Kurtarma Planı

1. AMAÇ VE KAPSAM

İşbu Kurtarma Planı, Whitebit Kripto Varlık Alım Satım Platformu A.Ş.'nin (bundan sonra "Şirket" olarak anılacaktır) faaliyetleri sırasında karşılaşabileceği olağanüstü durumlar, sistemsel kesintiler, siber saldırılar, kripto varlık kayıpları ve diğer kriz senaryolarında müşteri varlıklarının güvenliğini sağlamak, operasyonel sürekliliği temin etmek ve piyasaya olan güveni korumak amacıyla hazırlanmıştır. Plan, Şirketin tüm iş birimlerini, bilgi sistemlerini, müşteri ilişkilerini ve dış hizmet sağlayıcılarını kapsar.

2. RİSK TANIMLARI VE ÖNCELİKLENDİRME

2.1. Şirket tarafından sürdürülen faaliyetlerde karşılaşılabilecek kriz durumlarına karşı hazırlık yapılabilmesi amacıyla riskler sistematik biçimde tanımlanmakta ve önceliklendirilmektedir. Risk değerlendirmeleri, hem yerel düzenleyici otoriteler (SPK, MASAK, BDDK) hem de uluslararası standartlar (ISO/IEC 27001, NIST SP 800-34, FSB Recovery & Resolution Principles) esas alınarak gerçekleştirilir. Bu kapsamda öne çıkan başlıca risk kategorileri aşağıda detaylandırılmıştır:

2.2.1. Siber Güvenlik Riskleri

Yetkisiz sistem erişimleri, müşteri bilgileri ve cüzdan verilerinin sızdırılması, fidye yazılımlarına maruz kalma, kripto varlık hırsızlığı, kimlik avı saldırıları ve DDoS gibi dijital tehditleri kapsar. Bu riskler, operasyonel süreklilik ve müşteri güvenliği açısından en kritik tehdit grubu olarak konumlandırılmıştır.

2.2.2. Operasyonel Riskler

İnsan kaynaklı hatalar, prosedür dışı işlem pratikleri, yetkisiz karar alma süreçleri, iç kontrol zafiyetleri ve dış hizmet sağlayıcı kaynaklı kesintiler gibi süreç odaklı zayıflıkları içerir. Bu risklerin etkisi genellikle süreklilik, hizmet kalitesi ve regülasyonlara uyum üzerinde yoğunlaşır.

2.2.3. Teknolojik Altyapı Riskleri

Sunucu donanımı arızaları, veri tabanı bozulmaları, ağ altyapısındaki kesintiler ve üçüncü parti teknolojik çözümlerle yaşanabilecek entegrasyon problemleri gibi teknik aksaklıklardan kaynaklanan riskleri kapsar. Bu tür risklerin doğrudan müşteri hizmetlerine etkisi olması nedeniyle öncelikli müdahale gerektirir.

2.2.4. Doğal Afetler ve Fiziksel Tehditler

Deprem, yangın, sel, sabotaj ve bina erişim sistemlerinde yaşanabilecek fiziksel güvenlik açıkları gibi risk unsurlarını içerir. Bu durumlarda veri merkezi ve operasyon merkezlerinin fiziksel bütünlüğü önceliklendirilir.

2.2.5. Piyasa ve Likidite Riskleri

2.2.5.1. Kripto varlıkların volatilitesi nedeniyle fiyatlarda meydana gelen ani ve yüksek dalgalanmalar, likidite tıkanıklığı, emir defteri dengesizlikleri ve kullanıcı panik satışları gibi durumlar bu grupta değerlendirilir. Bu tür riskler, doğrudan müşteri hesap bakiyeleri ve piyasaya olan güveni etkilediğinden stratejik düzeyde izlenir.

2.2. Tüm bu risk kategorileri için yıllık periyotlarla olasılık-etki analizleri yapılır, risk skorları belirlenir ve risk matrisi üzerinde pozisyonlandırılır. Yüksek öncelikli riskler için ayrıntılı kontrol önlemleri, olay müdahale prosedürleri ve kurtarma senaryoları hazırlanır.

