Fintech Şirketlerinde Veri Güvenliği Nasıl Sağlanır?

Finansal hizmetlerde sakladığınız bilgiler, müşterilerinizin hesaplarına ve alışkanlıklarına dair ayrıntılar içerir. Kimlik bilgileriyle işlem geçmişinin birlikte açığa çıkması, dolandırıcılık girişimlerini kolaylaştırabilir. Örneğin müşterinizin son ödemesini bilen bir saldırgan, kendisini destek ekibinizden biri gibi tanıtabilir. Bu nedenle verinin korunması, müşterinizin uygulama dışındaki güvenliğini de etkiler.

Veri güvenliği; bilgilerin gizliliğini, bütünlüğünü ve gerektiğinde kullanılabilir olmasını kapsar. Bir ödeme kaydındaki tutarın yetkisiz biçimde değiştirilmesi bütünlük sorunudur. İşlem geçmişine erişilememesi ise müşteri desteğini ve mutabakat süreçlerini aksatabilir. Güvenlik önlemlerini planlarken bu üç ihtiyacı birlikte ele almalısınız.

Bir ihlalin ardından teknik inceleme, müşteri bilgilendirmesi ve şüpheli işlemlerin araştırılması için zaman ayırmanız gerekir. Ekibinizin günlük işleri de bu süreçten etkilenir. Önceden belirlediğiniz kontroller, sorunları erken fark etmenize yardımcı olur. Müşterilerinizin güvenini korumak için verdiğiniz hizmetin arkasında izlenebilir ve uygulanabilir bir güvenlik düzeni bulunmalıdır.

Kimlik avı mesajları ve sahte giriş sayfaları, çalışanlarınızın ya da müşterilerinizin hesap bilgilerini ele geçirmek için kullanılabilir. Başka platformlardan sızan parola listelerinin uygulamanızda denenmesi de hesap ele geçirme riski yaratır. Aynı parolanın farklı hizmetlerde kullanılması, dışarıda yaşanan bir ihlalin şirketinize taşınmasına yol açabilir.

Uygulama ve API açıkları, kullanıcıların yetkileri dışındaki bilgilere erişmesine neden olabilir. Yanlış yapılandırılmış bir depolama alanı veya internete açık bırakılmış bir yönetim ekranı da verilerinizi riske atar. Kullanımdan kaldırıldığı düşünülen eski bir API sürümü, erişilebilir durumdaysa saldırganlar için giriş noktası olmaya devam eder.

Gereğinden geniş çalışan yetkileri ve kontrolsüz veri paylaşımları da dikkate alınmalıdır. Bir raporun yanlış e-posta adresine gönderilmesi, teknik saldırı olmadan bilgi sızıntısına yol açabilir. Dışarıdan destek aldığınız firmanın hesabı da benzer bir erişim riski taşır. Bu yüzden güvenlik değerlendirmeniz, şirketinizin çalışanlarıyla birlikte hizmet sağlayıcılarını da kapsamalıdır.

Fidye yazılımları verilerinizi şifreleyerek hizmeti durdurabilir; bazı saldırılarda bilgiler dışarıya da aktarılır. DDoS saldırıları ise yoğun trafik oluşturarak uygulamanızı erişilemez hale getirmeyi hedefler. Bir olayın veri sızıntısı, kayıt kaybı veya hizmet kesintisi yaratabileceğini ayrı ayrı değerlendirmek, doğru müdahale hazırlığını yapmanızı sağlar.

Önce şirketinizde hangi verilerin bulunduğunu gösteren bir envanter oluşturun. Kimlik belgeleri, işlem kayıtları, destek görüşmeleri ve yedeklerin nerede saklandığını belirleyin. Her veri grubu için erişim ihtiyacını ve saklama süresini tanımlayın. Mevzuatın gerektirdiği saklama sürelerini gözeterek gereksiz kopyaları kaldırın. Test ortamlarında gerçek müşteri bilgileri yerine sentetik veriler kullanabilirsiniz.

Çalışanlara görevleri için gereken en düşük erişim yetkisini verin. Örneğin destek ekibinizin işlem durumunu görmesi gerekebilir; müşterinin bütün kimlik belgelerine erişmesi gerekmeyebilir. Yönetim hesaplarında çok faktörlü kimlik doğrulama kullanın. İşten ayrılma veya görev değişikliği sonrasında eski yetkilerin kaldırılmasını, belirli bir kişinin sorumluluğuna bağlayın.

Hassas verileri depolarken ve aktarırken uygun şifreleme yöntemleriyle koruyun. Şifreleme anahtarlarını uygulama koduna yazmayın; erişimi kısıtlı anahtar yönetim sistemlerinde tutun. Anahtarların yenilenmesi ve gerektiğinde iptal edilmesi için süreç belirleyin. Kullanıcı parolalarını ise geri çözülebilir biçimde şifrelemek yerine, parola saklamaya uygun güvenli özetleme yöntemleriyle saklamalısınız.

