Bankacılıkta Yapay Zeka (AI) Sistemlerinin Güvenlik Denetimi ve Yönetişimi Eğitimi
Bankacılıkta Yapay Zeka (AI) Sistemlerinin Güvenlik Denetimi ve Yönetişimi Eğitimi
Eğitim Hakkında
Eğitimimiz, bankacılık sektöründe kullanılan yapay zeka sistemlerinin güvenlik, risk, yönetişim ve denetim süreçlerine odaklanmaktadır. Katılımcılar; kurum içinde geliştirilen, dış hizmet olarak alınan veya kurumsal uygulamalara gömülü yapay zeka çözümlerinin risklerini değerlendirmeyi ve kontrol etkinliğini kanıt temelli olarak denetlemeyi öğrenecektir. Üretken yapay zeka, agent ve RAG mimarileri, klasik makine öğrenmesi modelleri ve AI destekli geliştirme araçları; kontrol testleri, bulgu yönetimi ve sürekli güvence yaklaşımlarıyla birlikte uygulamalı çalışmalarla ele alınacaktır.
Ön Koşul
Temel seviye bilgi güvenliği ve BT denetimi bilgisi gerekmektedir.
Eğitim İçeriği
- Bankacılıkta AI kullanımının düzenleyici, operasyonel ve davranışsal riskleri
- BDDK bilgi sistemleri ve dış hizmet alımı çerçevesi; KVKK kapsamında yurt dışına veri aktarımı, veri minimizasyonu ve veri güvenliği; uygulanabilirlik incelemesi
- PCI DSS kapsamının kart verisi senaryolarına etkisi; EU AI Act Madde 4 (AI okuryazarlığı) ve Ek III kapsamındaki kredi değerlendirme örneklerinin hangi koşullarda geçerli olduğu
- Müşteri zararına yol açabilecek hatalı finansal çıktılar, insan gözetimi (human oversight), risk iştahı (risk appetite) ve hesap verebilirlik
- Temel kontrol soruları: Veri nerede işleniyor? Kim onaylıyor? Otomatik kararın etkisi nedir?
- Uygulama: Sentetik kullanım senaryoları (müşteri destek asistanı / kredi skorlama) üzerinden veri akışı, onay sahibi ve olası müşteri etkisinin belirlenmesi; kontrol sorularının oluşturulması ve risk–gerekçe eşlemesinin yapılması
- AI sistem bileşenlerinin ve güven sınırlarının (trust boundary) görünür kılınması
- LLM, RAG, vektör veritabanı, ince ayar (fine-tuning), agent, MCP, API gateway ve üçüncü taraf model entegrasyonları
- AI saldırı yüzeyi: prompt injection, bilgi sızıntısı, güvensiz çıktı işleme, RAG yetkilendirmesi, veri zehirleme (data poisoning), sınırsız kaynak tüketimi, araçların kötüye kullanımı ve AI tedarik zinciri
- Klasik makine öğrenmesi: özellik ve veri hatları (feature/data pipeline), eğitim ile canlı ortam arasındaki veri tutarsızlığı (training-serving skew), dolandırıcılık tespiti ve kredi skorlamada model riskleri
- OWASP LLM ve Agentic referansları, MITRE ATLAS; tehdit yollarının kontrol ve kanıtlarla eşlenmesi
- Uygulama: Örnek bir bankacılık RAG asistanı mimarisi üzerinde güven sınırlarının ve saldırı yüzeylerinin işaretlenmesi; her birinin önleyici veya tespit edici bir kontrolle eşlenerek açıklamalı saldırı yüzeyi haritasının hazırlanması
- Risk bazlı AI kontrol envanteri ve yönetişim yaklaşımının oluşturulması
- NIST AI RMF (Govern–Map–Measure–Manage) ve GenAI Profili; ISO/IEC 42001, ISO/IEC 23894 ve ISO/IEC 27001 ile kontrol eşlemesi
- IIA Küresel İç Denetim Standartları, COBIT ve CSA AI Controls Matrix: kullanım amaçları, kapsam ve sınırlar
- AI kullanım senaryosu ve model envanteri, risk sınıflandırması (risk tiering), kontrol sahipliği, RACI ve istisna yönetimi
- Klasik makine öğrenmesi için model doğrulama, adillik (fairness), açıklanabilirlik ve model kayması (drift) gözetimi; model riski birimiyle sorumluluk sınırları
- Gölge AI (Shadow AI) keşfinin envanter süreciyle ilişkisi; yönetişim standardı, güvenlik kıyaslama ölçütü (security benchmark) ve temel yapılandırma (configuration baseline) ayrımı