2.2.6. Kurum Dışı Hizmet Sağlayıcı Riskleri

Şirketin bulut altyapısı, ağ iletişimi ve veri merkezleri gibi kritik sistemleri üzerinde dış sağlayıcılar aracılığıyla yürütülen hizmetler nedeniyle, üçüncü tarafların aksiyonları doğrudan kriz anı operasyonlarını etkileyebilir. Bu nedenle ilgili sağlayıcıların kurtarma taahhütleri düzenli olarak test edilmekte ve hizmet sürekliliği anlaşmaları (SLA) gözden geçirilmektedir.

3. KURTARMA STRATEJİLERİ VE İŞ AKIŞLARI

3.1. Şirketin operasyonel ve teknolojik sürekliliğini koruyabilmek, olası kriz durumlarında müşteri güvenliğini temin edebilmek ve kamu otoriteleri nezdindeki yükümlülüklerini kesintisiz biçimde yerine getirebilmek amacıyla aşağıdaki çok katmanlı kurtarma stratejileri geliştirilmiştir:

3.1.1. Sistem İzolasyonu ve Karantina Protokolleri

Herhangi bir siber tehdit veya olağandışı sistem davranışı tespit edildiğinde, etkilenen sistem bileşenleri anında izole edilerek ağdan ayrılır. Bu süreçte, sıcak cüzdanlar içerisindeki kripto varlıklar otomatik işlem kurallarıyla önceden tanımlanmış güvenli soğuk cüzdanlara aktarılır. İzolasyon işlemleri, sistem performansını düşürmeden kesintisiz işlem sürdürülebilirliğini sağlayacak şekilde tasarlanmıştır. Kurtarma senaryoları, müşteri varlıklarının bire bir karşılık esasına göre güvenli şekilde kurtarılmasını temin edecek şekilde yapılandırılmıştır. Soğuk cüzdan rezervlerinin bütünlüğü ve erişilebilirliği, kriz anında öncelikli olarak sağlanır.

3.1.2. Veri Yedekleme, Senkronizasyon ve Geri Yükleme

Tüm sistem verileri en az iki farklı coğrafi lokasyonda günlük olarak şifreli biçimde yedeklenir. Ani veri kayıpları ya da sistem hasarı durumlarında bu yedekler kullanılarak geri yükleme işlemleri başlatılır. Süreç, ISO 22301 İş Sürekliliği Yönetim Sistemi ile uyumlu şekilde dokümante edilmiştir. Yedekleme sistemleri, Sermaye Piyasası Kurulu (“SPK”) mevzuat hükümleri kapsamında veri tutarlılığı, şifreleme güvenliği ve coğrafi yedeklilik ilkelerine uygun olarak yapılandırılmıştır. Yedeklenen veriler, yılda en az bir kez geri yüklenmekte ve bu test sonuçları yönetim kuruluna raporlanmaktadır.

3.1.3. İç ve Dış İletişim Yönetimi

Kriz anlarında müşteriler, çalışanlar, basın organları ve ilgili düzenleyici kurumlarla eş zamanlı ve şeffaf bir iletişim stratejisi izlenir. SPK, Mali Suçları Araştırma Kurulu (“MASAK”) ve Kişisel Verileri Koruma Kurumu (“KVKK”) gibi otoritelerle bilgi paylaşımı ivedilikle gerçekleştirilir. İletişim protokolleri, kamuya açık platformlar, çağrı merkezi ve e-posta/uygulama bildirimleri üzerinden yürütülür.

3.1.4. Alternatif İşlem ve Erişim Kanalları

Ana platformda yaşanacak erişim kesintileri durumunda önceden yapılandırılmış yedek işlem kanalları (web tabanlı ikincil panel, mobil uygulama arayüzü, manuel emir girişi sistemi vb.) devreye alınır. Bu alternatif yapılar, kullanıcıların temel fonksiyonlara erişimini sağlayarak hizmet kesintisinin etkilerini azaltmayı hedefler.

