Fintech sektörü büyüdükçe finansal hizmetlerin teknolojiye olan bağımlılığı da hızla artıyor.

Bugün bir fintech şirketinin operasyonu; mobil uygulamalardan API’lere, bulut altyapısından ödeme sistemlerine, kimlik doğrulamadan üçüncü taraf servis sağlayıcılara kadar çok geniş bir teknoloji ekosistemine dayanıyor.

Bu nedenle bilgi güvenliği artık yalnızca BT departmanının sorumluluğu olmaktan çıktı.

Özellikle ödeme kuruluşları ve elektronik para kuruluşları açısından bilgi güvenliği; yönetim, risk, iş sürekliliği, operasyon, yazılım geliştirme, üçüncü taraf yönetimi ve denetim süreçlerinin tamamına yayılan bir yönetişim konusu haline geldi.

Türkiye’deki düzenleyici yapı da bu dönüşüme paralel olarak daha kapsamlı bir kontrol yaklaşımına doğru ilerliyor.

BGYS artık sadece ISO 27001 belgesinden ibaret değil

Bir fintech şirketi için ISO/IEC 27001 belgesine sahip olmak önemli bir avantajdır. Ancak regülasyon perspektifinden bakıldığında tek başına yeterli değildir.

Çünkü günümüzde beklenen şey yalnızca politika ve prosedürlerin oluşturulması değil;

• Bilgi varlıklarının tanımlanması,
• Risklerin düzenli olarak değerlendirilmesi,
• Kritik sistemlerin belirlenmesi,
• Erişimlerin kontrol edilmesi,
• Logların izlenmesi,
• Siber olaylara müdahale edilmesi,
• İş sürekliliğinin sağlanması,
• Yazılım geliştirme süreçlerinin güvenli hale getirilmesi,
• Tedarikçi ve dış kaynak risklerinin yönetilmesi,
• Bağımsız denetim ve testlerin gerçekleştirilebilmesi

gibi kontrollerin gerçekten çalıştığının gösterilebilmesidir.

Dolayısıyla fintech şirketlerinde BGYS’nin yeni yaklaşımını şu şekilde özetlemek mümkün:

“Belge odaklı güvenlikten, kanıtlanabilir ve sürekli çalışan güvenlik yönetişimine geçiş.”

Fintech şirketleri için düzenleyici çerçeve neden önemli?

Türkiye’de fintech ekosisteminin tamamı tek bir mevzuat altında değerlendirilmiyor.

Ödeme ve elektronik para kuruluşları açısından Türkiye Cumhuriyet Merkez Bankası’nın bilgi sistemleri ve ödeme hizmetlerine ilişkin düzenlemeleri önem taşırken, bankalar açısından Bankacılık Düzenleme ve Denetleme Kurumu’nun bilgi sistemleri ve elektronik bankacılık düzenlemeleri öne çıkıyor.

Ödeme ve elektronik para kuruluşlarının bilgi sistemlerine ilişkin düzenlemenin temel çerçevesi, bilgi sistemlerinin yönetimi, güvenliği, denetimi ve ödeme hizmetleri alanındaki veri paylaşım servisleri gibi konuları kapsıyor. Mevzuat geçmişte çeşitli değişikliklerle de güncellendi.

Bu nedenle bir fintech şirketinin BGYS projesine başlamadan önce ilk yapması gerekenlerden biri:

“Hangi mevzuat ve hangi düzenleyici otoritenin kapsamındayım?”

sorusunu net olarak cevaplamaktır.

1. Yönetim sorumluluğu daha kritik hale geliyor

Bilgi güvenliği artık yalnızca Bilgi Teknolojileri veya Bilgi Güvenliği ekiplerinin problemi olarak görülemez.

Fintech şirketlerinde yönetimin;

• bilgi güvenliği politikasını sahiplenmesi,
• risk iştahını belirlemesi,
• kritik bilgi varlıklarını ve hizmetleri değerlendirmesi,
• güvenlik yatırımlarını desteklemesi,
• denetim sonuçlarını takip etmesi

gerekiyor.