Yazılımlarınızın ve kullandığınız kütüphanelerin güncellemelerini takip edin. Güvenlik açıklarını, etkiledikleri sistem ve yaratabilecekleri zarar üzerinden önceliklendirin. Kritik değişikliklerden sonra güvenlik testleri yapın. Ağ erişimlerini de sınırlandırın; uygulama sunucusunun veri tabanına bağlanabilmesi, bütün sistemlerin birbirine erişmesini gerektirmez.

Oturum açma denemeleri, yetki değişiklikleri ve toplu veri indirmeleri için kayıt ve uyarı mekanizmaları kurabilirsiniz. Parola, erişim belirteci ve gereksiz kişisel verilerin loglara yazılmasını önleyin. Kayıtları yetkisiz değişikliklere karşı koruyun. Yedeklerinizi ayrı erişim kurallarıyla saklayın ve geri yükleme denemeleriyle kullanılabilir olduklarını doğrulayın.

Çalışan eğitimlerini günlük işlerden örneklerle destekleyin. Şüpheli bir e-posta veya hatalı veri paylaşımı fark edildiğinde kime haber verileceği açık olsun. Hizmet sağlayıcılarınızla da erişim kapsamını, olay bildirimi sürecini ve güvenlik sorumluluklarını yazılı olarak belirleyin. Bu görevlerin karşılığında bir sorumlu ve takip edilebilir bir kontrol tarihi bulunmalıdır.

DT Cloud olarak Cloud Audit Engine ile sistem aktivitelerini kayıtlar üzerinden izlemenize ve incelemenize yardımcı oluyoruz. Bulut yedekleme çözümlerimizi de veri koruma planınıza dahil edebilirsiniz. Şirketinizin ihtiyaçlarına uygun hizmet kapsamını ve görev paylaşımını değerlendirmek için ekibimizle görüşebilirsiniz.

API'ler, uygulamanızla bankalar ve diğer servisler arasında veri alışverişi sağlar. Her istekte kullanıcının kimliğini ve ilgili işlem için yetkisini kontrol etmelisiniz. Örneğin bir müşteriniz, istekteki hesap numarasını değiştirerek başka birinin hareketlerini görememelidir. OWASP API Security Top 10, bu tür yetkilendirme açıklarını başlıca API güvenliği riskleri arasında ele alır.

API bağlantılarında HTTPS kullanın ve erişim belirteçlerinin geçerlilik süresiyle yetki kapsamını doğrulayın. Kullanılmayan bağlantıları kapatın. İstek sayısını sınırlamak, otomatik denemelerin ve aşırı kaynak tüketiminin etkisini azaltabilir. Web uygulama güvenlik duvarı (WAF) ile zararlı trafiğe karşı ek koruma sağlayabilirsiniz. Uygulamanın kendi yetki kontrollerini de ayrıca işletmelisiniz.

Kart verisinin sisteminizde dolaştığı alanı daraltmak için tokenizasyon kullanabilirsiniz. Bu yöntemde kart numarası yerine onu temsil eden bir değerle işlem yapılır. Ödeme kabulü sırasında aldığınız CVV/CVC kodunu, ilerideki tahsilatlarda kullanmak amacıyla işlem onayından sonra saklamamalısınız. Bu sınır, PCI SSC'nin açıklamasında da belirtilir.

3D Secure, çevrimiçi kartlı ödemelerde kart sahibinin doğrulanmasına yardımcı olur. Bunun yanında işlem tutarı, cihaz bilgileri ve olağandışı denemeler üzerinden risk kontrolleri uygulayabilirsiniz. Tahsilat tutarını ve alıcı bilgilerini sunucu tarafında doğrulayın. Ödemenin başarılı olduğunu da güvenilir ödeme sağlayıcısı yanıtıyla teyit edin; tarayıcıdan gelen bir başarı mesajını tek başına yeterli kabul etmeyin.

Uygulayacağınız standartlar ve mevzuat yükümlülükleri, sunduğunuz hizmete göre değişir. ISO/IEC 27001, bilgi güvenliği risklerini yönetmek için bir yönetim sistemi çerçevesi sunar. Risk değerlendirmesi, görev dağılımı ve kontrollerin düzenli gözden geçirilmesi bu yaklaşımın parçalarıdır. Sağlayıcınızın belgesini incelerken geçerlilik durumunu ve hangi hizmetleri kapsadığını kontrol edebilirsiniz.

PCI DSS, ödeme kartı verilerinin korunmasına yönelik teknik ve operasyonel gereksinimleri tanımlar. Kart verisini saklayan, işleyen, ileten veya bu ortamın güvenliğini etkileyebilen kuruluşları kapsar. Şirketinizin kapsamını, kart verisinin izlediği yolu çıkararak belirlemelisiniz. Dışarıdan ödeme hizmeti almak, kendi ortamınızın güvenliğine ilişkin sorumluluklarınızı bütünüyle ortadan kaldırmaz.