3.1.5. Kriz Sonrası Denetim ve Geri Bildirim Mekanizması

Her kriz vakası sonrası olayın teknik ve operasyonel analizi gerçekleştirilir. İç denetim birimi, olaya ilişkin tüm adımları belgeler ve Yönetim Kurulu’na sunar. Gerek görülen durumlarda bağımsız denetim kuruluşlarının sürece dahil edilmesi sağlanır. Ayrıca yaşanan süreçten çıkarılan dersler, organizasyonel bilgi tabanına işlenerek gelecekteki müdahale kabiliyetinin güçlendirilmesine katkı sağlanır.

4. SORUMLULUKLAR VE ORGANİZASYONEL YAPI

4.4.1. Kurtarma Planı'nın etkin şekilde yürütülmesi, kriz anlarında hızlı ve koordineli müdahalenin sağlanabilmesi ve düzenleyici otoriteler nezdinde yükümlülüklerin eksiksiz yerine getirilebilmesi amacıyla şirket bünyesinde aşağıdaki organizasyonel yapı oluşturulmuştur:

4.4.1.1. Kurtarma Planı Yöneticileri

Şirket Yönetim Kurulu tarafından atanmış, kriz yönetimi konusunda yetkinlik sahibi ve sorumluluk seviyesi yüksek en az iki üst düzey yönetici bu planın hazırlığı, uygulanması ve revizyon sürecinden doğrudan sorumludur. Bu yöneticilerden biri, en az "Genel Müdür Yardımcısı" seviyesinde olmak zorundadır. Yetki alanları dahilinde, planın koordinasyonu, kaynak tahsisi, dış kurumlarla iletişim ve operasyonel yönetişim süreçlerini yönetirler.

4.4.1.2. Kriz Yönetim Ekibi

Şirketin Bilgi Teknolojileri, Operasyon, Hukuk, İnsan Kaynakları ve Kurumsal İletişim birimlerinden seçilmiş, kıdemli temsilcilerden oluşan bu ekip, kriz anlarında birincil müdahale ve karar alma organıdır. Ekip, olayın niteliğine göre genişletilebilir. Acil durum toplantılarını anlık olarak çevrimiçi veya fiziksel olarak gerçekleştirebilir; kararlar hızlı onay mekanizmaları ile uygulanır. Ekip ayrıca kriz sonrası iyileştirme, dokümantasyon ve raporlama süreçlerini de yürütür.

4.4.1.3. İletişim Bilgileri ve Bilgilendirme Yükümlülüğü

Kurtarma Planı kapsamında sorumluluğu bulunan tüm yöneticilerin adı, soyadı, unvanı, kurumsal e-posta adresi, sabit ve mobil telefon numaraları ile faks bilgileri düzenli olarak güncellenir. Bu bilgiler, SPK başta olmak üzere ilgili kamu kurumları ve stratejik hizmet sağlayıcılarla paylaşılır. Bilgi güncellemeleri, organizasyon yapısında değişiklik olduğunda en geç 7 iş günü içinde gerçekleştirilir.

5. TEST, GÖZDEN GEÇİRME VE GÜNCELLEME

5.1. Kurtarma Planı’nın etkinliği, gerçek bir kriz anında minimum hasarla sonuç alabilmek adına, düzenli test, denetim ve gözden geçirme süreçleriyle güvence altına alınır. Planın sürekli iyileştirilmesi, iç ve dış değişkenlere duyarlılıkla revize edilmesi esastır.

5.1.1. Yıllık Gözden Geçirme

Plan, yılda en az bir kez olmak üzere, planlanan denetim takvimine uygun şekilde Risk Yönetimi ve İç Kontrol Birimi tarafından gözden geçirilir. İş süreçlerinde, mevzuatta veya teknolojik altyapıda meydana gelen önemli değişiklikler halinde bu gözden geçirme süreci olağan takvim beklenmeden öne alınabilir. Gözden geçirme raporu, Yönetim Kurulu’na sunularak onaylanır ve gerekli revizyonlar hayata geçirilir.

