Banka Şubesi, ATM ve PTT Güvenlik Kamerası Şartları: 5188 Sayılı Kanun, Kayıt Süresi ve PIN Gizliliği

5188 sayılı Kanun banka kamerasını doğrudan düzenler mi?

5188 sayılı Kanun bankalar için kamera sayısı, kayıt süresi veya cihaz tipi belirlemez; kameraya ait şartlar özel güvenlik izni sürecinde, yerin riskine göre belirlenir. Kanun metninde "kamera" sözcüğü geçmez. Kanunun 3. maddesi, kurum ve kuruluşlarda özel güvenlik birimi kurulmasını ya da güvenlik hizmetinin şirketlere gördürülmesini özel güvenlik komisyonunun kararı üzerine valinin iznine bağlar ve komisyona gerekli hallerde "diğer fizikî ve aletli güvenlik tedbirlerini" belirleme yetkisi verir.

Kamera, kayıt cihazı, alarm ve geçiş kontrol bu aletli tedbirler arasında düşünülür. Kanunun 6. maddesi mülki idare amirlerine, yetersiz buldukları tedbirler için ek önlem aldırma yetkisi tanır; Kanunun 20. maddesi bu ilave tedbirleri almayanlara idari para cezası öngörür.

Uygulama yönetmeliğinde (Resmî Gazete 07.10.2004, 25606) da aynı mantık sürer: 6. madde komisyonun görevlerini, 12. madde hizmetin başlamasından itibaren en geç otuz gün içinde hazırlanacak koruma ve güvenlik planlarını, 24. madde ise fiziki önlemlere ve güvenlik cihazlarına öncelik verilmesini düzenler. Bankalara özel ayrı bir bölüm yoktur; yönetmelikte bankalarla ilgili tek açık hüküm, bankaların özel güvenlik birimlerince yapılacak para nakli için ayrıca özel güvenlik izni alınmamasıdır (madde 9).

Banka şubesinde kamera nerelere konur?

Şubede kamera yerleşimi tek bir kanun maddesinden değil, şubenin koruma ve güvenlik planından, valilik kararından ve bankanın kendi güvenlik standardından çıkar. Kurulumcu açısından pratik sonuç, her şubenin keşfe ve yazılı şartnameye göre ele alınmasıdır; "her bankada şu kadar kamera zorunlu" biçiminde tek bir sayı doğrulanmış mevzuatta yoktur.

Bankacılık uygulamalarında kamera planı genellikle risk noktalarını kapsayacak biçimde hazırlanır:

• Giriş ve çıkış kapıları: yüz tanımaya uygun açıda, karşı ışığa dayanıklı görüntü; bu konuda kamera kayıt modları kararı etkiler.
• Gişe ve müşteri karşılama alanı: işlem anını ve masayı gösteren görüntü; ancak ekran ve belgeler okunacak kadar yakın çekilmemelidir.
• Kasa ve kıymet odası: kapı girişi ve oda içi; erişim kayıtlarıyla eşleştirilir.
• Şube içi ATM bölmesi ve dış cephe ATM'si: cihazın çevresi ve kullanıcının yüzü; klavye ve PIN girişi görüş dışında kalmalıdır.
• Otopark, çevre ve acil çıkış: dış mekân kameralarında IEC 60529 IP sınıfı ve gece görüntüsü aranır.
• Sistem ve ağ odası: Bankaların Bilgi Sistemleri Yönetmeliğinin 17. maddesinin dördüncü fıkrası, kritik bilgi sistemlerinin bulunduğu veri merkezi ve sistem odalarında kamera kayıt sistemi kullanılmasını, kör nokta bırakılmamasını ve kayıtların en az bir yıl saklanmasını ister.

ATM kamerası: altı ay kayıt ve klavyeyi görmeme kuralı

ATM için doğrudan kamera hükmü, 15.03.2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliğin ATM bankacılığı başlıklı 42. maddesinin dokuzuncu fıkrasında yer alır. Mevzuat Bilgi Sistemi'ndeki metne göre banka, ATM'ye müşterinin klavye hareketlerini göremeyecek uygun bir açıyla güvenlik kamerası yerleştirir ve kayıtlar en az altı ay saklanır.

İki unsur birlikte okunmalıdır: kamera olayı ve kullanıcıyı kaydeder, ama PIN girişi görüntüye girmemelidir. Aksi halde kameranın kendisi şifre ele geçirme aracına dönüşür. Bu yüzden kamera yüzü ve cihaz çevresini görecek, tuş takımının üstünden bakmayacak biçimde konumlandırılır; konum ve açı keşif tutanağına ve kurulum fotoğraflarına işlenmelidir.

