca olaylar\u0131 y\u00f6netme kapasitesini de\u011fil, ayn\u0131 zamanda bu olaylar\u0131n k\u00f6k nedenlerini analiz etmek ve benzer olaylar\u0131n tekrarlanmas\u0131n\u0131 \u00f6nlemek i\u00e7in ne t\u00fcr veriler toplad\u0131\u011f\u0131n\u0131 ve analiz etti\u011fini de inceleyecektir. \u00d6rne\u011fin, bir sunucu \u00fczerindeki yetkisiz eri\u015fim denemelerini veya bir uygulaman\u0131n anormal davran\u0131\u015flar\u0131n\u0131 izlemek i\u00e7in a\u015fa\u011f\u0131daki gibi loglama yakla\u015f\u0131mlar\u0131 \u00f6nemlidir:<\/p>\n <\/code><\/p>\n Bu t\u00fcr detayl\u0131 loglama ve analitik yetenekler, JET denetimleri s\u0131ras\u0131nda bir kurulu\u015fun proaktif g\u00fcvenlik duru\u015funu ve risk y\u00f6netimi olgunlu\u011funu g\u00f6steren \u00f6nemli kan\u0131tlard\u0131r. Loglar\u0131n merkezi bir SIEM (Security Information and Event Management) sisteminde toplanmas\u0131, korelasyonu ve alarm \u00fcretimi, modern B\u0130T risk y\u00f6netiminin temel ta\u015flar\u0131ndand\u0131r.<\/p>\n Finans sekt\u00f6r\u00fcnde \"hi\u00e7 kimse tek ba\u015f\u0131na de\u011fildir\" ilkesi, \u00fc\u00e7\u00fcnc\u00fc taraf B\u0130T hizmet sa\u011flay\u0131c\u0131lar\u0131na olan ba\u011f\u0131ml\u0131l\u0131k artt\u0131k\u00e7a daha da \u00f6nem kazanmaktad\u0131r. Bulut hizmetlerinden yaz\u0131l\u0131m sa\u011flay\u0131c\u0131lar\u0131na, dan\u0131\u015fmanl\u0131k firmalar\u0131ndan veri merkezlerine kadar bir\u00e7ok d\u0131\u015f kaynak, bir finansal kurulu\u015fun operasyonel dayan\u0131kl\u0131l\u0131\u011f\u0131n\u0131n ayr\u0131lmaz bir par\u00e7as\u0131 haline gelmi\u015ftir. DORA, bu ba\u011f\u0131ml\u0131l\u0131\u011f\u0131n getirdi\u011fi riskleri net bir \u015fekilde ele almay\u0131 ve kurulu\u015flar\u0131n bu riskleri etkin bir \u015fekilde y\u00f6netmesini bekler. JET'in \u00fc\u00e7\u00fcnc\u00fc taraf risk y\u00f6netimindeki beklentileri, sadece bir \"tedarik\u00e7i listesi\" tutman\u0131n \u00f6tesine ge\u00e7er; kapsaml\u0131 bir ya\u015fam d\u00f6ng\u00fcs\u00fc y\u00f6netimi gerektirir.<\/p>\n B\u00fcy\u00fck bir yat\u0131r\u0131m bankas\u0131 olan \"Global Finance\", kritik finansal analiz ve raporlama altyap\u0131s\u0131n\u0131 \u00f6nde gelen bir bulut hizmet sa\u011flay\u0131c\u0131s\u0131na (CSP) ta\u015f\u0131m\u0131\u015ft\u0131r. JET denetiminde, Global Finance'\u0131n CSP ile olan ili\u015fkisi detayl\u0131 bir incelemeye al\u0131nd\u0131:<\/p>\n Bu senaryo, JET'in \u00fc\u00e7\u00fcnc\u00fc taraf risk y\u00f6netiminde ne kadar detaya inece\u011fini ve sadece s\u00f6zle\u015fmelerin varl\u0131\u011f\u0131n\u0131 de\u011fil, bunlar\u0131n i\u00e7eri\u011fini ve uygulamas\u0131n\u0131 da titizlikle inceleyece\u011fini g\u00f6stermektedir.