5.1.2. Senaryo Tabanlı Tatbikatlar

Planın gerçek hayattaki işlevselliğini test etmek amacıyla yılda en az bir defa tam kapsamlı kurtarma senaryosu tatbikatı gerçekleştirilir. Tatbikatlar; sistem kesintisi, siber saldırı, veri ihlali, doğal afet gibi farklı risk türlerine göre çeşitlendirilerek kurgulanır. Her tatbikat sonrası performans değerlendirme raporu hazırlanır ve geliştirme önerileri uygulanmak üzere sorumlu birimlere aktarılır. Tatbikatlar, SPK mevzuatına uygun olarak, bilgi sistemleri sürekliliğini etkileyebilecek senaryolar (merkezi veri tabanı çökmesi, DNS saldırısı, API bağlantısı kesintisi vb.) üzerinden gerçekleştirilir ve sonuçları iç denetim sistemiyle entegre edilerek kaydedilir.

5.1.3. İç Denetim ve Raporlama

Planın uygulama düzeyi, kontrol noktalarının işlerliği ve kriz anı prosedürlerinin uygunluğu, İç Denetim Birimi tarafından yıllık denetim planı kapsamında değerlendirilir. İç denetim kapsamında, Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2.b) doğrultusunda yıllık sistem kurtarma kapasitesi, log bütünlüğü ve RPO-RTO hedeflerinin sağlanabilirliği denetlenir. Denetim bulguları Yönetim Kurulu’na sunulur ve gerektiğinde dış denetim firmalarından bağımsız görüş alınarak uygulama kalitesi teyit edilir. Kurtarma Planı kapsamında oluşturulan tatbikat kayıtları, veri kurtarma testleri ve olay müdahale logları, bağımsız denetimlerde kullanılmak üzere SPK formatına uygun şablonlarla saklanır.

6. MÜŞTERİ BİLGİLENDİRME VE ŞEFFAFLIK

6.1. Şirket, kriz durumlarında müşteri güvenini korumak, bilgi asimetrisini önlemek ve şeffaflığı sağlamak amacıyla çok katmanlı bir bilgilendirme stratejisi uygular. Bu strateji, zamanında, doğru ve sadeleştirilmiş bilgi akışını esas alır.

6.1.1. Anlık Bilgilendirme

Kriz durumunun meydana gelmesinin hemen ardından, müşteriler şirketin internet sitesi, mobil uygulama bildirim sistemi, e-posta ve SMS kanalları aracılığıyla bilgilendirilir. Bilgilendirme içerikleri, olayın türü, kapsamı, etkilenen sistemler, alınan tedbirler ve öngörülen çözüm süresini içerir şekilde hazırlanır. Gelişmeler oldukça bilgiler güncellenir.

6.1.2. Sıkça Sorulan Sorular (SSS) Sayfası

Krizin kişisel veri ihlaliyle bağlantılı olması halinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile uyumlu olarak, ilgili kişiler ve KVKK bilgilendirilir. Bu bildirime dair süreç, Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) madde 33 uyarınca 72 saat içinde tamamlanır. Krize ilişkin merak edilen konuları kapsayan ve müşteri sorularını önceden öngörerek hazırlanan bir “Kriz SSS” bölümü yayımlanır. Bu sayfa üzerinden müşterilere; sistem erişimi, fon güvenliği, işlem geçmişi, geri ödeme süreci gibi teknik ve hukuki içerikli yanıtlar sağlanır.

6.1.3. Geri Bildirim Mekanizmaları

Müşterilerin yaşadığı sorunları, önerilerini ve şikâyetlerini doğrudan iletebileceği interaktif kanallar aktif hale getirilir. Çağrı merkezi, canlı destek uygulaması ve destek e-posta adresi üzerinden gelen bildirimler kayıt altına alınır; önceliklendirilerek çözüm süreçlerine entegre edilir. Tüm bildirimler kriz sonrası analiz sürecinde dikkate alınmak üzere merkezi bir veri havuzunda toplanır.