Bankacılık dışındaki ödeme ve elektronik para kuruluşlarının ATM ve kiosk gibi insansız hizmet noktaları için ise Merkez Bankası'nın ilgili bilgi sistemleri tebliğinin 20. maddesi geçerlidir. Tebliğin onuncu fıkrasına göre kamera kayıtları kimlik tespitine yetecek görüntü kalitesinde olmalı, en az altı ay saklanmalı ve kamera donanımının çalışıp çalışmadığı düzenli kontrol edilmelidir. Alanı zaten kapsayan mevcut bir kamera altyapısı varsa ayrıca kamera kurulması gerekmez.

ATM'de kart kopyalama (skimming) ve kamera ilişkisi

Skimming, ATM kart yuvasına takılan okuyucu ile sahte klavye ya da gizli kamerayla kart verisi ve PIN'in kopyalanmasıdır; kamera bu saldırıyı hem önlemeye hem sonradan delillendirmeye yarar. Merkez Bankası tebliğinin 20. maddesinin beşinci fıkrası, insansız hizmet noktalarına yabancı aparat, kart kopyalama cihazı, sahte klavye veya kamera yerleştirilmesini önleyici ve tespit edici kontrollerin kurulmasını ister; ön tanımlı parolaların kolay tahmin edilemeyecek biçimde değiştirilmesi de aynı maddede geçer.

Kameranın bu işteki rolü yalnızca kayıt değildir. Düzenli periyotla ATM'nin yakınındaki görüntünün incelenmesi, cihaza yaklaşıp uzun süre kalan ya da bir şey takıp çıkan kişinin saptanması mümkün olur. Bu amaçla kullanılan genel uygulamalar şunlardır:

• Cihaz çevresini görme: kart yuvası ve çevre, kayan ya da değişmiş parçayı fark edecek netlikte kaydedilmelidir.
• Tarih ve saat senkronu: kamera ve ATM işlem kayıtları aynı saat kaynağına (NTP) bağlanırsa şüpheli işlem anıyla görüntü eşleştirilebilir.
• Bakım ve temizlik kaydı: cihaza yapılan her müdahale görüntüyle ve servis kaydıyla örtüşmelidir.
• Kamera ağı: kamera ve ATM ağı ayrılmalı, varsayılan parolalar değiştirilmeli; ayrıntı için IP kamera siber güvenlik rehberine bakılabilir.
• Sabotaj uyarısı: kamera kapanması, kapatılması ya da yönünün değişmesi uyarı üretmelidir.

Kayıt saklama süresi ve KVKK: ne kadar, nasıl hesaplanır?

Bankada kayıt saklama süresi sektör mevzuatındaki özel süreye ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ilkelerine birlikte bağlıdır: ATM için en az altı ay, kritik sistem odası için en az bir yıl, diğer alanlar için ise mevzuatın ya da bankanın iç politikasının belirlediği süre geçerlidir. KVKK'nın 4. maddesi, kişisel verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister; 7. madde amaç ortadan kalkınca silme, yok etme veya anonim hâle getirmeyi, 12. madde teknik ve idari tedbirleri düzenler.

Yani altı ay "en az" bir tabandır, her kaydı keyfi biçimde uzatmak için gerekçe değildir. Şubedeki diğer kameralar için süre iç saklama ve imha politikasında yazılı olmalıdır. KVKK yönünden aydınlatma, erişim yetkisi ve ölçülülük konuları işyerinde güvenlik kamerası ve KVKK rehberinde ele alınmıştır.

Disk kapasitesi şu formülle hesaplanır: günlük kayıt (GB) = bit hızı (Mbps) × 86.400 ÷ 8 ÷ 1.000. Sürekli kayıtta 4 Mbps'lik bir kamera günde yaklaşık 43,2 GB üretir; 180 gün için 43,2 × 180 ≈ 7.776 GB, yani kamera başına yaklaşık 7,8 TB gerekir. H.265 sıkıştırma ve hareketli kayıt bu rakamı düşürebilir, ancak ATM gibi zorunlu süresi olan noktalarda kapasiteyi kötü senaryoya göre hesaplayın. Disk seçimi için güvenlik kamerası hard disk seçimi rehberine bakılabilir.

Güvenlik yöneticisi, alarm izleme ve kolluk bağlantısı

Banka güvenliğinde kamera ve alarm, kolluğa bildirim zinciriyle birlikte düşünülür. Kanunun 5. maddesine göre alarm izleme merkezi kurmak ve işletmek için valilikten yeterlilik belgesi alınması zorunludur; yönetmeliğin 23. maddesi merkezlerin ihbarları değerlendirmesini ve teknik olarak doğrulananları sorumluluk bölgesindeki genel kolluğa en kısa zamanda bildirmesini öngörür. Konunun ayrıntısı için alarm izleme merkezi rehberine bakılabilir.

