|
ÖZET: Kartlı Geçiş Sistemi Bakım Destek ve Geliştirme İşinin sözleşmesine uygun olarak yürütülmediği, 2024 yılı Sayıştay Denetim Raporları’nda tespit edilmiştir. Üniversitede kullanılan turnikeler ve kart okuyucu terminallerinin bakım ve geliştirme süreçlerinde, yüklenicinin sözleşmede belirtilen yükümlülükleri yerine getirmediği görülmüştür. Özellikle, otomasyon sisteminin yazılımına entegre edilmesi gereken bilgi güvenliği araçlarının eklenmediği ve çok faktörlü kimlik doğrulama sisteminin uygulanmadığı belirlenmiştir. Kamu idaresi, yüklenicinin bu araçları geliştirdiğini, ancak gerekli altyapının hazır olduğunu ve sistemin en kısa sürede aktif hale getirileceğini ifade etmiştir.
Ayrıca, yüklenicinin sistem destek ve geliştirme taleplerine zamanında yanıt vermediği ve sözleşmede belirtilen cezai müeyyidelerin uygulanmadığı tespit edilmiştir. Sözleşmeye göre, sorunların bildirilmesinden itibaren belirli bir süre içinde müdahale edilmesi gerekmektedir. Ancak, idare tarafından iletilen taleplerin geri dönüşü yapılmadığı ve çözüm üretilmediği görülmüştür. Bu durum, hizmet kalitesinde aksamalara ve bilgi güvenliği zafiyetlerine yol açabilecektir. Kamu idaresi, yüklenicinin iletişim yükümlülüklerine uymadığını ve sözleşmenin cezai şartlarının uygulanması gerektiğini vurgulamıştır. |
BULGU: Kartlı Geçiş Sistemi Bakım Destek ve Geliştirme İşinin Sözleşmesine Uygun Yürütülmemesi
2024 Yılı Sayıştay Denetim Raporları – Üniversite
Üniversitede kullanılan turnikeler, kart okuyucu terminaller ve akıllı kart sistemini yöneten otomasyon sisteminin periyodik bakımlarının yapılması, arızalarının giderilmesi ve ekran geliştirmesi hizmeti alımı işinin sözleşmesine uygun yürütülmediği görülmüştür.
İdare ile yüklenici arasında 17.06.2024 tarihinde yapılan Kartlı Geçiş Sistemi Destek, Bakım ve Geliştirme İşinin sözleşmesi ve uygulanması sürecine yönelik olarak yapılan incelemede aşağıdaki hususlar tespit edilmiştir:
a) Teknik Şartnamedeki Bilgi Güvenliğini Sağlamaya Yönelik Araçların
Uygulama Yazılımına Eklenmemesi
Sözleşmeye göre, Otomasyon sistemi yazılımına yerleştirilmesi gereken bilgi güvenliğini sağlamaya yönelik araçların, uygulama yazılımına eklenmediği görülmüştür.
Sözleşmenin ‘Yüklenicinin sorumlulukları’ başlıklı 5.2′ nci maddesinde;
“Yüklenici çok faktörlü kimlik doğrulama geliştirmesi gerçekleştirilecektir. Bu kapsamda, idarenin belirleyeceği şekilde sms,mail ve/veya TOTP (Zaman Tabanlı Tek Seferlik parola Algoritması) ile doğrulama işlemi gerçekleştirilmesi sağlanacaktır.
Yüklenici, Gelişmiş Captcha entegrasyonu gerçekleştirecektir. Bu kapsamda; görsel anlamlandırması, imleç hareketleri, tıklama düzenleri ve tarayıcı davranışları gibi faktörler ile kullanıcıların gerçek kişi olduğu değerlendirilecektir…”
denilerek, kurum bilgi güvenliğini sağlamak ve zafiyetleri bertaraf etmek amacıyla, çok faktörlü kimlik doğrulaması ile sorgulama ve yanıt doğrulama esaslı güvenlik aracı geliştirileceği ifade edilmiştir.
Yapılan incelemede, sözleşmede öngörülen çok faktörlü kimlik doğrulama araçları ile gelişmiş captcha entegrasyonunun sisteme yerleştirilmediği belirlenmiştir.
