İYS ve Siber Güvenlik Gereklilikleri
İleti Yönetim Sistemi (İYS), ticari elektronik ileti onaylarının kayıt altına alındığı, saklandığı ve yönetildiği merkezi bir platformdur. Sistemin işletimi, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında Bilgi Teknolojileri ve İletişim Kurumu (BTK) denetimine tabidir.
İYS sistemleriyle entegre çalışan veya bu sistemlerin altyapısını sağlayan firmaların BTK akreditasyonu alabilmesi için belirli teknik güvenlik standartlarını karşılaması gerekmektedir. Söz konusu standartlar; sistem güvenilirliği, veri bütünlüğü ve yetkisiz erişime karşı koruma gerekliliklerini kapsamaktadır.
İYS platformları milyonlarca kişiye ait iletişim izni ve onay verisi işlemektedir. Bu veriler KVKK kapsamında özel koruma gerektirmekte; teknik güvenlik önlemlerinin yeterliliği hem BTK hem KVKK denetimleri açısından kritik öneme taşımaktadır.
İYS Sistemleri Güvenlik Testi Kapsamı
TUGAY, İYS firmalarına yönelik sızma testlerini platformun mimarisini ve yasal gerekliliklerini derinlemesine anlayan uzmanlarla yürütmektedir:
- İYS API uç noktaları güvenlik testleri
- Onay kayıt ve sorgulama sistemleri bütünlük testleri
- Kimlik doğrulama ve oturum yönetimi güvenliği
- Yetkisiz veri erişimi ve IDOR testleri
- Veri tabanı güvenliği ve SQL injection analizi
- Altyapı ve sunucu yapılandırma güvenliği
- Servis kullanılabilirliği ve DoS direnci testi
BTK Akreditasyon Süreci
- Teknik Gereklilik Analizi: BTK akreditasyon kılavuzundaki teknik güvenlik gereklilikleri belirlenir; mevcut durum ile gereklilikler arasındaki farklar tespit edilir.
- Altyapı Güvenlik Testi: Sistemin tüm bileşenleri sızma testine tabi tutulur; yüksek riskli açıklıklar önceliklendirilir.
- Veri Güvenliği Doğrulama: Kişisel veri işleme, saklama ve silme süreçlerinin teknik güvenliği doğrulanır.
- Düzeltme ve Kapanış Testi: Tespit edilen açıklıklar giderilir; kapanış testi ile etkinlik belgelenir.
- Akreditasyon Raporu: BTK başvurusunda kullanılabilecek teknik güvenlik raporu sunulur.
Süregelen Güvenlik Programı
BTK akreditasyonunun sürdürülmesi, tek seferlik bir güvenlik testinin ötesinde süregelen bir güvenlik yönetimi gerektirmektedir. TUGAY, periyodik test ve izleme hizmetleri aracılığıyla İYS firmalarının güvenlik duruşunu sürekli olarak değerlendirmektedir.
- Yılda en az 1 kez kapsamlı sızma testi
- Her sürüm güncellemesinde API ve uygulama testi
- 7/24 güvenlik izleme ve anomali tespiti danışmanlığı
- BTK ve KVKK uyum durumu periyodik raporlaması