Madde 7 — Güvenlik açıkları ve ihlalleri

MADDE 7 – (1) Sistem işleticisi bilgi güvenliği yönetim çerçevesi ile uyumlu bir şekilde, bilgi sistemlerine yönelik olası güvenlik ihlallerinin araştırılmasını, güvenlik ihlallerinin önlenmesi için alınması gereken uygun tedbirlerin belirlenmesini, güvenlik ihlalinin gerçekleşmesi halinde ihlalin tespit edilerek zamanında müdahale edilebilmesi için gerekli tedbirlerin alınmasını, gerçekleşen güvenlik ihlallerinin ve tespit edilen güvenlik açıklarının değerlendirilerek kayıt altına alınmasını sağlar.

(2) Sistem işleticisi, sahip olduğu ve sistemle ilişkili olan tüm sunucular ile iletişim ağını ilk işletime alınmadan önce ve sonrasında düzenli aralıklarla yılda en az altı defa zafiyet taramasından geçirir. Zafiyet taramasında tespit edilen öncelikli bulguların mümkün olan en kısa süre içerisinde giderilmesi ve bu bulgular giderilinceye kadar uygun koruyucu tedbirlerin alınması sağlanır. Öncelikli olmayan bulguların makul bir süre içerisinde giderilmesi için zaman planlaması yapılır.

(3) Sistem işleticisi, gerçekleşebilecek iç ve dış tehditleri kapsayan senaryolar doğrultusunda yılda en az bir defa sızma testi gerçekleştirilmesini sağlar ve sızma testinin sonuçlarını Bankaya raporlar.

(4) Sistem işleticisi, olası ve gerçekleşmiş güvenlik ihlallerinin değerlendirilmesi ile zafiyet taraması ve sızma testleri sonucunda tespit ettiği güvenlik açıklarının giderilmesine yönelik olarak uygun tedbirleri alır ve aldığı tedbirlerin etkinlik durumunu kontrol eder.

(5) Sistem işleticisi, gerçekleşen güvenlik ihlallerini ve tespit edilen kritik güvenlik açıklarını, bunların giderilmesine yönelik alınan tedbirleri ve sonuçlarını içeren raporu yılda en az bir defa Bankaya sunar.

(6) Sistem işleticisi, gerçekleşen güvenlik ihlalleriyle ilgili delilleri en az on yıl süreyle güvenli bir şekilde muhafaza eder.

Denetim izi kayıt sistemi