DDO Denetimi Nedir, Kimler İçin Zorunlu?

Kurumların dijital ortamda tuttuğu bilgiler, kullandığı sistemler ve hizmet aldığı teknoloji sağlayıcıları, bilgi güvenliği yönetiminin önemli parçalarını oluşturuyor. Bu süreçlerin yalnızca teknik önlemlerle değil, düzenli kontroller ve kurum içi sorumluluklarla yönetilmesi gerekiyor.

DDO denetimi, yaygın kullanımıyla Bilgi ve İletişim Güvenliği Rehberi’ne uyumun değerlendirildiği denetim sürecini ifade ediyor. Denetimde, kurumun rehber kapsamındaki tedbirleri uygulama durumu ve bu tedbirlerin etkinliği inceleniyor.

Peki, DDO denetimi bütün şirketler için zorunlu mu? Kimler denetim yapabilir ve kurumlar nasıl hazırlanmalı?

DDO Denetimi Ne Demek?

DDO kısaltması, Dijital Dönüşüm Ofisi adından geliyor. Ofis döneminde hazırlanan Bilgi ve İletişim Güvenliği Rehberi kapsamında yürütülen uyum denetimleri, sektörde “DDO denetimi” olarak anılıyor. Denetim rehberinde de DDO bu açılımla tanımlanıyor.

Sürecin güncel resmî açıklamaları Siber Güvenlik Başkanlığı tarafından yayımlanıyor. Başkanlık, rehberlerde kurum adı ve logo değişikliği yapıldığını; bu değişiklik nedeniyle rehber içeriğinin, uygulama ve denetim usulünün değiştirilmediğini belirtiyor.

Bu nedenle eski kaynaklarda DDO adının bulunması, denetim yükümlülüğünün sona erdiği anlamına gelmiyor.

DDO Denetimi Kimler İçin Zorunlu?

Siber Güvenlik Başkanlığının açıklamasına göre kapsam; belirtilen istisnalar çerçevesinde, bilgi işlem birimi bulunan veya bilgi işlem hizmetini sözleşmeyle dışarıdan alan kamu kurumları ile kritik altyapı işletmelerini içeriyor.

Millî güvenliğin sağlanması ve gizliliğin korunması kapsamında yürütülen görev ve faaliyetler için açıklanan istisnalar ayrıca dikkate alınmalı.

Her Özel Şirket DDO Denetimi Yaptırmak Zorunda mı?

Her özel şirket için otomatik olarak aynı yükümlülüğün bulunduğu söylenemez. Bir işletmenin kapsamda olup olmadığı; faaliyet alanı, kritik altyapı niteliği ve kendisine uygulanan düzenlemeler üzerinden değerlendirilmelidir.

Örneğin bir şirketin internet sitesi bulunması veya çalışan bilgilerinin dijital ortamda tutulması, tek başına bu denetimin zorunlu olduğunu göstermeye yetmez. Genelge kapsamıyla diğer siber güvenlik yükümlülükleri de birbirine karıştırılmamalıdır.

DDO Denetiminde Neler İncelenir?

Denetimin temel sorusu, kurumun bilgi güvenliği tedbirlerini yalnızca tanımlayıp tanımlamadığı değil, uygulayıp uygulamadığı ve bunların işe yarayıp yaramadığıdır.

Bilgi ve İletişim Güvenliği Denetim Rehberi; denetimin planlanması, denetim prosedürlerinin uygulanması ve sonuçların raporlanması için yöntem sunar.

Kurumlar hazırlık çalışmalarında aşağıdaki örnek sorulardan yararlanabilir:

Bu tablo bir hazırlık örneğidir. Kurumun gerçek denetim kapsamı ve uygulanacak kontrolleri, ilgili rehbere göre belirlenmelidir.

DDO Denetimi Ne Sıklıkla Yapılır?

Rehber kapsamındaki kurum ve kuruluşların yılda en az bir kez iç denetim usulüyle denetim çalışması yapması ve sonuçlarını Siber Güvenlik Başkanlığına iletmesi bekleniyor.

Kurumlar denetimi kendi kaynaklarıyla gerçekleştiremiyorsa TSE tarafından belgelendirilmiş firma veya denetçilerden hizmet alabiliyor. Dolayısıyla her durumda dışarıdan denetim hizmeti satın alınması gerektiği şeklinde bir genelleme yapılmamalı.

