Аутсорсинг, облако, программное обеспечение и закупка технологий
В облачных, базовых платёжных инфраструктурных услугах, аутентификации, мониторинге мошенничества, колл-центре, центре обработки данных, разработке программного обеспечения и поддержке изучается, допускается ли аутсорсинг и какие условия применяются. Регулируются местонахождение данных, доступ, субпоставщик услуг, право аудита, уведомление об инцидентах, непрерывность, исходный код, поддержка при выходе и возврат данных. Передача критической функции не снимает регуляторной ответственности организации.
Информационные системы, кибербезопасность и управление инцидентами
Инвентаризация информационных активов, управление доступом, привилегированные учётные записи, ведение журналов, шифрование, сетевая безопасность, безопасная разработка программного обеспечения, тестирование на проникновение, управление уязвимостями, резервное копирование, аварийное восстановление и реагирование на инциденты сопоставляются с правовыми обязанностями. Требует ли киберинцидент уведомления TCMB, SPK, KVKK, MASAK, клиентов или других заинтересованных сторон, определяется по виду инцидента. Техническая проверка ведётся совместно с профессиональной тайной, безопасностью данных, сохранением записей и обязанностями по уведомлению. Технические испытания и реагирование — ответственность соответствующей команды специалистов.
Строгая аутентификация, дистанционное привлечение клиентов и электронные договоры
Изучаются дистанционная идентификация, видеозвонок или подходящие электронные методы, привязка устройства, многофакторная аутентификация, дополнительный контроль для рискованных операций, электронная подпись и процессы с долговременным носителем. Разъясняется, что аутентификация и идентификация клиента по требованиям MASAK — не одно и то же понятие. Неудачные попытки, захват аккаунта, подмена SIM-карты, смена устройства и требования доступности превращаются в безопасный процесс без необоснованного ограничения прав пользователей.
KVKK, финансовые данные и передача за рубеж
Для процессов привлечения клиентов, мониторинга операций, оценки риска, предотвращения мошенничества, колл-центра, cookie-файлов, цифрового отпечатка устройства, биометрии и маркетинга составляется реестр обработки данных. Определяются роли контролёра данных и обработчика данных, сроки хранения, обращения субъектов данных, управление нарушениями и механизм передачи за рубеж. Обязательные регуляторные записи и продуктовая аналитика или маркетинговые данные не объединяются под одной целью.