Bu yaklaşım ISO/IEC 27001’in yönetim perspektifiyle de doğrudan örtüşüyor.

Ancak burada önemli nokta şu:

Yönetim kurulunun onayladığı bir politika dosyada duruyor fakat sahada uygulanmıyorsa BGYS çalışmıyor demektir.

2. Varlık envanteri artık çok daha geniş düşünülmeli

Klasik bir BGYS projesinde sunucular, bilgisayarlar, network cihazları ve uygulamalar varlık olarak ele alınabilir.

Fintech dünyasında ise tablo çok daha geniştir.

Örneğin:

• Mobil uygulamalar
• Web uygulamaları
• API gateway’leri
• Ödeme altyapıları
• Sanal POS sistemleri
• Core finansal uygulamalar
• Veritabanları
• Bulut servisleri
• CI/CD platformları
• Kaynak kod depoları
• Kimlik doğrulama sistemleri
• HSM ve kriptografik altyapılar
• Log ve SIEM sistemleri
• Müşteri verileri
• İşlem verileri
• Üçüncü taraf API’leri

kritik bilgi varlıkları arasında değerlendirilebilir.

Dolayısıyla fintech BGYS’sinde varlık envanteri yalnızca “hangi sunucularımız var?” sorusuna cevap vermemelidir.

Asıl soru:

“Finansal hizmetin çalışması için hangi teknoloji, veri ve hizmetlere bağımlıyız?”

olmalıdır.

3. Siber risk yönetimi BGYS’nin merkezine yerleşiyor

Fintech şirketlerinde risk değerlendirmesinin yalnızca yıllık yapılan bir tablo çalışması olarak kalması yeterli değildir.

Örneğin yeni bir ödeme API’si devreye alındığında;

• API güvenliği,
• kimlik doğrulama,
• yetkilendirme,
• rate limiting,
• veri sızıntısı,
• üçüncü taraf bağımlılığı,
• loglama,
• saldırı tespit mekanizmaları

yeniden değerlendirilmelidir.

Bu nedenle risk yönetiminin değişiklik yönetimi ve proje yönetimi süreçlerine entegre edilmesi gerekir.

4. Güvenli yazılım geliştirme artık kritik bir kontrol alanı

Fintech şirketlerinin en önemli varlıklarından biri yazılımdır.

Bu nedenle güvenlik yalnızca yazılım üretildikten sonra yapılan penetration test ile sağlanamaz.

Güvenlik;

gereksinim → tasarım → geliştirme → test → yayınlama → izleme

döngüsünün tamamına dahil edilmelidir.

Bu noktada Secure SDLC, DevSecOps, kod güvenliği, bağımlılık yönetimi, secrets management, SAST, DAST ve API güvenliği gibi kontroller BGYS’nin teknik tarafıyla doğrudan ilişkilidir.

Özellikle internet üzerinden finansal hizmet sunan fintech şirketlerinde uygulama güvenliği ile bilgi güvenliği yönetiminin birbirinden ayrı düşünülmesi ciddi bir kontrol boşluğu oluşturabilir.

5. Üçüncü taraf ve bulut hizmetleri yeni risk alanlarından biri

Fintech şirketleri çok sayıda dış hizmet sağlayıcı kullanabiliyor:

• Cloud sağlayıcıları
• SaaS uygulamaları
• Ödeme altyapıları
• KYC/AML servisleri
• SMS ve e-posta sağlayıcıları
• Kimlik doğrulama servisleri
• API servisleri
• Yazılım geliştirme firmaları
• SOC/MDR hizmet sağlayıcıları

Buradaki kritik soru artık sadece:

“Tedarikçinin ISO 27001 belgesi var mı?”

değil.

Daha doğru sorular şunlardır:

Veriler nerede tutuluyor?

