Bugün hepimiz banka hesaplarımızın boşaltılması veya kredi kartlarımızın yetkisiz kullanımı en çok korktuğumuz şeylerdir. Kişisel hesaplarımız siber saldırıların hedefi olabilir mi? Banka hesaplarımız ele geçirilebilir mi? Elbette bu konuda tedirgin olmalıyız fakat aşırı korku yersizdir. Çünkü bankacılık sistemi hem ülkemizde hem de dünyada sıkı bir şekilde korunmakta ve bu alanda özel regülasyonlar uygulanmaktadır.
Bankacılık ve finans sisteminde KVKK uyum danışmanlığı
Finans sistemine giriş yapacak olan siber saldırganın ya çok cahil olması gerekir. Ülkemizde Kişisel Verilerin Korunması Kanunu'na en çabuk uyum sağlayan sektörlerin başında finans sektörü gelir. BDKK ve TBB gibi kurumların standartları zaten bu kurumları en yüksek seviyede kişisel veri güvenliği konusunda geliştirmişti. Bankalarımızda bilgi sistemlerinin veya bu sistemler tarafından işlenen bilgilerin gizlilik, bütünlük veya erişilebilirliğini ISO 27001 bilgi güvenliği yönetim sistemi, ITIL, PCI DSS Veri Güvenliği Standartları gibi standartlarla korunmaktadır.
Sektör bilgi sistemlerinin kullanımından kaynaklanan riskleri iyi hesaplamalıdır
6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyum konusunda finans sistemi başarılı bir sınav vermiştir. KVKK uyum danışmanlığı en çok bu sektörün ilgisini çekmiş ve finans sistemimiz bazı arızalar olmakla birlikte KVKK uyum sürecini tamamlamıştır. Türk bankacılık sektöründe kişisel verilerin korunması ile ilgili uyum çalışmalarını banka gişelerinde bile hissetmeniz mümkündür. Kişisel verilerin korunması yani kişisel veri güvenliği bankalar ve müşterileri açısından kritik bir husustur. Elbette Türk bankacılık ve finans sektörü, bilgi sistemlerinin kullanımından kaynaklanan riskleri daha iyi bir şekilde yönetmek ve bilgi varlıklarını en iyi şekilde korumak zorundadırlar.
KVKK uyum danışmanlık hizmeti ve Finans sektörünün kişisel veri güvenliği sorunları
KVKK uyum danışmanlığı finans sektöründe belirli bir doygunluğa ulaştığı düşünülse de Bilgi Sistemleri Denetimleri kapsamında KVKK üçünü taraf denetimleri açısından hala bu pazarda KVKK danışmanlık hizmetleri ihtiyaç vardır. Finans sektörü kişisel veri güvenliği konusunda çok daha hassas olmalıdır. VMİ Danışmanlık olarak görüştüğümüz bazı finans kuruluşlarında KVKK sisteminin kağıt üzerinde kaldığını görüyoruz. Oysa KVKK uyum yönetim sistemini bir sistem olarak görüp ilgili sistemlerle bağını kurarak canlı tutmak önemli hale gelmiştir.
KVKK üçüncü taraf denetimleri ve bankacılık sistemleri
Nisan ayında ING Bank'ta ortaya çıkan kişisel veri güvenliği vakası ve buradan yapılan veri ihlali bildirimini her finans kuruşuluşumuzun bir öğrenme olarak algılaması gerekir. Sektörde kişisel verilerin korunması, kişisel veri güvenliği yaşayan bir organizasyon olarak tutulmalıdır ki işe yarasın! Örneğin ISO 27001 ile kurumun disiplin yönetmeliği ile KVKK'nın illiyetinin bağının doğru bir şekilde kurulması gerekir. Her finans kuruluşunda KVKK ile ilgili bir iç denetim mekanizmaları geliştirilmelidir. Bu iç denetimlerin spesifik konusu kişisel veri güvenliği olmalıdır. Sürekli olarak bankacılık sistemleri izlenmeli, denetlenmeli ve raporlanmalıdır. Gerekli durumlarda, disiplin süreçleri ve başka idari ve adli işlemler derhal başlatılmaldır.
VMİ Danışmanlık olarak finans sektörüne KVKK uyum danışmanlığı konusunda hangi hizmetleri veriyoruz?
1- Kişisel veri güvenliği ile ilgili KVKK uyum yönetim sistemini banka veya finans kurumu ile birlikte kuruyoruz.
2- Finans kurumu kendi bünyesindeki bir ekip oluşturur, o ekip KVKK uyum süreci çalışmalarını gerçekleştirken biz ekibe danışmanlık hizmeti veririz.
3- Banka ya da finans kurumu KVKK danışmanlık hizmeti almadan KVKK uyum sürecini kendi çalışanlarıyla birlikte kurar biz kurulan sistemi denetler üçüncü taraf denetim raporu hazırlarız.
KVKK uyum danışmanlığı hizmetlerinde neye dikkat edilmelidir?
KVKK uyum danışmanlığı sadece bir hukuk nosyonuyla bakılmaması gerekir. Burada asıl olan şey veri güvenliği, bilgi güvenliği ve kişisel veri güvenliğinin sistematik bir şekilde sağlanmasıdır. Bankalar ya da finans kurumları kullandıkları bilgi sistemlerinin güvenliğinden ve yönetiminden, kısca elektronik bankacılık hizmetlerinin tamamından Veri Sorumlusu olarak sorumludur. İşte bu nedenle finans kurumlarımızın kişisel veri güvenliği ile ilgili riskleri sürekli izlemeli ve bu riskleri yönetmelidir. Bu da ancak kullandıkları bilgi sistemlerinin sürekli olarak denetimi ve izlenmesi ile mümkündür.
Bankaların veya Finans kurumlarının KVKK uyum sürecinde riskleri izlemeleri gerekir
Bugün finans sektöründe açık bankacılık servisleri olarak adlandırılan servilerdeki risklerin iyi izlenmesi gerekmektedir. Açık bankacılık servisi nedir? Müşterilerin ya da müşteriler adına hareket eden tarafların API, web servis, FTP gibi yöntemlerle finans kurumlarının, bankaların sunduğu finansal servislere uzaktan erişilerek bankacılık işlemlerini gerçekleştirilebilmektedir. Bu kanallarda meydana gelebilecek riskler kontrol edilmeli, izlenmelidir. Yine bankalarda uygulanan kimlik doğrulama yöntemi olarak kullanılan biyometrik kimlik doğrulama bileşenlerinde meydana gelebilecek yetkisiz erişim, ifşa veya veri sızıntısı bankaları finans kurumlarını çok zor durumda bırakabilmektedir.