<\/p>\n A\u015fa\u011f\u0131daki tablo, bir kurulu\u015fun kritik tedarik\u00e7i risk de\u011ferlendirmesi s\u0131ras\u0131nda kullanabilece\u011fi basit bir \u00f6rne\u011fi g\u00f6stermektedir:<\/p>\n Bu t\u00fcr bir tablo, kurulu\u015flar\u0131n tedarik\u00e7i portf\u00f6ylerini g\u00f6rselle\u015ftirmelerine ve JET'in beklentilerine uygun olarak riskleri daha etkin bir \u015fekilde y\u00f6netmelerine yard\u0131mc\u0131 olabilir. Unutulmamal\u0131d\u0131r ki, bir \u00fc\u00e7\u00fcnc\u00fc taraf\u0131n operasyonel kesintisi, do\u011frudan finansal kurulu\u015fun kendi operasyonel dayan\u0131kl\u0131l\u0131\u011f\u0131n\u0131 etkiler ve DORA kapsam\u0131nda kendi sorumlulu\u011funda de\u011ferlendirilir.<\/p>\n DORA'n\u0131n en pratik ve sonu\u00e7 odakl\u0131 bile\u015fenlerinden biri de operasyonel dayan\u0131kl\u0131l\u0131k testleridir. Bu testler, kurulu\u015flar\u0131n sadece ka\u011f\u0131t \u00fczerinde de\u011fil, ger\u00e7ek d\u00fcnya senaryolar\u0131nda bir siber sald\u0131r\u0131ya veya ciddi bir operasyonel kesintiye kar\u015f\u0131 ne kadar haz\u0131rl\u0131kl\u0131 oldu\u011funu \u00f6l\u00e7meyi ama\u00e7lar. JET, bu testlerin kalitesine, kapsam\u0131na ve sonu\u00e7lar\u0131n\u0131n nas\u0131l ele al\u0131nd\u0131\u011f\u0131na b\u00fcy\u00fck \u00f6nem verecektir. Peki, kurulu\u015flar bu test s\u00fcre\u00e7lerini ve raporlama mekanizmalar\u0131n\u0131 nas\u0131l iyile\u015ftirebilirler?<\/p>\n JET'in \u00f6zellikle odaklanaca\u011f\u0131 test t\u00fcrlerinden biri, tehdit odakl\u0131 s\u0131zma testleri (Threat-Led Penetration Testing - TLPT) olacakt\u0131r. Bu testler, genellikle TIBER-EU \u00e7er\u00e7evesi gibi belirli standartlara g\u00f6re yap\u0131l\u0131r ve ger\u00e7ek\u00e7i tehdit akt\u00f6rlerinin taktiklerini, tekniklerini ve prosed\u00fcrlerini (TTP'ler) sim\u00fcle eder. Kurumlar\u0131n sadece \"s\u0131zma testi yapt\u0131k\" demesi yeterli de\u011fildir; bu testlerin kapsam\u0131n\u0131n, se\u00e7ilen senaryolar\u0131n ve uygulay\u0131c\u0131 ekiplerin (k\u0131rm\u0131z\u0131 tak\u0131m) ba\u011f\u0131ms\u0131zl\u0131\u011f\u0131n\u0131n ve yetkinli\u011finin kan\u0131tlanmas\u0131 gerekir. \u0130\u015fin asl\u0131, TLPT'ler, tipik s\u0131zma testlerinin \u00f6tesine ge\u00e7erek, kurumun siber savunma yeteneklerini (mavi tak\u0131m) ve olay m\u00fcdahale s\u00fcre\u00e7lerini de s\u0131nar.