Finansal piyasalarda elektronik risk ve denetimi

Finansal piyasalarda işlemlerin önemli bir kısmı günümüzde elektronik ortamlarda gerçekleşmekte, değerleri elektronik ortamlarda saklanmakta ve iletilmektedir. Bu durum finansal piyasaların coğrafyadan bağımsız, derin bir piyasada, düşük maliyetle işlemlerini gerçekleştirmesi gibi sayısız faydaları olmasıyla birlikte beraberinde yeni ve kompleks birçok riski de beraberinde ortaya çıkarmaktadır. Bu çalışmada; ilk bölümde konuya ilişkin kavramsal çerçeve ifade edilmiştir. Bu kapsamda risk kavramı ile sistematik ve sistematik olmayan riskin neler olduğu açıklanmaya çalışılmıştır. Finansal piyasalardaki ana elektronik risk noktalarının belirtilmesi ve tasnifi çerçevesinde operasyonel risk, itibar riski, yasal risk, sınır ötesi konular ve diğer ilişikli risk unsurları irdelenmiştir. Bu risk unsurlarının belirtilmesinin ardından finansal piyasalarda kullanılan başlıca elektronik sistemler ve bu sistemlere ilişkin kavramlar açıklanmaya çalışılmıştır. Bu kapsamda İnternet teknolojileri ile alt yapısında bulunan modeller, protokoller, uygulamalar ve sistemler incelenmiştir. Bu kavramlar açıklanmaya çalışılırken ilişikli güvenlik riskleri ve önlemlerine ilişkin kavramlara da yer verilmiştir. Ardından internetin finansal anlamda en faal kullanıldığıinternet bankacılığı irdelenmiştir. Finansal Piyasalarda yaygın olarak kullanılan bir diğer enstrüman olan çağrı merkezleri de bu bölümde incelenerek mahiyeti ve taşıdığı önem konu edilmiştir. Bu çerçevede çağrı merkezleri ile web sitelerinin birbirleri ile entegrasyonu ve ortak olarak taşıdıkları değerler ve birbirlerini nasıl tamamladıklarına ve güncel örneklere yer verilmiştir. Banka kartları, kredi kartları ve Otomatik Vezne Makinaların niteliği, gerçekleştirdiği işlemler ve diğer alternatif kanal enstrümanlarıyla nasıl şubesiz bankacılık merkezleri haline geldikleride bu bölümün kapsamı altında incelenmiştir. ikinci bölümde finansal piyasalarda elektronik ortamın getirdiği risklerin analizinin yapılması, bu risklerin asgari düzeyde tutulması, kontrol, takip ve denetiminin yapılması ile gözlemlenebilir ve yönetilebilir hale gelmesi için metod ve standartların belirtilmesi, bu alandaki gelişmelerin neler olduğu ve ne yöne doğru ilerlediği bilgileri verilerek geleceğin finansal piyasalarının güvenli ve sağlıklı 137 çalışması için asgari müştereklerin neler olması, nasıl bir güvenlik politikası oluşturulması gerektiği konusunda değerlendirmeler yapılmaya çalışılmıştır. Sonraki bölümde bu unsurları gerçekleştirmede en önemli araç olarak kullanılan denetim prosesi ele alınmıştır. Bilgi işlem bölümlerinde yapılan ve şirketlerin diğer bölümlerinde de kullanılan sistemlerin karmaşıklığı ve bunların güvenliği elektronik risk yönetiminde en önemli unsur olarak karşımıza çıkması ve bu çerçevede ortaya çıkan Bilişim Denetim bölümleri ile bu bölümlerin risklerini asgari düzeye indirmede aldıkları rol konu edilmiştir. Bu çerçevede denetimin organizasyon içindeki yeri ve sahip olduğu rolün niteliği, görev tanımları, çalışma metodları, denetçi profili ile denetim sürecinin başlaması için gerekli asgari şartların tanımlaması yapılarak denetim ve güvenlik alanındaki gelişmeler yer verilmiştir. Denetim prosesinin organizasyonu ve planlaması ele alınarak karşılaşılabilecek risklerin neler olduğu belirtilmeye çalışılmış ve bu risklerin nasıl değerlendirilebileceği hususna yer verilmiştir. Bu risklerin değerlendirilmesi ardından denetim yöntem ve standartları belirtilerek, mevcut elektronik risklerin nasıl minimize edilebileceğine ilişkin esaslar incelenmeye başlanmıştır. Bu çerçevede ilk olarak sistemin çalışma koşullarına yönelik değerlendirmeler yapılmıştır. Sistemin çalışacağı fiziksel koşulların, elektronik