Kanunun 9. maddesi, zor kullanma ve yakalama gerektiren olayların en seri vasıtayla yetkili genel kolluğa bildirilmesini, yakalanan kişi ve zapt edilen eşyanın kolluğa teslim edilmesini ister. Kanunun 20. maddesi ise denetim sırasında güvenlik sorumlusunu veya yöneticiyi bulundurmayan, denetim kapsamındaki bilgi, belge ve kayıtları vermeyenlere idari para cezası öngörür. Bu nedenle kayıtların dışa aktarılması, kimin yetkili olduğu ve kolluğa hangi sürede teslim edileceği yazılı prosedürde tanımlanmalıdır.

Özel güvenlik görevlisi ile elektronik sistemin birbirini nasıl tamamladığı özel güvenlik ve elektronik güvenlik birlikte yazısında anlatılmıştır.

PTT şubeleri ve benzeri para ve değer taşıyan yerler

PTT şubeleri, kuyumcular, döviz büroları ve ödeme kuruluşu noktaları için tek ortak kamera sayısı ya da süre tanımlayan bir mevzuat maddesi doğrulanmamıştır; bu yerlerde şartlar özel güvenlik izni, koruma ve güvenlik planı ve kurumun kendi güvenlik standardı üzerinden belirlenir. PTT şubelerine özel, kamera süresi koyan ayrı bir madde bu rehberin dayandığı kaynaklarda bulunmadı; bu nedenle PTT için kurumun şartnamesi esas alınmalıdır.

Para ya da değerli eşya bulunduran işletmelerde 5188 sayılı Kanunun 3. maddesindeki izin mantığı geçerlidir: geçici ve acil hallerde komisyon kararı aranmadan valilikçe özel güvenlik izni verilebilir, diğer hallerde komisyon kararı gerekir. Kuyumcuların kamera, alarm ve kasa koruması için kuyumcu güvenlik sistemleri rehberi ayrıca hazırlanmıştır.

Banka ve ATM işi için kurulumcudan ne beklenir?

Banka ya da ATM işinde kurulumcudan beklenen, mevzuattaki ortak bir ürün onay listesi değil, bankanın yazılı teknik şartnamesine ve ilgili standartlara uyumdur. Doğrulanan mevzuat metinlerinde kamera markası ya da modeli için bir onay listesi geçmez; ürün kabulü çoğunlukla bankanın tedarikçi ve güvenlik birimi tarafından yapılır. İş almadan önce aşağıdakilerin yazılı olarak sorulması gerekir:

• Yetki ve belge: işi veren bankanın tedarikçi onayı, işin valilik iznine bağlı bir kısmı varsa sorumlusu; alarm izleme hizmeti de sunulacaksa Kanunun 5. maddesindeki yeterlilik belgesi.
• Ürün uyumu: ONVIF Profile S/T uyumu, H.265 desteği, EN 62676 video gözetim ve EN 50131 alarm standartları ile üretici sertifikaları; kamera ve kayıt cihazı yazılımının güncellenebilir olması.
• Saklama süresi ve kapasite: ATM için en az altı ay, sistem odası için en az bir yıl hedefine göre disk hesabı ve RAID/yedekleme planı.
• Kamera açısı: PIN girişini görmeyen açının keşifte ölçülmesi ve teslim fotoğrafıyla belgelenmesi.
• Erişim ve günlük: kayıtlara kimin eriştiği, kimin dışa aktardığı günlüğe yazılmalı; bu kayıt KVKK ve denetim için önemlidir.
• Kesintisiz güç ve haberleşme: PoE IEEE 802.3af/at/bt bütçesi, UPS ve yedek bağlantı.
• Teslim ve bakım: teslim tutanağı, periyodik kamera kontrolü, arıza süresi ve yedek parça sorumluluğu.

Bayifi bu konuda nerede devreye girer?

Bayifi bankaya ya da ATM'ye hizmet vermez; kamera, alarm ve geçiş kontrol kurulumcuları ile toptancıları buluşturan bir pazar yeri ve il il firma dizinidir. Böyle bir iş için kurulumcu aramak isteyen kurumlar bayi listesinden il bazında firma profillerine bakabilir.

Toptan ürün ve stok arayan kurulumcular pazar bölümünde toptancıların anlık stoklu ürünlerini görebilir; firmasını dizine eklemek isteyenler kaydol sayfasından başvurabilir.