Madde 6 — Bilgi güvenliği yönetimi

MADDE 6 – (1) Sistem işleticisi, sisteme ilişkin her türlü bilgi varlığının gizliliğini, bütünlüğünü ve kullanılabilirliğini sağlamak amacıyla kural, ilke ve politikaları içeren bilgi güvenliği yönetim çerçevesi oluşturur.

(2) Sistem işleticisi, birinci fıkra kapsamında oluşturduğu bilgi güvenliği yönetim çerçevesine uygun bir bilgi güvenliği yönetim sistemi oluşturur.

(3) Sistem işleticisi, bilgi güvenliği yönetim sisteminin oluşturulmasına, yönetilmesine, belirli aralıklarla gözden geçirilmesine ve gerekli hallerde güncellenmesine ilişkin görev, yetki ve sorumlulukları açıkça belirler.

(4) Bilgi güvenliği yönetim sistemi kapsamında her kademedeki personelin bilgi güvenliğine ilişkin görev, yetki ve sorumlulukları açıkça belirlenir.

(5) Sistem işleticisi, sistem içerisindeki tüm bilgi varlıklarını önem seviyesini ve yasal yükümlülükleri de dikkate alarak gizlilik düzeyine göre sınıflandırır, her bir sınıftaki bilgi varlıklarına ilişkin erişim hakları ile saklama, iletme ve imha etme prosedürlerini açıkça belirler, sınıflandırma ve bununla ilgili yükümlülükler konusunda tüm personeli bilgilendirir.

(6) Bilgi güvenliği yönetim sisteminde, personelin işe başlaması, görev ve pozisyon değiştirmesi ve işten ayrılması da dahil olmak üzere personele ilişkin tüm hususlar bilgi güvenliğini etkileyen yönleriyle değerlendirilir ve gerekli tedbirler alınır.

(7) Sistem işleticisi, bilgi güvenliği yönetim sistemi kapsamında sistem ile ilgili kendi nezdindeki her türlü donanım ile altyapının ve bunlarla ilgili fiziksel çevrenin güvenliğini sağlar. Sistem işleticisi, sistem ile ilgili kendi nezdinde bulunmayan donanım ile alt yapının ve bunlarla ilgili fiziksel çevrenin güvenliğinin sağlanması için gerekli özeni gösterir.

(8) Sistem işleticisi, iç ve dış ağlar arasında sistem ile ilgili gerçekleşen her türlü iletişim sürecinin ve ana faaliyetlere ilişkin operasyonel işlemlerin, güvenlik kontrolleri ve araçları kullanılarak gerçekleşecek şekilde tasarlanmasını sağlar.

(9) Sistem işleticisi, yeni bir sistem kurması, mevcut sistem içerisinde yapısal bir değişikliğe gitmesi veya mevcut bilgi sistemlerine ilişkin geliştirme, bakım ve onarım çalışmaları yürütmesi durumunda bilgi güvenliğine gereken özeni göstermekle yükümlüdür.

(10) Bilgi güvenliği yönetim sistemine ilişkin görev, yetki ve sorumluluk verilmiş olan sistem işleticisinin yönetiminden sorumlu kişiler, bilgi güvenliği yönetim sisteminin bilgi güvenliği konusundaki mevzuata, standartlara ve birinci fıkra kapsamında oluşturulan bilgi güvenliği yönetim çerçevesine uyum durumunu sürekli olarak izler, uyumun sağlanması için gerekli tedbirleri alır ve uyum durumunu sistem işleticisinin yönetim kuruluna düzenli olarak raporlar.

(11) Sistem işleticisi, personelin bilgi güvenliği hususlarında farkındalığını arttıracak gerekli faaliyetleri yürütür.

Güvenlik açıkları ve ihlalleri