Bilgi Teknolojileri Denetim Yaklam Oktay Aktolun Direktr Deloitte

Bilgi Teknolojileri Denetim Yaklaşımı Oktay Aktolun Direktör Deloitte & Touche - Kurumsal Risk Hizmetleri

İçerik ð Neden Bilgi Teknolojileri Denetimi ð Denetimin Temeli ð Bilgi Teknolojileri Denetimlerinin İçeriği ð BT Süreçleri Genel Kontrol Alanları TÜRKİYE BANKALAR BİRLİĞİ 2 Copyright © 2002 Deloitte & Touche.

Neden Bilgi Teknolojileri Denetimi. . . TÜRKİYE BANKALAR BİRLİĞİ 3 Copyright © 2002 Deloitte

Neden BT Denetimi ? ð Yarın sisteminizin çalışacağını kontrol edebiliyormusunuz ? ð Acil durumlar karşısında İŞ SÜREKLİLİĞİNİZİ nasıl sağlayacaksınız? ð İHTİYAÇLARINIZ ile kullandığınız teknoloji ne kadar uyuşuyor? TÜRKİYE BANKALAR BİRLİĞİ 4 Copyright © 2002 Deloitte & Touche.

Neden BT Denetimi ? ð Teknoloji YATIRIMLARINIZ kaç yıl yaşayacak ? ð Teknolojik riskleriniz için ÖNLEMLERİ nasıl alıyorsunuz ? ð Teknoloji projelerinizin taşıdığı RİSKLERDEN haberdar mısınız ? TÜRKİYE BANKALAR BİRLİĞİ 5 Copyright © 2002 Deloitte & Touche.

Neden BT Denetimi ? ð Teknolojik altyapınız ihtiyaçlarınız için OPTİMUM ÇÖZÜM mü? ð Bilgi İşlem’den XXX bey işten ayrılırsa yandık. . . diye bir kaygı duyuyor musunuz ? ð Kullanıcıların sistem yada uygulama kaçaklarını bulma ve kullanma olasılığı nasıl kontrol ediliyor ? TÜRKİYE BANKALAR BİRLİĞİ 6 Copyright © 2002 Deloitte & Touche.

Neden BT Denetimi ? ð Yazılım güncellemelerinde bazı hesaplamalarınız değişebilir mi? 8 Nasıl bu kadar emin olabiliyorsunuz ? ð Reeskont hesaplamalarınızın her zaman doğruluğundan emin misiniz ? ð Ya INTERNET / INTRANET / EXTRANET ? ð Yazılım üzerindeki yetkileri kimler nasıl değiştiriyor ? ð Ya teknoloji yatırım giderleri ? ð Süreçlerdeki iyileştirme noktalarını kim belirliyor ? TÜRKİYE BANKALAR BİRLİĞİ 7 Copyright © 2002 Deloitte & Touche.

Neden BT Denetimi ? ð Müşteri ve Kurum bilgileri GÜVENDE mi? 8 Hangi açılardan ’’güvende mi’’ ? : : : : : Fiziksel Donanım İşletim Sistemi Uygulama Yazılımı Entegrasyon Erişim Değişim Operasyon Felaket Vb. ð Vb. TÜRKİYE BANKALAR BİRLİĞİ 8 Copyright © 2002 Deloitte & Touche.

Küçük bir örnek ancak medya sektöründen. . ð Atak öncesi. . . TÜRKİYE BANKALAR

Küçük bir örnek ancak medya sektöründen. . ð Ve sonrası. . . TÜRKİYE BANKALAR

Denetimin Temeli. . . TÜRKİYE BANKALAR BİRLİĞİ 11 Copyright © 2002 Deloitte & Touche.

Denetim. . . ð Bulgular 8 8 8 analitik, test edilmiş, belirli kurallara dayalı, para veya reputasyon kaybına yol açma olasılığı bulunan, belirli zaman diliminde gerçekleşebilme olasılığı bulunan, konular olmalıdır. TÜRKİYE BANKALAR BİRLİĞİ 12 Copyright © 2002 Deloitte & Touche.