<\/p>\n Bununla birlikte, sadece siber sald\u0131r\u0131 senaryolar\u0131na odaklanmak yeterli de\u011fildir. DORA, geni\u015f anlamda \"operasyonel dayan\u0131kl\u0131l\u0131k\" kavram\u0131n\u0131 vurgular. Bu nedenle, kurulu\u015flar\u0131n do\u011fal afetler, kritik altyap\u0131 kesintileri (elektrik, internet), \u00fc\u00e7\u00fcnc\u00fc taraf hizmet sa\u011flay\u0131c\u0131 ar\u0131zalar\u0131 veya i\u00e7 hatalar gibi farkl\u0131 t\u00fcrdeki operasyonel kesinti senaryolar\u0131n\u0131 da test etmeleri gerekir. Bu testler, i\u015f s\u00fcreklili\u011fi ve felaket kurtarma (BC\/DR) planlar\u0131n\u0131n etkinli\u011fini de\u011ferlendirmek i\u00e7in kritik \u00f6neme sahiptir. \u00d6rne\u011fin, bir veri merkezinin tamamen kullan\u0131lamaz hale geldi\u011fi bir senaryoda, yedek sistemlere ge\u00e7i\u015fin ne kadar h\u0131zl\u0131 ve sorunsuz ger\u00e7ekle\u015fti\u011fi, veri kayb\u0131n\u0131n ne kadar oldu\u011fu ve hizmetlerin ne kadar s\u00fcreyle kesintiye u\u011frad\u0131\u011f\u0131 gibi metrikler detayl\u0131ca incelenmelidir.<\/p>\n Testlerin yap\u0131lmas\u0131 kadar, sonu\u00e7lar\u0131n\u0131n do\u011fru bir \u015fekilde raporlanmas\u0131 ve bu raporlar\u0131n \u00fcst y\u00f6netim taraf\u0131ndan anla\u015f\u0131l\u0131p gerekli aksiyonlar\u0131n al\u0131nmas\u0131 da hayati \u00f6neme sahiptir. JET, raporlama s\u00fcre\u00e7lerinin \u015feffafl\u0131\u011f\u0131n\u0131, do\u011frulu\u011funu ve zamanlamas\u0131n\u0131 denetleyecektir. Test sonu\u00e7lar\u0131n\u0131n, sadece teknik detaylardan ibaret kalmay\u0131p, i\u015f riskleri a\u00e7\u0131s\u0131ndan ne anlama geldi\u011fini net bir \u015fekilde a\u00e7\u0131klayan ve y\u00f6netim kurulu i\u00e7in anla\u015f\u0131l\u0131r \u00f6zetler i\u00e7eren raporlar sunulmas\u0131 beklenir.<\/p>\n Bu s\u00fcre\u00e7lerde, testlerin planlanmas\u0131, y\u00fcr\u00fct\u00fclmesi ve raporlanmas\u0131 i\u00e7in modern ara\u00e7lar ve platformlar kullanmak, hem verimlili\u011fi art\u0131r\u0131r hem de JET denetimleri s\u0131ras\u0131nda kan\u0131t sunmay\u0131 kolayla\u015ft\u0131r\u0131r. \u00d6rne\u011fin, s\u0131zma testi bulgular\u0131n\u0131 y\u00f6netmek i\u00e7in bir zafiyet y\u00f6netim platformu veya olay m\u00fcdahale planlar\u0131n\u0131n ad\u0131mlar\u0131n\u0131 takip eden bir i\u015f ak\u0131\u015f\u0131 arac\u0131 kullan\u0131labilir. Bu, s\u00fcre\u00e7lerin standardize edilmesine ve daha \u015feffaf hale gelmesine yard\u0131mc\u0131 olur.