- Uygulama: Örnek bir AI kullanım envanterindeki senaryoların risk sınıfının ve kontrol sahipliğinin gerekçelendirilmesi; risk–kontrol–sahip–kanıt matrisinin hazırlanması
- Denetim çalışmalarında kullanılacak temel metodoloji ve kavramlar
- Denetim kapsamı, kriter, risk ve kontrol amacı; ikinci savunma hattının kontrol gözetimi ile üçüncü savunma hattının bağımsız denetimi arasındaki ayrım
- Süreç izleme (walkthrough), kontrol tasarım etkinliği ve işletim etkinliği
- Örneklem seçimi (rastgele / risk bazlı), sapma kaydı ve kanıt yeterliliği
- Denetim çalışma kâğıdı: kriter → prosedür → örneklem → kanıt → sonuç → gözden geçiren onayı
- Uygulama: Örnek bir değişiklik talebi üzerinden süreç izleme, kriter, örneklem/kanıt ve sonuç alanlarının doldurulması; örnek çalışma kâğıdı ve kanıt talebinin hazırlanması
- AI destekli geliştirme sürecinin denetlenebilir kontrol noktaları
- AI tarafından üretilen kodda halüsinasyon, eksik kimlik doğrulama ve yetkilendirme, injection açıkları, güvensiz şifreleme, gizli bilgi (secrets) sızıntısı ile bağımlılık ve lisans riskleri
- SAST, DAST, SCA, gizli bilgi taraması, SBOM, container ve IaC taraması; akran incelemesi (peer review) ve kod sahibinin sorumluluğu
- AI kullanım uygunluğu, PR izlenebilirliği ve güvenli SDLC kontrol kapıları; saldırı amaçlı AI kullanımı (Offensive AI), oltalama (phishing) ve keşif riskleri hakkında farkındalık
- Riskli bir ödeme API’si örneğinde yayına alma kararı (go/no-go) ve inceleme kanıtları
- Uygulama: AI desteğiyle geliştirilmiş örnek bir ödeme API’si değişikliğinde (pull request) güvenlik kontrollerinin ve eksik inceleme kanıtlarının aranması; yayın inceleme kontrol listesi ve gerekçeli go/no-go önerisinin hazırlanması
- AI girdi/çıktı akışındaki hassas veri kontrollerinin test edilmesi
- Kişisel veriler (PII), kart verileri (PAN/CVV), müşteri kayıtları, banka sırları ve API kimlik bilgileri için veri sınıflandırma
- Maskeleme, takma adlandırma (pseudonymization), anonimleştirme, sentetik veri ve yeniden tanımlama riski
- Girdi/çıktı DLP kontrolleri, politika kararları (izin verme / engelleme / üst kademeye aktarma), gizli prompt ve araç yanıtı güvenliği
- Prompt injection ve çıktı sızıntısı senaryolarının girdi/çıktı kontrol testlerine bağlanması
- Uygulama: Sentetik test kayıtları ve negatif senaryolar üzerinde maskelenmiş/maskelenmemiş girdi-çıktı çiftlerinin incelenmesi; sınıflandırma, veri sızıntısı, hatalı negatif (false negative) ve sapma kontrolleriyle beklenen/gerçekleşen maskeleme matrisinin hazırlanması
- Model, prompt ve agent yapılandırma değişikliklerinin denetlenmesi
- Model kaydı (model registry) ve kaynak izlenebilirliği (provenance), prompt şablonu, koruma bariyerleri (guardrail), çıkarım parametreleri (temperature/top-p), araç izinleri ve MCP sunucu yapılandırması
- Ortam ayrımı, gizli bilgi yönetimi, en az yetki ilkesi, izin listesi (allowlist) ve insan onayı eşikleri
- Değişiklik kaydı, temel yapılandırma (baseline), onay, test sonucu, yayına alma ve geri alma (rollback) kanıtları
- Uygulama: Sentetik değişiklik kayıtlarından risk bazlı örneklem seçilmesi; onay zamanı, prompt/model sürümü ve yetki farklarının doğrulanması; tasarım/işleyiş testi, kanıt referansları ve varsa yapılandırma sapması (configuration drift) bulgusunu içeren çalışma kâğıdının hazırlanması
- Kişisel veri kapsamını genişletmeden güvenlik olaylarının izlenebilir kılınması
