1. PROSEDÜR HAKKINDA

Bu prosedür, 6362 sayılı Sermaye Piyasası Kanunu’nun 99/B maddesi ve III-35/B.1 sayılı Tebliğ’in 47. maddesi uyarınca; kripto varlık hizmet sağlayıcıların kripto varlık kaybı sonucunu doğurabilecek eylem ve riskleri belirlemesi ve bu risk ve eylemlerin gerçekleşmesi durumunda alınacak aksiyonlara yer verilmesi amacıyla hazırlanmıştır. CLTS Kripto Varlık Alım Satım Platformu A.Ş. olarak, sistem sürekliliğini sağlamak, kullanıcı varlıklarının güvenliğini korumak ve yasal yükümlülüklere tam uyum içerisinde hareket etmek temel önceliğimizdir.

‍

2. TANIMLAR

Platform: CLTS Kripto Varlık Alım Satım Platformu A.Ş.’yi ifade eder.

Cüzdan: Kripto varlıkların transfer edilebilmesini ve bu varlıkların ya da bu varlıklara ilişkin özel ve açık anahtarların depolanmasını sağlayan yazılım, donanım, sistem ya da uygulamaları ifade eder.

Kripto Varlık: Dağıtık defter teknolojisi veya benzer bir teknoloji kullanılarak elektronik olarak oluşturulup saklanabilen, dijital ağlar üzerinden dağıtımı yapılan ve değer veya hak ifade edebilen gayri maddi varlıklardır.

Kurul: Sermaye Piyasası Kurulu’nu ifade eder.

Mevzuat: 6362 sayılı Sermaye Piyasası Kanunu, III-35/B.1 sayılı Kripto Varlık Hizmet Sağlayıcılarının Kuruluş ve Faaliyet Esasları Hakkında Tebliğ, III-35/B.2 sayılı Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ, İlke Kararları ve diğer ilgili düzenlemeleri kapsar.

MASAK Mevzuatı: 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili alt düzenlemeleri ifade eder.

Sıcak Cüzdan: Kripto varlık hizmet sağlayıcıların müşterilerinin kripto varlık transferlerini karşılamak için kullandıkları, internete bağlı olan ve soğuk cüzdan özelliği göstermeyen cüzdan teknolojisini ifade eder.

Soğuk Cüzdan: Kripto varlığın kontrolünü sağlayan anahtarların fiziksel, idari ve teknik bilgi güvenliği kontrolleri ile korunduğu, işlem onaylama ve işlem imzalama gibi kritik işlemlerin buna yetkili personel müdahalesiyle fiziki veya teknik hava boşlukları ile internetten izole edilmiş ortamlarda yapılmasına olanak sağlayan cüzdan teknolojisidir.

‍

3. GENEL ESASLAR

Kurtarma planımız, sistemlerimizi ve kullanıcı varlıklarını tehdit edebilecek çeşitli senaryolar karşısında hızlı ve etkili bir müdahale sağlayacak şekilde yapılandırılmıştır. Bu kapsamda, operasyonel riskler, kripto varlıkların değersizleşmesi ya da ağ riskleri, siber saldırılar, dış hizmet sağlayıcı kaynaklı aksaklıklar ve likidite riskleri öncelikli olarak değerlendirilmiştir.

Planımız kapsamında bu risklerin gerçekleşmesi halinde yapılacak işlemler açık ve sıralı şekilde belirlenmiştir. İlk olarak olayın niteliği tespit edilir ve ilgili ekipler süreci devralarak gerekli teknik ve güvenlik önlemlerini hızla uygulamaya başlar. Tehdit altındaki sistem veya cüzdanlar izole edilir. Varlıkların güvenliğini sağlamak adına sıcak cüzdanlarda bulunan kripto varlıklar derhal soğuk cüzdanlara aktarılır. Bu sırada, sistemlerdeki tüm kayıtların bütünlüğü sağlanır ve mevzuata uygun olarak veri kaybının önlenmesi için yedekleme süreçleri devreye girer.

