|
ÖZET: Üniversitenin bilgi sistemlerinde, gizlilik, bütünlük ve erişilebilirlik açısından önemli eksiklikler tespit edilmiştir. 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ve Bilgi ve İletişim Güvenliği Rehberi, kurumların güvenlik risklerini azaltma ve kritik verilerin güvenliğini sağlama yükümlülüğünü vurgulamaktadır. Ayrıca, 6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesi ve silinmesi ile ilgili düzenlemeleri içermekte, kamu idarelerinin bu yükümlülüklere uyması beklenmektedir.
Denetim sonuçlarına göre, üniversitenin bilgi sistemleri için gerekli kontrol mekanizmalarının yeterince geliştirilmediği, felaket kurtarma merkezinin bulunmadığı ve fiziksel alanların güvenlik standartlarına uygun olmadığı belirlenmiştir. Ayrıca, BT hizmet alımlarında hizmet seviyelerinin net bir şekilde tanımlanmadığı ve kişisel verilerin korunması için gerekli mekanizmaların kurulmadığı tespit edilmiştir. Kamu idaresi, bu bulgulara ilişkin düzeltme işlemlerine başladığını bildirmiştir. Sonuç olarak, üniversitenin bilgi sistemlerinde tespit edilen eksikliklerin giderilmesi, bilgi güvenliğinin sağlanması ve kurumsal hedeflere ulaşılması açısından kritik öneme sahiptir. Bu bağlamda, gerekli iyileştirmelerin bir an önce hayata geçirilmesi gerekmektedir. |
BULGU: Bilgi Sistemleri Kontrollerine Dair Eksiklikler Bulunması
2023 Yılı Sayıştay Denetim Raporları – Üniversite ve Üniversite Döner Sermayesi
Üniversitenin bilgi sistemlerinde, ilgili sistemlerin barındırdığı bilgilerin gizlilik, bütünlük ve erişilebilirliğini etkileyecek eksiklikler olduğu görülmüştür.
06.07.2019 tarih ve 30823 sayılı Resmi Gazete’de yayımlanan 2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi’nde; kurumların karşılaşılan güvenlik risklerinin azaltılması, etkisiz kılınması ve özellikle gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda milli güvenliği tehdit edebilecek veya kamu düzeninin bozulmasına yol açabilecek kritik türdeki verilerin güvenliğinin sağlanması amacıyla Genelgede ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından çıkarılan Bilgi ve İletişim Güvenliği Rehberinde yer verilen tedbirlere uygun davranmakla sorumlu oldukları ifade edilmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Kapsam” başlıklı 2’nci maddesinde; bu Kanun hükümlerinin, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacağı belirtilmiştir.
Aynı Kanun’un “Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi” başlıklı 7’nci maddesinin birinci fıkrasında; bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren nedenlerin ortadan kalkması hâlinde kişisel verilerin resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinip, yok edileceği veya anonim hâle getirileceği hüküm altına alınmıştır.
Kamu İç Kontrol Standartları Tebliği’nin “Bilgi Sistemleri Kontrolleri” başlıklı 12 numaralı Standardında; idarelerin bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği belirtilmiştir.
Denetimlerde Üniversitenin bilişim sistemlerinin bilgi güvenliğini güvence altına alacak, veri bütünlüğü, gizliliği ve erişilebilirliği ile kurumsal amaçlara etkin biçimde ulaşılmasını sağlayacak şekilde tasarlanıp tasarlanmadığının değerlendirilmesi sonucunda;
– Üniversitenin standartlara uygun bir felaket kurtarma merkezinin bulunmadığı,
– Bilgi İşlem Başkanlığına ait fiziksel alanların, girişin kontrollü bir şekilde yapılmasına müsait olmadığı,
– Sistem odasının yeri ve yapısı itibariyle sistem odası standartlarına uygun olarak tasarlanmadığı,
– BT hizmet alımlarında yüklenici ile yapılan sözleşmelerde hizmet seviyelerinin belirlenmediği,
tespit edilmiştir.
Ayrıca Bilgi İşlem Başkanlığından alınan bilgilere göre Üniversitede 6698 sayılı Kişisel Verilerin Korunması Kanunu gereğince yapılması gerekenlerin tümüyle yapılmadığı ve kurulması gereken mekanizmaların kurulmadığı öğrenilmiştir.
Kamu İdaresi tarafından bulguda yer alan tespitlere katılınmış, düzeltme işlemlerine başlanıldığı bilgisi verilmiştir.
Sonuç olarak; bilgi güvenliğinin güvence altına alınması, veri bütünlüğü, gizliliği ve erişilebilirliği ile kurumsal amaçlara etkin şekilde ulaşılmasının sağlanması için Üniversitenin bilgi sistemlerinde tespit edilen eksikliklerin giderilmesi gerekmektedir.
Tel: 0 312 295 30 00; Faks: 0 312 295 48 00
e-posta: sayistay@sayistay.gov.tr
https://www.sayistay.gov.tr