Bankalarda Çalışan Uygulaması: Bulut mu, Kurum İçi Kurulum (On-Premise) mu? BDDK Bilgi Sistemleri Düzenlemesi Açısından Sorulacaklar
Teknoloji · 5 dk okuma · İç İletişim Editör Ekibi
Kısaca: Bankalarda çalışan uygulaması için bulut ile kurum içi kurulum (On-Premise) arasındaki seçim, önce bir soruya bağlıdır: uygulama üzerinden iş süreci yürütülecek ya da hassas veya sır niteliğinde veri işlenecek mi? BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği bulut hizmetini yasaklamaz; ancak birincil sistem kapsamına giren sistemler için yurt içinde bulundurma ve bulut modeli konusunda ayrı şartlar koyar. Bu yazı, iki modelin artı ve eksilerini ve karar öncesi bilgi güvenliği ve uyum birimiyle konuşulacak soruları özetler.
Bu yazı hukuki ya da uyum danışmanlığı değildir; kurumunuzun bilgi güvenliği ve uyum birimiyle birlikte değerlendirin. Mevzuat atıfları 27.10.2026 itibarıyla resmi metinlerden kontrol edilmiştir.
Kurulum modellerinin genel karşılaştırmasını On-Premise mi Cloud mu? rehberimizde, verinin kurumda kalmasının ne anlama geldiğini On-Premise çalışan uygulaması yazımızda anlattık. Burada yalnızca banka mevzuatı açısından sorulacaklara odaklanıyoruz.
Yönetmelik Bulut Hakkında Ne Diyor?
15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan yönetmelikte çalışan uygulaması kararını doğrudan ilgilendiren hükümler şunlardır:
- Yurt içinde bulundurma (m.25/1, 25/2): Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur; birincil sistemlerin her türlü yedeği ikincil sistem sayılır.
- Banka içi mesajlaşma istisnası (m.25/3): Bankacılık faaliyetlerinin yürütülmesi amacını taşımayan banka içi mesajlaşma sistemleri birincil sistem kapsamında değildir. Bunun için sistem üzerinden iş süreci yürütülmemesi ve hassas veri ya da sır kapsamına girebilecek verilerin işlenmemesi, iletilmemesi ve saklanmaması gerekir.
- Dış hizmet ve bulut (m.25/5): Birincil veya ikincil sistem kapsamındaki bir faaliyet için dış hizmet ya da bulut hizmeti alınırsa, sağlayıcının kullandığı sistemler ve yedekleri de bu kapsamda değerlendirilir ve yurt içinde bulundurulur.
- Bulut modelleri (m.29/11): Banka bulut bilişim hizmetlerini dış hizmet olarak kullanabilir. Birincil veya ikincil sistemler için bulut hizmeti yalnızca o bankaya tahsis edilmiş kaynaklarla özel bulut modeliyle alınabilir; topluluk bulutu modeli Kurul iznine tabidir.
- Dış hizmet alımının yönetimi (m.29): Risk değerlendirmesi, sağlayıcı seçiminde özen, yazılı sözleşme, hizmet seviyelerinin takibi ve çıkış stratejisi gibi başlıklar.
Kısacası mevzuat "bulut olmaz" demez; sistemin hangi kapsamda olduğuna göre hangi şartların uygulanacağını belirler.
İlk Soru: Uygulama Birincil Sistem Kapsamında mı?
Çalışan uygulaması duyuru, haber, anket ve kurum içi mesajlaşma için kullanıldığında m.25/3'teki istisnaya yakın bir yerde durur. Ancak kullanım genişledikçe tablo değişebilir. Şu soruları uyum ve bilgi güvenliği birimiyle birlikte yanıtlayın:
- Uygulama üzerinden onay, talep ya da işlem gibi bir iş süreci yürütülecek mi?
- Çalışanlar müşteri bilgisi, hesap ya da işlem detayı paylaşabilecek mi? Bunu önleyen bir kural ve teknik kontrol var mı?
- Dosya kütüphanesinde müşteri sırrı içerebilecek doküman tutulacak mı?
- Uygulama ileride çekirdek bankacılık ya da İK sistemleriyle hangi veri alışverişini yapacak?
Kapsam kararını kurulum modelinden önce yazılı hale getirmek, sonraki tüm soruların çerçevesini belirler. Bu karar bankanın kendi değerlendirmesidir; tedarikçi bunu sizin yerinize veremez.