Kimler erişebiliyor?

Olay meydana geldiğinde kaç saat içinde bilgilendirileceğiz?

Denetim hakkımız var mı?

Hizmet sona erdiğinde verilerimizi nasıl geri alacağız?

Tedarikçi hizmet veremez hale gelirse alternatifimiz var mı?

Yani üçüncü taraf yönetimi artık satın alma departmanının değil, doğrudan bilgi güvenliği ve operasyonel risk yönetiminin de konusu haline geliyor.

6. İş sürekliliği ve felaket kurtarma daha fazla önem kazanıyor

Bir fintech şirketinde bilgi güvenliği ihlali kadar sistemin çalışmaması da ciddi bir risktir.

Bir ödeme sistemi birkaç saat kullanılamadığında bunun sonucu yalnızca teknik bir problem olmayabilir.

Müşteri kaybı, finansal zarar, sözleşmesel yükümlülükler ve düzenleyici riskler ortaya çıkabilir.

Bu nedenle BGYS kapsamında;

• RTO
• RPO
• Kritik iş süreçleri
• Kritik uygulamalar
• Yedekleme
• Felaket kurtarma
• Alternatif iletişim kanalları
• Kriz yönetimi
• İş sürekliliği testleri

birlikte değerlendirilmelidir.

7. Log yönetimi ve izlenebilirlik kritik hale geliyor

Fintech ortamında “log tutuyoruz” demek yeterli değildir.

Asıl önemli olan;

hangi olayın, hangi sistemde, hangi kullanıcı tarafından, ne zaman ve hangi işlem sonucunda gerçekleştiğinin ortaya konulabilmesidir.

Bu nedenle merkezi loglama, SIEM, ayrıcalıklı kullanıcı aktivitelerinin izlenmesi, kritik işlem kayıtlarının korunması ve olay sonrası adli incelemeye imkan verecek kayıtların tutulması önem kazanıyor.

Özellikle fraud ve siber saldırı senaryolarında güvenlik operasyonları ile BGYS arasında güçlü bir bağlantı kurulması gerekiyor.

8. Bağımsız denetim ve testler daha önemli hale geliyor

Finans sektöründe bilgi güvenliği kontrollerinin sadece şirket içinde “uygun” olarak değerlendirilmesi yeterli değil.

Bağımsız denetim yaklaşımı, teknik güvenlik testleri ve kontrol etkinliğinin ölçülmesi kritik önem taşıyor.

Bu kapsamda fintech şirketleri;

• Penetrasyon testleri
• Zafiyet taramaları
• Web uygulama güvenlik testleri
• API güvenlik testleri
• Mobil uygulama testleri
• Sosyal mühendislik testleri
• Konfigürasyon kontrolleri
• Erişim kontrollerinin gözden geçirilmesi

gibi faaliyetleri risk bazlı bir program dahilinde ele almalı.

Özellikle ödeme ve elektronik para kuruluşlarının bilgi sistemleri mevzuatı ile bilgi sistemleri bağımsız denetimine ilişkin düzenlemeler birlikte değerlendirilmelidir.

9. BGYS ile siber güvenlik operasyonları birleşiyor

Eskiden BGYS daha çok;

“Politikalar hazır mı?”

“Risk analizi yapıldı mı?”

“Prosedürler mevcut mu?”

sorularına cevap veren bir yapı olarak algılanabiliyordu.

Yeni yaklaşım ise çok daha farklı.

Denetçi veya düzenleyici kurumun karşısına şu sorular çıkabiliyor:

Kontrol gerçekten çalışıyor mu?

Bunu hangi kayıtla kanıtlayabiliyorsunuz?

Son olayda ne yaptınız?

Zafiyet kaç gün içerisinde kapatıldı?

Kritik sistemlerinizi gerçekten izliyor musunuz?

Bu nedenle BGYS’nin SOC, SIEM, EDR, IAM, PAM, DLP, WAF ve vulnerability management gibi operasyonel güvenlik süreçleriyle entegre olması gerekiyor.

