BDDK bilgi sistemleri düzenlemesi ve 5651 sayılı Kanun

Önceki derslerde her kurumu bağlayan iki kanunu gördün. KVKK kişisel veriyi, 7545 sayılı Kanun sistemi ve hizmeti korur. Bazı sektörlerde bunların üstüne bir düzenleyici daha gelir: bankalar BDDK'ya, sermaye piyasası kuruluşları SPK'ya hesap verir. İnternet erişimi veren ya da içerik barındıran herkes ise 5651 sayılı Kanunun kayıt kurallarına uyar.

Altay Kargo bir banka değildir. Yine de bir bankanın mobil uygulamasına kargo takip servisi sunar, depolarında kuryelere kablosuz ağ açar, müşteri portalını kendi sunucularında barındırır. Bu derste her ilişkinin hangi yükümlülüğü doğurduğunu, son bölümde de sızma testinin hukuki sınırını göreceksin.

Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), 5411 sayılı Bankacılık Kanununa dayanarak bankaların bilgi sistemlerini kurallara bağlar. Temel metin, 15 Mart 2020'de Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliktir. Yönetmelik 1 Temmuz 2020'de yürürlüğe girdi. Yönetmelik güvenliği önce yönetim kuruluna bağlar: bilgi güvenliğinde nihai sorumluluk yönetim kurulundadır (madde 8).

Kurul bir bilgi sistemleri strateji planı onaylar ve BS Strateji Komitesi kurar. Komitede en az bir yönetim kurulu üyesi bulunur. Komite yılda en az iki kez toplanır ve yılda en az bir kez kurula rapor verir (madde 4). Bankada siber güvenlik bu yüzden yönetim kurulunun sabit gündem maddesidir.

Teknik kurallar da somuttur. Madde 13, her iz kaydının onu oluşturan sistemi, tarih, saat ve zaman dilimini, yapılan değişikliği ve ilgili kullanıcıyı göstermesini ister. Sır niteliğindeki veriye erişim ve yetki değişikliği kayıtları en az beş yıl saklanır. Madde 18 bankadan bir Kurumsal SOME, yani siber olaylara müdahale ekibi ister.

Ekip rutin sızma testi yapar ya da yaptırır ve iz kayıtlarını düzenli izler. Banka ayrıca yılda en az bir kez, sistemi tasarlamayan ve işletmeyen bağımsız bir ekibe sızma testi yaptırır. Olay krize dönüşür, veri sızar ya da ikincil merkez devreye girerse banka, BDDK bünyesindeki Sektörel SOME'yi derhal bilgilendirir.

Yönetmeliğin en çok tartışılan hükmü 25. maddedir. Bankalar birincil ve ikincil sistemlerini yurt içinde bulundurur ve birincil sistemin her yedeği ikincil sistem sayılır. Banka bu sistemler için dış hizmet ya da bulut hizmeti alırsa, sağlayıcının kullandığı sistemler ve yedekler de yurt içinde durur.

Amaç, yurt dışı bağlantılar kesilse bile bankacılık hizmetinin ülke içinde sürmesidir. BDDK'nın bakışı bu yüzden KVKK'dan farklıdır. Çekirdek bankacılık sistemi çöktüğünde yalnız kişisel veri değil, ödeme sisteminin bütünlüğü de risk altına girer.

KVKK yurt dışı aktarımı güvencelerle mümkün kılar, BDDK ise asıl sistemler için bu kapıyı kapatır. Banka iki kurala birden uyar.

5651 sayılı Kanun 2007'de yürürlüğe girdi ve internette yapılan yayınları düzenler. Kanunun 2. maddesi sosyal ağ sağlayıcı ve oyun platformu gibi birçok aktör tanımlar. Bir kurumun uyum çalışmasında öne çıkan dördü şunlardır.

İçerik sağlayıcı, internette sunulan bilgiyi üreten, değiştiren ve sağlayan kişidir. Yer sağlayıcı, hizmet ve içerikleri barındıran sistemleri sağlayan ya da işleten kişidir. Erişim sağlayıcı, kullanıcılarına internete erişim olanağı verir.

Toplu kullanım sağlayıcı ise kişilere belli bir yerde ve belli bir süre internet kullandırır. Aynı şirket birden çok rolü aynı anda taşıyabilir. Her rolün yükümlülüğü ayrıdır, bu yüzden uyum çalışması rolleri belirlemekle başlar.

Altay Kargo'ya dört rolün penceresinden bak. Web sitesindeki kampanya duyurularını pazarlama ekibi yazar; burada şirket içerik sağlayıcıdır ve yayınladığı içerikten sorumludur (madde 4). Müşteri portalını kendi veri merkezinde barındırdığı için yer sağlayıcı rolüne de girer.

Depolarda kuryelere ve ziyaretçilere açtığı kablosuz ağ, onu toplu kullanım sağlayıcı yapar. İnternet bağlantısını ise bir servis sağlayıcıdan alır; erişim sağlayıcı o şirkettir. Rolleri karıştıran ekip ya taşımadığı bir yükümlülüğe bütçe harcar ya da taşıdığı bir yükümlülüğü fark etmez.