Denetim. . . ð Her türlü BT denetimi; 8 bilgi sistemleri yönetimi süreçleri ile otomasyona dahil edilmiş veya edilmemiş süreçleri, 8 bu süreçler arasındaki arabirimleri, 8 konu ile ilgili inceleme ve değerlendirmeyi, kapsamalıdır. General Standards For Information Systems Auditing, June 1987. TÜRKİYE BANKALAR BİRLİĞİ 13 Copyright © 2002 Deloitte & Touche.

Denetçiler ð Kurum’da olan gelişmelerden haberdar olmalı, ð Kurumun’un çevresindeki diğer benzer kuruluşlardaki gelişmeleri takip etmeli, ð BT Denetimi yapan denetçiler bilgi ve özelliklerine bağlı olarak yeni teknolojileri çabuk kavramalı ve değişime ayak uydurabilmeli, ð Üst yönetimin efektif çalışmayı sağlamak üzere edindiği rolün temsil edildiği unutulmamalı, TÜRKİYE BANKALAR BİRLİĞİ 14 Copyright © 2002 Deloitte & Touche.

Denetim nasıl yapılmalı. . . ð Kurallara veya iç prosedürlere dayalı objektif inceleme ð Kanıta bağlı bulgu ð Tarafsız yaklaşım ð Standartlara bağlı kriterler ð Teknik terimleri mininmum oranda içeren yazılı bir Risk / Etki / Görüş veya Öneri dokümanı TÜRKİYE BANKALAR BİRLİĞİ 15 Copyright © 2002 Deloitte & Touche.

BT Denetimleri ð BT Denetim Alanları 8 8 8 8 Bilgi Teknolojileri Süreçleri Uygulamalar ve modülleri Spesifik yazılımlar, donanımlar, altyapı vb. Belirlenmiş standartlara göre yapılan denetimler Spesifik konfigürasyonlar İş süreçleri ile uygulama uygunluğu Sahtekarlık denetimi 8 Vb. TÜRKİYE BANKALAR BİRLİĞİ 16 Copyright © 2002 Deloitte & Touche.

Bilgi Teknolojileri Denetiminin İçeriği. . . TÜRKİYE BANKALAR BİRLİĞİ 17 Copyright © 2002 Deloitte

Kısaca Risk ð RİSK: 8 Bir işletmenin iş stratejisine ve amacına ulaşmasını engelleyecek her türlü tehdidin ’’etki ve olma olasılığı’’ dır. Formül : TÜRKİYE BANKALAR BİRLİĞİ Risk – Kontrol = Tehdit unsuru (R) – (K) = (T) 18 Copyright © 2002 Deloitte & Touche.

Risk Tipleri Shareholder Ethics Competitor Business Partner Strategic Planning Market Dynamics Support Processes Customer Resource Allocation Country Production & Delivery Government Corporate Monitoring Economic Marketing & Selling Other Tangibles Learning Organisation Contract Supplier Reputation Transaction New Product/Service Development Plant, Property & Estate Human Resources Liability Stakeholder Governance Market Structure Process Physical Asset People & Culture Legal Legislative & Regulatory Operational Risk Strategic Risk, Risk Financial Risk Information Risk Market Liquidity & Credit Reporting Capital Structure Systems Information Management Intellectual Property Commodity Collectability Tax Equity Hardware Planning & Development Intangible Assets Interest Rate Cash Management Accounting Debt Software Operations Knowledge Management Foreign Exchange Hedging Regulatory & Compliance Networks Organisation & Monitoring Information Funding TÜRKİYE BANKALAR BİRLİĞİ 19 Copyright © 2002 Deloitte & Touche.

Teknoloji Riskleri cial n a in f in s e g Chan statements ns l a u us io t c a s n tra High Volumes Pro ces erro sing rs Pe r so n ne lt ur no ve r nt Illeg e m e g a n al p Ma n Un i t n aym e v l ent invo s n s e no o i t “ c T a h s n i v a r a d tr ts h s r Parti se ven m t U u c s r i c e t e n t e s m e o g t ” e Mana m i t s e r edu s m e t control proc s s n sy o i s r Ca e v n nn Ne Co ot wbe con Net ex pla nec wor ine k tio s d n P n r essure to delive s io t i ra is u new system q c A TÜRKİYE BANKALAR BİRLİĞİ 20 Copyright © 2002 Deloitte & Touche.

