1. Giriş: PCI DSS Nedir ve Neden Önemlidir?

• PCI DSS (Payment Card Industry Data Security Standard), ödeme kartı verilerinin güvenliğini sağlamak amacıyla geliştirilen küresel bir güvenlik standardıdır.

• Visa, MasterCard, American Express, Discover ve JCB gibi kart devleri tarafından 2004 yılında oluşturulmuştur.

• Amaç: Kart sahiplerinin verilerini siber saldırılara, dolandırıcılığa ve veri ihlallerine karşı korumak.

• Günümüzde finans kuruluşları, e-ticaret şirketleri, ödeme hizmet sağlayıcıları ve POS altyapısı kullanan tüm kurumlar için zorunlu hale gelmiştir.

---

2. PCI DSS’in Temel İlkeleri

PCI DSS 12 temel gereklilik üzerine kuruludur. Bu gereklilikler 6 ana başlık altında toplanır:

1. Güvenli ağ ve sistemlerin inşası ve sürdürülmesi

   • Güvenlik duvarı ve router yapılandırmaları

   • Varsayılan şifrelerin değiştirilmesi

2. Kart sahibi verilerinin korunması

   • Depolanan kart verilerinin şifrelenmesi

   • Açık ağlarda veri iletiminin güvenceye alınması (TLS, IPSec, VPN)

3. Güvenlik açıklarının yönetimi

   • Anti-virüs ve güvenlik yazılımlarının düzenli güncellenmesi

   • Güvenlik yamalarının hızlı uygulanması

4. Güçlü erişim kontrol önlemleri

   • Yetkilendirme ve kimlik doğrulama süreçleri

   • “Minimum yetki prensibi”

5. Ağların düzenli olarak izlenmesi ve test edilmesi

   • Log yönetimi ve SIEM çözümleri

   • Penetrasyon testleri, zafiyet taramaları

6. Bilgi güvenliği politikası oluşturulması

   • Çalışan farkındalık eğitimleri

   • Sürekli iyileştirme süreçleri

---

3. PCI DSS’in Teknik Gereklilikleri

• Şifreleme: AES-256, RSA gibi güçlü algoritmaların kullanımı.

• Anahtar Yönetimi: Kriptografik anahtarların güvenli şekilde saklanması ve rotasyonu.

• Ağ Segmentasyonu: Kart verisi ortamının (CDE – Cardholder Data Environment) izole edilmesi.

• Loglama: SIEM platformlarında tüm erişim kayıtlarının en az 1 yıl tutulması.

• Test Süreçleri: Penetrasyon testi, zafiyet taraması, risk analizi.

---

4. PCI DSS Uyumluluk Seviyeleri

Şirketlerin uyumluluk gereksinimleri işledikleri yıllık kart işlemi sayısına göre değişir:

• Seviye 1: Yılda 6 milyondan fazla işlem yapan kuruluşlar → Yıllık QSA (Qualified Security Assessor) denetimi gerekir.

• Seviye 2: 1-6 milyon işlem → Yıllık öz değerlendirme (SAQ).

• Seviye 3: 20.000 – 1 milyon işlem → SAQ + tarama raporları.

• Seviye 4: 20.000’den az işlem → Daha basit uyumluluk raporları.

---

5. PCI DSS’in Türkiye ve Dünyadaki Önemi

• Türkiye’de BDDK ve KVKK regülasyonları ile birlikte, PCI DSS özellikle ödeme kuruluşları ve elektronik para şirketleri için kritik bir uyumluluk şartıdır.

• Avrupa Birliği’nde PSD2 (Payment Services Directive 2) ile entegre biçimde ele alınır.

• ABD’de ödeme servis sağlayıcıları için en temel güvenlik standardıdır.

---

6. PCI DSS Uyumluluğunun İşletmelere Sağladığı Avantajlar

• Müşteri güveni: Kullanıcılar ödeme yaparken kendilerini güvende hisseder.

• Finansal kayıpların önlenmesi: Veri ihlali durumunda doğacak cezaların ve zararın engellenmesi.

• Rekabet avantajı: PCI DSS uyumlu şirketler global pazarda daha güvenilir kabul edilir.

• Regülasyon uyumluluğu: Ulusal ve uluslararası denetimlerde kolaylık sağlar.

---

7. PCI DSS Uyumsuzluğunun Riskleri

• Yüksek para cezaları (Visa, Mastercard tarafından uygulanır).

• Kredi kartı işlem yetkisinin iptali.

• Reputasyon kaybı ve müşteri güveninin zedelenmesi.

• Hukuki sorumluluklar (KVKK ve GDPR kapsamında).

---

8. PCI DSS ve Gelecek Trendler

• Tokenization: Kart numaralarının token ile değiştirilmesi.

• 3D Secure 2.0 ile daha güvenli e-ticaret işlemleri.

• Yapay zekâ tabanlı dolandırıcılık önleme sistemleri.

• Bulut tabanlı PCI DSS çözümleri (AWS, Azure, GCP).

• Zero Trust mimarisi ile uyumluluk.

