Bankalarda veri sızıntısı hem düzenleyici ceza hem de itibar kaybı demektir. BDDK, KVKK ve PCI DSS’in DLP’den ne beklediğini, en riskli kanalları ve 90 günlük uygulama planını anlatıyoruz.
Önemli Çıkarım
Finans kurumunda DLP isteğe bağlı değildir, birden fazla düzenleme bunu bekler. BDDK erişim ve kayıt ister, KVKK kişisel veri güvenliği ister, PCI DSS kart verisinin korunmasını ister. Tek bir DLP ve veri keşfi programı bu üç beklentinin önemli kısmını karşılar.
- Önce hassas verinin yerini bulun: müşteri bilgisi, IBAN, kart numarası, kredi dosyaları.
- En riskli kanallar: USB, kişisel e-posta, kişisel bulut, yapay zeka araçları ve ekran görüntüsü.
- Politikaları önce izleme modunda açın, sonra engellemeye geçin.
- Denetim için olay kayıtlarını değiştirilemez biçimde saklayın.
- Veriyi ve kayıtları yurt içinde, kendi altyapınızda tutun.
Finans sektörü neden farklı?
Bir bankada hassas veri her yerdedir. Şube çalışanı müşteri kimliğini görür, kredi analisti gelir belgelerini işler, çağrı merkezi kart bilgisini duyar. Veri çok sayıda çalışan ve sistem arasında hareket eder. Bu da iç tehdit ve hata kaynaklı sızıntı riskini artırır.
Ayrıca finans kurumları birden fazla düzenleyicinin denetimi altındadır. Bir sızıntı hem KVKK hem BDDK hem de kart şemaları açısından sonuç doğurabilir.
Düzenlemeler DLP’den ne bekler?
| Düzenleme | İlgili beklenti | DLP ve veri keşfinin katkısı |
|---|---|---|
| BDDK Bilgi Sistemleri Yönetmeliği | Erişim kontrolü, iz kaydı, bilgi güvenliği yönetimi, birincil ve ikincil sistemlerin yurt içinde olması | Veri hareketlerinin kaydı, yetkisiz aktarımın engellenmesi, kurum içi kurulum |
| KVKK (6698) m.12 | Kişisel verinin hukuka aykırı işlenmesini ve erişimini önleyecek teknik tedbirler | Kişisel veri keşfi, sınıflandırma ve çıkış kontrolü |
| PCI DSS v4.0 | Kart verisinin nerede saklandığının bilinmesi ve korunması | Kart numarası taraması ve kapsam dışı sistemlerde bulunan kart verisinin tespiti |
Bu tablo bir hukuki görüş değildir. Kurumunuzun uyum ekibi ile birlikte kendi kontrol listenizi çıkarın.
Bankalarda en riskli 6 veri kanalı
- USB ve harici disk: Toplu müşteri listesinin fiziksel olarak çıkarılması.
- Kişisel e-posta: Kurum dışı adrese ek gönderimi.
- Kişisel bulut depolama: Dosyanın kişisel hesaba yüklenmesi.
- Yapay zeka araçları: Kredi dosyası veya müşteri yazışmasının istem kutusuna yapıştırılması.
- Yazıcı ve ekran görüntüsü: Dijital iz bırakmayan görünen sızıntılar.
- Uzaktan erişim: Tedarikçi ve dış kaynak personelinin erişimi.
Hangi veri tiplerini tanımlamalısınız?
- TC kimlik numarası ve müşteri numarası
- IBAN ve hesap numarası
- Kart numarası (PAN), doğrulama algoritmasıyla
- Kredi ve risk raporları
- Maaş, gelir ve vergi belgeleri
- İç denetim ve yönetim kurulu belgeleri
90 günlük uygulama planı
- 0–30 gün: Veri keşfi. Dosya sunucularını ve uç noktaları tarayın. Kart ve kimlik verisinin nerede olduğunu raporlayın.
- 31–60 gün: İzleme modu. USB, e-posta, bulut ve yapay zeka kanallarında politikaları yalnızca kayıt modunda açın. Yanlış alarmları ayıklayın.
- 61–90 gün: Engelleme. En riskli kanallarda engellemeye geçin. İstisna onay sürecini ve olay müdahale adımlarını yazılı hâle getirin.
Denetimde ne gösterilmeli?
- Hassas veri envanteri ve son tarama tarihi.
- Aktif DLP politikaları ve kapsadıkları kanallar.
- Son 90 günün olay özeti ve alınan aksiyonlar.
- İstisna listesi ve onaylayan kişiler.
- Kayıtların saklandığı yer ve saklama süresi.
Moftgate finans kurumlarında nasıl çalışır?
Moftgate tamamen kurum içinde kurulabilir. Veri ve kayıtlar kendi veri merkezinizde kalır. Aynı ajan DSPM ile kart ve kimlik verisini keşfeder, DLP ile USB, e-posta, bulut ve yapay zeka kanallarını denetler. Denetim raporları uyum ekibi için dışa aktarılabilir.
Stratejik Çıkarım
Finansta DLP projesi, bir ürün kurulumu değil, bir uyum programıdır. Keşif, izleme ve engelleme adımlarını sırayla uygulayın ve her adımın kanıtını saklayın.
Moftgate DLP, cihaz yönetimi ve veri güvenliği modüllerini geliştiren ve kurum kurulumlarını yöneten ürün mimarları ve saha mühendisleri.
Uygulayıcılar İçin Uzman Yanıtları
BDDK, DLP kullanımını zorunlu kılar mı?
Yönetmelik belirli bir ürün adı vermez. Ancak erişim kontrolü, iz kaydı ve bilgi güvenliği yönetimi ister. DLP, bu beklentileri karşılamanın yaygın yollarından biridir.
Bulut tabanlı DLP bankalarda kullanılabilir mi?
Yönetmelik birincil ve ikincil sistemlerin yurt içinde olmasını ister. Bu nedenle bankalar çoğu zaman kurum içi veya yurt içi barındırılan çözümleri tercih eder. Hukuk ve uyum ekibinizle değerlendirin.
PCI DSS kapsamını daraltmak için DLP yardımcı olur mu?
Evet. Veri keşfi, kapsam dışı sanılan sistemlerde bulunan kart verisini gösterir. Bu verinin temizlenmesi kapsamı daraltır.
DLP çalışanların işini yavaşlatır mı?
İzleme modu ile başlanırsa ve istisna süreci iyi kurulursa etki düşük kalır. Engelleme yalnızca yüksek riskli kanallara uygulanmalıdır.
Resmi Standartlar ve Kaynakça
- •BDDK: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.03.2020, 31069) ↗(Bankalar için bilgi sistemleri, erişim, kayıt ve yurt içi barındırma kuralları.)
- •6698 sayılı Kişisel Verilerin Korunması Kanunu ↗(Kişisel veri güvenliği yükümlülüğü (m.12).)
- •PCI Security Standards Council: PCI DSS v4.0 Document Library ↗(Kart verisinin saklanması ve korunması kuralları.)
- •NIST SP 800-53 Rev. 5: Security and Privacy Controls ↗(Veri akışı ve erişim kontrolleri için referans katalog.)