Sermaye piyasalarında siber dayanıklılık

BULLS Yatırım Bilgi Güvenliği Müdürü AYHAN ŞAHİN

Sermaye piyasalarında son yirmi yılda yaşanan en önem­li dönüşümlerden biri, teknoloji­nin işlem süreçlerinin merkezine yerleşmesi oldu. Bugün milisani­yeler içinde gerçekleşen emir ile­tim süreçlerinin geçmişine bak­tığımızda oldukça farklı bir yapı görüyoruz.

Geçmişte yurt içi yatırımcıların emirleri; aracı kurumların Borsa içerisindeki brokerları, şube ve seans odaları ya da telefon kanal­ları üzerinden iletiliyordu. Acil durumlarda brokerlar işlemlerin sürekliliğinde kritik rol üstleni­yordu. Yurt dışı müşterilerden ge­len toplu emirler ise bazı dönem­lerde disketlerle bir gün önceden kuruma ulaştırılabiliyordu.

Bugün yatırımcılar emirleri­ni online şubeler, mobil uygula­malar, API’ler ve algoritmik iş­lem platformları üzerinden ile­tebiliyor; kolokasyon altyapıları ise çok düşük gecikmeli işlemlere imkân sağlıyor.

Bu dönüşüm yalnızca hızı ar­tırmadı; sermaye piyasalarının teknolojiye bağımlılığını da bü­yüttü. Teknoloji artık piyasanın çalışmasını sağlayan temel altya­pılardan biri.

Siber dayanıklılık nasıl inşa edilir?

Tam da bu noktada siber gü­venlikten siber dayanıklılığa ge­çiş başlıyor. Asıl soru yalnızca “Sistemlerimizi saldırılardan na­sıl koruruz?” değildir. Asıl soru, “Bir siber saldırı gerçekleştiğin­de kritik finansal hizmetlerimizi çalışır durumda tutabilir miyiz?” olmalıdır.

Çünkü bir aracı kurum açısın­dan siber saldırının etkisi yal­nızca bir web sitesinin erişile­memesi değildir. Emir iletim alt­yapısının, online şubenin, mobil uygulamanın, API servislerinin veya internet bağlantılarının et­kilenmesi yatırımcıların piya­saya erişimini zorlaştırabilir; iş­lemlerin aksamasına, finansal kayıplara, müşteri şikâyetlerine ve itibar kaybına yol açabilir.

Finans kuruluşları DDoS, ran­somware, phishing, malware ve veri ihlali gibi tehditlerle karşı karşıya. Ancak dayanıklı bir mi­mari tek bir güvenlik ürününe de­ğil, katmanlı savunmaya dayanır.

Fiziksel katmandan uygula­ma katmanına kadar her seviye­de farklı riskler bulunur. Fiziksel altyapıda farklı veri merkezleri, yedekli enerji ve fiber güzergâh­ları; ağ katmanında çoklu inter­net servis sağlayıcısı, BGP/RPKI güvenliği, firewall ve DDoS koru­ması; uygulama seviyesinde ise WAF, API güvenliği ve güçlü kim­lik doğrulama mekanizmaları bu yapının parçalarıdır.

Basitleştirilmiş bir güvenlik zinciri; internet, ISP DDoS ko­ruması, edge router, on-premise DDoS, NGFW, WAF/API Secu­rity, DMZ, uygulama ve veritaba­nı şeklinde kurgulanabilir. Amaç, bir katman aşılsa bile saldırganın kritik sisteme doğrudan ulaşa­mamasıdır.

Teknoloji tek başına yeterli değil

Ancak güçlü firewall, WAF ve­ya EDR/XDR sistemlerine sahip olmak tek başına yeterli değildir. Incident Response planı yoksa, Disaster Recovery senaryoları test edilmiyorsa, kritik sistem­lerin RTO/RPO değerleri bilin­miyorsa ve kriz anındaki karar mekanizması tanımlı değilse ku­rumun gerçekten dayanıklı oldu­ğunu söylemek zordur.

Bu nedenle siber dayanıklılığın üç temel bileşeni vardır: insan, süreç ve teknoloji. Yönetim kuru­lu, üst yönetim, bilgi teknolojile­ri, bilgi güvenliği ve risk yönetimi aynı risk perspektifinde birlikte çalışmalıdır.

NIST Cybersecurity Fra­mework 2.0’ın Govern, Identify, Protect, Detect, Respond ve Re­cover yaklaşımı bu dönüşümü destekliyor. Türkiye’de SPK’nın 13 Mart 2025 tarihli Bilgi Sistem­leri Yönetimine İlişkin Usul ve Esaslar Tebliği önemli yükümlü­lükler getiriyor. ISO/IEC 27001 ve Avrupa Birliği’nin DORA dü­zenlemesi de siber riskin kurum­sal yönetimin konusu olduğunu gösteriyor.

Yeni dönemin başarı kriteri: Dayanıklılık

Yapay zekâ, API ekonomisi, açık finans, bulut ve algoritmik işlem sistemleri saldırı yüzeyi­ni büyütmeye devam edecek. Bu nedenle sermaye piyasalarında siber güvenliğin nihai amacı yal­nızca sistemleri korumak değil; yatırımcının piyasaya erişimi­ni, işlemlerin bütünlüğünü, kri­tik hizmetlerin sürekliliğini ve finansal sisteme duyulan güveni korumaktır.

Önümüzdeki dönemde finans kuruluşlarının başarı kriteri, yalnızca ne kadar güçlü savun­ma sistemlerine sahip oldukla­rı değil, bir siber olay karşısında ne kadar dayanıklı oldukları ola­caktır.