KVKK ise kişisel verilerin işlenmesi ve korunmasına ilişkin yasal yükümlülükler getirir. Veri sorumlusu olarak hukuka aykırı işleme ve erişimi önleyecek teknik ve idari tedbirleri almalısınız. Müşterilerinizi veri işleme faaliyetleriniz hakkında aydınlatmanız ve her faaliyet için uygun hukuki dayanağı belirlemeniz de gerekir. Bir güvenlik sertifikası, bu yükümlülüklerin tamamının yerine getirildiğini tek başına göstermez.

Türkiye'deki ödeme ve elektronik para kuruluşları için TCMB'nin bilgi sistemlerine ilişkin tebliği ayrıca dikkate alınmalıdır. Tebliğ; veri güvenliği, erişim yönetimi, denetim izleri ve dış hizmet alımı gibi konuları düzenler. Bulut altyapısını seçerken veri yerleşimi koşullarını da incelemelisiniz. Yükümlülüklerinizi şirketinizin faaliyet izni ve hizmet modeli üzerinden değerlendirmelisiniz.

Bir ihlal şüphesinde müdahale planınızı devreye alın ve olayın yayılmasını sınırlandırın. Etkilenen hesapların erişimini durdurmanız veya belirli sistemleri ağdan ayırmanız gerekebilir. Teknik ekip, hukuk ve uyum ekibiyle aynı olay bilgileri üzerinden çalışmalıdır. Yapılan işlemleri ve zamanlarını kaydederek inceleme için gereken delilleri koruyun.

Hangi verilere erişildiğini, olayın ne zaman başladığını ve kimlerin etkilendiğini araştırın. Verinin dışarı aktarılmasıyla sistemde değiştirilmesi farklı sonuçlar doğurabilir. İnceleme sırasında belirsiz noktaları da kayıt altına alın. Müşterilerinizin alması gereken önlemleri belirlemek için eldeki bulguları düzenli olarak değerlendirin.

Kişisel veriler hukuka aykırı biçimde başkaları tarafından elde edilmişse bildirim yükümlülüğünü geciktirmeden ele alın. Kurulun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Etkilenen kişilere ise belirlendikten sonra makul olan en kısa sürede bilgi verilmelidir. Ödeme ve elektronik para kuruluşlarında TCMB'ye yönelik bildirim yükümlülükleri de ayrıca değerlendirilir.

Saldırıda kullanılan açığı giderin, ele geçirilen erişim bilgilerini yenileyin ve hizmeti kontrollü biçimde devreye alın. Müşterilerinize olayın bilinen etkilerini ve yapmaları gerekenleri açık bir dille anlatın. Sonrasında kök neden analizi yaparak eksik kontrolleri tamamlayın. Güncellediğiniz müdahale adımlarını bir tatbikatla denemek, aynı sorunun tekrarlanmasını önleme çalışmanıza katkı sağlar.

Fintech şirketleri kullanıcı verilerini nasıl korur?
Erişim yetkilerini sınırlandırma, şifreleme, güvenli yazılım geliştirme, işlem izleme ve korunan yedekler birlikte kullanılır. Şirketinizde bu kontrolleri çalışan eğitimleri ve düzenli güvenlik değerlendirmeleriyle destekleyebilirsiniz.

Fintech uygulamaları güvenli midir?
Güvenlik düzeyi, uygulamanın tasarımına ve kontrollerin nasıl işletildiğine bağlıdır. Güçlü kimlik doğrulama ve düzenli testler riski azaltır; hiçbir uygulama için mutlak güvenlik varsayılmamalıdır.

Fintech şirketleri için KVKK zorunlu mudur?
Kanun kapsamında kişisel veri işleyen fintech şirketleri KVKK'ya uymak zorundadır. Şirketinizin veri sorumlusu veya veri işleyen olarak üstlendiği role göre yükümlülüklerini belirlemelisiniz.

Fintech sektöründe en yaygın siber güvenlik tehditleri nelerdir?
Kimlik avı, hesap ele geçirme, API yetkilendirme açıkları, fidye yazılımları ve DDoS saldırıları öne çıkan tehditler arasındadır. Şirketiniz açısından öncelikleri, kullandığınız sistemler ve veri akışları üzerinden belirleyebilirsiniz.

Fintech şirketlerinde veri şifreleme neden önemlidir?
Şifreleme, yetkisiz kişilerin ele geçirdikleri veriyi okuyabilmesini zorlaştırır. Bu korumanın etkili olması için şifreleme anahtarlarına erişimi de sınırlandırmalısınız.

Fintech şirketlerinde veri ihlali yaşanırsa ne olur?
İhlal, müşterilerin zarar görmesine, hizmet kesintilerine ve bildirim yükümlülüklerine yol açabilir. Olayın niteliğine ve yükümlülüklerin ihlaline göre idari yaptırımlar veya tazminat talepleri de gündeme gelebilir.