DDO Denetimini Kimler Yapabilir?

Denetim ekibinin yetkinlikleri ve görevlendirme koşulları, Bilgi ve İletişim Güvenliği Denetim Rehberi doğrultusunda değerlendirilmelidir. Kurum içi denetim ile dışarıdan alınan denetim hizmeti aynı şartlarla ele alınmamalıdır.

TSE’nin ilgili belgelendirme programı; uyum denetimi hizmeti sağlayan personel ve firmalara yönelik eğitim, sınav ve belgelendirme süreçlerini kapsıyor.

Dış hizmet alımı planlayan kurumlar, hizmet sağlayıcının ilgili belgesini TSE’nin resmî sorgulama ekranından kontrol edebilir. Ekranda, Bilgi ve İletişim Güvenliği Rehberi uyum denetimi hizmeti sağlayan personel ve firmalar için sorgulama seçeneği bulunuyor.

İnsan Kaynakları DDO Denetimine Nasıl Hazırlanabilir?

Bilgi güvenliği, çalışanların kurumla ilişkisinin başladığı andan ayrılışlarına kadar farklı süreçlerle bağlantılıdır. Bu nedenle hazırlık yalnızca bilgi işlem ekibine bırakılmamalıdır.

İnsan kaynakları ekipleri, kurumun kapsamına uygun olarak şu konuları bilgi işlem ve ilgili birimlerle birlikte gözden geçirebilir:

• Yeni çalışanın erişim talebinin nasıl başlatıldığı.

• Görev değişikliğinde eski yetkilerin nasıl güncellendiği.

• İşten ayrılan çalışanın hesaplarının nasıl kapatıldığı.

• Kurumsal cihazların teslim ve iade kayıtları.

• Gizlilik taahhütleri ve bilgi güvenliği bilgilendirmeleri.

• Çalışanlara verilen farkındalık eğitimlerinin kayıtları.

Bu kontrollerin amacı, sorumlulukların belirli olmasını ve yapılan işlemlerin izlenebilmesini sağlamaktır.

BİGDES Nedir, DDO Denetimiyle Bağlantısı Ne?

BİGDES, Bilgi ve İletişim Güvenliği Uyum ve Denetim İzleme Sistemi’nin kısaltmasıdır. Rehber kapsamındaki kurumların uyum ve denetim faaliyetlerine ilişkin sonuçların iletilmesinde kullanılır.

11 Kasım 2026 tarihinde kontrol edilen sistem duyurusunda, BİGDES’in yenilendiği ve 2027 gözetim dönemi veri giriş takviminin ayrıca açıklanacağı belirtiliyor. Duyuruda kurumların bu sırada denetim çalışmalarına devam edebileceği de ifade ediliyor.

Bu nedenle sistemin geçici olarak erişime kapalı olması, denetim hazırlıklarının durdurulması şeklinde yorumlanmamalıdır. Güncel takvim BİGDES’in resmî sayfasından takip edilebilir.

DDO Denetimi İçin Sınava Girmek Gerekiyor mu?

Kurumsal denetim ile denetçi belgelendirme sınavı farklı süreçlerdir. Bir kurumun denetim kapsamında bulunması, bütün çalışanlarının ortak bir “DDO sınavına” gireceği anlamına gelmez.

Eğitim ve sınav süreçleri, ilgili program kapsamında denetçi veya başdenetçi olarak belgelendirilmek isteyen kişiler açısından gündeme gelir. Başvuru koşulları ve tarihler TSE’nin güncel duyurularından kontrol edilmelidir.

Kurumlar İlk Olarak Nereden Başlamalı?

İlk adım, kurumun rehber kapsamında olup olmadığını netleştirmektir. Ardından sorumlu ekip belirlenmeli, mevcut uygulamalar ilgili tedbirlerle karşılaştırılmalı ve eksikler için takip edilebilir bir çalışma planı oluşturulmalıdır.

Denetim öncesinde yalnızca belge hazırlamak yerine, belgelerde anlatılan süreçlerin günlük çalışmada da uygulanıp uygulanmadığı kontrol edilmelidir. Güncel rehberlere ve açıklamalara Siber Güvenlik Başkanlığının Bilgi ve İletişim Güvenliği sayfasından ulaşılabilir.