|
ÖZET: 2024 yılı Sayıştay Denetim Raporları, Büyükşehir İlçe Belediyesi’nin bilişim sistemi ve yönetim politikasının standartlara uygun olmadığını ortaya koymuştur. Bu durum, bilgi güvenliği alanında ciddi eksikliklerin varlığına işaret etmektedir. 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu, üst yöneticilerin kaynakların etkin ve verimli kullanımını sağlama sorumluluğunu vurgularken, Bilgi Toplumu Stratejisi Belgesi de bilgi güvenliğinin sağlanması için gerekli organizasyonel düzenlemelerin yapılmasını öngörmektedir. Ayrıca, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve diğer ilgili mevzuatlar, kişisel verilerin işlenmesi ve korunması konusunda belirli hükümler içermektedir.
İdarenin bilişim sistemi incelendiğinde, yazılı bir bilişim teknolojisi stratejisi, bilgi güvenliği politikası ve güvenlik gereksinimlerine göre sınıflandırma cetveli gibi temel unsurların eksik olduğu tespit edilmiştir. Ayrıca, sistem ve uygulamalara erişimde güçlü kimlik doğrulama gerekliliği, yedekleme prosedürleri ve güvenli veri transferine ilişkin düzenlemelerin bulunmadığı görülmektedir. Yedekleme ünitelerinin deniz seviyesine sıfır noktada ve dış mekânda bulunması, doğal afetler açısından ciddi bir risk taşımaktadır. Bu bağlamda, afetlerin sisteme verebileceği zararları önlemek amacıyla, belirtilen standartlara uygun bir bilişim sistemi kurulması ve gerekli tedbirlerin alınması önem arz etmektedir. |
BULGU: Bilişim Sistemi ve Yönetim Politikasının Standartlara Uygun Olmaması
2024 Yılı Sayıştay Denetim Raporları – Büyükşehir İlçe Belediyesi
İdarenin bilişim sistemi ve yönetim politikasının standartlara uygun olmaması nedeniyle bilgi güvenliğinde eksiklikler olduğu tespit edilmiştir.
5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nun 11’inci maddesinde, üst yöneticilerin, sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, malî yönetim ve kontrol sisteminin işleyişinden sorumlu olduğu ifade edilmektedir.
2006/38 sayılı Yüksek Planlama Kurulu Kararı’yla onaylanan ve 28/07/2006 tarihli ve 26242 sayılı Resmi Gazete’de yayımlanan Bilgi Toplumu Stratejisi Belgesi’nde stratejik öncelikler arasında yer alan bilgi güvenliğinin ülke genelinde ve kamu kurumlarında bilgi sistemleri ile elektronik iletişim ve ağ bağlantılarında güvenliğin sağlanması ve sürdürülmesi için gerekli organizasyonel düzenlemelerin gerçekleştirileceğinden bahsedilmektedir.
26.12.2007 tarih ve 26738 sayılı Resmi Gazete’de yayınlanan Kamu İç Kontrol Standartları Tebliği’nin “3. Kontrol Faaliyetleri Standartları Bölümü-Standart: 12” de, bilişim sisteminin nasıl olacağı konusunda standartlar ve genel şartlar belirlenmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’te, kişisel verilerin işlenmesi, saklanması ve imhası hakkında hükümler bulunmaktadır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun’da internet ortamında işlenen suçlarla mücadeleye ilişkin esas ve usuller düzenlenmiştir.
Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul ve Esaslar Hakkında Tebliğ’de, kurum bünyesinde kurulması istenen Siber Olaylara Müdahale Ekibi’nin kuruluş, görev ve çalışmalarına ilişkin usul ve esaslar belirlenmiştir.
Kamu Hizmetlerinin Sunumunda Uyulacak Usul ve Esaslara İlişkin Yönetmelik’in 4’üncü maddesinde, idarenin yapmakla görevli olduğu hizmetleri e-Devlet Kapısı’na entegre edeceği ifade edilmektedir.
Uluslararası Standartlar Teşkilatı (ISO) 27001 Bilgi Güvenliği Yönetim Sistemi Standardı, bilgi güvenliğine dair risklerin belirlenmesi ve yönetilmesi için kural ve esasları içermektedir. ISO 27002 ise bilgi güvenliği yönetim sistemi kurulumu sırasında izlenebilecek iyi uygulamalar ve öneriler içeren bir bilgi güvenliği standardıdır.
Bilgi ve iletişim sistemlerinde bulunan güvenlik zafiyetleri, bu sistemlerin hizmet dışı kalmasına veya kötüye kullanılmasına, can ve mal kaybına, büyük ölçekli ekonomik zarara neden olabilecektir.
İdarenin bilişim sistemi incelendiğinde;
İdarenin yazılı ve müstakil bir (BT) bilişim teknolojisi stratejisi olmadığı,
Yazılı bir bilgi güvenliği politikası olmadığı,
Bilgi varlıklarını güvenlik gereksinimlerine göre sınıflandıran bir sınıflandırma cetvelinin olmadığı,
Fiziksel ve çevresel kontrollere ilişkin yazılı prosedürlerinin olmadığı,
Sistem ve uygulamalara erişimde güçlü kimlik doğrulama zorunluluğu olmadığı,
BT birimi ile sunduğu hizmetlerden faydalananlar arasında hizmet şartlarını belirleyen ve bilgi güvenliğine ilişkin unsurları içeren dokümanların (Hizmet Seviyesi Anlaşması HSA) hazırlanmadığı,
BT hizmetlerinin aksamasına neden olan olayların (sistem arızaları, hizmet reddi, güvenlik ihlali vb.) takip, yönetim ve çözümüne ilişkin prosedürlerin oluşturulmadığı,
BT varlıkları üzerinde gerçekleştirilecek değişikliklerin yönetimi için prosedür oluşturulmadığı,
İdarenin yazılı bir yedekleme prosedürünün olmadığı,
Alınan yedeklerin İdarenin bilişim sistemlerinin bulunduğu coğrafi mekândan farklı ve güvenli bir ortamda muhafaza edilmediği,
Güvenli veri transferi için belirlenmiş prosedürlerin olmadığı
İş sürecini tanımlayan bir iş ve zaman çizelgesinin olmadığı,
Mevcut verinin yeni veya değiştirilmiş ortama tam ve doğru olarak aktarılması için bir kontrol prosedürünün olmadığı tespit edilmiştir.
Ayrıca yedekleme ünitelerinin bağlı olduğu jeneratörlerin belediye binasının dışında ve deniz seviyesine sıfır noktasında bulunduğu görülmüştür. Deprem bölgesi olan İzmir’de yedekleme ve belediyenin elektrik ünitelerinin bağlı olduğu jeneratörlerin denize sıfır seviyesinde ve bina dışında kurulmuş olmasının doğal afet sonrası sistemin çalışması konusunda fazlasıyla risk unsuru barındırdığı düşünülmektedir. Öncelikle elektrik jeneratörünün doğal afetten etkilenmeyecek bir konuma taşınması gerekmektedir.
Bu itibarla, belirtilen standartlara ve anılan mevzuata uygun bir bilişim sistemi kurulması ve öncelikle afetlerin sisteme vereceği telafisi güç zararlarının önlenmesi için gerekli tedbirlerin alınması gerekmektedir.