SPK Sızma Testi

Sermaye Piyasası Kurulu (SPK), 5 Ocak 2018 tarihinde 30292 sayılı Resmi Gazete’de yayımlanan Bilgi Sistemleri Yönetimi Tebliği (VII-128.9) ile aracı kurumlar, portföy yönetim şirketleri, borsalar, merkezi takas ve saklama kuruluşları başta olmak üzere sermaye piyasası kurumlarına yönelik bilgi sistemleri güvenliği konusunda kapsamlı yükümlülükler getirmiştir.

Bu yükümlülüklerin en kritik olanlarından biri sızma testi zorunluluğudur. Tebliğ uyarınca kapsam dahilindeki kurumlar, bilgi sistemlerini yılda en az bir kez, bilgi güvenliği süreçlerinde herhangi bir görevi bulunmayan, sızma testi konusunda ulusal veya uluslararası belgeye sahip bağımsız bir firma veya kişi tarafından sızma testine tabi tutmakla yükümlüdür.

Kimler Bu Tebliğe Tabidir?

• Aracı kurumlar (kısmi ve geniş yetkili)
• Portföy yönetim şirketleri (asgari özsermaye eşiğinin üzerindekiler)
• Borsa İstanbul A.Ş.
• İstanbul Takas ve Saklama Bankası A.Ş. (Takasbank)
• Merkezi Kayıt Kuruluşu A.Ş.
• Diğer borsalar, piyasa işleticileri, merkezi takas ve saklama kuruluşları, veri depolama kuruluşları

SPK Sızma Testinin Kapsamı

Tebliğ, sızma testinin asgari olarak aşağıdaki alanları kapsamasını şart koşar:

• İletişim altyapısı ve aktif cihazlar
• DNS servisleri
• Etki alanı (domain) ve kullanıcı bilgisayarları
• E-posta servisleri
• Veritabanı sistemleri
• Web uygulamaları
• Mobil uygulamalar
• Kablosuz ağ sistemleri
• Dağıtık servis dışı bırakma (DDoS) testleri
• Sosyal mühendislik testleri

Testler, internet ve iç ağ olmak üzere iki ayrı erişim noktasından; anonim, müşteri, çalışan gibi farklı kullanıcı profilleri simüle edilerek gerçekleştirilir. Böylece kurumun hem dışarıdan hem de içeriden gelebilecek tehditlere karşı gerçek koşullara yakın bir şekilde test edilmesi sağlanır.

Neden Önemlidir?

• Yasal bir zorunluluktur; eksiklik durumunda SPK denetimlerinde uyumsuzluk oluşturur.
• Sistemlerdeki güvenlik açıklarının bir saldırgan tarafından istismar edilmeden önce tespit edilip giderilmesini sağlar.
• Yatırımcı verilerinin ve kesintisiz hizmetin güvenliğini güvence altına alır.
• Kurumsal itibarı ve piyasa güvenilirliğini korur.