SEKTÖREL BELGELENDİRME VE UYGUNLUK

Finans, Bankacılık ve Sigortacılık
için doğru kapsam.

Bilgi varlıkları, kritik hizmetler, müşteri verisi, üçüncü taraflar ve yönetişim riskleri üzerinden bilgi güvenliği ve iş sürekliliği odaklı bir yol haritası kurar.

Öncelikli belge ve uygunluk yolları Kapsamınızı paylaşın

SEKTÖREL BELGELENDİRME VE UYGUNLUK

Öncelikli belge ve uygunluk yolları

Aşağıdaki eşleşmeler başlangıç rehberidir. Nihai kapsam; ürün, proses, tesis, müşteri şartı ve hedef pazara göre doğrulanır.

Sık karşılaşılan ihtiyaçlar

01ISO/IEC 27001 Bilgi Güvenliği 02ISO 22301 İş Sürekliliği 03ISO 9001 Kalite Yönetim Sistemi 04ISO 10002 Müşteri Memnuniyeti 05ISO 37001 Rüşvetle Mücadele

Faaliyete ve ürüne göre değerlendirilenler

01ISO/IEC 20000-1 BT Hizmet Yönetimi

SEKTÖREL REHBER

Finans sektöründe bilgi güvenliği ve iş sürekliliği kapsamı

Finansal hizmetlerde güven yalnız teknoloji kontrolü değildir; kritik süreçler, insan, veri, dış hizmetler ve düzenleyici yükümlülükler aynı yönetim çerçevesinde ele alınır.

Bilgi varlığından önce kritik hizmeti tanımlayın

Bankacılık, ödeme, sigorta, finansman veya destek hizmeti veren kuruluşların işlem kanalları ve düzenleyici sorumlulukları farklıdır. Kapsam; tüzel yapı, lokasyon, dijital kanallar, müşteri hizmetleri, veri merkezleri, bulut hizmetleri ve dış kaynaklar üzerinden yazılır. ISO/IEC 27001 bilgi güvenliği yönetim sistemi kurar; ancak lisans, düzenleyici izin veya mevzuat uyumunun yerine geçmez. Uygulanabilir hukuk ve otorite beklentileri risk değerlendirmesine ayrı girdi olmalıdır.

Varlık envanteri yalnız cihaz listesi değildir. Müşteri ve işlem verileri, iş uygulamaları, algoritmalar, kimlik bilgileri, sözleşmeler, personel bilgisi ve fiziksel kayıtlar sahipleriyle tanımlanır. Gizlilik, bütünlük ve erişilebilirlik etkileri gerçek iş senaryolarıyla değerlendirilir. Kontrol seçimi risk işleme planı ve Uygulanabilirlik Bildirgesiyle izlenebilir olmalı; yalnız denetim için bütün kontrolleri uygulanmış göstermek yerine kapsam dışı veya uygulanmayan kontrollerin gerekçesi açıkça kaydedilmelidir.

Süreklilik hedeflerini iş etkisi üzerinden belirleyin

ISO 22301 iş sürekliliği için yönetişim, iş etki analizi, risk değerlendirmesi, strateji, plan ve tatbikat çerçevesi sağlar. RTO ve RPO değerleri teknoloji ekibinin tahminiyle değil; hizmet kesintisinin müşteri, finans, mevzuat, itibar ve operasyon etkisiyle belirlenir. Bir ödeme kanalının, çağrı merkezinin veya hasar sürecinin toleransı aynı olmayabilir. Bağımlı personel, bina, veri, tedarikçi ve alternatif çalışma kapasitesi hedeflerle birlikte incelenir.

Yedek almak iş sürekliliğinin tamamı değildir. Yedeğin geri döndürülebilirliği, kapasitesi, bütünlüğü ve hedef sürede devreye alınması tatbikatla kanıtlanır. Siber olay, enerji kesintisi, iletişim arızası, bina kaybı, yoğun talep ve kritik tedarikçi kesintisi için farklı senaryolar gerekir. Tatbikat bulguları plan, sözleşme ve yatırım kararına dönüştürülmelidir. Kriz iletişimi, düzenleyici bildirim ve müşteri mesajları da teknik kurtarma planıyla uyumlu olmalıdır.

Tedarikçi, hizmet kalitesi ve etik kontrolleri bütünleştirin

Bulut, yazılım, çağrı merkezi, kimlik doğrulama, veri işleme ve operasyon hizmetleri dışarıdan alınsa da hesap verebilirlik tamamen devredilemez. Tedarikçi seçimi, güvenlik şartları, alt yükleniciler, olay bildirimi, denetim hakkı, süreklilik ve çıkış planı sözleşmede tanımlanır. ISO/IEC 20000-1 BT hizmet yönetimi, hizmet kataloğu, seviye, olay, değişiklik ve tedarikçi süreçlerini düzenlemeye yardımcı olabilir; ISO 27001 ile aynı belge değildir.

ISO 9001 hizmet kalitesi ve süreç performansını, ISO 10002 müşteri şikâyetlerinin adil yönetimini, ISO 37001 ise rüşvet risklerinin politika, durum tespiti ve kontrol yaklaşımıyla ele alınmasını destekler. Her standart için ayrı klasör oluşturmak yerine ortak risk, iç tetkik, düzeltici faaliyet ve yönetim gözden geçirme mekanizmaları kurulabilir. Buna karşılık finansal düzenleme, kişisel veri ve bağımsız sertifikasyon kararları kendi yetkili çerçevelerinde kalır; hiçbir özel belge resmî gözetim onayı olarak sunulmamalıdır.

İLK KAPSAM ANALİZİ

Doğru belgeyi seçmeden önce neyi netleştiriyoruz?

Yanlış veya gereksiz bir sertifika yoluna girmemek için kuruluşun gerçek rolü ve hedefi önce tanımlanır.

Kritik finansal hizmet ve kanallar

Kişisel ve kurumsal veri varlıkları

Tedarikçi ve dış hizmet bağımlılıkları

RTO, RPO ve süreklilik hedefleri

KAYRA İLE SEKTÖREL YOL HARİTASI

Dört adımda uygulanabilir kapsam

Sektör adı tek başına karar vermez; kanıt, mevzuat ve ticari gereklilik birlikte değerlendirilir.

Faaliyeti tanımlayın

Ürün, hizmet, tesis, proses ve kuruluş rolünü netleştirin.

Şartı doğrulayın

Mevzuat, müşteri, ihale ve pazar beklentilerini ayırın.

Boşluğu ölçün

Mevcut kayıt, teknik dosya ve uygulamaları gerekliliklerle karşılaştırın.

Yolu planlayın

Hazırlık, test, denetim, başvuru ve sürdürme adımlarını sıralayın.

SEKTÖRÜNÜZÜ UZMANA ANLATIN

Belge adından değil, gerçek ihtiyacınızdan başlayalım.

Ürününüzü, faaliyet alanınızı ve hedef pazarınızı paylaşın; uygulanabilir kapsamı birlikte netleştirelim.

Kapsamınızı paylaşın Bize ulaşın

Finans, Bankacılık ve Sigortacılık

Canlı Destek

Finans, Bankacılık ve Sigortacılıkiçin doğru kapsam.