|
ÖZET: Kurumun bilişim sistemi ve yönetim politikası, belirlenen standartlara uygunluk göstermemekte ve bu durum bilgi güvenliği alanında ciddi eksikliklere yol açmaktadır. 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’na göre, üst yöneticiler kaynakların etkin ve verimli kullanımından sorumludur. Ayrıca, 2015-2018 Bilgi Toplumu Stratejisi ve Eylem Planı, bilgi güvenliğinin sağlanması için gerekli organizasyonel düzenlemelerin yapılmasını öngörmektedir. Kamu İç Kontrol Standartları Tebliği ve diğer ilgili mevzuatlar, bilişim sistemlerinin güvenliğini artırmak amacıyla belirli standartlar ve prosedürler sunmaktadır.
Denetim raporunda, belediyenin internet üzerinden sunduğu hizmetlerin e-devlet kapısına entegre edilmediği, bilişim sistemine dair yazılı düzenlemelerin ve stratejik planların eksik olduğu belirtilmiştir. Ayrıca, bilişim sisteminin güvenliğiyle ilgili risk değerlendirmesi yapılmadığı, lisanssız yazılım kullanıldığı ve kullanıcı şifrelerinin yeterince korunmadığı tespit edilmiştir. Yangın güvenliği, deprem önlemleri ve felaket kurtarma planlaması gibi konularda da yetersizlikler gözlemlenmiştir. Bu bulgular ışığında, idare tarafından gerekli altyapı çalışmalarının başlatıldığı ifade edilmiştir. Ancak, bilişim sisteminin standartlara uygun hale getirilmesi için eksikliklerin bir an önce giderilmesi gerekmektedir. |
BULGU: Bilişim Sistemi ve Yönetim Politikasının Standartlara Uygun Olmaması
2024 Yılı Sayıştay Denetim Raporları – İl Belediyesi
Kurumun bilişim sistemi ve yönetim politikasının standartlara uygun olmaması nedeniyle bilgi güvenliğinde eksiklikler olduğu tespit edilmiştir.
5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nun 11’inci maddesinde, üst yöneticilerin, sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, malî yönetim ve kontrol sisteminin işleyişinden sorumlu olduğu ifade edilmektedir.
Yüksek Planlama Kurulu’nun 24.02.2015 tarihli kararı ile kabul edilen ve 06.03.2015 tarihli Resmi Gazete’nin mükerrer sayısında yayımlanan 2015-2018 Bilgi Toplumu Stratejisi ve Eylem Planı’nda stratejik öncelikler arasında yer alan bilgi güvenliğinin ülke genelinde ve kamu kurumlarında bilgi sistemleri ile elektronik iletişim ve ağ bağlantılarında güvenliğin sağlanması ve sürdürülmesi için gerekli organizasyonel düzenlemelerin gerçekleştirileceğinden bahsedilmektedir.
26.12.2007 tarih ve 26738 sayılı Resmî Gazete’de yayımlanan Kamu İç Kontrol Standartları Tebliği’nin “3. Kontrol Faaliyetleri Standartları Bölümü-Standart: 12”de, bilişim sisteminin nasıl olacağı konusunda standartlar ve genel şartlar belirlenmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’te, kişisel verilerin işlenmesi, saklanması ve imhası hakkında hükümler bulunmaktadır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun’da internet ortamında işlenen suçlarla mücadeleye ilişkin esas ve usuller düzenlenmiştir.
Her ne kadar Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul ve Esaslar Hakkında Tebliğ uyarınca kurum bünyesinde kurulması zorunlu olmasa da Siber Olaylara Müdahale Ekibi’nin kuruluş, görev ve çalışmalarına ilişkin usul ve esaslar ilgili Tebliğ’de ifade edilmiştir.
Kamu Hizmetlerinin Sunumunda Uyulacak Usul ve Esaslara İlişkin Yönetmelik’in 4’üncü maddesinde, idarenin yapmakla görevli olduğu hizmetleri e-Devlet Kapısı’na entegre edeceği ifade edilmektedir.
Uluslararası Standartlar Teşkilatı (ISO) 27001 Bilgi Güvenliği Yönetim Sistemi Standardı, bilgi güvenliğine dair risklerin belirlenmesi ve yönetilmesi için kural ve esasları içermektedir. ISO 27002 ise bilgi güvenliği yönetim sistemi kurulumu sırasında izlenebilecek iyi uygulamalar ve öneriler içeren bir bilgi güvenliği standardıdır.
Devlet Arşiv Hizmetleri Hakkında Yönetmelik’in 5’inci maddesinde idarenin, elektronik ortamda teşekkül eden ve/veya depolanan belgeler için her türlü afet, siber saldırı, yazılım/donanım kaynaklı veya olası diğer tehditlere/risklere karşı gerekli güvenlik önlemlerinin alınması ve olası belge kayıplarının engellenmesi amacıyla felaket kurtarma planlaması yapılması ve yürütülmesi ile yedekleme ünitelerinin tesis edilmesinden sorumlu olduğu ifade edilmiştir.
Bilgi ve iletişim sistemlerinde bulunan güvenlik zafiyetleri, bu sistemlerin hizmet dışı kalmasına veya kötüye kullanılmasına, can/mal kaybına, büyük ölçekli ekonomik zarara, kamu düzeninin bozulmasına veya ulusal güvenliğin ihlaline neden olabilecektir.
Kurumun bilişim sistemi incelendiğinde; Belediyenin internet sitesinde elektronik olarak verilen hizmetlerin, e-devlet kapısına entegre edilmediği, bilişim sistemi, bilgi güvenliği, yedekleme, bilişim personelinin istihdamı ve eğitimi vs. konularında yazılı bir düzenlemenin ve Bilişim Stratejik Planı’nın olmadığı, risk değerlendirilmesi ile görevli bir birimin olmadığı, bilişim sistemine yönelik ‘Kurum Risk Listesi’nin düzenlenmediği, bilişim sistemi, veriler, yazılımlar, donanım vs. bütün bilgi varlıklarının güvenlik ihtiyacına göre, önem, hassasiyet veya başka açılardan sınıflandırılmadığı, bilişim sisteminin, bağımsız firmalarca incelenmediği, lisanssız yazılım kullanıldığı, bilişim sistemi güvenliği (tehditler) konusunda eğitim faaliyetlerinin yapılmadığı, görevler ayrılığı prensibi gereği birleşemeyecek görevlerin yer aldığı bir tablonun hazırlanmadığı, bilişim sistemine yapılan saldırıların, rapor halinde düzenli olarak üst yöneticiye verilmediği, kullanıcı şifrelerinin, şifre dosyalarında kodlanarak korunmadığı, sistemin, verilerin yedeklerinin tutulmadığı, sistem odasında yangın algılama ve söndürme sistemlerinin bulunmadığı, su basman seviyesi ile ilgili önlemlerin alınmadığı, sunucuların depreme karşı duvara veya tabana sabitlenmediği, deprem gibi olağanüstü durumlarda, sistemin kesintisiz çalışmasını sağlayan, Felaket Kurtarma Merkezinin kurulmadığı tespit edilmiştir.
Yukarıda yer alan denetim tespiti üzerine, İdare tarafından; gerekli altyapı çalışmalarının yapıldığı ifade edilmiştir.
Sonuç olarak, bahsedilen eksiklikler giderilip bilişim sistemi standartlara uygun hale getirilmelidir.