Bankacılık ve finansta tedarikçi güvenliği ve destek hizmeti riski
Finansal kuruluşlar kritik hizmetlerinin önemli bir bölümünü dışarıdan alır. Destek hizmeti ve dış kaynak tedarikçilerinin bilgi güvenliği risklerini kanıta dayalı yöntemlerle değerlendiriyor ve denetliyoruz.
Bankalar ve diğer finansal kuruluşlar; yazılım, altyapı, bulut, çağrı merkezi ve operasyon hizmetleri için tedarikçilere bağımlıdır. BDDK’nın destek hizmetleri ve bilgi sistemlerine ilişkin düzenlemeleri, bu hizmetlerin risklerinin değerlendirilmesini ve izlenmesini gerektirir. Secure Fors, tedarikçilerin kritikliğe göre sınıflandırılması, risk değerlendirmesi ve online ve yerinde denetimiyle bu süreci destekler.
Finans sektöründe tedarikçiler neden yakından izlenir?
Türkiye’de bankacılık sektöründe destek hizmeti alımları ve bilgi sistemlerinin yönetimi BDDK düzenlemeleriyle çerçevelenmiştir. Bu düzenlemeler, hizmet alınmadan önce ve hizmet süresince tedarikçiden kaynaklanan risklerin değerlendirilmesini ve izlenmesini öngörür. Ödeme ve elektronik para kuruluşları, sermaye piyasası kurumları ve sigorta şirketleri de kendi düzenleyicilerinin bilgi sistemleri gerekliliklerine tabidir.
Avrupa Birliği’nde faaliyet gösteren veya AB’li finans kuruluşlarına hizmet veren şirketler için DORA da üçüncü taraf BİT riskini doğrudan düzenler.
Finans kuruluşlarında öne çıkan tedarikçi riskleri
Yoğunlaşma riski
Kritik hizmetlerin az sayıda tedarikçide toplanması ve alternatifin olmaması.
Müşteri verisine erişim
Çağrı merkezi, operasyon ve yazılım tedarikçilerinin kişisel veri erişimi.
Uzaktan erişim
Bakım ve destek için açılan bağlantıların yetersiz kontrolü.
Bulut ve veri yerleşimi
Verinin işlendiği ve saklandığı yer ile yurt dışı aktarım koşulları.
Alt yüklenici zinciri
Tedarikçinin kullandığı dördüncü tarafların görünmezliği.
Çıkış ve süreklilik
Tedarikçi değişikliğinde veri iadesi ve hizmet sürekliliği.
Finans kuruluşları için tedarikçi güvenliği çalışması
Envanter
Destek hizmeti ve dış kaynak tedarikçileri ile eriştikleri sistemler listelenir.
Kritiklik
Tedarikçiler veri, süreklilik ve düzenleyici etki açısından sınıflandırılır.
Risk değerlendirmesi
Kademeye uygun soru seti ve kanıt talebiyle değerlendirme yapılır.
Denetim
Kritik tedarikçilerde online ve yerinde denetim yürütülür.
Raporlama
Bulgular, risk seviyesi ve aksiyonlar yönetime ve denetime hazır raporlanır.
Finans sektöründe tedarikçi güvenliği hakkında sık sorulanlar
Destek hizmeti tedarikçileri ne sıklıkla değerlendirilmeli?
Değerlendirme sıklığı tedarikçinin kritikliğine ve ilgili düzenlemelere göre belirlenmelidir. Kritik tedarikçilerde en az yıllık değerlendirme ve önemli değişikliklerde yeniden değerlendirme yaygın bir uygulamadır.
Tedarikçinin ISO 27001 belgesi yeterli midir?
Belgenin kapsamının alınan hizmeti içerip içermediği kontrol edilmelidir. Belge, hizmete özgü erişim ve veri akışlarını doğrulamanın yerini tutmaz.
DORA Türk finans kuruluşlarını etkiler mi?
DORA bir AB düzenlemesidir. AB’de faaliyet gösteren veya AB’li finans kuruluşlarına BİT hizmeti sunan Türk şirketleri, müşterilerinin sözleşmesel ve denetim talepleriyle dolaylı olarak etkilenebilir.
Secure Fors hangi aşamada destek olur?
Tedarikçi envanteri ve kritiklik sınıflandırmasından başlayarak risk değerlendirmesi, online ve yerinde denetim ve bulgu takibine kadar tüm aşamalarda destek sağlar.
Bu sayfa genel bilgilendirme amaçlıdır; kurumunuza özgü yükümlülükler için ilgili düzenleyicinin yürürlükteki mevzuatı esas alınmalıdır.
Tedarikçi portföyünüzün risk haritasını çıkaralım.
Kritik destek hizmeti tedarikçilerinizi ve öncelikli değerlendirme ihtiyacınızı birlikte belirleyelim.