7. KRİZ SONRASI İYİLEŞTİRME FAALİYETLERİ

Kriz yönetimi yalnızca anlık müdahaleden ibaret olmayıp, kriz sonrası yürütülen yapısal iyileştirme süreçleri ile tamamlanır. Şirket, krizleri birer öğrenme fırsatına dönüştürmeyi esas alır ve kapsamlı bir “Olay Sonrası İyileştirme Protokolü” uygular. İyileştirme süreci şu temel adımları içerir:

Krize ilişkin kapsamlı adli bilişim incelemeleri gerçekleştirilir. Sistem günlükleri, erişim kayıtları, işlem geçmişleri detaylı şekilde analiz edilerek olayın teknik kökeni ve müdahale yeterliliği tespit edilir.
Elde edilen tüm veriler kullanılarak faaliyet raporu oluşturulur. Rapor, iç denetim birimi üzerinden Yönetim Kurulu’na sunulur. Gerektiğinde SPK, MASAK, BTK gibi düzenleyici kurumlara da resmi raporlama yapılır.
Krizle bağlantılı tüm yazılım ve altyapı bileşenlerine yönelik güvenlik yamaları, konfigürasyon güncellemeleri ve erişim protokol revizyonları gerçekleştirilir.
Şirket çalışanlarına yönelik öğrenme oturumları ve durumsal farkındalık eğitimleri organize edilir. Kriz anında yapılan hatalar ve doğru müdahaleler paylaşılır; kolektif hafıza oluşturulur.
Gereken durumlarda bağımsız dış danışmanlık hizmeti alınır. Uzman kuruluşlardan penetrasyon testleri, saldırı simülasyonları ve risk değerlendirme hizmetleri talep edilir.
Müşteri güvenini yeniden tesis etmek amacıyla, krizden doğrudan etkilenen müşteriler için telafi ve itibar iyileştirme programları devreye alınır. Ücret iadesi, işlem ücreti muafiyeti, özel kampanyalar gibi uygulamalar hayata geçirilir.

8. KRİTİK GÖSTERGELER VE TETİKLEYİCİLER

8.1. Kurtarma Planı’nın etkinliğini artırmak ve gecikmeksizin uygulamaya geçebilmek amacıyla, Şirket tarafından önceden tanımlanmış erken uyarı göstergeleri (Early Warning Indicators) izlenmektedir. Bu göstergeler teknik, operasyonel ve itibari temelli olmak üzere üç ana kategoride sınıflandırılmıştır. Aşağıda örnek tetikleyiciler sıralanmıştır:

Şirket içi sistemlerde ani performans düşüşleri, veritabanı sorgularında yavaşlama, işlem gecikmeleri veya zaman aşımları
Müşteri hesaplarında çok sayıda ve eş zamanlı yüksek meblağlı para çıkışı
Aynı kullanıcı hesabına birden fazla IP adresinden kısa sürede erişim teşebbüsü
Aşırı miktarda istek (request) gönderen dış IP adresleri, bot trafiği, spam, DDoS saldırısı belirtileri
Kripto varlıkların fiyatlarında %20 veya üzeri ani volatilite, hacimsel dengesizlikler
Sosyal medya platformlarında, forumlarda veya basın yayın organlarında şirket aleyhine yayılan negatif içeriklerde ani artış (sentiment analysis entegrasyonları ile izlenir)

8.2. Bu göstergelerden biri ya da birkaçı gerçekleştiğinde, otomatik izleme sistemleri (SIEM, IDS/IPS, anomaly detection) aracılığıyla Kriz Yönetim Ekibi’ne anında uyarı verilir. Ekip durumu değerlendirerek, gerektiğinde planı devreye alır.

9. ÜÇÜNCÜ TARAF HİZMET SAĞLAYICILAR İLE KOORDİNASYON

9.1. Şirket, bazı hayati sistemlerini ve altyapı bileşenlerini üçüncü taraf hizmet sağlayıcılardan temin etmektedir. Bu sağlayıcılar; veri merkezleri, bulut bilişim altyapısı, dış API servisleri, ağ güvenlik çözümleri ve iletişim altyapısı gibi alanlarda faaliyet göstermektedir. Bu kapsamda, Şirketin iş sürekliliği ve kriz yönetimi süreçleri ile üçüncü tarafların iş sürekliliği planları arasında mutlak entegrasyon sağlanması hedeflenmektedir.

