Kritik sistemlere kimin, ne zaman, hangi yetkiyle eriştiğini kayıt altına alın.

Ödeme ve elektronik para kuruluşları

TCMB, Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (Resmî Gazete, 01.12.2021, sayı 31676)

Kimlik

Ayrıcalıklı yetki kullanılırken kimlik doğrulamaya ek güvenlik kontrolü aranır; yetkinin ortak kullanımı engellenir. (md. 11/6)

İşlem yetkisi olan her personele biricik kimlik tanımlanır; ortak ya da ön tanımlı hesap zorunlu olmadıkça kullanılmaz. (md. 11/9)

Ortak ya da ön tanımlı hesap zorunluysa, işlemi yapan kişiye sorumluluk atayan ek kontrol kurulur. (md. 11/9)

Talep ve onay

Ayrıcalıklı yetki yalnız mutlak ihtiyaç olduğunda atanır ve ihtiyaç duyulan konuyla sınırlı kullanılır. (md. 11/6)

Süreli yetki

Acil durumlara özgü yetkilendirme geçici yapılır. (md. 11/7)

Oturum kaydı

Acil durum yetkilendirmesinde tüm süreç kayda alınır. (md. 11/7)

Aracı kurumlar, portföy yönetim şirketleri, kripto varlık hizmet sağlayıcıları

SPK, Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10; Resmî Gazete, 13.03.2025, sayı 32840)

Kimlik

Ayrıcalıklı kullanıcı hesapları çok faktörlü kimlik doğrulamayla kullanılır. (md. 15/7)

Ayrıcalıklı yetki gerektiren iş ve işlemler için ayrı hesaplar açılır. (md. 16/7)

Oturum kaydı

Ayrıcalıklı işler için açılan hesaplarla yapılan işlemlerin denetim izi tutulur. (md. 16/7)

İzleme ve müdahale

Ayrıcalıklı hesaplarla yapılan erişimler dahil, anormal ya da beklenmedik erişim girişimlerini tespit edip erken uyarı üreten mekanizma kurulur. (md. 16/8)

Keycyte PAM'de: Bu maddede karşılık kısmi: anormal erişimi kendiliğinden tespit edip uyaran mekanizma, burada sayılan PAM özellikleri arasında değil.

Muafiyet: dar yetkili aracı kurumlar ve asgari özsermaye yükümlülüğü bakımından belirli gruptaki portföy yönetim şirketleri md. 15/7 ve md. 16/8 hükümlerini uygulamak zorunda değildir (md. 30/1).

Sigortacılık ve özel emeklilik

Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik (Resmî Gazete, 25.11.2021, sayı 31670)

Kimlik

Bilgi sistemleri, erişimi uygun bir kimlik doğrulama mekanizmasıyla sağlayacak yapıda kurulur. (md. 16/3-ç)

Talep ve onay

Bilgi sistemleri, kullanıcılara görev ve sorumluluklarına göre uygun yetkilendirme ve erişim kontrolü sağlayacak yapıda kurulur. (md. 16/3-ç)

Oturum kaydı

Bilgi sistemleri, gerçekleşen işlem ve olaylar için etkin bir iz kayıt mekanizması sağlayacak yapıda kurulur. (md. 16/3-c)

Enerji

EPDK, Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (Resmî Gazete, 06.06.2023, sayı 32213); endüstriyel kimlik ve erişim yönetimi ana kontrolü (md. 6/1-e) ve elektrik dağıtımı teknik kontrol maddeleri (Ek-1)

Kimlik

Endüstriyel kontrol sistemi bileşenlerine uzaktan erişimde iki faktörlü kimlik doğrulama devreye alınır. (Ek-1 KEY-14)

Talep ve onay

Uzaktan erişimin talep ve onay kayıtları saklanır. (Ek-1 KEY-17)

Süreli yetki

Uzaktan erişim için kullanılan hesaplar geçici süreyle açılır. (Ek-1 KEY-16)

Oturum kaydı

Erişim sırasında oluşan sistem kayıtları dahil, uzaktan erişime ilişkin tüm kayıtlar saklanır. (Ek-1 KEY-17)

Numaralar elektrik dağıtımı ekine (Ek-1) göredir; aynı kontroller diğer alt sektör eklerinde de var, bazılarında bir sonraki numarada. Hangi seviyenin zorunlu olduğu alt sektöre ve kurumun kritiklik derecesine göre değişir.

Sivil havacılık

Sivil Havacılık Güvenliği Yönetmeliği (SHY-GÜVENLİK) (Resmî Gazete, 22.05.2026, sayı 33261)

Siber güvenlik maddesi (md. 50/2) kritik bilgi ve operasyonel sistemlerin korunmasını genel bir yükümlülük olarak koyar; halkalara özgü hüküm içermez. Kurumunuza uyan yükümlülükleri görüşmede birlikte çıkarırız.

Savunma sanayii

Savunma sanayii güvenlik mevzuatı, ihracat kontrolü ve NATO/ulusal güvenlik makamı gereklilikleriyle sözleşme şartlarındaki erişim yükümlülüklerini görüşmede birlikte çıkarırız.

Keycyte PAM'de, halka halka

Kimlik

Kullanıcılar kurumun dizin servisinden kendi kimlikleriyle gelir. Çok faktörlü doğrulama iki yerde istenir: PAM'e girişte ve hedef sisteme bağlanırken. Parolalar şifreli kasada durur; kullanıcı hedef sisteme parolayı görmeden bağlanır.

Talep ve onay

Kullanıcı hangi sisteme, hangi iş için ve ne kadar süreyle erişmek istediğini bildirir; talep tanımlı politikaya göre onaylanır. Kimin, hangi gerekçeyle istediği ve kimin onayladığı kayda geçer.

Süreli yetki

Yetki kalıcı değil, ihtiyaç anında ve belirli bir süre için verilir. Süre dolunca yetki kendiliğinden geri alınır ve parola yenilenir.

Oturum kaydı

Her ayrıcalıklı oturum ekran videosu ve tuş vuruşlarıyla kaydedilir. Kayıt, oturumu başlatan kişiye, talebe ve onaya bağlıdır: kimin, hangi sisteme, ne zaman, hangi onayla bağlandığı ve ne yaptığı bellidir.

İzleme ve müdahale

Yöneticiler ayrıcalıklı oturumları canlı izler; gerektiğinde oturuma katılır ya da oturumu anında sonlandırır.