10. Fintech şirketleri için yeni BGYS yaklaşımı

Bütün bu gelişmeleri tek bir modelde düşündüğümüzde fintech şirketleri için BGYS’yi beş katmanlı bir yapı olarak değerlendirebiliriz:

1. Governance

Politikalar, roller, sorumluluklar, yönetim ve risk iştahı.

2. Compliance

ISO/IEC 27001, KVKK, TCMB/BDDK düzenlemeleri ve faaliyet alanına göre diğer mevzuat.

3. Technology

IAM, PAM, SIEM, EDR, WAF, DLP, MFA, şifreleme, güvenli yazılım geliştirme ve ağ güvenliği.

4. Resilience

İş sürekliliği, felaket kurtarma, yedekleme ve kriz yönetimi.

5. Assurance

İç denetim, bağımsız denetim, penetration testleri, zafiyet yönetimi ve kontrol etkinliği ölçümü.

Bu beş katmanın birlikte çalışması gerçek anlamda olgun bir fintech BGYS’sini oluşturur.

Peki fintech şirketleri bugün ne yapmalı?

Bence ilk adım yeni bir politika yazmak değil.

Öncelikle mevcut durumun ortaya çıkarılması gerekiyor.

Bir fintech şirketi şu sorulara cevap verebilmeli:

• Hangi regülasyonların kapsamındayız?
• Kritik bilgi varlıklarımız hangileri?
• Kritik iş süreçlerimiz hangileri?
• Hangi verileri işliyoruz?
• Veriler nerede tutuluyor?
• Hangi üçüncü taraflara bağımlıyız?
• Kritik sistemlerimiz ne kadar süre kesintiye dayanabilir?
• Son penetration testimiz ne zaman yapıldı?
• Kritik zafiyetlerin kapanma süreleri nedir?
• Ayrıcalıklı hesapları nasıl yönetiyoruz?
• Loglarımız merkezi olarak izleniyor mu?
• Bir siber olay yaşandığında kim, ne yapacağını biliyor mu?
• BGYS kontrollerimizin çalıştığını hangi kanıtlarla gösterebiliyoruz?

Bu sorulara net cevap verilemiyorsa, yalnızca ISO 27001 sertifikasına sahip olmak şirketin gerçek anlamda güvenli olduğu anlamına gelmez.

Sonuç

Fintech sektöründe bilgi güvenliği önümüzdeki dönemde yalnızca bir sertifikasyon projesi olarak ele alınmamalı.

Regülasyonların ve siber tehditlerin gelişimiyle birlikte BGYS;

yönetim + risk + teknoloji + operasyon + iş sürekliliği + denetim

bileşenlerinin birlikte çalıştığı yaşayan bir sistem haline geliyor.

Özellikle ödeme ve elektronik para kuruluşları için TCMB’nin bilgi sistemleri düzenlemeleri, bankalar için BDDK’nın bilgi sistemleri düzenlemeleri ve tüm kuruluşların faaliyetlerine göre tabi oldukları diğer mevzuat birlikte değerlendirilmelidir. BDDK’nın güncel mevzuat portalında bilgi sistemleri ve iş süreçlerine ilişkin düzenlemeler ayrıca sınıflandırılmaktadır.

Bu nedenle 2026’da fintech şirketleri için asıl soru:

“ISO 27001 belgemiz var mı?”

olmamalı.

Asıl soru:

“Bilgi güvenliği kontrollerimiz gerçekten çalışıyor mu ve bunu gerektiğinde kanıtlayabiliyor muyuz?”

olmalıdır.

Çünkü yeni nesil BGYS’nin değeri artık sahip olduğu doküman sayısıyla değil, kurumun finansal ve dijital operasyonlarını ne kadar güvenli, dayanıklı ve ölçülebilir şekilde sürdürebildiğiyle ölçülüyor.