Elektronik finans kullanan küçük ve orta büyüklükteki işletmelerde (kobi) bilgi güvenliği risklerine karşı alınabilecek tedbirler üzerine bir öneri: Bilgi güvenliği odaklı iç kontrol ve risk profiline uygun kontrol seçimi
A recommendation on the measures to be taken against the information safety risks in small and medium sized enterprises (smes): Information security focused internal control and control selection according to risk profile
Yazar: MURAT SAMİ BAYKIZ
Danışman: PROF. DR. CİHAN TANRIÖVEN
Gazi Üniversitesi / Bilişim Enstitüsü / Yönetim Bilişim Sistemleri Ana Bilim Dalı
Derece: Doktora, 2020
Konu: Bilim ve Teknoloji = Science and Technology ; Endüstri ve Endüstri Mühendisliği = Industrial and Industrial Engineering ; İşletme = Business Administration
Dizin: İç denetim ve iç kontrol = Internal control and internal audit

Özet:
Rekabet, değişim, küreselleşme gibi etkenler KOBİ'leri bilgi ve iletişim teknolojilerini kullanmayı zorunlu kılmaktadır. Bu teknolojiler sayesinde zaman ve mekân kavramı ortadan kalkmış, bir mobil araç ve ağ sayesinde dünyanın herhangi bir yerinden elektronik finansal hizmet ve ürünlere ulaşmak mümkün hale gelmiştir. Bütün bu gelişmelere paralel olarak; özellikle son yıllarda yaşanan sosyal mühendislik katkılı dolandırıcılık olayları ve çalışan suiistimalleri bilgi güvenliğini ön plana çıkarmıştır. Bilgi teknolojileri konusunda nitelikli yeterli işgücü istihdam etmeyen, bilgi güvenliği riski yalnızca büyük şirketleri etkiler önyargısına sahip KOBİ'ler, teknoloji hırsızları için kolay hedefler haline gelmektedir. Bu araştırmada; ülke ekonomilerinin lokomotifleri olan ve esnek yapıları, değişime çabuk adapte olmaları gibi özellikleri sayesinde ülke ekonomilerinin krizleri çabuk atlatmalarında önemli bir yere sahip KOBİ'lerin, bilgi ve iletişim teknolojilerindeki inanılmaz gelişime paralel olarak artan bilgi güvenliği riskine karşı uygulayabilecekleri basit ve yalın bir iç kontrol metodolojisinin geliştirilmesi amaçlanmıştır. Bu bağlamda; literatür araştırması yapılarak mevcut iç kontrol sistemleri ve bilgi güvenliği konusunda geliştirilen çerçeveler incelenmiştir. Oluşturulan yarı yapılandırılmış görüşme formu; amaçlı örnekleme tekniğiyle seçilen bilgi güvenliği, risk, iç kontrol ve iç denetim konusunda uzman personele uygulanmıştır. Yapılan çalışma sonucunda; KOBİ yöneticileri ve çalışanlarının kullanabilecekleri bilgi güvenliği odaklı iç kontrol soru formu oluşturulmuş, yine KOBİ çalışanlarının kendi kendilerine sorabilecekleri birkaç basit soruyla bilgi güvenliği risk profillerini çıkarabilecekleri ve bu risk profiline göre uygulayabilecekleri bilgi güvenliği kontrolleri tespit edilmiştir.

Abstract:
Factors such as competition, change and globalization force SMEs to use information and communication technologies. As a result of these technologies, the concept of time and space has disappeared, and it becomes very easy to reach electronic financial services and products from anywhere in the world via a mobile tool and network. In parallel with all these developments; especially in recent years, social engineering added fraud incidents and employee misconceptions highlighted information security. SMEs, which do not employ sufficient qualified labor force in information technology and have prejudge that information security risks only affect large companies, are becoming easy targets for technology thieves. Keyboard thieves have now taken over the place of the thieves of the past. In this study, a simple internal control methodology that can be implemented against information security risks in parallel with the incredible development of information and communication technologies is targeted for SMEs which are the locomotives of national economies and have an important place for the economies of the countries to overcome the crisis quickly because of their features such as flexible structure, rapid adaptation to changes. In this context; the literature on the existing internal control systems and information security were examined. Created semi-structured interview form have been applied to the information security, risk, internal control, and internal audit personnel who are selected by means of purposive sampling technique. As a result of the study; an internal control questionnaire, which focuses on information security, can be used by SME managers and employees. In addition, information security controls have been identified, which can be used by SME employees to provide information security risk profiles with a few simple questions that they can ask themselves.