Tedarik Zinciri Riskini
Ölçün, Yönetin, Kontrol Edin

🏦 Finans Sektörü: BDDK ve DORA Uyumlu TPRM

Bankacılık ve finans sektöründe tedarikçi riski yönetimi, BDDK’nın “Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği” kapsamında yasal bir zorunluluktur. Bu yönetmelik, bankaların kritik hizmet aldığı tedarikçileri bizzat denetleme yükümlülüğünü açıkça düzenlemektedir. Dışarıdan alınan BT hizmetleri, ödeme altyapıları, veri merkezi hizmetleri ve bulut çözümleri bu kapsama girmektedir. Tedarikçinin bir ihlalden etkilenmesi durumunda sorumluluk, doğrudan bankaya yüklenmektedir.

Finans sektöründe TPRM denetimlerinin temel odak noktaları şunlardır: Tedarikçinin veri merkezlerinin fiziksel ve mantıksal güvenliği; kullanıcı erişim yönetimi ve ayrıcalıklı hesap kontrolü; iş sürekliliği ve felaket kurtarma kapasitesi; müşteri verilerinin yurt dışına transferi ve bulut lokasyonu gereklilikleri; PCI-DSS uyumu ve ödeme verisi güvenliği. AB’de yürürlüğe giren DORA (Dijital Operasyonel Dayanıklılık Yasası) ise Türk finans kurumlarının AB ile iş ilişkisi içinde olduğu ölçüde dolaylı yükümlülükler getirmekte; üçüncü taraf BİT hizmeti sağlayıcılarının sözleşmesel olarak denetlenebilir kılınmasını şart koşmaktadır.

Secure Fors, ABB Bank dahil finans sektöründe TPRM denetimleri yürütmektedir. Finans sektörüne özel metodolojimiz; BDDK yönetmeliği gerekliliklerini, DORA teknik standartlarını ve ISO 27001:2022 kontrollerini tek bir değerlendirme çerçevesinde birleştirmektedir.

✈️ Havacılık Sektörü: Karmaşık Tedarik Zincirlerinde TPRM

Havacılık sektörü, tedarik zinciri güvenliği açısından en karmaşık ortamlardan birini oluşturur. Bir havayolu şirketinin operasyonları; yer hizmetleri, bakım-onarım firmaları, yakıt tedarikçileri, catering şirketleri, BİT altyapı sağlayıcıları, rezervasyon sistemleri ve çok sayıda alt yüklenicinin birbirine bağlı olduğu devasa bir ekosisteme dayanır. Bu ekosistemdeki tek bir zayıf halka, tüm operasyonel sürekliliği tehdit edebilir.

Türk Hava Yolları (THY) tedarikçi ekosisteminde yürüttüğümüz TPRM denetimleri, havacılık sektörünün kendine özgü zorluklarını bizzat deneyimlememizi sağlamıştır. Havacılıkta TPRM’nin kritik boyutları şunlardır: Uçuş operasyonlarını destekleyen sistemlere erişen tedarikçilerin güvenlik sertifikasyon durumu; yolcu ve çalışan kişisel verilerini işleyen alt işlemcilerin KVKK ve GDPR uyumu; bakım kayıtları ile teknik veri sistemlerinin güvenliği; bağlantı noktalarındaki üçüncü taraf BİT entegrasyonlarının güvenlik mimarisi; tedarikçi personelinin bilinçlendirme düzeyi ve sosyal mühendislik direnci.

Havacılık denetimlerinde IATA siber güvenlik çerçevesi ve ICAO standartları ile uyum değerlendirmesi de gerçekleştiriyoruz. Ulaşım sektöründeki diğer referansımız TCDD Teknik, demiryolu altyapı güvenliği konusundaki saha deneyimimizi pekiştirmektedir.

