İç denetimde bilgi teknolojileri ve siber güvenlik: Borsa İstanbul şirketlerinde bir inceleme
Information technologies and cybersecurity in internal audit: A review in Borsa Istanbul companies
Yazar: NEVZAT GÜNGÖR
Danışman: PROF. DR. FATMA LERZAN KAVUT
İstanbul Üniversitesi / Sosyal Bilimler Enstitüsü / İşletme Ana Bilim Dalı / Muhasebe Bilim Dalı
Derece: Doktora, 2021
Konu: İşletme = Business Administration
Dizin: Bilgi teknolojisi = Information technology ; Borsa İstanbul = İstanbul Stock Exchange ; Denetim = Control ; Siber güvenlik = Cyber security ; İç denetim ve iç kontrol = Internal control and internal audit ; Şirketler = Companies

Özet:
İşletmelerin siber güvenlik faaliyetleri, işletme yönetiminin sorumluluğundadır. Siber güvenlik faaliyetleri icra edilirken işletme yönetimlerinin en büyük destekçisi şüphesiz iç denetim birimleridir. 
Bu çalışmanın üç temel amacı bulunmaktadır. Çalışmanın ilk amacı Türkiye'de faaliyet gösteren halka açık işletmelerin siber güvenlik faaliyetleri seviyelerini tespit etmek ve siber güvenlik düzeylerinin işletmelerin özelliklerine göre farklılaşıp farklılaşmadığını belirlemektir. İkinci amacı ise işletmelerde üçüncü savunma hattı olarak görev yapan iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliğini belirlemek ve iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliği işletmelerin özelliklerine göre farklılaşıp farklılaşmadığını tespit etmektir. Bu çalışmanın son amacı ise işletmelerin siber güvenlik faaliyetleri seviyeleri ile iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliği arasında ilişki olup olmadığını belirlemektir. 
Bu amaçla gerçekleştirilen ankete Borsa İstanbul'a kote halka açık işletmelerde faaliyet gösteren 222 iç denetçileri katılmıştır. Yapılan analiz sonucunda halka açık işletmelerin siber güvenlik faaliyetleri seviyeleri belirlenmiş ve siber güvenlik düzeylerinin işletmelerin özelliklerine göre farklılaştığı sonucuna ulaşılmıştır. Ayrıca iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliğini tespit edilmiş ve iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliği işletmelerin özelliklerine göre farklılaştığı belirlenmiştir. Son olarak işletmelerin siber güvenlik faaliyetleri seviyeleri ile iç denetim birimlerinin siber güvenliğe yönelik faaliyetlerinin etkinliği arasında çok güçlü ve anlamlı bir ilişki olduğu sonucuna ulaşılmıştır.

Anahtar Kelimeler: İç Denetim, Bilgi Teknolojileri, Siber Güvenlik, Siber Güvenlik Yönetişimi, Üçlü Savunma Hattı

Abstract:
Cybersecurity activities are under the responsibility of business management. When cybersecurity activities are carried out, the biggest supporters of business management are undoubtedly internal audit departments.
There are three main purposes of this study. The first aim of the study is to determine the levels of cybersecurity activities of public companies operating in Turkey and to determine whether the levels of cyber security differ according to the characteristics of companies. The second aim is to determine the effectiveness of the cybersecurity activities of the internal audit departments, which serve as the third line of defense in companies, and to determine whether the cyber security activities of the internal audit units differ according to the characteristics of the companies. The final aim of this study is to determine whether there is a relationship between the levels of cybersecurity activities of companies and the effectiveness of cybersecurity activities of internal audit units.
222 internal auditors operating in public companies listed on Borsa Istanbul participated in the survey conducted for this purpose. As a result of the analysis, cybersecurity activities levels of public companies were determined, and it was concluded that cyber security levels differ according to the characteristics of the companies. In addition, the effectiveness of the activities of the internal audit units regarding cybersecurity was determined and it was determined that the effectiveness of the activities of the internal audit units regarding cybersecurity differ according to the characteristics of the companies. Finally, it has been concluded that there is a very strong and significant relationship between the cybersecurity activities levels of companies and the effectiveness of the activities of internal audit units regarding cybersecurity.

Keywords: Internal Audit, Information Technologies, Cybersecurity, Cybersecurity Governance, Triple Line of Defense