Madde 4 — Tanımlar

MADDE 4 – (1) Bu Tebliğde yer alan;

a) Banka: Türkiye Cumhuriyet Merkez Bankası Anonim Şirketini,

b) Bilgi sistemleri: Ödeme ve menkul kıymet mutabakat sistemlerine ilişkin faaliyetlerin yürütülmesi amacıyla sistem işleticilerinin bilgi ve verilerle ilgili olarak mevzuatla belirlenmiş sorumluluklarının yerine getirilmesini sağlayan donanım, yazılım, veri ve süreçlerden oluşan yapının tamamını,

c) Bilgi sistemleri süreklilik planı: Bilgi sistemlerinin kesintisiz işlemesini olumsuz etkileyebilecek, siber saldırıları da dikkate alan her türlü olağan dışı duruma ilişkin senaryolar ile bu senaryoların gerçekleşmesi halinde bilgi sistemlerinde yaşanabilecek kesintilerin makul bir süre içinde ve veri kaybı olmaksızın giderilmesine ilişkin hususları da içerecek planı,

ç) Bilgi sistemleri yönetimi: Ödeme ve menkul kıymet mutabakat sistemlerinin faaliyetlerinin kesintisiz, güvenli, etkin ve verimli bir şekilde yürütülmesi amacıyla uygun bilgi sistemlerinin tesis edilmesine, bilgi sistemleri kaynaklarının etkin ve verimli olarak kullanılmasına, bilgi güvenliği yönetimine, bilgi sistemlerine ilişkin risklerin yönetilmesine ve bilgi sistemlerinin sürekliliğinin sağlanmasına ilişkin faaliyetleri,

d) Değişiklik yönetimi: Önceden belirlenmiş prosedürlerin kullanımı yoluyla bilgi sistemleri ile ilgili tüm değişikliklerin etkin ve güvenli bir şekilde ve zamanında gerçekleştirilmesini sağlamayı ve bu değişikliklerden kaynaklanabilecek olayların sayısı ile bu olayların sunulan hizmetler üzerindeki etkisini asgari düzeye indirmeyi amaçlayan bilgi sistemleri hizmet yönetimi disiplinini,

e) Denetim izi: Bir finansal ya da operasyonel işlemin başlangıcından bitimine kadar adım adım takip edilmesini sağlayacak kayıtları,

f) Faaliyet Yönetmeliği: 28/6/2014 tarihli ve 29044 sayılı Resmî Gazete’de yayımlanan Ödeme ve Menkul Kıymet Mutabakat Sistemlerinin Faaliyetleri Hakkında Yönetmeliği,

g) Hizmet seviyesi: Hizmetlerin maliyeti ile söz konusu hizmetleri alanların gereksinim ve beklentilerinin göz önünde bulundurulması suretiyle, sistem işleticisi tarafından hizmetlerin içeriği ve kalitesine ilişkin yazılı olarak önceden belirlenen ve ilgili taraflarla paylaşılan seviyeyi,

ğ) Kapasite yönetimi: Bilgi sistemlerinin mevcut kapasite ve performansının izlenmesini, stres testleri de dahil olmak üzere test edilmesini, iş ihtiyaçları ve teknik gereksinimler ile iş sürekliliği hedefleri doğrultusunda gözden geçirilerek planlanmasını içeren faaliyetleri,

h) Katılımcı: Sisteme katılarak doğrudan transfer emri verme yetkisi bulunan ve sistem kurallarına uymakla yükümlü tüzel kişiyi,

ı) Menkul kıymet mutabakat sistemi: Üç veya daha fazla katılımcı arasındaki transfer emirlerinden kaynaklanan menkul kıymet aktarımlarının gerçekleştirilmesini sağlamak amacıyla yapılan takas ve mutabakat işlemleri için gerekli altyapıyı sunan ve ortak kuralları olan yapıyı,

i) Olay: Bilgi sistemlerinin işleyişinde planlanmamış bir kesintiye ya da güvenlik ihlalleri dahil hizmet kalitesinde düşüşe neden olan her türlü gelişmeyi,

j) Ödeme sistemi: Üç veya daha fazla katılımcı arasındaki transfer emirlerinden kaynaklanan fon aktarımlarının gerçekleştirilmesini sağlamak amacıyla yapılan takas ve mutabakat işlemleri için gerekli altyapıyı sunan ve ortak kuralları olan yapıyı,

k) Proje yönetimi: Önceden belirlenmiş metodolojilerin kullanımı yoluyla bilgi sistemleri projelerinin, öngörülen zaman planına, bütçeye ve kalite düzeyine uygun olarak tamamlanmasını temin edecek şekilde planlanmasını, organizasyonunu ve yürütülmesini sağlayan süreci,

l) Sızma testi: Bilgi sistemlerindeki varsa güvenlik açıklarını, istismar edilmeden önce tespit etmek ve düzeltmek amacıyla gerçekleştirilen atakları içeren faaliyetleri,

m) Sistem: Ödeme sistemi ve menkul kıymet mutabakat sistemini,

n) Sistem işleticisi: Sistemin günlük işleyişinden sorumlu olan ve sistem işletimi için gerekli olan faaliyet iznine sahip tüzel kişiyi,

o) Sorun: Bir veya daha fazla olayın kök nedenini,

ö) Stres testi: Bilgi sistemleri kapasitesinin, en yoğun yük durumundan daha yoğun durumlar karşısında yeterliliğinin ölçüldüğü testi,

p) Yönetimden sorumlu kişi: Faaliyet Yönetmeliğinin 10 uncu maddesinde tanımlanan, sistem işleticisinin yönetiminden sorumlu kişileri,

r) Zafiyet taraması: Bilgi sistemleri bileşenlerindeki varsa güvenlik açıklarının önceden tespit edilmesine, tanımlanmasına ve sınıflandırılmasına yönelik olarak genellikle otomatik araçlarla gerçekleştirilen analizi,

ifade eder.

İKİNCİ BÖLÜM

Bilgi Sistemleri Yönetiminde Esas Alınacak İlkeler

Bilgi sistemleri yönetimine ilişkin genel hükümler