Bankalara süper güvenlik

Bankalara güvenlikte sıkıyönetim geliyor. İnternette parmak izi kullanılacak. ATM'ler kameralarla korunacak...

Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), internet başta olmak üzere bankacılık işlemlerine dönük dolandırıcılıkların artması üzerine güvenlik önlemlerini belirleyen bir düzenleme hazırladı.

-İnternet bankacılığında, müşterilere uygulanan kimlik doğrulama mekanizmasında; parola/şifre bilgisi, tek kullanımlık şifre üretim cihazı, parmak izi gibi bileşenler kullanılabilecek.
-Bankalar, ATM cihazlarının etrafı uygun bir şekilde ışıklandırılacak ve cihaz üzerine kullanıcının etrafını gösterebilecek şekilde ayna tipi aparatlar yerleştirilecek.
-ATM cihazları üzerine fiziksel saldırıları algılayacak alarmlar ve sensörler yerleştirilecek.
-Bankalar, ATM cihazlarının bulunduğu yerlere güvenlik kamerası koyacak.
-Bankalar belirlenen güvenlik düzenlemelerini iki yıl içerisinde yerine getirecek.
-Bilgi sistemleri kapsamındaki faaliyetlere ilişkin yetkilendirme veritabanında kontrolsüz değişikliğin olması veya veritabanının güvenilirliğini yitirmesi durumunda, veritabanı güncel ve güvenilir duruma getirilene kadar kullanılmayacak.
-Güvenilir olmayan veritabanı üzerinden yetkilendirme ve erişim hakkı tahsisi işlemleri gerçekleştirilemeyecek.
-Bilgi sistemleri üzerindeki; riskler, sistemlerin boyutu ve faaliyetlerin karmaşıklığı göz önünde bulundurularak bilgi sistemlerinin kullanımına ilişkin etkin bir denetim izi kayıt mekanizması tesis edilecek.

DENETİM İZLERİ 3 YIL SAKLANACAK
Oluşturulacak denetim izlerinde asgari olarak; erişim talebinin hangi uygulama üzerinden geldiği, yeri ve zamanı; erisim talebinde bulunan kişinin kimliği, yapılan işlemlerin zamanı ve içeriği, erişimin başarılı ya da başarısız olması durumu bilgilerini içerecek. Denetim izleri sorgular için asgari 1 yıl, işlemler için asgari 3 yıl boyunca banka nezdinde saklanacak. Banka, müşterilerini ve personelini, aktivitelerinin kaydının tutulduğu konusunda haberdar edecek.

MAHREMİYET KORUNACAK
Banka, müşteri bilgilerinin mahremiyetini sağlamaya yönelik gerekli tedbirleri alacak. Banka, mahremiyeti konu alan politika ve prosedürleri olusturacak, yazılı hale getirip ilgili tüm birimlere iletecek. Banka, bankacılık faaliyetleri kapsamında edindiği müşteriye ait bilgileri amaçları dışında kullanamayacak, saklayamayacak ve diğer taraflarla paylaşamayacak.

Müşterilerin, kişisel bilgileri toplanmadan, kullanılmadan ve diğer taraflarla paylaşılmadan önce rızası alınacak, müşterilere kişisel bilgilerini diğer taraflarla paylaşıp paylaşmama konusunda seçenek sunulacak ve müşterinin böyle bir seçeneğinin bulunduğuna dair mutlaka bilgilenmesi sağlanacak.

İNTERNET BANKACILIĞI İÇİN ÖZEL ÖNLEM
İnternet bankacılığı faaliyetleri kapsamında sunulan bankacılık hizmetlerinin, internetin doğasından kaynaklanan bir takım ek risklere maruz kalacağı da göz önünde bulundurulacak ve gerekiyorsa ilgili hizmetlere ilişkin süreçler üzerinde ilave kontroller tesis edilecek.

Güvenlik kontrollerinin yeterliliğini test etmek üzere bağımsız ekiplere, en az yılda bir kez olmak üzere, internet bankacılığı faaliyetleri kapsamındaki sistemler için sızma testleri yaptırılacak. Banka, internet bankacılığı faaliyetleri kapsamında gerçeklesen sıra dışı ve şüpheli işlemleri tespit etmek için takip mekanizmaları kuracak.

Banka, sunmakta olduğu internet bankacılığı hizmetleri için, bu hizmetlerin arz ettiği risk seviyelerine uygun ve güvenilir bir kimlik doğrulama mekanizması tesis edecek. Müşterilerin, kurulan kimlik doğrulama mekanizmasından geçmeden hizmetlerden yararlanmasına müsaade etmeyecek bir yapı banka tarafından kurulacak.