cihazların bulunduğu sistem odalarının, fiziksel erişim, yangın, su baskını vb. hususlara ilişkin standart ve denetim ilkeleri irdelenmeye çalışılmıştır. Fiziksel koşuların irdelenmesinin ardından mantıksal güvenlik kavramı ile sistemlere erişme ve bilgilerin saklanması, işlenmesi ve depolanmasına ilişkin denetim yöntem ve standartları incelenmeye çalışılmıştır. Bu kapsamda iletişim güvenliği başlığı altında bilgilerin iletimi esnasında çalınması araya girilmesi vb. riskler ele alınmış, sistemlere ait cihazlar ve üzerindeki uygulamalara ilişkin şifreler, erişim yetkilendirmesi ile günümüzde bu işlemler ilişkin ortaya çıkan gelişmeler ve yeni yöntemler incelenmiştir. Sistemin network özellikleri ile sisteme dial-up bağlantısı yapılması sürecindeki güvenlikte bu bölümde incelenmiştir. Sonraki bölümde yazılımların nasıl güvenli olabileceği, uygulama geliştirme ve proje sürecinin nasıl sağlıklı işleyebileceği versiyon kontrolü ve kodların korunmasına ilişkin konular değerlendirilmiştir. Geliştirilen kodların gerçek uygulama ortamlarına nasıl taşınacağı ve bu işlemler esnasında nelere dikkat edilmesi gerektiği konusuna 138 değinilmiştir. Yazılımların performans ve çalışılabilirliği ile de yazılım kısmı sonlandırılmıştır. İkinci bölümde son olarak finansal piyasaların aktörlerinin her koşul altında işlemlerini sürdürmeleri ve olağanüstü durumlarda zamlarını minimize etmek ve işlemlerin kesintisiz devamı ile yeniden eski çalışma kapasitesine dönebilme yöntem ve enstrümanlarına yer verilmiş, bu kapsamda sigorta ve verilen yedeklenmesi ile yedeklemenin giderek değişen yüzü ele alınmıştıır. Finansal Piyasalarda oluşan risklerin önüne geçilmesinde kontrol ve denetimin yanı sıra şirket yönetiminin ve diğer çalışanların da belirlenecek risk önleme politikası anlayışına sahip olması, acil durum planları ve kriz yönetimi gibi unsurlar da bu kapsamda incelenmiştir. Üçüncü bölümde finansal piyasaların genel sistem bazında risklerinin incelenmesi ardından kullanılan ana enstrümanlara yönelik daha detaylı olarak riskler ele alınmıştır. Bu kapsamda internet, veri tabanı, rapor ve dokümanlar, çağrı merkezi, kartlar ve ATM lere ilişkin riskler ve kontrol noktaları hakkında, sistemin niteliğine göre detaylara inilmiştir. Bu bölümde ilk olarak finansal piyasalarda en yaygın olan internet ele alınarak, internetteki başlıca atak türlerinin neler olduğu, bu saldırıların niteliği, muhtemel zararların neler olabileceği, sistemin hangi kısımlarının hedef alındığı ve bu saldırıların amaçları hususlarına değinilmiştir. Bu ataklardan nasıl korunulabileceği, bu süreçte kullanılan cihazların neler olduğu ve ne tip yazılımlar kullanıldığı, güvenlik yapısının nasıl kurulması gerektiği, ne tip şifreleme mekanizmaları ve uyarı mekanizmaları kurulması gerektiği, en yaygın kullanımı olan SSL şifreleme mekanizması, kullanılan işletim sistemlerinin bu süreçteki durumu ve karşılaştırmaları ile muhtemel saldırıların zararlarının asgari düzeye indirilmesi konu edilmiştir. Tüm bu bilgiler çerçevesinde ön güvenlik hazırlıkları ile periyodik yapılması gerekenler irdelenmiştir. Tüm sistemlerin yapılan işlemleri ve bilgileri saklanması, arşivlemesi ve istenildiği takdirde tekrar verebilmesi amacıyla sahip oldukları veri tabanları ve veri dosyaları incelenerek güvenlik önlemleri ve riskler ve bu risklerden korunmaya ilişkin 139 değerlendirmelere yer verilmiştir. Ardından bilgi güvenliğinin devamı olan rapor ve doküman güvenliği konu edilmiştir. Çağrı Merkezleri günümüzde nakit işlemler haricinde her türlü işlemleri gerçekleştirmesi nedeni ile en önemli işlem kanallarından biri haline gelmiştir. Bu sisteme yönelik olarak riskler ve kontrol noktaları belirtilmeye çalışılmış, hizmet kalitesi, servis verimliliği ve raporlarına ilişkin