Fintech Altyapısını Topolojiden Denetime Kadar Biz Yönetiyoruz
2014'ten bu yana PCI-DSS Level 1. 50+ denetim, sıfır başarısızlık. Topoloji tasarımından SPoF analizine, network izolasyonundan OS yapılandırmasına, firewall'dan loglama altyapısına kadar — denetim odasında bizim ekip oturuyor.
PCI-DSS Sertifikası Almak Kolay, Yaşamak Zor. Biz 10+ Yıldır Yaşıyoruz.
2015'te bir müşterimiz adına PCI-DSS sertifikasyon sürecine girdik. O dönemde Türkiye'de QSA (Qualified Security Assessor) yoktu — yıllarca Polonya'dan denetçi geldi. O günden bu yana 50'den fazla denetime girdik, hiçbirinde başarısız olmadık. Türkiye'nin ilk PCI-DSS Level 1 Service Provider'ı olduk.
Fintech müşterilerimiz için sadece "uyumlu altyapı" sağlamıyoruz — topoloji tasarımından standart uyumuna, tatbikatlardan SPoF analizine, network izolasyonundan OS yapılandırmasına, firewall kurallarından loglama altyapısına kadar PCI-DSS'in her maddesini kapsayan uçtan uca mühendislik hizmeti veriyoruz.
Onay sürecinden sonra da bitmez — NOC ve erken müdahale hizmetlerimiz SLA sözleşmemiz kapsamında 7/24 devam eder.
Sertifikadan Operasyona
İki aşamalı yaklaşım: önce uyumlu hale getiriyoruz, sonra uyumlu tutuyoruz.
Aşama 1 — Hazırlık ve Sertifikasyon
Topoloji Tasarımı
- Ağ mimarisi çizimi, segment izolasyonu, CDE tanımlama
- SPoF (Single Point of Failure) analizi
- Firewall zonelama, DMZ tasarımı
Denetçi geldiğinde topoloji diyagramınız hazır olmalı — biz çiziyoruz.
Network İzolasyonu ve Güvenlik
- VLAN segmentasyonu, mikro-segmentasyon
- Firewall kural seti tasarımı ve yapılandırması (Fortigate)
- IDS/IPS yapılandırması, erişim kontrol listeleri
PCI-DSS Req. 1: Ağ güvenlik kontrollerini kurun ve sürdürün.
OS Yapılandırması ve Hardening
- Linux/Windows sunucu sıkılaştırma
- Gereksiz servis ve port kapatma, CIS Benchmark
- Patch yönetimi, güvenli konfigürasyon baseline'ları
PCI-DSS Req. 2: Tüm sistem bileşenlerine güvenli konfigürasyon uygulayın.
Loglama ve İzleme
- Merkezi log toplama ve korelasyon
- PCI-DSS uyumlu değiştirilemez audit trail (Elasticsearch)
- Log retention politikaları, anomali tespiti
PCI-DSS Req. 10: Tüm erişimleri loglayın ve izleyin.
Şifreleme ve Anahtar Yönetimi
- TLS 1.2/1.3 yapılandırması, AES-256 veri şifreleme
- HSM entegrasyonu (Utimaco — FIPS 140-4)
- Kart verisi tokenizasyonu ve maskeleme
PCI-DSS Req. 3 & 4: Saklanan ve iletilen kart verilerini koruyun.
Denetim Hazırlığı ve Koordinasyon
- Gap analizi ve remediation planı
- QSA ile koordinasyon, kanıt dosyası hazırlığı
- Tatbikatlar (incident response, DR)
Denetçi geldiğinde sürpriz olmasın — her şeyi önceden hazırlıyoruz.
Aşama 2 — Sürekli Operasyon
Sertifika Alındı — Şimdi Yaşatma Başlıyor
7/24 NOC ve Erken Müdahale
- SLA sözleşmesi kapsamında kesintisiz izleme
- Erken müdahale: <15dk ilk yanıt
- Incident response prosedürleri, eskalasyon zincirleri
Sürekli Uyum İzleme
- Konfigürasyon drift tespiti
- Düzenli güvenlik taramaları
- PCI-DSS yıllık yenileme desteği, değişiklik yönetimi
Kapasite ve Performans Yönetimi
- LibreNMS ile bant genişliği izleme (95th percentile)
- Uptime Kuma ile servis ve SSL izleme
- Kapasite planlama ve ölçekleme önerileri
TSM'den E-Faturaya — Fintech Yazılım Mühendisliği
PCI-DSS uyumlu altyapının ötesinde, fintech sektörünün ihtiyaç duyduğu uzmanlık gerektiren yazılımları da geliştiriyoruz.
TSM Yazılımları
POS terminal yönetimi, anahtar dağıtımı, terminal güvenlik modülü uygulamaları
E-Fatura / E-Arşiv
GİB entegrasyonu, Paraşüt entegrasyonu (production'da aktif)
Ödeme Altyapısı
POSNET 3D Secure, tokenize kart saklama, taksit yönetimi
BDDK Uyumu
Bankacılık düzenleme ve denetleme kurumu gereksinimlerine uyumlu altyapı
GİB Uyumu
Gelir İdaresi Başkanlığı e-belge entegrasyonları
HSM Entegrasyonu
Utimaco HSM yapılandırması, FIPS 140-4, kriptografik anahtar yönetimi
Elektronik Para Altyapısı
BDDK lisanslı e-para kuruluşları için PCI-DSS uyumlu işlem altyapısı, tokenizasyon
Loyalty / Puan Programları
Ödeme ve puan birleştirme, kapalı devre ödeme sistemleri altyapısı
Hangi Regülasyona Uyum Gerekiyor?
| Regülasyon | Ne Gerektirir | VeriTeknik'in Rolü |
|---|---|---|
| PCI-DSS v4.0 | Kart verisi işleyen/saklayan/ileten tüm sistemler | Uçtan uca uyum: topoloji → denetim → operasyon |
| ISO 27001:2022 | Bilgi güvenliği yönetim sistemi | Sertifika kapsamı tasarımı, kontrol implementasyonu |
| KVKK (6698) | Kişisel veri işleyen tüm sistemler | Veri minimizasyonu, açık rıza, yerel veri yerleşimi |
| BDDK | Bankacılık ve ödeme kuruluşları | Altyapı gereksinimleri, raporlama, denetim hazırlığı |
| GİB | E-fatura/e-arşiv zorunluluğu | Entegrasyon geliştirme, Paraşüt bağlantısı |
| BKM | Bankalararası Kart Merkezi gereksinimleri | 72 saatlik breach notification, PCI-DSS uyum |
Fintech Referanslarımız
Bu Uzmanlıktan Bir Girişim Doğdu
Onlayer (PCI Checklist) — PCI-DSS uyum süreçlerini dijitalleştiren SaaS platformu. İş Bankası Workup'tan mezun oldu, Maxis'ten 1.2M TL yatırım aldı. Uzmanlığımız o kadar derin ki, içinden ayrı bir şirket çıktı.
Fintech Altyapınızı Değerlendirelim
Mevcut PCI-DSS uyum durumunuzu ve altyapı ihtiyaçlarınızı konuşalım.
- PCI-DSS gap analizi
- Uyum yol haritası
- Teknik görüşme planla
Mevcut PCI-DSS uyum durumunuzu ve altyapı ihtiyaçlarınızı konuşalım.
Doğrudan iletişime de geçebilirsiniz: