Madde 9 — Kimlik doğrulama, erişim denetimi ve inkar edilemezlik

MADDE 9 – (1) Sistem işleticisi, bilgi sistemlerinde gerçekleştirilen işlemlerde kullanılmak üzere yeterli ve etkin bir kimlik doğrulama sistemi kurar.

(2) Sistem işleticisi, kimlik doğrulama sisteminin bilgi sistemlerinin hangi alt bileşenleri için geçerli olacağını ve kimlik doğrulama sisteminde hangi alt bileşen için hangi kimlik doğrulama tekniklerinin kullanılacağını açıkça belirler.

(3) Sistem işleticisi, personelin sistem içerisinde kullanılan ağlara, alt sistemlere, uygulamalara, verilere ve fiziksel ortamlara erişimine ilişkin yetki ve sınırlandırmaları, personelin görev, yetki ve sorumlulukları kapsamında işin gerektirdiği bilgiye erişimine imkan verecek şekilde açıkça belirler ve yetkisiz erişimleri engellemek üzere gerekli tedbirleri alır.

(4) Sistem işleticisi, kimlik doğrulama için kullanılan verilerin güvenliği ile şifreli olarak aktarılması ve tutulması için gerekli altyapının oluşturulmasını sağlar.

(5) Sistem işleticisi, bilgi sistemlerinin kullanımında oturum güvenliğini sağlayacak tedbirleri alır.

(6) Sistem işleticisi, bilgi sistemlerinde sistem faaliyetleri ile ilgili gerçekleştirilen işlemler için inkar edilemezliği sağlayacak teknolojik ve hukuki altyapıyı oluşturur.

Bilgi sistemlerine ilişkin risk yönetimi