hususlar irdelenmeye çalışılmıştır. Kart ve ATM güvenliğine ilişkin önemli risk ve kontrol noktaları ile dünyada ve Türkiye'deki konuya ilişkin riskler, suistimal noktaları ve önlemleri konuları irdelenmiştir. Tüm alternatif kanalların kullanıcı doğrulama işlemlerini gerçekleştirirken kullandıkları şifre yöntemi yerine veya ona destek olması için Biometrik Sistemler devreye alınmaya başlanmıştır. Müşterinin biyolojik özellikleri vasıtasıyla sisteme tanımlamasını yapmak üzere kullanılan parmak izi, ses tanıma vb. teknolojilerin çalışma prensibi, performansı, maliyeti, doğruluğu ve hangi teknolojiyi hangi sistemde kullanmanın efektif olacağı çalışma kapsamında irdelenmiştir. Tüm bu safhaların etkin ve verimli bir şekilde gerçekleştirilmesi için vazgeçilmez unsurlardan olan kalite kavramı ve Toplam Kalite Yönetimi de incelenerek finansal piyasalarda elektronik risk ve denetimi kapsamlı irdelenmeye çalışılmıştır. Kalite kavramı dünya pazarlarında yer alma çabasında olan her firma ve ekonomi için stratejik bir faktör haline gelmiştir. Bu nedenle kaliteyi ve Toplam Kalite Yönetiminin firmalarda tesisi, risklerin minimize edilmesi ve işlemlerin sıhati açısından önem taşımaktadır. Özellikle finansal piyasalarda gelişen teknoloji ile sunulan yeni ürünlerde tatmin düzeyinin yakalanması, pazar riskinin minimize edilmesi ve yatırımlardan maksimum veriminin elde edilmesi toplam kalite yönetim tesisi ve işlemesini sağlayacak yapının tesisi ile mümkün olacağından hareketle konu ele alınmıştır. Bu sürecin oluşturulabilesi, bu vasıtayla risklerinin minimize edilerek maksimum verimliliğe ulaşmasına yönelik konularda bu bölümde ele alınmıştır. Finansal Piyasalarda kullanılan bilgi sistemlerinin güvenliğinin nasıl sağlanacağı ile birlikte giderek gelişen internet teknolojileri, ağ sistemleri, çağrı merkezleri, kart sistemlerine ilişkin temel bilgiler ile bu sistemlerin risk dereceleri ve 140 karmaşıklık derecesine göre analizleri, mevcut durumları, muhtemel tehlikeler, korunma yöntemleri ve denetimine ilişkin esaslar hakkındaki konularda bilişim, denetim ve güvenlik alanlarına yönelik yayınları bulunan INTOSAI, IEEE, Computer Society, ISACA gibi uluslararası dernek ve kurumların periyodik yayınlarından faydalanarak, güncel durum ve gelecekteki gelişmelere yönelik projeksiyon tutulmaya çalışılmıştır. Teknolojik gelişim beraberinde yeni imkanlar ve riskler getirecek olması,. bu risklerin gerçekleşmesinin önlenmesi veya zararın minumuma indirilmesi önceden yapılacak çalışmalara ihtiyaç duyması, bu çalışmaların her firmanın kendi değerleri ve önemli varlıklarını belirleyerek oluşturacağı güvenlik politikası çerçevesinde şekilleneceği de tüm çalışmanın kapsamında irdelenmiştir. Çünkü güvenlik önlemlerinin olmaması gibi gerekli olmayan noktalarda uygulanacak güvenlik tedbirleri kurumun iş akışında gereksiz aksama ve veya iş yüküne neden olabileceği gerçeği de tezde işlenmeye çalışılmıştır. Oluşturulacak güvenlik politikasının BT denetim kadroları tarafından kontrol edilmesi ve eksikliklerin yönetime raporlanması, takibi, risk değerlendirmesi ve bu doğrultuda tavsiyelerde bulunulması, güvenlik politikasının geliştirilmesi büyük önem arz ettiği de çalışmanın ana fikirleri arasında işlenmeye çalışılmıştır:. BT denetiminin kapsamında hızla ilerleyen bir artışın olduğu dolayısıyla BT Denetim ve BT Güvenlik' in öneminin giderek arttığı ancak kısıtlı personelin Güvenlik Politikasının içeriğini bilmesinin açacağı sorunlar ve başta yönetim ardından tüm personelinin BT Güvenliği kavramı önemi anlamalarının önemi işlenmiştir. Elektronik riskini analizini yapmanın, önlemenin, kontrol edilebilen ve gözlemlenebilen hale getirmenin finansal piyasalar için ne kadar hayati önem taşıdığı irdelenerek tez sona erdirilmiştir. 141