Gelir İdaresi Başkanlığı (GİB) yakın dönemde özel Entegratörleri denetleyeceğini duyurdu. Denetim; COBIT, ISO 27001:2013 Bilgi Güvenliği Yönetim Sistemi, ISO 20000:2011 Bilgi Teknolojileri Hizmet Yönetim Sistemi ve ISO 22301:2012 İş Sürekliliği Yönetim Sistemi standartlarına göre yapılacak. Bu kapsamda henüz taslak halinde olan "özel Entegratör Denetim Dokümanı" tüm özel entegratörler ve denetim firmalarıyla paylaşıldı. Ayrıca Gelir İdaresi Başkanlığı e-Defter Uyumlu Yazılım firmalarını e-Defter Demo'su için Ankara'ya davet ediyor ve yeniden demo sürecinden geçiriyor.
özel Entegratör Denetim Dokümanı taslak dokümanına göre dikkat çeken başlıca konular şöyle sıralanıyor:
- Denetim sonrası oluşan denetim görüş yazısı hem Gelir İdaresi Başkanlığı tarafından hem de özel entegratör web sayfasından kamuya duyurulacak.
- Kılavuz resmi hale geldikten sonra en geç 6 ay içerisinde özel entegratör denetimlerinin bankaları da denetleme yetkisine sahip olan firmalar tarafından yapılması gerekmektedir.
- Dış hizmet yoluyla anlaşılan tüm tedarikçiler için bugün itibarıyla istenenler; ISO 27001:2013, ISO 20000:2011 ve ISO 22301:2012 standartlarına, ITIL belgesine sahip personele ve Felekat Kurtarma Merkezi'ne sahip olunması olarak sıralanıyor. Dış hizmet yoluyla anlaşılan tüm tedarikçilerin bu gereklilikleri sağlaması gerekiyor.
- Tüm özel entegratörler için sızma testleri yaptırmak zorunlu ve sızma testlerinin denetime gelinmeden en geç 2 ay önce yapılması gerekiyor. Daha öncesi kabul edilmiyor ve her yıl bu testlerin tekrarlanması gerekiyor. Sızma testinin kapsamında ise aşağıdaki testler yer alıyor:
- Sosyal Mühendislik ve Fiziksel Sızma Testleri
- Ağ ve İletişim altyapısı Testleri
- İşletim Sistemi ve Platform Testleri
- Uygulama Testleri
- Veri Tabanı Testleri
- Web Uygulamaları Testleri
- Mobil Uygulama Testleri
- özel entegratörün uygulamalarında yapılan tüm işlemlerin loglanması, işe giren ve çıkan tüm personelin 1 hafta içerisinde Gelir İdaresi Başkanlığına bildirilmesi, mükellefe ait tüm verilerin şifreli ve değişmez şekilde saklanması da uyulması istenen gereklilikler içinde bulunuyor.
- özel entegratörlerin risk planı ve kontrol sistemi olması gerekiyor. Bu gereklilik aynı zamanda ISO 22301 ve ISO 27001'in de ortak gerekliliği durumunda.
- özel entegratörlerin Felaket Kurtarma Merkezi testlerini yaptırması gerekiyor. Bu da ISO 22301 ile ortak bir gereklilik.
- Tüm özel Entegratörlerde; Ağ ve Ağ Güvenliği Uzmanı, Veri Tabanı Uzmanı, Sistem Uzmanı, Kalite Sistemleri Uzmanı, Yazılım Geliştirme Uzmanı, Konfigürasyon Yöneticisi ve Test Uzmanı olması gerektiği ve bir kişinin iki görevi birden alamayacağı belirtiliyor.