Banka Web Sitesi Yaptıracağınız Ajansa Sorulacak 10 Güvenlik Sorusu

Banka ya da finans kuruluşu için web sitesi yaptıracağınız ajansa ilk sormanız gereken şey, erişim, veri, kod ve sürekliliğin nasıl güvence altına alındığıdır. Aşağıdaki 10 soru; sertifikalar, güvenli geliştirme, erişim yönetimi, kişisel veri, üçüncü taraf bileşenler, güvenlik testi, olay yönetimi, süreklilik ve sözleşme konularını kapsar.

Finans sitesi bir güven ürünüdür. Ama aynı zamanda form, kampanya verisi ve kurum içi sistemlere bağlanan bir yazılımdır. Bu nedenle ajans, kurumunuzun tedarik zincirinin bir parçası olur ve değerlendirilmesi de buna göre yapılmalıdır.

Aşağıdaki tablo 10 soruyu, iyi bir cevabın nasıl göründüğünü ve ajanstan isteyebileceğiniz belgeyi özetler. Genel ajans seçim kriterleri için Web Tasarım Ajansı Nasıl Seçilir? yazımıza bakabilirsiniz.

Ajansa sorulacak 10 güvenlik sorusu

Banka web sitesi için güvenliği neden ayrı bir ölçüt yapmalısınız?

Güzel bir tasarım ve iyi bir kullanıcı deneyimi finans sitesinde yeterli değildir; kurum, ajansın süreçlerine ve erişimlerine de güvenmek zorundadır. Ajansın kaynak koda, test ortamlarına, form verilerine ve bazen kurum içi sistemlere erişimi olur. Bu erişimler yönetilmezse risk ajansın ofisinden kurumun ağına uzanabilir.

Bu yüzden güvenlik soruları teklif aşamasında sorulmalı, cevapları sözleşmeye yansıtılmalıdır.

Kurum ve süreç tarafında hangi soruları sormalısınız?

İlk üç soru (1, 2 ve 6) ajansın güvenliği bir süreç olarak yönetip yönetmediğini gösterir.

Sertifikalar bir başlangıçtır, ama kapsamı önemlidir: ISO 27001 bilgi güvenliği yönetim sistemini, ISO 12207 ise yazılım yaşam döngüsü süreçlerini kapsar. Sertifikanın projeyi yürütecek ekibi ve ortamları kapsayıp kapsamadığını sorun. Güvenli geliştirme ve güvenlik testi sorularında ise cevabın somutluğuna bakın: "güvenliğe önem veriyoruz" yerine adımlar, sorumlular ve çıktılar isteyin.

Erişim ve veri tarafında hangi soruları sormalısınız?

Sorular 3, 4 ve 5 ajansın size ait varlıklara nasıl dokunduğunu gösterir.

Erişimde en az yetki ilkesi, çok faktörlü doğrulama ve erişim kayıtları beklenmelidir. Kişisel veri söz konusuysa KVKK kapsamında rollerin (veri sorumlusu, veri işleyen) sözleşmede açık yazılması gerekir; hukuki ayrıntılar için hukuk müşavirinizin görüşünü alın. Üçüncü taraf bileşenler konusunda ise envanter ve güncelleme takibi sorun: Kurumsal sitelerde risk bazen kodun kendisinden çok, kimsenin izlemediği bir bileşenden gelir. Kullanılan CMS konusunda karar vermeden önce Umbraco Nedir? yazımız bir başlangıç noktası olabilir.

Süreklilik, olay yönetimi ve sözleşme tarafında hangi soruları sormalısınız?

Sorular 7, 8, 9 ve 10 işlerin ters gittiği durumu ve ilişkinin sonunu ele alır.

Olay durumunda kimin, ne zaman, kime haber vereceği önceden yazılı olmalıdır; süreler sözleşmede [SLA] olarak tanımlanır. Yedekleme sorusunda yalnızca yedek alınıp alınmadığını değil, geri dönüşün test edilip edilmediğini sorun. Sözleşme sonunda kaynak kod, dokümantasyon ve erişimlerin devri ile hesapların kapatılması da güvenlik konusudur.

BDDK düzenlemesi ajans seçimini nasıl etkiler?

BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği (15.03.2020 tarihli ve 31069 sayılı Resmî Gazete), bankaların bilgi sistemlerine ilişkin dışarıdan temin ettiği ve bankacılık verilerine erişimi olan hizmet alımlarını "dış hizmet" olarak tanımlar. Ajansın bankacılık verilerine erişimi ya da bu verilerin ajansla paylaşılması söz konusuysa bu tanım gündeme gelebilir.

Bir web sitesi projesinin bu kapsama girip girmediğini kurumunuzun uyum ve hukuk ekibi belirler. Ajans tarafında ise bu tür denetim ve belge taleplerine hazır olup olmadığını sorun (9. soru).

Kaynak: Resmî Gazete'de yayımlanan yönetmelik metni (alomaliye.com).

Finans sitelerinde güven nasıl sağlanır?

Güven yalnızca güvenlik altyapısından oluşmaz. Finans sitesinde ziyaretçi güveni; tutarlı ve doğru kurumsal bilgiden, hızlı ve erişilebilir sayfalardan, net ve anlaşılır formlardan ve şeffaf iletişimden doğar. Güvenlik süreçleri bu görünür deneyimi ayakta tutan zemindir. İkisini birlikte düşünen bir ajans seçmek, ikisini ayrı projelere bölmekten genellikle daha az risklidir.

Sık Sorulan Sorular

Banka web sitesi yaptıracak ajansta ISO 27001 şart mı?

Şart olup olmadığına kurumunuzun tedarikçi politikası karar verir. ISO 27001, ajansın bilgi güvenliği yönetim sistemi kurduğunu gösterir; ancak sertifikanın kapsamına ve projeyi yürütecek ekibi içerip içermediğine bakmak gerekir.

Finans sitesinde güveni artıran unsurlar nelerdir?

Güven; güvenli altyapı, açık ve tutarlı kurumsal bilgi, hızlı ve erişilebilir sayfalar ile şeffaf iletişimin birleşiminden oluşur. Güvenlik süreçleri ve doğru bilgi, tasarım kadar önemlidir.

Web sitesi ajansı bankanın dış hizmet sağlayıcısı sayılır mı?

Ajansın bankacılık verilerine erişimi ya da bu verilerin paylaşımı söz konusuysa BDDK'nın bilgi sistemleri yönetmeliğindeki dış hizmet tanımı gündeme gelebilir. Bu değerlendirmeyi kurumunuzun uyum ve hukuk ekibi yapmalıdır.

Test ortamları için ajansa hangi kuralları koymalıyım?

Test ortamlarının arama motorlarına kapalı olması, erişimin şifre ya da IP kısıtıyla sınırlanması ve gerçek müşteri verisinin test ortamına taşınmaması iyi bir başlangıçtır.

Clockwork finans kuruluşları için nasıl çalışır?

Clockwork, İstanbul merkezli, 25 yıllık bağımsız bir dijital ve kreatif ajanstır; ISO 27001 ve ISO 12207 sertifikalıdır.

Sonuç

Güvenlik sorularını teklif aşamasında sorun, cevapları belgeyle isteyin ve sözleşmeye yansıtın. En iyi ajans, soruları rahatsız edici bulmayan, somut belge ve süreç gösterebilen ajanstır.

Clockwork, İstanbul merkezli 25 yıllık bağımsız bir dijital ve kreatif ajanstır. Finans ve diğer düzenlemeye tabi sektörlerdeki çalışma yaklaşımımız için sektörler sayfamıza göz atın ya da bizimle iletişime geçin.