Kamu idaresi cevabında; bulguda konu edilen güvenlik araçlarının yüklenici tarafından geliştirildiği, geliştirilen bileşenlerin devreye alınması için gerekli altyapının hazır olduğu, yüklenici ile uygulama planlamalarının tamamlandığı ve yapılan geliştirmelerin sistem üzerinde en kısa sürede aktif hale getirileceği belirtilmiştir.
Sözleşme süresinin bitiş tarihi olan 31/12/2024 tarihine kadar yerine getirilemeyen edim için, yüklenici kusuru sözkonusu ise ilgili zarar ve ziyanın sözleşmenin cezai şart başlıklı maddesine göre hesaplanarak yükleniciden tahsil edilmesi, İdareden kaynaklı sorumluluk sözkonusu ise, ihtiyaçların belirlenmesi ve temininde daha hassas davranılarak, işin yürütülmesinde zorunlu olmayan ve İdareyi külfet altına sokacak hususların ihale dokümanlarına yazılmaması gerekmektedir.
b) Sistem Destek ve Geliştirme Taleplerinin Yüklenici Tarafından Karşılanmaması
Yüklenicinin sözleşmede belirtilen sisteme müdahale etme ve çözüm üretme süresi yükümlülüğüne uygun hareket etmediği halde, öngörülen cezai müeyyidelerin uygulanmadığı belirlenmiştir.
Sözleşmenin ‘Sorun Takip ve Çözüm Süreci’ başlıklı 5.1’inci maddesinde; ”Yüklenici kaynaklı İdare’nin Hizmet Almasını Etkileyen Sorunlar İşgünlerinde mesai süresi başlangıcı olan 09:00 da, sorunun bildirildiği saatten itibaren 2 saat içinde soruna müdahale edilir ve mesai günü içinde sorun tamamen giderilmeye gayret edilir.
Yüklenici kaynaklı ve İdare tarafından bildirilmiş RFID Kartlı Geçiş Sistemindeki sorunlar, bildirilmesi üzerinden 72 saat geçmesine rağmen düzeltilmemiş ise; sistemin kullanılamadığı gün/saat süresince Yüklenici’ ye ödemesi gerekli RFID Kartlı Geçiş Sistcmi’ndeki tutarın ödcnmcyeceği/ödenmiş ise İdare’yc iade edeceğini Yüklenici kabul ve taahhüt eder.” denilerek hizmetin sunumunda sorun ortaya çıkması ve/veya kesinti yaşanması durumunda, yüklenicinin olaya müdahil olma ve çözüm üretme süresini belirten hizmet seviyesi anlaşmaları parametreleri saat ve gün olarak sözleşmede belirtilmiştir.
İdare tarafından yükleniciye 2024 yılının Aralık ayında e-posta yolu ile iletilen taleplerden basit örneklem yöntemiyle seçilen 4 tanesine, 30 Ocak 2025 tarihi itibariyle geri dönüş yapılmadığı ve çözüm üretilmediği halde, sözleşmede öngörülen müeyyidelerin uygulanmadığı görülmüştür.
Yüklenicinin işin yerine getirilmesinde sözleşmede öngörülen koşullara uymaması sonucu İdarenin gerekli müeyyideleri uygulamamasının, kesintisiz ve kaliteli hizmet sunumunda sorunlar yaşanmasına ve bilgi güvenliği zafiyetlerine neden olacağı değerlendirilmektedir.
Kamu idaresi cevabında, sözleşme süresi boyunca yemek hizmeti sunumunu aksatan kritik bir arıza yaşanmadığı, İdare tarafından yükleniciye e-posta ile bildirilen taleplerin hizmet kalitesini etkilemeyen geliştirme ve iyileştirme kapsamındaki işler olduğu ve iş planına alınarak gerçekleştirildiği, ancak firma tarafından e-posta yoluyla geri dönüş yapılmadığından bu taleplerin sistem üzerinde tamamlanmamış açık talepler olarak görüldüğü, sözleşme kapsamındaki bildirim ve iletişim yükümlülüklerine uyulması gerektiğinin yükleniciye hatırlatıldığı belirtilmiştir.
Sözleşmeye göre, sadece sistem kesintisi veya kritik arıza gerektiren hususlara değil, İdareden gelecek her talebe yüklenici tarafından süresi içinde cevap verilmesi gerekmekte olup, yüklenici tarafından karşılanmayan ihtiyaç ve talepler için İdare tarafından sözleşmenin cezai şartlar bölümüne göre işlem tesis edilmesi gerekmektedir.