Bulut ve Kurum İçi Kurulum: Karar Tablosu
| Konu | Bulut (Cloud) | Kurum içi (On-Premise) |
|---|---|---|
| Verinin yeri | Sağlayıcının veri merkezi; yeri sözleşmeyle netleştirilmeli | Bankanın kendi veri merkezi |
| Birincil sistem kapsamına girerse | Yurt içi şartı ve özel bulut modeli (m.25/5, m.29/11); topluluk bulutu Kurul iznine tabi | Yurt içi şartı bankanın kendi altyapısıyla karşılanır |
| Dış hizmet süreci | Sağlayıcı seçimi, sözleşme, gözetim ve çıkış stratejisi (m.29) | Yazılım ve destek için tedarikçi ilişkisi yine değerlendirilir |
| Erişim ve iz kayıtları | Sağlayıcının sunduğu kayıtlar ve bankanın bu kayıtlara erişimi | Bankanın kendi kayıt ve izleme altyapısına bağlanır |
| Yama ve güncelleme | Sağlayıcı merkezi olarak yapar; bildirim ve test süreci sorulmalı | Bankanın değişiklik ve bakım takvimine göre yapılır |
| Devreye alma | Genellikle daha hızlı | Sunucu, ağ ve güvenlik onayları nedeniyle daha uzun olabilir |
| İşletme yükü | Altyapı sağlayıcıda | Sunucu, yedekleme ve izleme bankanın BT ekibinde |
Bulut Seçilecekse Sorulacaklar
- Veri, yedekler ve kayıtlar hangi ülkede, hangi veri merkezinde tutuluyor? Yurt dışına aktarım var mı? (KVKK m.9 ayrıca değerlendirilmeli.)
- Hizmet bankaya özel kaynaklar üzerinde mi, paylaşımlı mı sunuluyor?
- Sözleşmede hizmet seviyeleri, sonlanma koşulları ve hizmet sona erdiğinde verinin bankaya teslim edilip imha edilmesi tanımlı mı? (m.29/2)
- Sağlayıcı personelinin veriye erişimi işin gerektirdiği kadarla nasıl sınırlanıyor ve kayda alınıyor? (m.29/6-7, m.13)
- Banka, sağlayıcıyı kendi bünyesinde uygulayacağı denetimlere kapsam daraltmadan tabi tutabiliyor mu? (m.29/1)
- Sağlayıcıda yaşanan güvenlik ihlali bankaya derhal nasıl bildiriliyor? (m.29/2; KVKK m.12)
Kurum İçi Kurulum Seçilecekse Sorulacaklar
- Sunucu, veritabanı ve dosya depolama için hangi kaynaklar gerekiyor; test ve canlı ortamlar ayrı mı?
- Kimlik doğrulama LDAP / Active Directory ile nasıl bağlanıyor; rol bazlı yetki ve görevler ayrılığı nasıl kuruluyor? (m.11)
- İz kayıtları bankanın izleme altyapısına nasıl aktarılıyor? (m.13)
- Güvenlik yamaları nasıl iletiliyor ve bankanın değişiklik süreciyle nasıl uygulanıyor? (m.16)
- Bankanın yaptıracağı sızma testlerine uygulama nasıl dahil ediliyor? (m.18)
- Yedekleme ve iş sürekliliği planına nasıl ekleniyor? (m.27, m.28)
- Mobil uygulama kurum ağı dışından nasıl erişiyor; bu erişim ağ güvenliği politikasıyla nasıl uyumlu hale getiriliyor?
Her İki Modelde Ortak Kontroller
Kurulum modeli ne olursa olsun bazı başlıklar değişmez: veri gizliliği (m.9), müşteri sırrının üçüncü kişilerle paylaşılmaması (m.10), rol bazlı erişim ve kimlik doğrulama bilgisinin şifreli saklanması (m.11), iz kayıtları (m.13). KVKK açısından da çalışanların aydınlatılması (m.10), veri güvenliği tedbirleri (m.12) ve saklama süresi dolan verinin silinmesi ya da anonim hale getirilmesi (m.7) her iki modelde kurumun sorumluluğundadır. Ayrıntılı başlıklar için çalışan uygulaması ve KVKK: sorulacak 8 soru yazımıza bakabilirsiniz.
Sıkça Sorulan Sorular
Bankalar çalışan uygulamasını bulutta kullanabilir mi?
Yönetmelik bankaların bulut bilişim hizmetlerini dış hizmet olarak kullanabileceğini söyler (m.29/11). Uygulama birincil ya da ikincil sistem kapsamına giriyorsa yurt içinde bulundurma ve özel bulut şartları uygulanır. Kapsam değerlendirmesini bankanın uyum ve bilgi güvenliği birimi yapar.
Banka içi mesajlaşma her zaman birincil sistem dışında mı?
Hayır. m.25/3'e göre istisna, sistem üzerinden iş süreci yürütülmemesine ve hassas veri ya da sır kapsamına girebilecek verilerin işlenmemesine, iletilmemesine ve saklanmamasına bağlıdır. Kullanım kuralları ve teknik kontroller bu nedenle önemlidir.
On-Premise kurulumda tedarikçi değerlendirmesi gerekmez mi?
Gerekir. Veri bankada kalsa da yazılım, güncelleme ve destek tedarikçiden gelir. Yamaların nasıl iletildiği, destek erişiminin nasıl sınırlandığı ve sözleşme bitiminde ne olacağı yine sorulmalıdır.
İç İletişim, Cloud ya da bankanın kendi veri merkezinde On-Premise olarak kurulabilir. Veri yeri ve kimlik doğrulama başlıkları için KVKK uyumlu çalışan uygulaması sayfamızı, genel müdürlük, bölge ve şube yapısına özel kullanım için banka ve sigorta için iç iletişim sayfamızı inceleyebilir, bilgi güvenliği ve uyum değerlendirme listesini buradan isteyebilirsiniz.