İNTERNET İÇİN PARMAK İZİ
Müşterilere uygulanan kimlik doğrulama mekanizması birbirinden bağımsız en az iki bileşenden oluşacak. Bu iki bileşen; müşterinin “bildiği”, müşterinin “sahip olduğu” veya müşterinin “biyometrik bir karakteristiği olan” unsur sınıflarından farklı birine ait olmak üzere seçilecek. Müşterinin “bildiği” unsur olarak parola/şifre bilgisi gibi bileşenler, “sahip olduğu” unsur olarak tek kullanımlık şifre üretim cihazı gibi bileşenler, “biyometrik bir karakteristiği” olarak da parmak izi gibi bileşenler kullanılabilecek.

Kimlik doğrulamada kullanılacak şifreleme teknikleri, güncel durum itibariyle literatürde kabul görmüş ve güvenilirliğini yitirmemiş algoritmaları baz almak durumunda olacak. Kullanılacak şifreleme anahtarları, ilgili algoritmalar için anahtarın geçerli olacağı ve kullanılabileceği zaman zarfında kırılamayacak şekilde uzun seçilecek. Geçerliliğini yitirmiş, çalınmış veya kırılmış şifreleme anahtarlarının kullanılabilirliği engellenecek.

Banka tarafından oluşturulacak kimlik doğrulama mekanizmasının; başarısız kimlik doğrulama teşebbüsleri hakkında, ilgili müşterinin sisteme ilk girdiği anda bilgi vermesi, başarısız teşebbüslerin belirli bir sayıyı asması halinde ise ilgili müşterinin internet bankacılığına erişimini bloke etmesi gerekecek. Başarısız kimlik doğrulama teşebbüsleri sonrasında, bu teşebbüsü gerçekleştiren kişiye, yanlış girilen kullanıcı bilgisi veya şifresi ile ilgili, örneğin böyle bir kullanıcının sistemde olmadığı veya şifrenin yanlış girildiği gibi, gereksiz bilgi vermemesi gerekecek.

Banka, müşterilerine ve personeline ait kimlik doğrulama bilgilerini ele geçirmeye yönelik bilinen saldırılara karşı gerekli sistemsel ve yazılımsal önlemleri alacak.

Olası tehditleri önceden belirleyebilmek ve gerekli önlemleri alabilmek adına, internet bankacılığı hesaplarına erişim için başarılı ve başarısız erişim teşebbüsleri düzenli olarak banka tarafından takip edilecek, oransal bir anormallik görüldüğünde incelemeye alınacak.

ATM ÖNLEMLERİ
Banka, ATM cihazlarına ilişkin hırsızlık, sahtekarlık, fiziksel saldırı gibi tehditlere ilişkin riskleri minimize edici önlemleri tesis edecek ve ATM cihazlarının güvenli kullanımı hususunda müşterilerinde farkındalık yaratacak. ATM cihazları üzerine, zararlı içerikli programların kötü niyetli kişilerce yüklenmesini ve yetkisiz erişimi engelleyecek gerekli yazılımlar yüklenecek. Cihaza yetkisiz kişilerin herhangi bir şekilde başka bir elektronik cihaz bağlamasını sağlayacak bütün giriş noktaları erişime kapatılacak.

ATM cihazlarının servis sürekliğinin sağlanması ve maruz kalabilecekleri risklerin erken tespiti adına, Banka tarafından ATM cihazları için uzaktan yönetim ve takip sistemleri kurulacak. Söz konusu sistem düzenli olarak belirli hata kodları yaratan ATM cihazlarını ve hesap numaralarını, bunlar üzerinde şüpheli işlemler gerçekleştiriliyor olması ihtimaline karsı, sistemsel olarak takip edebilecek ve gerekli uyarıları yapabilecek işlevselliğe sahip olacak.

FİZİKSEL SALDIRIYA KARŞI ALARM
ATM cihazları, bulundukları zemine sağlam olarak tutturulmadıkça ve kolayca yerlerinden taşınmalarını engelleyici herhangi bir önlem alınmadıkça, bina dışına konumlandırılayacak. Mümkünse ATM cihazları üzerine fiziksel saldırıları algılayacak alarmlar ve sensörler yerleştirilecek.

Banka, bu Tebliğ hükümlerinin gereklerini yayım tarihinden itibaren azami iki yıl içerisinde yerine getirecek.