<\/p>\n DORA, finansal kurulu\u015flar\u0131n i\u00e7 ve d\u0131\u015f raporlama y\u00fck\u00fcml\u00fcl\u00fcklerini art\u0131r\u0131rken, bu raporlar\u0131n ve ilgili y\u00f6netim aray\u00fczlerinin eri\u015filebilirli\u011fi de \u00f6nemli bir fakt\u00f6r haline geliyor. \u00d6zellikle karar vericilerin, risk y\u00f6neticilerinin ve hatta denet\u00e7ilerin, kritik bilgilere her an ve her yerden eri\u015febilmesi, mobil uyumlulu\u011fu zorunlu k\u0131l\u0131yor. JET denetimlerinde, sadece i\u00e7eri\u011fin do\u011frulu\u011fu ve eksiksizli\u011fi de\u011fil, bu i\u00e7eri\u011fe eri\u015fim sa\u011flayan platformlar\u0131n kullan\u0131c\u0131 dostu ve g\u00fcvenli olup olmad\u0131\u011f\u0131 da dolayl\u0131 olarak de\u011ferlendirilecektir. Mobil uyumlu HTML, bu ba\u011flamda devreye girer.<\/p>\n Mobil uyumluluk, bilindi\u011fi \u00fczere, bir web sitesinin veya uygulaman\u0131n farkl\u0131 ekran boyutlar\u0131na (ak\u0131ll\u0131 telefonlar, tabletler) ve cihaz t\u00fcrlerine otomatik olarak uyum sa\u011flayabilmesi anlam\u0131na gelir. Finans sekt\u00f6r\u00fcnde y\u00f6neticilerin ve denet\u00e7ilerin s\u0131k s\u0131k hareket halinde oldu\u011fu d\u00fc\u015f\u00fcn\u00fcld\u00fc\u011f\u00fcnde, DORA uyum raporlar\u0131n\u0131, risk g\u00f6sterge tablolar\u0131n\u0131 veya olay m\u00fcdahale konsollar\u0131n\u0131 mobil cihazlar\u0131ndan kolayca g\u00f6r\u00fcnt\u00fcleyebilmesi kritik bir beklentidir. E\u011fer bir raporlama aray\u00fcz\u00fc masa\u00fcst\u00fc odakl\u0131 tasarlanm\u0131\u015f ve mobil cihazlarda okunaks\u0131z veya kullan\u0131lamaz hale geliyorsa, bu durum bilgiye eri\u015fimi k\u0131s\u0131tlar ve karar alma s\u00fcre\u00e7lerini yava\u015flatabilir. JET, bu t\u00fcr durumlar\u0131n, \u00f6zellikle kritik anlarda, operasyonel dayan\u0131kl\u0131l\u0131\u011f\u0131 olumsuz etkileyebilece\u011fini g\u00f6z \u00f6n\u00fcnde bulunduracakt\u0131r.<\/p>\n Mobil uyumlu HTML \u00fcretmek, temel olarak duyarl\u0131 (responsive) tasar\u0131m prensiplerini uygulamay\u0131 gerektirir. Bu, CSS'in (Basamakl\u0131 Stil Sayfalar\u0131) g\u00fcc\u00fcn\u00fc kullanarak, ekran boyutuna g\u00f6re elementlerin boyutlar\u0131n\u0131, konumlar\u0131n\u0131 ve g\u00f6r\u00fcn\u00fcrl\u00fcklerini ayarlamak anlam\u0131na gelir. \u00d6rne\u011fin, geni\u015f bir masa\u00fcst\u00fc ekran\u0131nda yan yana duran iki s\u00fctunluk bir rapor, mobil bir cihazda alt alta istiflenerek daha kolay okunabilir hale getirilebilir. Metin boyutlar\u0131 otomatik olarak ayarlan\u0131r, butonlar dokunmaya uygun hale getirilir ve g\u00f6rsel \u00f6\u011feler (grafikler, tablolar) ekran boyutuna g\u00f6re \u00f6l\u00e7eklenir.<\/p>\n Bir finansal kurulu\u015fun DORA uyum portal\u0131 veya i\u00e7 denetim aray\u00fczleri gibi kritik sistemlerinde mobil uyumlulu\u011fu sa\u011flamak i\u00e7in a\u015fa\u011f\u0131daki HTML ve CSS prensipleri uygulan\u0131r:<\/p>\nJET, B\u0130T Risk Y\u00f6netiminde Nelere Dikkat Edecek? (Vaka Analizi)<\/h3>\n
