TCMB Ödeme ve Elektronik Para Kuruluşları için Sızma Testi

Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ, 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete'de yayımlanmıştır.

Tebliğ; ödeme ve elektronik para kuruluşlarının bilgi sistemlerinin yönetimini, bu sistemlerin yetkilendirilmiş bağımsız denetim kuruluşlarınca denetimini ve veri paylaşım servislerini düzenler.

• Sıklık ve kapsam: Bilgi sistemleri yılda en az bir kez, iç ve dış tehditleri dikkate alan senaryo tabanlı sızma testine tabi tutulur.
• Testi yapacak taraf: Test, bilgi güvenliği gerekliliklerinin yerine getirilmesinde görevi bulunmayan ve sızma testi konusunda ulusal veya uluslararası belgeye sahip gerçek veya tüzel kişilerce yapılır.
• Yöntem: Testler Tebliğ'in EK-5'inde yer alan usul ve esaslar çerçevesinde uygulanır.
• Bulguların giderilmesi: Öncelikli bulgular, yönetim kurulunca onaylanan eylem planıyla en kısa sürede giderilir.
• Raporlama: Sızma testi sonuçları ve tespit edilen kritik güvenlik açıkları ile giderilme durumu, yılda en az bir kez Merkez Bankası'na raporlanır.

Düzenlemenin test firmasında aradığı belgelendirme ve yetkinlik şartlarını teklif aşamasında sizinle birlikte netleştiririz.

Sızma testi, Tebliğ'de ayrıca düzenlenen bilgi sistemleri bağımsız denetiminden farklı bir çalışmadır; biz sızma testi tarafını üstleniriz.

• Ödeme sayfaları, mobil cüzdan uygulamaları, API'ler ve üye işyeri entegrasyonlarının sızma testi.
• İç ağ ve dış ağ senaryoları, gerektiğinde sosyal mühendislik testleri.
• Eylem planına ve TCMB raporlamasına girdi olacak, risk seviyesine göre sınıflandırılmış rapor.
• Düzeltmelerin ardından doğrulama testi ve kapanış kaydı.