Standartlar ð IT Denetim Standartları (ISACA) 8 8 Genel Standartlar Profesyonel Etik Dokümanı ð Diğer kurumların standartları (COBIT vb. ) ð Güvenlik standartları (BS 7799, ISO 17799 vb. ) ð Vb. TÜRKİYE BANKALAR BİRLİĞİ 21 Copyright © 2002 Deloitte & Touche.

Denetim Süreci ð Denetim yaklaşımının belirlenmesi ve planlama 8 Denetim amacının ve çerçevesinin belirlenmesi 8 Eldeki bilgilerin değerlendirilmesi 8 Bilinen risklerin değerlendirilmesi 8 Denetim plan ve programının oluşturulması TÜRKİYE BANKALAR BİRLİĞİ 22 Copyright © 2002 Deloitte & Touche.

Denetim Süreci ð Denetimin gerçekleştirilmesi 8 Görüşmeler 8 Uygunluk incelemesi 8 Prosedürlerin analitik incelemesi 8 Detaylı testler 8 Kanıt elde etme TÜRKİYE BANKALAR BİRLİĞİ 23 Copyright © 2002 Deloitte & Touche.

Denetim Süreci ð Denetimin sonuçlandırılması 8 Sonuçların değerlendirilmesi 8 Raporun oluşturulması ve yayınlanması TÜRKİYE

BT Genel Denetim Alanları ð BT Süreçleri 8 Güncel olmak kaydı ile tüm bilgi teknolojileri süreçleri, < < < < < Strateji ve Kaynak Planlaması BT Operasyon Bilgi Güvenliği Veritabanı Yazılım Geliştirme Süreci Ağ Yönetimi Donanım Sistem Yazılımları İş sürekliliği 3. Firmalarla ilişkilerin Yönetimi TÜRKİYE BANKALAR BİRLİĞİ 25 Copyright © 2002 Deloitte & Touche.

BT Süreçleri Genel Kontrol Alanları. . . TÜRKİYE BANKALAR BİRLİĞİ 26 Copyright © 2002

Kontrol Çeşitleri ð Önleyici ð Uyarıcı ð Düzeltici TÜRKİYE BANKALAR BİRLİĞİ 27 Copyright ©

BT Süreçleri Genel Kontrol Alanları ð Organizasyonel ve Yönetimsel ð Uygulama Geliştirme Süreci ð Bilgi Sistemleri Operasyonu ð Uygulamalar TÜRKİYE BANKALAR BİRLİĞİ 28 Copyright © 2002 Deloitte & Touche.

Organizasyonel ve Yönetimsel Kontroller ð Bilgi sistemleri aktivitelerinin planlanması 8 8 8 Organizasyonun uzun vadeli planlaması Planlama veya karar komitesi Bilgi sistemleri biriminin strateji planlaması Organizasyon ve Bilgi sistemlerinin kısa vadeli planlaması Planlamanın kontrol edilmesi ð Politika, prosedür ve standartların varlığı 8 Yönetimin bilgi sistemlerinin planlamasını, kontrolünü ve değerlendirmesini kolaylıkla yapabilmesi için politika, prosedür ve standartlar hazırlanması ð Dış ihtiyaçların karşılanma şekli 8 8 8 Organizasyonun hedeflerine ulaşmasında dış gereksinimlerin dikkate alınması, Dış gereksinimlerin araştırılması, Organizasyona uygunluğunun değerlendirilmesi. TÜRKİYE BANKALAR BİRLİĞİ 29 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Temel adımlar 8 Yazılım Geliştirme Yaşam Döngüsü < Projeye başlanması < Fizibilite çalışması < Tasarım aşaması < Geliştirme ve implementasyon < Operasyon ve bakım < Son değerlendirmeler TÜRKİYE BANKALAR BİRLİĞİ 30 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Yazılım Geliştirme Yaşam Döngüsü 8 Metodoloji 8 Görev ve