9.2. Üçüncü taraflarla imzalanan tüm hizmet sözleşmeleri ve seviye anlaşmalarında (SLA), aşağıda yer alan hükümler açık ve bağlayıcı şekilde yer alır:

9.2.1. Hizmet Sürekliliği ve Felaket Kurtarma Taahhütleri

Sağlayıcılar, kritik hizmetlerin önceden belirlenmiş zaman dilimleri içinde (Recovery Time Objective – RTO, Recovery Point Objective – RPO) geri getirilebilmesini taahhüt eder. Olağanüstü hal durumlarında, hizmetlerin kesintisiz devam edebilmesi için alternatif sunucu altyapıları devreye alınır.

9.2.2. Kesinti Durumlarında Bildirim Yükümlülüğü

Tüm üçüncü taraf hizmet sağlayıcılar, hizmet kesintisi veya güvenlik ihlali yaşanması halinde, Şirket’e azami 30 dakika içerisinde yazılı ve/veya otomatik sistem üzerinden bildirim yapmakla yükümlüdür.

9.2.3. Ortak Tatbikatlar ve Entegrasyon Testleri

Sağlayıcılar, yılda en az bir kez şirket tarafından düzenlenecek kurtarma tatbikatlarına aktif katılım sağlar. Bu tatbikatlar sırasında, sağlayıcının iş sürekliliği planları şirketin kriz senaryolarına göre test edilir.

9.2.4. Kriz Anı Öncelikli Erişim ve Teknik Destek

Olağanüstü hallerde, önceden tanımlanmış irtibat kişileri üzerinden sağlayıcı firmadan 7/24 erişilebilir teknik destek talep edilir. Teknik uzmanların krize müdahale sürecine fiziksel veya dijital olarak dahil olması beklenir.

9.2.5. Veri Güvenliği, Şifreleme ve Yedekleme Uyumluluğu

Üçüncü tarafların, veri bütünlüğü, yedekleme sıklığı, şifreleme algoritmaları ve coğrafi yedeklilik prensiplerinde Şirketin standartlarına tam uyum göstermesi zorunludur. Bu koşullar her yıl yeniden değerlendirilerek güncellenir. Şirket tarafından kullanılan yedekleme çözümleri, FIPS 140-2 veya eşdeğeri standartlarla uyumlu şifreleme algoritmalarını desteklemektedir. Ayrıca, veri bütünlüğü SPK’nın VII-128.10 sayılı Tebliği’ne uygun olarak zaman damgası ve hash doğrulama kontrolleriyle sağlanır.

9.2.6. Tüm üçüncü taraf sözleşmeleri, Şirketin Hukuk ve Risk Yönetimi birimleri tarafından yılda en az bir kez gözden geçirilir. Gerekli görülen durumlarda güncellemeler yapılır ve söz konusu sağlayıcıların kendi kurtarma planları Şirket planlarıyla uyumlaştırılır.

10. KURUMSAL İLETİŞİM VE PAYDAŞ YÖNETİMİ

Kriz anlarında, SPK'nın III-35/B.1 ve III-35/B.2 sayılı Tebliğleri gereği, hizmette kesinti veya müşteri varlık güvenliğini etkileyen olaylar için Kurul’a ve MASAK’a derhal bilgi verilmesini temin edecek bir ‘Kriz Bilgilendirme Süreci’ uygulanır. Bu süreç, bildirim içeriği ve zamanlamasını içeren hazır şablonlar ile desteklenir ve kurumsal iletişim sorumlusu tarafından başlatılır.

