|
ÖZET: Kurum bilgi sistemlerinde, gizlilik, bütünlük ve erişilebilirlik açısından önemli eksiklikler tespit edilmiştir. 2024 yılı Sayıştay Denetim Raporları’na göre, Kayseri Büyükşehir Belediyesi’nin bilişim sistemlerinde gerekli kontrol mekanizmalarının oluşturulmadığı ve bilgi güvenliği yönetim sisteminin eksik olduğu belirlenmiştir. Ayrıca, yazılı bir bilgi teknolojileri stratejisinin bulunmaması, üst yönetim onaylı politika ve prosedürlerin eksikliği gibi sorunlar da dikkat çekmektedir.
Denetim sürecinde, bilgi güvenliği ile ilgili çeşitli alanlarda eksiklikler saptanmıştır. Bu eksiklikler arasında, görev ayrılığı ilkesine uyulmaması, bilgi varlık envanterinin oluşturulmaması ve personelin bilgi güvenliği konusundaki farkındalığının artırılmaması yer almaktadır. Ayrıca, güncel sızma testlerinin yapılmaması ve iç denetim birimlerinin bilişim sistemlerini denetlememesi gibi durumlar da tespit edilmiştir. Bu eksikliklerin giderilmesi için, uluslararası standartların ve iyi uygulama pratiklerinin dikkate alınarak bilgi sistemlerinin yapılandırılması ve yönetilmesi önerilmektedir. Belediyenin bilgi sistemlerinde tespit edilen bu sorunların çözülmesi, veri güvenliğinin sağlanması ve kurumsal hedeflere ulaşılması açısından kritik öneme sahiptir. |
BULGU: Kurum Bilgi Sistemlerinin Kontrol Eksiklikleri İçermesi
2024 Yılı Sayıştay Denetim Raporları – Büyükşehir Belediyesi
Kurumun bilgi sistemlerinde, ilgili sistemlerin barındırdığı bilgilerin gizlilik, bütünlük ve erişilebilirliğini etkileyecek eksiklikler olduğu ve bilişim ortamına ilişkin bazı kontrol mekanizmalarının oluşturulmadığı görülmüştür.
2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi’nde kurumların; karşılaşılan güvenlik risklerinin azaltılması, etkisiz kılınması ve özellikle gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda milli güvenliği tehdit edebilecek veya kamu düzeninin bozulmasına yol açabilecek kritik türdeki verilerin güvenliğinin sağlanması amacıyla gerek Genelgede gerekse de Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından çıkarılan Bilgi ve İletişim Güvenliği Rehberinde yer verilen tedbirlere uygun davranmakla sorumlu oldukları ifade edilmiştir.
5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nun 11’inci maddesinde, üst yöneticilerin, sorumlulukları altındaki kaynakların etkili, ekonomik ve verimli şekilde elde edilmesi ve kullanımını sağlamaktan, kayıp ve kötüye kullanımının önlenmesinden, malî yönetim ve kontrol sisteminin işleyişinden sorumlu olduğu belirtilmiştir.
2006/38 sayılı Yüksek Planlama Kurulu Kararı’yla onaylanan ve 28.07.2006 tarihli ve 26242 sayılı Resmi Gazete’de yayımlanan Bilgi Toplumu Stratejisi Belgesi’nde stratejik öncelikler arasında yer alan bilgi güvenliğinin ülke genelinde ve kamu kurumlarında bilgi sistemleri ile elektronik iletişim ve ağ bağlantılarında güvenliğin sağlanması ve sürdürülmesi için gerekli organizasyonel düzenlemelerin gerçekleştirilmesinden bahsedilmiştir.
Kamu İç Kontrol Standartları Tebliği’nin “Bilgi Sistemleri Kontrolleri” başlıklı 12 numaralı standardında da; idarelerin bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlamak için gerekli kontrol mekanizmalarını geliştirmeleri gerektiği belirtilmiş, bunun için gereken şartlar aşağıdaki şekilde sıralanmıştır:
“12.1. Bilgi sistemlerinin sürekliliğini ve güvenilirliğini sağlayacak kontroller yazılı olarak belirlenmeli ve uygulanmalıdır.
12.2. Bilgi sistemine veri ve bilgi girişi ile bunlara erişim konusunda yetkilendirmeler yapılmalı, hata ve usulsüzlüklerin önlenmesi, tespit edilmesi ve düzeltilmesini sağlayacak mekanizmalar oluşturulmalıdır.
İdareler bilişim yönetişimini sağlayacak mekanizmalar geliştirmelidir.”