Uygulama Geliştirme Süreç Kontrolleri ð Projeye Başlanması 8 Projenin tanımı 8 Projeye kullanıcı birimlerin dahil edilmesi 8 Proje takımının oluşturulması ve sorumlulukların belirlenmesi 8 Gerekli bilgilerin tanımlanması 8 Projenin onaylanması TÜRKİYE BANKALAR BİRLİĞİ 32 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Fizibilite Çalışması 8 Alternatif çözümlerin araştırılması 8 Teknik fizibilite çalışması 8 Mali fizibilite çalışması 8 Risk analiz raporu 8 Projenin onaylanması 8 Ana proje planının oluşturulması 8 Maliyetlerin izlenmesi TÜRKİYE BANKALAR BİRLİĞİ 33 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Tasarım Aşaması 8 Metodolojinin belirlenmesi 8 Çıktı tanımlarının yapılması ve dokümantasyonu 8 Girdi tanımlarının yapılması ve dokümantasyonu 8 Dosya tanımlarının yapılması ve dokümantasyonu TÜRKİYE BANKALAR BİRLİĞİ 34 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Tasarım Aşaması 8 Süreç ihtiyaçlarının tanımlanması ve dokümantasyonu 8 Programların spesifikasyonu 8 Kaynak verilerinin tasarımı 8 Kontrollerin ve güvenliğin tasarlanması < 8 Denetim Tasarımın denetimi < denetim TÜRKİYE BANKALAR BİRLİĞİ 35 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Tasarım Aşaması 8 Tasarımın onaylanması 8 Yazılım dokümantasyon standartlarının oluşturulması 8 Geçerlilik , onay ve test planlarının oluşturulması TÜRKİYE BANKALAR BİRLİĞİ 36 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Geliştirme 8 Programsal hedefler 8 Detaylı program dokümantasyonu 8 Operasyon ve bakım kılavuzları 8 Kullanıcı kılavuzları 8 Eğitim planları 8 Yazılım test standartları TÜRKİYE BANKALAR BİRLİĞİ 37 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Kullanıma Sunma 8 Test Senaryoları 8 Sistem test standartları 8 Sistem test dokümantasyonu 8 Test sonuçlarının değerlendirilmesi 8 Aktarım planları 8 Eş zamanlı test 8 Son kabul testleri TÜRKİYE BANKALAR BİRLİĞİ 38 Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Operasyon ve Bakım TÜRKİYE BANKALAR BİRLİĞİ 39 8 Operasyon kontrol prosedürleri 8 Maliyetlerin izlenmesi 8 Gerekli sistem uyarlamaları 8 Kullanıcı taleplerinin tekrar değerlendirilmesi Copyright © 2002 Deloitte & Touche.

Uygulama Geliştirme Süreç Kontrolleri ð Son değerlendirmeler 8 Son değerlendirme planlarının oluşturulması 8 Sonuçların değerlendirilmesi 8 İstenilen talepler ile uyuşmasının değerlendirilmesi 8 Maliyet-fayda analizleri 8 Geliştirme standartlarına uygunluğun değerlendirilmesi 8 Bulguların raporlanması TÜRKİYE BANKALAR BİRLİĞİ 40 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Temel Adımlar: 8 Bilgi sistemleri kaynak planlaması ve yönetimi 8 Bilgisayar operasyonu 8 İşletim Sistemi 8 Fiziksel ve mantıksal güvenlik 8 Olasılık planlaması TÜRKİYE BANKALAR BİRLİĞİ 41 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Bilgi sistemleri kaynak planlaması ve yönetimi 8 Yıllık işletim bütçesi 8 Donanım alım planlaması 8 Donanım kapasite yönetimi TÜRKİYE BANKALAR BİRLİĞİ 42 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Bilgisayar operasyonu 8 Operasyonel Prosedürler 8 İşyükü programlaması 8 Kaynak programlaması 8 Donanım bakım yönetimi 8 Problem yönetimi 8 Değişim yönetimi 8 İşlem maliyetleri TÜRKİYE BANKALAR BİRLİĞİ 43 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Bilgisayar operasyonu 8 Kullanıcı başına maliyetlendirme ve tahsilat yöntemleri 8 Yedekleme Sorumlulukları 8 Kağıt, Kartuş, disket gibi ihtiyaçların giderilmesi TÜRKİYE BANKALAR BİRLİĞİ 44 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð İşletim Sistemi 8 Seçimi 8 Maliyet – fayda analizleri 8 Kuruluş 8 Bakımı 8 Değişim kontrolleri 8 Problem yönetimi 8 Güvenlik TÜRKİYE BANKALAR BİRLİĞİ 45 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Fiziksel ve mantıksal güvenlik 8 Sorumlulukların belirlenmesi 8 Yetkilerin belirlenmesi 8 Ziyaretçilerin takibi 8 Şifre yönetimi 8 Güvenlik raporlamaları TÜRKİYE BANKALAR BİRLİĞİ 46 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Fiziksel ve mantıksal güvenlik 8 Mantıksal erişim kısıtlamaları 8 Veri erişim güvenliği 8 Kritik transactionların kontrolü 8 Çevresel tehlikeler 8 Güvenlik uyarı ve prosedürleri eğitimi TÜRKİYE BANKALAR BİRLİĞİ 47 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Acil Durum Planlaması 8 Beklenmeyen durumlara karşı kritik kaynakların yedeklemesi ve geri dönüşün sağlanabilmesi için uygun planların hazırlanması TÜRKİYE BANKALAR BİRLİĞİ 48 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Acil Durum Planlaması 8 Acil durum planlaması 8 Personelin acil durumlarda eğitiminin ve güvenliğinin sağlanması 8 Kritik transactionlar 8 Kritik donanım kaynakları 8 İletişim servisleri 8 Donanım ve lokasyon yedeklemesi TÜRKİYE BANKALAR BİRLİĞİ 49 Copyright © 2002 Deloitte & Touche.