Kriz dönemlerinde kamuya yönelik bilgi akışı ve paydaşlarla olan iletişim, Şirket tarafından merkezi ve kontrollü bir yapıda yürütülür. Bu kapsamda, yalnızca Yönetim Kurulu tarafından yazılı şekilde yetkilendirilmiş bir veya birden fazla “Kurumsal İletişim Sorumlusu”, kriz döneminde kamuoyuna açıklama yapma yetkisine sahiptir. Kamu ve özel paydaşlara yönelik iletişim stratejisi, şu temel prensiplere dayanır:

Şeffaflık ve Bilgi Güvenliği Dengesi: Paydaşlara sağlanan bilgi, olayın kapsamı, etkileri, müdahale süreci ve tahmini çözüm zamanını içerecek şekilde hazırlanır. Ancak, açıklamaların müşteri güvenliğini zedelememesi ve dolandırıcılık gibi ikincil riskleri tetiklememesi için bilgi güvenliği prensipleri titizlikle gözetilir.
Resmî Açıklamalar ve Dijital Duyuruların Eşzamanlılığı: Krize ilişkin yapılan yazılı açıklamalar; internet sitesi, sosyal medya hesapları ve yatırımcı bilgilendirme panelleri üzerinden eş zamanlı olarak yayımlanır. Şirket içi bilgilendirmelerle kamuya yapılan duyurular senkronize edilir.
Düzenleyici Kurumlara Özel Bildirim: Kriz niteliğine göre SPK, MASAK, BTK, KVKK ve gerektiğinde uluslararası regülasyon otoritelerine yönelik özel “Kriz Bilgilendirme Raporu” hazırlanır ve ivedilikle iletilir. Bu bildirimlerde olayın teknik detayı, müdahale süreci ve alınacak ilave önlemler yer alır.
Kişisel Veri İhlali Durumunda Zorunlu Bildirim: KVKK madde 12/5 ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) uyarınca, kişisel verilerin ihlali durumunda ilgili kişilere ve Kişisel Verileri Koruma Kurulu’na 72 saat içerisinde resmi bildirim yapılır.
İtibar Yönetimi ve Toparlayıcı Medya Stratejileri: Kriz sonrası dönemde şirketin itibarını korumak ve müşteri güvenini yeniden inşa etmek amacıyla sosyal medya, basın açıklamaları ve dijital PR çalışmaları yürütülür. Özellikle kullanıcı deneyimlerine dair pozitif içerikler, kriz sonrası görünürlüğü desteklemek amacıyla öne çıkarılır.

Kritik bir güvenlik ihlali, sistem çökmesi veya müşteri varlık kaybı durumunda olay ivedi şekilde tespit edilerek SPK, MASAK ve KVKK’ya bildirimi yapılacaktır. Söz konusu bildirimden ‘Kurumsal İletişim Sorumlusu’ ve ‘Kurtarma Planı Yöneticisi’ müştereken sorumludur.

11. İZLEME METRİKLERİ VE RTO/RPO UYUMLULUĞU

Kurtarma Planı kapsamında, aşağıdaki metrikler SPK'nın Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10) ve Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2.b) EK/2 hükümleri doğrultusunda düzenli olarak izlenir:

Kurtarma Süresi Hedefi (RTO): 6 saat
Veri Kurtarma Noktası (RPO): 15 dakika
Tatbikat başarı oranı: %100’e yakın
Otomatik uyarı sistemlerinin ortalama tespit süresi: < 2 dakika
İlgili düzenleyiciye ilk bildirim süresi: maksimum 30 dakika

12. POLİTİKALAR ARASI ENTEGRASYON VE UYUM

Kurtarma Planı; Şirketin Bilgi Güvenliği Politikası, İş Sürekliliği Planı, Yedekleme Politikası ve Acil Durum Müdahale Protokolleri ile entegre şekilde yapılandırılmıştır. Bu belgeler, yılda en az bir kez eşgüdümlü biçimde gözden geçirilir ve aralarındaki tutarlılık iç denetim kapsamında denetlenir.

13. YÜRÜRLÜK

İşbu Kurtarma Planı, 25.03.2025 tarihinde yürürlüğe girer. Planın hazırlanması ve onaylanmasından Şirket Yönetim Kurulu sorumludur. Planın yılda en az bir kez gözden geçirilmesi zorunludur. Yürürlükte kaldığı süre boyunca değişen koşullara göre güncellenmesi için Bilgi Güvenliği ve Risk Yönetimi Birimi eşgüdümünde çalışmalar yürütülür.