Kayseri Büyükşehir Belediyesi bilişim sistemlerine yönelik olarak yapılan denetim “BT Yönetişim/Yönetim Kontrolleri”, “Proje Yönetimi”, “Sistem Geliştirme ve Edinim”, “İşletim ve Bakım”, “İş Sürekliliği ve Felaket Kurtarma Planlaması”, “Bilgi Güvenliği”, “Uygulama Kontrolleri” ve “Dış Tedarik” kontrol alanları esas alınmak suretiyle gerçekleştirilmiştir. Belirtilen kontrol alanları bazında Kurumda tespit edilen eksiklikler şu şekildedir:
– Bilgi Güvenliği Yönetim Sisteminin (BGYS) kurulmadığı,
– Yazılı ve müstakil bir Bilgi Teknolojileri (BT) stratejisinin bulunmadığı,
– BT’ye ilişkin stratejik planlamanın ve koordinasyonun sağlanmasına yönelik BT Strateji Kurulu ve BT Yönlendirme Kurulu gibi BT yönetişimini sağlayacak yapıların oluşturulmadığı,
– Bilgi güvenliğine ilişkin üst yönetici tarafından onaylanmış yazılı politika, prosedür ve süreç dokümanlarının olmadığı,
– Görevler ayrılığı prensibine uyulmayan durumların olduğu,
– BT risk değerlendirmesinin yönetiminde eksiklikler olduğu,
– BT varlık envanterinin ve veri envanterinin oluşturulmadığı,
– İş süreçleri ve BT hizmetlerinin etkin kullanımı ve operasyonunu sağlamak için gerekli olan veri sözlüğünün oluşturulmadığı,
– Belediye personeline bilgi güvenliği ve kişisel verilerin korunması gibi BT’yi ilgilendiren konularda farkındalığı artırmaya yönelik eğitimlerin düzenli olarak verilmediği,
– Veri sorumlusu olarak herhangi bir personelin atanmadığı,
– Güncel bir sızma ve penetrasyon testi yaptırılmadığı,
– İç denetim ve teftiş birimlerince bilişim sistemlerine ilişkin bir denetim gerçekleştirilmediği,
– BT Projelerinin yönetiminde eksiklikler olduğu,
– Yazılım geliştirme süreçlerinin detaylı olarak belgelendirilmediği,
– Yazılım geliştirme veya değişikliğe ilişkin test süreçlerinin tanımlanmadığı,
– Yardım masası ve talep yönetimi kapsamındaki işletim ve bakım kontrollerinde zaafiyetler bulunduğu,
– Konfigürasyon yönetimi faaliyetleri için yazılı bir kurumsal politika veya prosedür ile konfigürasyon veri tabanının olmadığı,
– Kapsamlı bir BT kapasite planının ve kapasite yönetim sürecinin olmadığı,
– Üst yönetim tarafından onaylanmış yazılı bir iş sürekliliği planı ve felaket kurtarma planının olmadığı,
– Üst yönetim tarafından iş sürekliliği kapsamındaki faaliyetlerin yürütülmesinden sorumlu bir ekip oluşturulmadığı,
– Bilgi sistemlerinde coğrafi yedekliliğin uygulanmadığı,
– Sistem odalarında bazı fiziksel ve çevresel güvenlik kontrollerinin yetersiz olduğu,
– Veri Kaybı Önleme (DLP) sistemi kullanılmadığı,
– Bilgisayarlarda kullanılan Windows işletim sisteminde kurulum, yapılandırma ve erişim ayarı eksikleri bulunduğu,
– Uygulamalara ilişkin kullanım kılavuzlarının olmadığı,
– BT ile ilgili alım sözleşmelerinde tedarikçilerden ürünlerde arka kapı açıklığı olmadığına ilişkin taahhütname alınmadığı
tespit edilmiştir.
Yukarıda yer alan eksikliklerin düzeltilmesi için belirtilen düzenlemelere ek olarak, Kurumun bilgi sistemlerini yapılandırıp yönetirken uluslararası iyi uygulama pratiklerini de içeren TSE/ISO-IEC 27001-27002 gibi standart ve çerçeveleri de göz önünde bulundurması bilgi sistemlerinin güvenliğinin sağlanması noktasında Belediye’ye yardımcı olacaktır.
Kamu idaresi tarafından bulgu içerisinde ifade edilmiş olan eksikliklerin giderilmesi için gerekli süreçlerin başlatıldığı ifade edilmiştir.
Sonuç olarak; bilgi güvenliğinin güvence altına alınması, veri bütünlüğü, gizlilik ve erişilebilirlik kontrol hedefleri ile kurumsal amaçlara etkin bir şekilde ulaşılabilmesinin temini için Belediyenin bilgi sistemlerinde tespit edilen eksikliklerin giderilerek bilişim ortamına ilişkin tüm kontrol mekanizmalarının oluşturulması gerekmektedir.