SPK Sızma Testi (VII-128.10)

Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlanmış ve önceki Bilgi Sistemleri Yönetimi Tebliği'ni (VII-128.9) yürürlükten kaldırmıştır.

Tebliğ; borsalar, merkezi takas ve saklama kuruluşları, aracı kurumlar ve portföy yönetim şirketleri gibi sermaye piyasası kurumları, halka açık ortaklıklar ve kripto varlık hizmet sağlayıcıları gibi kuruluşları kapsar. Bazı kuruluş türleri belirli hükümlerden muaf tutulmuştur; sızma testi yükümlülüğünün sizin için geçerliliğini kuruluş türünüze göre birlikte netleştiririz.

• Sıklık: Bilgi sistemleri yılda en az bir kez sızma testine tabi tutulur. Kurul, gerekli gördüğü durumlarda ayrıca sızma testi yaptırılmasını isteyebilir.
• Testi yapacak taraf: Test, bilgi güvenliği gerekliliklerinin yerine getirilmesinde görevi bulunmayan ve sızma testi konusunda ulusal veya uluslararası belgeye sahip gerçek veya tüzel kişilerce yapılır.
• Yöntem: Testte Tebliğ ekinde (EK-1) yer alan usul ve esaslar uygulanır.
• Raporlama: Sızma testi raporu, testin tamamlanmasından sonraki bir ay içinde ve her durumda en geç takip eden yılın 31 Ocak tarihine kadar Kurul'a gönderilir.

Düzenlemenin test firmasında aradığı belgelendirme ve yetkinlik şartlarını teklif aşamasında sizinle birlikte netleştiririz.

Testi EK-1'deki usul ve esaslara göre kurgular, erişim noktalarını ve kullanıcı profillerini kapsam belgesinde açıkça tanımlarız.

• İnternet ve iç ağ sızma testi, web ve mobil işlem platformları ile API testleri (Sızma Testi sayfası).
• Gerektiğinde sosyal mühendislik ve DDoS dayanıklılık testleri.
• Kurul'a gönderilecek formatta, bulguları risk seviyesine göre sınıflandıran rapor.
• Yönetim kurulu onaylı eylem planına girdi olacak çözüm önerileri ve doğrulama testi.