Teknoloji riski ve siber hijyen
Bir DPT lisans sahibinin AML/CFT kontrolleri teknoloji üzerinde çalışır. MAS bu teknolojiyi, uygulamada AML programından ayrılamayan iki bildirim ve bir rehberle düzenler.
Teknoloji Riski Yönetimine ilişkin MAS Notice PSN05, ödeme hizmeti sağlayıcılarına hukuken bağlayıcı şartlar getirir. Şirketin kritik sistemleri belirlemeye yönelik bir çerçevesi olmalıdır. Her kritik sistem, kayan herhangi bir on iki aylık dönemde dört saatten fazla plansız kesinti yaşamamalı ve dört saatlik bir kurtarma süresi hedefine sahip olmalıdır. İlgili bir olay, fark edilmesinden itibaren bir saat içinde MAS’a bildirilmeli ve on dört gün içinde bir kök neden raporu sunulmalıdır.1 Siber Hijyene ilişkin MAS Notice PSN06 altı temel önlem öngörür. Bunlar yönetici hesaplarının güvence altına alınması, güvenlik yamalarının vakit kaybetmeden uygulanması, yazılı bir güvenlik standartları setinin oluşturulması, ağ çevresi savunmalarının kurulması, kötü amaçlı yazılım koruması kullanılması ve yönetici erişimi ile müşteri bilgilerine erişim için çok faktörlü kimlik doğrulama kullanılmasıdır.2 Ocak 2021 tarihli Teknoloji Riski Yönetimi Rehberi (Technology Risk Management Guidelines, TRM Rehberi), geri kalan her şey için bağlayıcı olmayan, ancak denetlenen standardı belirler. Rehber yönetişimi, yazılım geliştirmeyi, üçüncü taraf yönetimini, olaylara müdahaleyi, erişim kontrolünü, kriptografik anahtar yönetimini ve sızma testlerini kapsar.3
Bir DPT şirketi için TRM Rehberinin anahtar yönetimi bölümü özel bir ağırlık taşır, çünkü şirketin özel anahtarları müşterilerinin varlıklarıdır. MAS, belgelenmiş anahtar üretim törenleri ve donanım güvenlik modülleri (HSM) veya eşdeğerlerini bekler. Hiçbir kişinin tek başına müşteri fonlarını hareket ettiremeyeceği bir görevler ayrılığı, varlıkların büyük kısmı için soğuk saklama düzenlemeleri ve test edilmiş kurtarma prosedürleri bekler. Bunlar aynı zamanda K. Kısım, II. Bölüm kapsamındaki saklama şartlarıdır ve MAS bunları tek bir konu olarak denetler. Bir siber saldırı aynı zamanda bir AML olayıdır. Çalınan tokenler şirketin cüzdanlarından çıkar. Şirket bunları izleyebilmeli, PSN03 ve CDSA’nın 45. maddesi uyarınca bildirebilmeli ve dondurulmaları için polisle ve diğer borsalarla işbirliği yapabilmelidir. Yalnızca teknik kurtarmayı kapsayan, düzenleyici bildirimi ve zincir üstü izlemeyi kapsamayan bir olay müdahale planı eksiktir. Q. Kısım, II. Bölüm, bir siber saldırıdan sonraki ilk yetmiş iki saat için bir kontrol listesi içermektedir.
Notlar
- MAS Notice PSN05, Technology Risk Management, Payment Services Act 2019 uyarınca çıkarılmıştır; kritik sistemlerin belirlenmesine, azami 4 saatlik plansız kesintiye, 1 saatlik olay bildirimine ve 14 günlük kök neden raporuna ilişkin paragraflar. ↩
- MAS Notice PSN06, Cyber Hygiene, Payment Services Act 2019 uyarınca çıkarılmıştır; altı siber hijyen şartına ilişkin para. 4–9. ↩
- MAS, Technology Risk Management Guidelines, 18 Ocak 2021, özellikle kriptografik anahtar yönetimine ilişkin 10. bölüm ve erişim kontrolüne ilişkin 12. bölüm. ↩
Yalnızca genel bilgi amaçlıdır. Bu makale hukuki veya vergisel danışmanlık niteliği taşımaz, somut bir olaya ilişkin danışmanlığın yerini tutmaz ve avukat-müvekkil ilişkisi kurmaz. Makale, Ekim 2026 itibarıyla hukuki durumu yansıtır.