|
ÖZET: Belediyenin bilişim sistemi ve yönetim politikası, mevcut standartlara uygunluk göstermemektedir. 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nun 11. maddesi, üst yöneticilerin kaynakların etkili ve verimli kullanımını sağlama sorumluluğunu vurgulamaktadır. Ayrıca, 26.12.2007 tarihli Kamu İç Kontrol Standartları Tebliği ile bilişim sistemine dair belirlenen standartlar ve şartlar, bu alandaki eksikliklerin giderilmesi gerektiğini ortaya koymaktadır. ISO/IEC 27001 ve ISO/IEC 27002 gibi uluslararası standartlar, bilgi güvenliği için gerekli kriterleri belirlemektedir.
İncelemeler sonucunda, belediyede Bilgi İşlem Müdürlüğü gibi bir birimin bulunmadığı, mevcut personelin görev tanımlarının belirsiz olduğu ve bilişim sistemi güvenliğini sağlayan bir politika belgesinin eksik olduğu tespit edilmiştir. Ayrıca, kurum personelinin bilgi güvenliği konusunda eğitilmediği ve güvenlik ihlallerinin raporlanmadığı görülmüştür. Üst yönetim tarafından yazılı bir stratejinin oluşturulmamış olması, bilişim sistemlerinden kaynaklanabilecek risklerin tespit edilmediğini göstermektedir. Bu bağlamda, belediyenin mevzuat ve standartlara uygun bir bilişim sistemi kurma yönünde acil adımlar atması önem arz etmektedir. Bu çalışmalar, hem bilgi güvenliğini sağlamak hem de kamu kaynaklarının etkin kullanımını desteklemek açısından kritik bir gereklilik olarak öne çıkmaktadır. |
BULGU: Bilişim Sistemi ve Yönetim Politikasının Standartlara Uygun Olmaması
2024 Yılı Sayıştay Denetim Raporları – Büyükşehir İlçe Belediyesi
Belediyenin bilişim sistemi ve yönetim politikasının standartlara uygun olmadığı görülmüştür.
5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nun 11’inci maddesinde, üst yöneticilerin, sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, malî yönetim ve kontrol sisteminin işleyişinden sorumlu olduğu ifade edilmektedir.
26.12.2007 tarih ve 26738 sayılı Resmi Gazete’de yayınlanan Kamu İç Kontrol Standartları Tebliği ile bilişim sisteminin nasıl olacağı konusunda standartlar ve genel şartlar belirlenmiştir.
ISO/IEC 27001 ve ISO/IEC 27002 uluslararası standartlarında, bilgi güvenliği kriterleri belirlenmiştir. Bilgi ve iletişim sistemlerinde bulunan güvenlik zafiyetleri, bu sistemlerin hizmet dışı kalmasına veya kötüye kullanılmasına, can kaybına, büyük ölçekli ekonomik zarara, kamu düzeninin bozulmasına veya ulusal güvenliğin ihlaline neden olabilecektir.
İdarenin bilişim sistemi incelendiğinde;
Bilgi İşlem Müdürlüğü/Şefliği şeklinde bir birim oluşturulmadığı, fiilen çalışmakta olan 1 bilgisayar mühendisinin ve 1 bilgisayar işletmeninin Yazı İşleri Müdürlüğünde istihdam edildiği, bu alanda istihdam edilen personelin görev, yetki ve sorumluluğunun tanımlanmış bir düzenlemenin olmadığı,
Donanım, yazılım, veri ve programlara erişimin yetkili kullanıcılarla sınırlandığını güvence altına alan, bilişim sistemi güvenliğini kapsayan bir politika belgesinin bulunmadığı,
Kurum personelinin bilgi güvenliği politikası konusunda bilgilendirilmediği,
Güvenlik ihlallerinin kaydedilmek suretiyle raporlanmadığı,
Bilişim sistemlerine ilişkin olarak kurumun üst yönetimi tarafından oluşturulmuş yazılı bir politika ya da strateji bildiriminin bulunmadığı,
Bilişim sistemlerinden kaynaklanabilecek risklerin tespit edilmediği,
Bilgi İşlem personelinin eğitimi ve istihdamına ilişkin politikasının bulunmadığı, söz konusu personel için eğitim faaliyetlerinin düzenlenmediği,
Kurum personeline program değişiklikleri, bilgi güvenliği, internet erişimi gibi bilişim konularında eğitim faaliyetleri düzenlenmediği tespit edilmiştir.
Belediyenin mevzuat ve standartlara uygun bir bilişim sisteminin kurulması için gerekli çalışmaları başlatması yerinde olacaktır.