Bankalara 'sanal korsanlara karşı uyanık olun' uyarısı
ERCAN BAYSAL
Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), bankaların muhtemel siber saldırılara karşı hazırlıklı olması için 'Bilgi Sistemlerine İlişkin Sızma Testleri'ni uygulamalarını istedi. Sızma testleri ATM'lerden web uygulamalarına ve elektronik postaya kadar çok sayıda alanı kapsıyor. Testlerin yılda en az bir kez tüm bankalar tarafından yapılması gerekiyor.Küresel finansal krizden etkilenmeyen Türk bankacılık sektörü, teknolojik altyapısını da güçlendiriyor. 'Siber saldırılara' karşı geçen yıl bazı testleri aksatan bankalar için çerçeve yeniden çizildi. Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) 'Bilgi Sistemlerine İlişkin Sızma Testleri' konulu genelge çıkardı. Genelge kapsamında bankaların siber saldırılara karşı hangi testleri yapmalarının gerektiği sıralandı.
Bankalardan kendi sistemleri ve internet bankacılığına sızmanın önlenmesi için 2011 yılında bazı testleri yapmalarının istendiğine işaret eden BDDK kaynakları "Bankacılık sisteminin saldırılardan etkilenmeyecek şekilde güçlü olması gerekiyor. Pek çok ülke bunu yapıyor. 2011 yılında tüm bankacılık sisteminde uygulandı. 2012 testlerine de uyulmak zorunda. Bazı bankalar kapsam dışında düzenleme olmadığı için atlayabiliyordu. Sistemin bütününü değerlendirmek için açık kalan alanlar oldu. Genelge ile tüm testlerin çerçevesi çizilmiş oldu." bilgisini verdi. Geçen yıl siber saldırılara karşı alınan önlemler bankacılık otoritesi tarafından tatminkar bulundu. Sızma testleri ATM'lerden elektronik postaya kadar çok sayıda alanı kapsıyor. BDDK'nın aldığı önlemler yabancı bankaları da şaşırttı. Türkiye'de faaliyet gösteren yabancı bankalara ülke merkezlerinden, "İstenilen testler çok kapsamlı. Bu kadar detaylı bir testi biz kendi ülkemizde dahi yapmıyoruz. Türkiye çok hassas davranıyor." mesajı geldi. Sızma testlerinin yılda en az bir kez tüm bankalar tarafından yapılması zorunlu. BDDK Bilgi Yönetimi Dairesi tarafından hazırlanan Bilgi Sistemlerine İlişkin Sızma Testleri başlıklı genelge BDDK Başkanı Mukim Öztekin'in imzasıyla yayınlandı. Genelgede Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ ile banka bilgi sistemlerinin maruz kalabileceği risklerin ve güvenlik açıklarının yönetimini de kapsayacak şekilde, asgari usül ve esasların düzenlendiğine dikkat çekildi. Testlerin amacının banka bilgi sistemlerinde yetkisiz erişim elde edilmesine veya hassas bilgilere ulaşılmasına sebep olabilecek güvenlik açıklarının istismar edilmeden önce tespit edilmesi ve düzeltilmesi olduğu ifade edildi.
Sızma testleri, erişim noktalarından gerçekleştirilecek temel sızma testleri ve detaylı sızma testlerinden oluşuyor. Temel sızma testleri sistem tespiti, servis tespiti ve açıklık taraması/araştırması adımları ile başlıyor. Her bir erişim noktası kapsamında uygulanacak adımlarla devam ediyor. Temel sızma testleri sonrası saptanan açıklık ve bulgular, detaylı sızma testlerinin gerçekleştirilmesi suretiyle ayrıntılı olarak incelenerek raporlanıyor. Sızma testleri gerçekleştirilirken her bir test başlığı kapsamında saptanan açıklık ve bulgular, ayrı ayrı değerlendirilmenin yanı sıra bir araya geldiklerinde oluşturabilecekleri riskler ve açıklıklar açısından da değerlendirilecek. Sızma testleri gerçekleştirilirken, banka faaliyetlerinin aksamasına ve hizmet kesintisine yol açmayacak yöntemler kullanılacak.