Kanunun uygulayıcısı 2026'da değişti. 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı Kanun, 5651'deki görevleri Bilgi Teknolojileri ve İletişim Kurumundan Siber Güvenlik Başkanlığına devretti. Kanunda idari para cezası veren Başkan artık Siber Güvenlik Başkanıdır.

Başkanlık yeni ikincil düzenleme çıkarana kadar eski yönetmelikler geçerlidir; onlardaki eski kurum adları Başkanlığı gösterir. Yaptırım hafif değildir: yükümlülüğünü yerine getirmeyen yer sağlayıcıya yüz bin liradan bir milyon liraya kadar idari para cezası verilir (madde 5).

Kanunun kayıt yükümlülüğü trafik bilgisi üzerine kurulur. Madde 2'deki tanım önce taraflara ait IP adresini ve kaynak ve hedef port bilgisini sayar. Ardından hizmetin başlama ve bitiş zamanı, hizmetin türü, aktarılan veri miktarı ve varsa abone kimlik bilgisi gelir. Trafik bilgisi içerik değildir.

Kimin, ne zaman, hangi adrese bağlandığını söyler ama sayfanın ya da mesajın kendisini taşımaz. Yer sağlayıcı bu bilgiyi bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre kadar saklar (madde 5). Erişim sağlayıcı için aralık altı ay ile iki yıldır (madde 6). İkisi de kaydın doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlüdür.

Toplu kullanım sağlayıcının kuralları, 11 Nisan 2017 tarihli İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelikte durur. Yönetmelik bu kayda erişim kaydı der. Erişim kaydı, iç ağda dağıtılan IP adresini, kullanımın başlama ve bitiş zamanını, cihazın MAC adresini ve hedef IP adresini gösterir.

Birçok kullanıcı tek bir dış adresi port üzerinden paylaşıyorsa, kullanıcıya düşen dış IP ve port da kaydedilir. Sağlayıcı bu kayıtları kendi sisteminde iki yıl saklar ve bir içerik filtreleme sistemi kullanır. Aşağıda Altay Kargo'nun depo ağından bir günlük kayıt ve bütünlük kontrolü var.

$ cat erisim-2026-09-30.log
2026-09-30T08:02:11+03:00 DHCPACK ic_ip=10.20.5.37 mac=3c:22:fb:1a:07:9e kira=28800
2026-09-30T08:02:15+03:00 NAT kaynak=10.20.5.37:51544 hedef=203.0.113.80:443 dis=198.51.100.23:40112 tcp
2026-09-30T08:47:03+03:00 DHCPRELEASE ic_ip=10.20.5.37 mac=3c:22:fb:1a:07:9e

$ sha256sum erisim-2026-09-30.log > erisim-2026-09-30.log.sha256
$ cat erisim-2026-09-30.log.sha256
2111dc9ac6821e14bd5152fc4a1500d65662e63fd7f7f8a2dd5afc1c88177614  erisim-2026-09-30.log

$ sha256sum -c erisim-2026-09-30.log.sha256
erisim-2026-09-30.log: OK

Çıktıyı satır satır oku. İlk kayıt, DHCP sunucusunun 08:02'de 10.20.5.37 adresini 3c:22:fb:1a:07:9e MAC adresli cihaza verdiğini gösterir. İkinci satırda aynı cihaz 203.0.113.80 adresinin 443 numaralı portuna bağlanır ve internete 198.51.100.23 adresinin 40112 numaralı portundan çıkar. Adli bir talep dış adres ve portla geldiğinde bu satır bağlantıyı depodaki cihaza götürür.

Üçüncü satır adresin 08:47'de bırakıldığını gösterir. Bütünlüğü sha256sum komutu korur. Komut dosyanın 64 karakterlik SHA-256 özetini üretir, yönlendirme bu özeti ayrı bir dosyaya yazar.

Komutun -c seçeneği özeti yeniden hesaplar ve kayıtlı değerle karşılaştırır. OK sonucu, dosyanın özet alındığından beri değişmediğini gösterir.

Özet tek başına yetmez. Dosyayı değiştiren kişi, özeti de yeniden hesaplayıp eskisinin üzerine yazabilir. Özet bu yüzden kayıttan ayrı ve sonradan değiştirilemeyen bir ortamda durur. 2007 tarihli usul ve esaslar yönetmeliği, yer sağlayıcıdan trafik kayıtlarının dosya bütünlük değerlerini zaman damgasıyla birlikte saklamasını ister.

Zaman damgası, özetin belli bir anda var olduğunu bağımsız bir hizmet sağlayıcının imzasıyla kanıtlar. Altay Kargo ayrıca kontrolü her gece otomatik çalıştırır ve FAILED sonucunda alarm üretir. Kayda erişimi de birkaç yetkiliyle sınırlar, çünkü erişim kaydı da kişisel veridir.

