|
ÖZET: Kayseri Büyükşehir Belediyesi, bilgi sistemi yönetimi ve sunucu ile veri barındırma hizmetlerini, bağlı şirketlerine sözleşmesiz ve ücretsiz bir şekilde sağlamıştır. Bu durum, kamu kurumlarının bilgi ve iletişim güvenliği için belirlenen tedbirlere aykırıdır. 06.07.2019 tarihli Cumhurbaşkanlığı Genelgesi, kamu kurumlarının bilişim hizmetlerini sözleşme ile temin etmesini ve bu sözleşmelere bilgi güvenliği gereksinimlerini eklemesini zorunlu kılmaktadır. Ayrıca, Kamu İç Kontrol Standartları Tebliği, bilgi sistemlerinin sürekliliği ve güvenilirliği için gerekli kontrol mekanizmalarının geliştirilmesini önermektedir.
Denetimlerde, belediye iştiraki şirketlere ait sunucu ve bilgi sistemlerinin, belediyenin veri merkezinde barındırıldığı ve bu hizmetlerin belediye tarafından ücretsiz sağlandığı tespit edilmiştir. Bu durum, yüksek maliyetlere yol açmakta ve sözleşmesiz hizmet sunulması, bilgi güvenliği ihlalleri ve kişisel verilerin korunması açısından riskler taşımaktadır. Ayrıca, olası felaket senaryolarında şirketlerin faaliyetlerinin sürekliliği tehlikeye girebilir. Sonuç olarak, Kayseri Büyükşehir Belediyesi’nin iştirak şirketlere sunduğu bilişim hizmetlerinin, karşılıklı sözleşmelerle düzenlenmesi ve ilgili mevzuat çerçevesinde gerekli unsurların sözleşmelere dahil edilmesi gerekmektedir. Bu yaklaşım, oluşan giderlerin paylaştırılmasını ve bilgi güvenliğinin sağlanmasını mümkün kılacaktır. |
BULGU: Belediye Şirketlerine Sunulan Sunucu ve Veri Barındırma Hizmetinin Sözleşme Yapılmadan Verilmesi
2024 Yılı Sayıştay Denetim Raporları – Büyükşehir Belediyesi
Kayseri Büyükşehir Belediyesi tarafından bilgi sistemi yönetimi ile sunucu ve veri barındırma hizmetlerinin idare iştiraki olan şirketlere sözleşmesiz olarak bila bedel verildiği tespit edilmiştir.
Kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet veren işletmelerin bilgi ve iletişim güvenliği kapsamında genel olarak alması gereken tedbirleri belirlemek için 06.07.2019 tarih ve 30823 sayılı Resmi Gazete’de Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi yayımlanmıştır. Yayımlanan Genelge doğrultusunda Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından Bilgi ve İletişim Güvenliği Rehberi hazırlanmıştır. 2019/2 sayılı Genelge’ye göre tüm kamu kurum ve kuruluşlarının Rehber’de yer verilen usul ve esaslara uymalarının zorunlu olduğu belirtilmiştir. Genelge’de bilişim hizmetlerinin sözleşme imzalanmak suretiyle temin edilmesi ve bu sözleşmelere bilgi güvenliği gereksinimlerinin eklenmesi şart koşulmaktadır.
Kamu İç Kontrol Standartları Tebliği’nin “Bilgi Sistemleri Kontrolleri” başlıklı 12 numaralı standardında da; idarelerin bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği belirtilmiş, bunun için gereken şartlar aşağıdaki şekilde sıralanmıştır:
“12.1. Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır.
12.2. Bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapılmalı, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulmalıdır.
İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir.”
Belediyelerin ortağı olduğu şirketler her ne kadar kamu sermayesi ile kurulmuş olsalar da 6102 sayılı Türk Ticaret Kanunu’na tabi özel hukuk tüzel kişileri olup, mevzuatla getirilen istisnalar hariç belediyelerle ilişkileri, diğer özel hukuk tüzel kişilerinden farklı değildir.
Yapılan denetimlerde; Belediye iştiraki şirketlere ait bazı sunucu ve bilgi sistemleri donanımlarının Belediye’nin veri merkezinde ve sistem odalarında barındırıldığı, sunucularda şirketlerin ticari nitelikteki bilgileri de dahil olmak üzere özel nitelikli kişisel verilerin muhafaza edildiği, donanımların bakım ve onarımlarının Belediye tarafından gerçekleştirildiği, tüm bu hizmetlerin bila bedel sağlandığı anlaşılmıştır.
Veri merkezinde sunulan sunucu barındırma, kabinet tahsis edilmesi vb. bilişim hizmetleri kapsamında Belediye; iklimlendirme, enerji, güvenlik, fiziksel ve çevresel kontroller, bakım ve onarım gibi birçok alanda yüksek tutarda maliyetlere katlanmaktadır. Bu hizmetlerin üst yöneticiler tarafından imza altına alınan sözleşme yapılmak suretiyle yerine getirilmesi, sözleşmeden doğacak giderlerin ilgililerine paylaştırılması, sözleşme kapsamında genel hususlar, görev ve sorumluluklar, teknik detaylar, veri merkezi hizmetleri, teknik destek, Hizmet Seviyesi Anlaşması (SLA) esasları ve gizlilik gibi unsurların belirlenmesi gerekmektedir.
Ayrıca Belediye’ye ait veri merkezinde gerçekleşecek olası felaket senaryoları ve kesintilere karşı şirketlerin faaliyetlerinin sürekliliğinin sağlanamaması ve bu gibi durumlarda şirketlerin dış paydaşlara olan sözleşmesel yükümlülüklerinin etkilenmesi risklerinin de göz önünde bulundurulması gerekmektedir.
Söz konusu hizmetlerin sözleşmesiz olarak sunulması, herhangi bir bilgi güvenliği ihlalinin meydana gelmesi, Kişisel Verilerin Korunması Kanunu çerçevesinde özel nitelikli kişisel verilerin güvenliğinin sağlanamaması ya da adli vaka oluşturan durumlarda sorumluluk tayini konusunda önemli sorunlara yol açabilecektir.
Kamu idaresince, bulguda tespit edilen hususların gereğinin yapılmasına yönelik sürecin devam ettiği belirtilmiştir.
Sonuç olarak, Kayseri Büyükşehir Belediyesi tarafından iştirak şirketlere verilen sunucu barındırma vb. bilişim hizmetlerinin karşılıklı sözleşme imzalanmak suretyile yerine getirilmesi, sözleşmelere ilgili mevzuat uyarınca yer verilmesi gereken unsurların dercedilmesi ve oluşan giderlerden ayrıştırılabilmesi mümkün olanların iştirakler arasında paylaştırılması gerekmektedir.