Vaka Analizi: Alpha Bank’\u0131n Risk Y\u00f6netimi Eksiklikleri<\/h4>\n
\n
JET’in B\u0130T Risk Y\u00f6netiminde Odaklanaca\u011f\u0131 Anahtar Noktalar:<\/h4>\n
\n
\nimport logging\nimport datetime\n\n# Loglama yap\u0131land\u0131rmas\u0131\nlogging.basicConfig(filename='security_events.log', level=logging.INFO,\n format='%(asctime)s - %(levelname)s - %(message)s')\n\ndef log_security_event(event_type, user_id, ip_address, details):\n \"\"\"\n G\u00fcvenlik olaylar\u0131n\u0131 loglar.\n \"\"\"\n timestamp = datetime.datetime.now().isoformat()\n log_message = f\"Event Type: {event_type}, User ID: {user_id}, IP: {ip_address}, Details: {details}\"\n logging.info(log_message)\n print(f\"Logged: {log_message}\")\n\n# \u00d6rnek g\u00fcvenlik olaylar\u0131\nlog_security_event(\"Login Failure\", \"user123\", \"192.168.1.10\", \"Yanl\u0131\u015f parola denemesi.\")\nlog_security_event(\"Unauthorized Access\", \"admin\", \"10.0.0.5\", \"Kritik veritaban\u0131na eri\u015fim denemesi.\")\nlog_security_event(\"System Alert\", \"system\", \"localhost\", \"CPU kullan\u0131m\u0131 %90 \u00fczerinde.\")\n\n<\/pre>\n\u00dc\u00e7\u00fcnc\u00fc Taraf Risk Y\u00f6netimi: Tedarik\u00e7i Denetimlerinde JET'in Beklentileri Nelerdir?<\/h3>\n
\u00d6rnek Senaryo: Bulut Sa\u011flay\u0131c\u0131s\u0131 ile \u0130li\u015fkiler ve JET Denetimi<\/h4>\n
\n
JET'in Tedarik\u00e7i Denetimlerindeki Beklentileri:<\/h4>\n
\n
\n\n
\n \nTedarik\u00e7i Ad\u0131<\/th>\n Kritiklik Seviyesi<\/th>\n S\u00f6zle\u015fme Denetim Hakk\u0131<\/th>\n SLA Uyum Oran\u0131<\/th>\n Son Denetim Sonucu<\/th>\n Acil \u00c7\u0131k\u0131\u015f Plan\u0131 Mevcut Mu?<\/th>\n<\/tr>\n<\/thead>\n \n CloudCorp (Bulut Sa\u011flay\u0131c\u0131)<\/td>\n Y\u00fcksek<\/td>\n Evet, y\u0131lda 1<\/td>\n %99.95<\/td>\n Orta Riskli (\u0130yile\u015ftirme Plan\u0131 Var)<\/td>\n Evet<\/td>\n<\/tr>\n \n SecureApp (Yaz\u0131l\u0131m Geli\u015ftirici)<\/td>\n Orta<\/td>\n Hay\u0131r (3. taraf denetim raporu)<\/td>\n %99.00<\/td>\n D\u00fc\u015f\u00fck Riskli<\/td>\n Evet<\/td>\n<\/tr>\n \n DataCenterPro (Veri Merkezi)<\/td>\n Y\u00fcksek<\/td>\n Evet, her 2 y\u0131lda 1<\/td>\n %99.99<\/td>\n D\u00fc\u015f\u00fck Riskli<\/td>\n K\u0131smen (alternatif yok)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Operasyonel Dayan\u0131kl\u0131l\u0131k Testleri ve Raporlama S\u00fcre\u00e7leri Nas\u0131l \u0130yile\u015ftirilir?<\/h3>\n
Tehdit Odakl\u0131 S\u0131zma Testleri (TLPT) ve Senaryo Bazl\u0131 Tatbikatlar<\/h4>\n
Raporlama S\u00fcre\u00e7leri ve Y\u00f6netim Kurulu Bilgilendirmesi<\/h4>\n
\n
Mobil Uyumlu HTML ve Raporlama Aray\u00fczleri: Neden \u00d6nemli?<\/h3>\n
\n\n\n\n \n \n