- Denetim kaydı (audit log) alanları: işlemi yapan, eylem, korelasyon kimliği (correlation ID), model/araç sürümü, yetkilendirme kararı ve sonuç
- Prompt ve çıktıların saklanmasında KVKK, veri minimizasyonu, saklama süresi ve adli kanıt (forensic evidence) gereksinimleri arasındaki denge; hassas verinin maskelenmesi (redaction) ve yetkili erişim
- SIEM/SOAR, alarm eşikleri, olay müdahalesi ve kimlik bilgilerinin iptali; model kayması sinyalinin güvenlik olayından ayırt edilmesi
- Gölge AI keşfi için CASB, proxy, DLP ve dış trafik (egress) telemetrisinden örnekler; tespit edilen kullanımların envantere bildirilmesi
- Uygulama: Sentetik log kayıtlarından seçilen olaylar üzerinde korelasyon kimliği, hassas veri maskeleme, kullanıcı/eylem ve saklama süresi bilgilerinin doğrulanması; veri minimizasyonu ilkesi gözetilerek loglama kanıt kontrol listesi ve kısa bir bulgunun hazırlanması
- Veri güvenliği, yapılandırma yönetimi ve loglama kontrollerinin denetim çalışma kâğıdına dönüştürülmesi
- Tasarım etkinliği ile işletim etkinliği ayrımının ortak değerlendirmesi
- Sapma ve bulgu taslağının çalışma kâğıdına aktarılması
- Uygulama: Modül 6, 7 veya 8’deki kanıt paketlerinden biri seçilerek tek bir kontrol için amaç, prosedür, örneklem, kanıt ve sonuç alanlarının doldurulması; tamamlanan çalışma kâğıdının akran incelemesiyle değerlendirilmesi
- AI güvenlik testlerinin objektif kapsam ve metriklerle değerlendirilmesi
- Kıyaslama (benchmark) türleri: yönetişim olgunluğu kıyası, temel yapılandırma kıyası ve saldırı odaklı (adversarial) test ve değerlendirme ölçümü
- OWASP LLM Top 10, OWASP Agentic Top 10 ve MITRE ATLAS ile test kapsamının eşlenmesi
- Saldırı başarı oranı, test kapsamı, tekrarlanabilirlik, hatalı pozitif/negatif sonuçlar ve kabul eşikleri
- Kredi skorlama mini vakası: adillik ve açıklanabilirlik, veri kayması ve bağımsız model doğrulama kanıtları; GenAI güvenlik testleriyle farkları
- Uygulama: promptfoo ile hazırlanmış örnek test senaryosunun ve raporunun incelenmesi; sentetik test vakaları için beklenen/gerçekleşen sonuç, başarısızlık tanımı ve kanıtların yorumlanması; hatalı pozitif/negatif sonuçların tartışıldığı ve yeniden test önerisi içeren kısa değerlendirme çalışma kâğıdının hazırlanması
- Kurulum modeline göre kanıt ve veri işleme sorumluluklarının değerlendirilmesi
- Kurum içi (on-prem), özel bulut, yönetilen model API’si ve SaaS uygulamalarına gömülü AI (ör. M365 Copilot, CRM) mimarilerinin risk karşılaştırması
- BDDK bilgi sistemleri, dış hizmet alımı ve veri yerleşimi düzenlemeleri; KVKK kapsamında yurt dışına veri aktarımı değerlendirmesinde güncel hükümler ve somut veri akışının teyidi
- Üçüncü tarafın veri kullanımı, saklama süresi, verilerin model eğitiminde kullanılmaması (training opt-out), alt işleyiciler, veri konumu, olay bildirimi ve çıkış stratejisi
- SOC 2 ve ISO sertifika ve raporlarının kapsam, geçerlilik ve istisnalar açısından okunması; sözleşmesel kontroller ve paylaşılan sorumluluk modeli
- Sağlayıcının güvenlik beyanlarının doküman, sözleşme ve yapılandırma kanıtlarıyla doğrulanması; kapsamı belirsiz veya eksik kanıtlar için ek talep oluşturulması
- Uygulama: Sentetik bir tedarikçi kanıt paketi üzerinden kanıt talep listesi hazırlanması; güvenlik anketi, veri işleme koşulları, mimari/veri akışı ve API yapılandırması arasındaki beyan–kanıt tutarlılığının değerlendirilmesi; tedarikçi kanıt değerlendirme kontrol listesi, paylaşılan sorumluluk değerlendirmesi ve örnek denetim bulgularının oluşturulması