Tüm bu adımlar yürütülürken, etkilenen sistemler ve olayın muhtemel etkileri hakkında kapsamlı bir değerlendirme yapılır. Gerekli görülmesi halinde kullanıcılarımıza yönelik geçici işlem kısıtlamaları (örneğin para çekme işlemlerinin durdurulması veya sadece görüntüleme moduna geçilmesi) uygulanabilir. Bu geçici önlemler, sistem güvenliği tamamen sağlandığında kaldırılır ve işlemler olağan şekilde devam eder.

Ayrıca, platformun faaliyetlerini sürdüremeyeceği bir senaryoda, kullanıcı varlıklarının güvenli cüzdanlara aktarılması, kullanıcıların varlıklarını çekebilmesi için gerekli bilgilendirmelerin yapılması ve bu işlemlerin güvenlik denetimleri altında gerçekleştirilmesi sağlanır.

‍

4. KURTARMA PLANI UYGULAMA AŞAMALARI

Kurtarma planı kapsamında olayların önem derecelerine (risk seviyelerine) göre sınıflandırılması ve uygun müdahale seviyelerinin belirlenmesi kritik öneme sahiptir. 

‍

Önem Derecesi: Çok Ciddi

Tanım: Platform sistem erişimi tamamen durmuş ya da müşteri varlıkları doğrudan tehdit altındadır.

Müdahale Seviyesi: Hızlı ve tam kapsamlı müdahale uygulanır. Sistem izole edilir, varlık güvenliği önceliklendirilir.

‍

Önem Derecesi: Ciddi

Tanım: Sistem kesintisi kritik düzeydedir ve işlem bütünlüğü risk altındadır.

Müdahale Seviyesi: Öncelikli teknik ve güvenlik aksiyonları alınır, sistem geri yükleme planları devreye girer.

‍

Önem Derecesi: Orta

Tanım: Sınırlı hizmet aksaması veya izole birimlerde risk oluşmuştur.

Müdahale Seviyesi: İzole müdahale gerçekleştirilir, hizmet sürekliliği sağlanır. Sorun kaynakları değerlendirilir.

‍

Önem Derecesi: Düşük

Tanım: Hizmetin genelini etkilemeyen ancak gözlem gerektiren durumlar söz konusudur.

Müdahale Seviyesi: Gözlem, raporlama ve önleyici bakım süreçleri başlatılır.

‍

Tehdidin ortadan kaldırılmasının ardından, olayın kaynağı sistem logları ve analiz araçları yardımıyla tespit edilir. İlgili tüm birimler iş birliği içinde çalışarak tespit edilen zayıflıkları ortadan kaldırır. Bu süreçlerin etkinliğini doğrulamak amacıyla hazırlanan müdahale planları yılda en az bir kez test edilir ve sonuçları yönetim kuruluna raporlanır.

5. MÜŞTERİ VARLIKLARININ KORUNMASI VE BİLDİRİM SÜRECİ

Kurtarma planı uygulamaya alındığında, kullanıcılarımıza ait varlıkların güvenliği en üst önceliğimizdir. Tüm kullanıcı varlıkları platformun malvarlığından ayrı tutulmakta ve yalnızca müşterilere ait olarak korunmaktadır. Sıcak cüzdanlarda bulunan varlıklar hızla soğuk cüzdanlara aktarılır, tehdit altındaki cüzdanlar izole edilerek işlemlere kapatılır ve tüm transferler çoklu onay sürecine tabi tutulur.

Bu süreçte kullanıcılarımız, sistem içi mesajlarla, e-posta ve SMS yoluyla düzenli olarak bilgilendirilir. SPK ve MASAK başta olmak üzere ilgili kurumlara yasal bildirimler yapılır. Kurtarma planının devreye alınmasından sonraki 15 gün içinde rezerv kanıtı denetimi bağımsız denetim kuruluşu tarafından gerçekleştirilir ve Kurul’a iletilir.

‍

6. PLANIN GÖZDEN GEÇİRİLMESİ VE SORUMLULAR

Bu prosedür yılda en az bir kez gözden geçirilir. Gerekli görülmesi hâlinde yıl beklenmeksizin güncellenebilir. Yönetim kurulu tarafından onaylanan planın uygulanmasından biri genel müdür yardımcısı düzeyinde olmak üzere iki yetkili personel sorumlu olarak atanmıştır ve iletişim bilgileri Kurul’a bildirilmiştir.

‍