$ sha256sum -c erisim-2026-09-30.log.sha256
erisim-2026-09-30.log: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Banka kendi yükümlülüğünü tedarikçiye sözleşmeyle taşır. Yönetmeliğin 29. maddesi dış hizmet sözleşmesinin asgari içeriğini sayar: hizmet seviyeleri, sonlanma koşulları, gizlilik hükümleri ve tedarikçide yaşanan ihlalin bankaya derhal bildirilmesi. Banka, işi kendisi yapsaydı hangi denetime tabi olacaksa tedarikçiyi de kapsam daraltmadan aynı denetime tabi tutar.

İşin alt yükleniciye devri bankanın iznine bağlıdır ve bir çıkış stratejisi hazırlanır. Altay Kargo, bir bankanın mobil uygulamasına kargo takip servisi sunmak üzere. Aşağıdaki tablo, bu maddelerin sözleşme taslağına nasıl yansıdığını gösterir.

TEDARİKÇİ: Altay Kargo   MÜŞTERİ: banka   HİZMET: kargo takip API'si

#  KONU             ALTAY KARGO'DAN BEKLENEN                        DAYANAK
1  Veri yeri        Birincil sistem sayılırsa sunucu ve yedek yurt içi md. 25/5
2  Denetim          Bankanın denetimi kapsam daraltmadan uzanır      md. 29/1-f
3  Olay bildirimi   İhlal ve veri sızıntısı bankaya derhal bildirilir md. 29/2-d
4  Alt yüklenici    Bulut ve SMS sağlayıcısı bankanın iznine bağlı    md. 29/1-h
5  Çıkış planı      Sözleşme biterse veri iadesi ve geçiş adımları   md. 29/1-ğ
6  Güvenlik düzeyi  Tedarikçinin güvenliği en az bankanınki kadar    md. 29/1-e

Tabloyu satır satır oku. İlk satır koşulludur: servis müşteri sırrı işliyor ve banka onu birincil sistem sayıyorsa, Altay Kargo yurt dışındaki bir bulut bölgesini kullanamaz. İkinci satır, bankanın denetçisinin Altay Kargo'nun sistemlerine de bakabileceği anlamına gelir. Üçüncü satır saat vermez ama derhal, sabah mesaisini beklemek demek değildir.

Dördüncü satır, şirketin kullandığı bulut ve SMS sağlayıcılarını imzadan önce bankaya bildirmesini gerektirir. Son iki satır işin çıkışını ve güvenlik düzeyini bağlar. Banka her yıl sızma testi yaptırdığı için tedarikçiden de çoğu zaman güncel bir test raporu ister.

Sermaye piyasasında benzer bir metin vardır. SPK'nın Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025'te yayımlandı ve 2018 tarihli eski tebliği kaldırdı. Tebliğ borsaları, aracı kurumları, portföy yönetim şirketlerini, halka açık ortaklıkları ve kripto varlık hizmet sağlayıcılarını kapsar. Birincil ve ikincil sistemler yine yurt içinde durur (madde 27).

Bağımsız ve belgeli bir ekip yılda en az bir kez sızma testi yapar (madde 8). Denetim izleri en az beş yıl saklanır (madde 22). Halka açık ortaklıklar gibi bazı gruplar bu hükümlerin bir kısmından muaftır (madde 30).

Bankalar ve SPK kapsamındaki kuruluşlar her yıl sızma testi yaptırır. Sızma testi, bir saldırganın yapabileceğini izinle ve kontrollü biçimde deneyen güvenlik testidir. İzin kısmı bir formalite değildir.

Türk Ceza Kanununun 243. maddesi, bir bilişim sistemine hukuka aykırı olarak gireni ya da orada kalmaya devam edeni cezalandırır. 244. madde sistemin işleyişini engellemeyi ya da bozmayı, verileri bozmayı, silmeyi ya da değiştirmeyi ayrı suç sayar.

Fiil bir bankanın ya da kamu kurumunun sistemine yönelirse ceza yarı oranında artar. 245. madde ise başkasına ait banka ya da kredi kartının kötüye kullanılmasını düzenler. Aynı teknik işlem yazılı yetkiyle yapıldığında bir güvenlik hizmetidir, yetkisiz yapıldığında suçtur.

Testi hukuka uygun kılan, sistemin sahibinin yazılı iznidir. İzin belgesi en az şunları gösterir: test edilecek sistemler ve IP aralıkları, test tarihleri ve saatleri, izinli ve yasak yöntemler, acil durumda aranacak kişiler. İzni veren kişinin o sistem üzerinde yetkisi olmalıdır. Banka, Altay Kargo'nun sunucusunu tek başına test ettiremez, çünkü sunucunun sahibi Altay Kargo'dur.

Bulut sağlayıcının test politikasını da ayrıca oku. Kapsam dışına çıkan tek bir tarama, izinli bir işi izinsiz bir girişe çevirebilir. Öğrendiğin teknikleri yalnız kendi lab ortamında ya da yazılı iznin olan hedefte dene.