- Kontrol sapmalarının izlenebilir iyileştirmelere dönüştürülmesi
- Bulgu yaşam döngüsü, önem derecesi, kök neden, kontrol sahibi, hedef tarih, artık risk ve telafi edici kontroller
- Yeniden test ve kapanış kanıtları; değişikliğe bağlı regresyon testi tetikleyicileri
- Performans ve risk göstergeleri (KPI/KRI): açık bulgular, gecikmeler, test kapsamı, politika sapması ve süresi geçmiş istisnalar
- Kontrol noktalarının ayrımı: kişi düzeyinde farkındalık, proje başlangıcı (onboarding), SDLC, model/prompt yayını ve çalışma zamanı (runtime) kontrolleri
- Uygulama: Önceki modüllerden elde edilen örnek bir bulgu üzerinden sorumlu, kök neden, hedef tarih, telafi edici kontrol ve yeniden test/kapanış kanıtının belirlenmesi; iyileştirme takip tablosunun doldurulması
- Denetim yaklaşımının bütünüyle, kapsamı belirlenmiş bir vaka üzerinde uygulanması
- Sentetik bankacılık RAG asistanı kanıt paketi: mimari, iki farklı kurulum modelinin özeti, erişim kontrolü (retrieval ACL) kanıtları, promptfoo raporu, yapılandırma farkları ve maskelenmiş log örnekleri
- Çalışma kâğıdı, kanıt yeterliliği, risk derecelendirme, iyileştirme/yeniden test ve yayına alma kararı; Modül 11’de belirlenen tedarikçi kanıt boşluklarının sistem geneli riske ve canlıya geçiş kararına etkisi
- Kredi skorlama ve SaaS AI senaryolarının kısa karşılaştırmalı vaka olarak değerlendirilmesi
- Uygulama: Gruplar halinde kontrol ve test kanıtlarının değerlendirilmesi; bulguların, iyileştirme/yeniden test adımlarının ve yayına alma kararının belirlenmesi; bir sayfalık AI güvenlik değerlendirmesi (AI Security Assessment) özetinin sunulması
Kazanımlar
- Yapay zeka sistemlerine özgü güvenlik risklerini ve saldırı yüzeylerini analiz edebileceksiniz.
- Bankacılık sektöründe kullanılan AI çözümlerinin kontrol ve yönetişim gereksinimlerini değerlendirebileceksiniz.
- BDDK, KVKK ve ilgili standartlar çerçevesinde yapay zeka kullanımına yönelik kontrol ihtiyaçlarını yorumlayabileceksiniz.
- AI güvenlik kontrollerinin tasarım ve işletim etkinliğini inceleyebileceksiniz.
- Kanıt toplama, örnekleme ve kontrol test süreçlerini uygulayabileceksiniz.
- AI mimarilerinde tehdit modelleme ve risk değerlendirmesi yapabileceksiniz.
- Yapay zeka sistemlerinde veri güvenliği, erişim yönetimi ve loglama kontrollerini değerlendirebileceksiniz.
- Üçüncü taraf ve kurum içi AI çözümlerinin güvenlik sorumluluklarını karşılaştırabileceksiniz.
- AI güvenlik test sonuçlarını değerlendirerek denetim bulguları oluşturabileceksiniz.
- AI güvenlik değerlendirmesi (AI Security Assessment) raporu ve iyileştirme planları hazırlayabileceksiniz.
Hedef Kitle
- Bankacılık sektöründe güvenlik ve uyum alanında çalışan profesyoneller
- Yapay zeka risk yönetimi süreçlerinde görev alan çalışanlar
- Uygulama güvenliği (Application Security) ekipleri
- Yapay zeka yönetişimi (AI Governance) ve BT yönetişim ekipleri
- Bilgi güvenliği uzmanları
- BT risk uzmanları
- İç kontrol uzmanları
- İç denetim profesyonelleri
- Siber güvenlik yöneticileri
Sertifika
Eğitimlerimize %80 oranında katılım gösterilmesi ve eğitim müfredatına göre uygulanacak sınav/projelerin başarıyla tamamlanması durumunda, eğitimin sonunda dijital ve QR kod destekli “BT Akademi Başarı Sertifikası” verilmektedir.
İlgili Kurslar
SEKTÖRÜN GÜVENDİĞİ ÇÖZÜM ORTAĞI
BT Akademi'yi tercih eden 4.000'den fazla kurum yanılmıyor.