Adım 1 — Kapsam Belirleme ve Tedarikçi Envanteri (1–3 Gün)

İlk aşamada kurumunuzun tedarikçi portföyünü birlikte haritalandırıyoruz. Hangi tedarikçiler hangi veri ve sistemlere erişiyor? Hangileri kritik iş süreçlerine doğrudan bağlı? Bu soruları yanıtlamak için mevcut sözleşme listelerinizi, ERP sistemlerinizdeki tedarikçi kayıtlarını ve BT ekibinizin erişim loglarını inceliyoruz. DDO BİGR Rehberi’nin kritiklik sınıflandırması çerçevesinde her tedarikçiye bir öncelik puanı atıyoruz. ISO 27001:2022 A.5.19 kontrolü kapsamında tedarikçi varlık envanteri oluşturulması zorunlu olduğundan, bu aşamada üretilen belge aynı zamanda sertifikasyon hazırlığınıza da katkı sağlar.

Adım 2 — Güvenlik Anketi ve Ön Değerlendirme (3–7 Gün)

Öncelikli tedarikçilere özelleştirilmiş bir güvenlik anketi gönderiyoruz. Bu anket; yönetişim ve organizasyon yapısı, erişim kontrolü, şifreleme ve veri koruma, log yönetimi, olay müdahale kapasitesi, iş sürekliliği ve alt yüklenici yönetimi başlıklarını kapsıyor. Anket sonuçlarını beklerken OSINT yöntemleriyle tedarikçinin dışa açık saldırı yüzeyini tarayıyoruz: açık portlar, yama uygulanmamış sistemler, darkweb ihlal verileri, SSL sertifika durumu ve DNS yapılandırması. Bu çift taraflı yaklaşım — öz beyan ve bağımsız teknik tarama — değerlendirmemize güvenilirlik katıyor.

Adım 3 — Kanıt Toplama ve Saha Doğrulama (5–10 Gün)

Anket yanıtlarını kabul etmekle yetinmiyoruz. Her iddiayı destekleyen somut kanıt talep ediyoruz: ISO 27001 sertifikası (güncel ve akredite mi?), penetrasyon testi raporları (son 12 ay içinde mi, bulgular kapatılmış mı?), erişim denetim raporları, felaket kurtarma test sonuçları ve personel eğitim kayıtları. Yüksek riskli tedarikçiler için mümkünse yerinde saha ziyareti gerçekleştiriyoruz. ISO/IEC 27036 standardının tanımladığı tedarikçi durum tespiti metodolojisini uyguluyoruz; her bulgu ISO 27001:2022 ve DDO BİGR kontrol maddeleriyle ilişkilendirilmiş şekilde kayıt altına alınıyor.

Adım 4 — Risk Puanlama ve Raporlama (2–5 Gün)

Toplanan tüm veriler, NIST SP 800-161r1 çerçevesindeki risk puanlama matrisimize işleniyor. Her tedarikçi için hesaplanan risk skoru; olasılık (güvenlik açığının istismar edilme ihtimali) ve etki (ihlal gerçekleştiğinde kurumunuza vereceği zarar) çarpımına dayanıyor. Sonuçları iki ayrı rapor formatında sunuyoruz: karar vericilere yönelik Yönetici Özeti ve güvenlik ekiplerine yönelik Teknik Bulgular Raporu. Her bulgu için DDO BİGR ve ISO 27001:2022 kontrol referansları açıkça belirtiliyor; raporlarımız hem teknik hem de uyum (compliance) perspektifinden kullanılabilir oluyor.

Adım 5 — İyileştirme Takibi ve Sürekli İzleme

Raporun teslimi denetimin sonu değildir. Tedarikçiyle birlikte 30/60/90 günlük iyileştirme planı oluşturuyoruz. Kritik bulgular için düzeltici eylem takibini üstleniyoruz. Advanced Check ve Continuous Check paketlerinde tedarikçinin OSINT profili sürekli izleniyor; yeni bir güvenlik açığı ortaya çıktığında veya tedarikçi bir güvenlik olayı yaşadığında sizi proaktif olarak bilgilendiriyoruz. ISO 27001:2022 A.5.22 kontrolünün gerektirdiği tedarikçi hizmetlerinin periyodik gözden geçirilmesi yükümlülüğünü bu sürekli izleme hizmeti karşılıyor.