Operasyonel Kontroller ð Acil Durum Planlaması 8 Yedekleme operasyonu 8 Geri dönüş prosedürleri 8 Acil durum donanımı 8 Acil durum planlamasının testi 8 Operasyon merkezinin yeniden yapılanması 8 Kullanıcı birimleri için dokümantasyon TÜRKİYE BANKALAR BİRLİĞİ 50 Copyright © 2002 Deloitte & Touche.

Uygulama Kontrolleri ð Temel Adımlar 8 Temel Kontroller 8 Veri giriş kontrolleri 8 Veri

Uygulama Kontrolleri ð Temel kontroller 8 Veri hazırlama prosedürleri 8 Kod dokümantasyon tasarımı 8 Kod dokümantasyon kontrolü 8 Onaylı veri girişlerinin sağlanması 8 Kodların saklanması TÜRKİYE BANKALAR BİRLİĞİ 52 Copyright © 2002 Deloitte & Touche.

Uygulama Kontrolleri ð Veri Giriş Kontrolleri 8 Veri aktarım ve giriş prosedürleri 8 Aktif veri aktarım ve giriş prosedürleri 8 Verinin doğruluğu 8 Hata durumlarının kontrolü TÜRKİYE BANKALAR BİRLİĞİ 53 Copyright © 2002 Deloitte & Touche.

Uygulama Kontrolleri ð Veri İşlem Kontrolleri 8 Verinin bütünlüğü 8 Uygulama yazılımları ile veri bütünlüğünün sağlanması 8 İşlem doğruluğu ve bütünlüğü 8 Hata durumlarının kontrolü TÜRKİYE BANKALAR BİRLİĞİ 54 Copyright © 2002 Deloitte & Touche.

Uygulama Kontrolleri ð Çıktı kontrolleri 8 Doğruluk – mutabakat 8 Dağıtım 8 Hata durumlarının kontrolü 8 Saklama 8 Rapor güvenliğinin sağlanması TÜRKİYE BANKALAR BİRLİĞİ 55 Copyright © 2002 Deloitte & Touche.

BT Denetim Araçları BT Denetimi En İyi Uygulamala r Bülüm Yönetimi Otomatik Çalışma kağıtları Global In. Site and ERS Link AS/2 Operasyonel Etkiler Bilgi Güvenliği ve Analizi Audit Management System Sek. Check Veri Analizi Değerlendirme Çalışma Grupları Visio Özel Araçlar TÜRKİYE BANKALAR BİRLİĞİ 56 Copyright © 2002 Deloitte & Touche. Option Finder İstatistiki Analiz Audit Command Language (ACL) Star