---

9. Sonuç: PCI DSS’in Dijital Finans Ekosistemindeki Rolü

• PCI DSS, sadece bir uyumluluk çerçevesi değil, finansal ekosistemin güvenlik sigortasıdır.

• Kartlı ödeme altyapısına sahip her işletmenin, müşterilerinin güvenini korumak ve global standartlara uyum sağlamak için PCI DSS’e yatırım yapması gerekir.

• İnfranet gibi teknoloji danışmanlığı firmaları, kurumların PCI DSS uyumluluk süreçlerinde risk analizi, denetim ve teknoloji altyapısı danışmanlığı sağlayarak süreci hızlandırabilir.

1) FinTech Nedir, 2025’te Nereye Evrildi?

FinTech artık tek bir ürün kategorisi değil; ödemeler, kredi, sigorta, sermaye piyasaları, kimlik ve güvenlik, veri paylaşımı ve altyapı şemsiyesinde birleşen, API’lerle bağlanan bir finansal yazılım tedarik zinciri. 2025’te tablo net: “software eats finance” ifadesi slogan değil, işletim modeli.

Küresel ölçekte ödemeler gelirleri güçlü kalırken (McKinsey’nin son ödeme raporları bunu yıllardır işaret ediyor), yatırım döngüleri 2022 zirvesinden sonra kaliteye seçici kaydı; 2024–2025’te fintech yatırımlarında bilet büyüklüğü yüksek, gelir modeli oturmuş oyuncular öne çıkıyor.

---

2) Piyasa Dinamikleri: Veriye Dayalı, Regülasyon-İlk, API-Öncelikli

• Dijital kanallar ≠ tek başına büyüme. Artı değer: anlıklık + görünürlük + güven.

• RegTech ve SecTech (PCI DSS 4.0, SCA, ISO 20022) uyum maliyetini düşürürken riskleri ölçülebilir kılıyor. blog.pcisecuritystandards.org+1

• Platformlaşma: Bankacılık-as-a-Service (BaaS) ve gömülü finans dikeyleşerek büyüyor; regülatörler iş ortaklığı risk yönetimini netleştiriyor.

---

3) Ödemeler: Anlık, 7/24, QR ve ISO 20022—Yeni Normal

3.1 Anlık Ödemeler ve Türkiye: FAST + KOLAS

Türkiye Cumhuriyet Merkez Bankası’nın FAST (Fonların Anlık ve Sürekli Transferi) sistemi, 7/24 anlık TL transferlerini ülke ölçeğinde standart hale getirdi. 4 Haziran 2024 duyurusuyla işlem limiti 200.000 TL; işletmelere ve bireylere “true real-time” deneyim sunuluyor. KOLAS sayesinde telefon/e-posta gibi kolay adreslerle IBAN’sız para transferi de mümkün. Bu, perakende ödemelerde kullanım eşiğini düşürerek “nakit yerine anlık ödeme”yi gerçek alternatif yapıyor.

Kurumsal etki: Nakit akışı tahmini iyileşir, mutabakat süreleri kısalır, çalışma sermayesi verimliliği artar. Entegrasyon tarafında PÖS (Perakende Ödeme Sistemi) bağlantıları ve API hatları kritik.

3.2 TR Karekod: QR’da Tek Dil

TR Karekod, QR ödemelerde ulusal tek teknik standart. Kartlı ödemeler ve FAST için ayrı teknik rehberleri var; ISO/IEC 18004 ile uyumlu. Bu sayede işyeri entegrasyonları sadeleşiyor, interoperabilite artıyor. Büyük resim: tek format, çok kabul noktası. TCMB+2TCMB+2

3.3 ISO 20022: Zengin Veri, Daha Az Hata

ISO 20022 geçişiyle ödeme mesajları zenginleştirilmiş remittance/veri alanları kazanıyor. SWIFT CBPR+ için Kasım 2025 dönüm noktası; kurumsal mutabakat ve uyum sistemleriniz için plan-uygulama testlerini 2025 içinde bitirmek kritik.

3.4 Kartlı Ödemeler, TROY ve Güvenlik

Türkiye’nin ulusal kart şeması TROY, yerel ekosistemin dayanıklılığını artırıyor, kabul ağını genişletiyor. Kart ekosisteminde PCI DSS 4.0 uyum takvimi 31 Mart 2025; tarayıcı script kontrolü, MFA ve segmentasyon başlıkları özellikle zorlayıcı. blog.pcisecuritystandards.org

---

4) Açık Bankacılık → Açık Finans

4.1 AB’de PSD3/PSR ve Instant Payments Regülasyonu

AB’de PSD3 (yeni direktif) ve PSR (doğrudan uygulanan tüzük) için 2024 sonlarında siyasi uzlaşı sağlandı; 2025’te teknik metinler ve ikincil düzenlemeler ilerliyor. Paralelde Euro Anlık Ödemeler Tüzüğü IBAN-isim kontrolü gibi güvenlik/kullanışlılık gereksinimlerini zorunlu kılıyor. Sonuç: daha güçlü SCA, sahtekârlıkta ortak standartlar, veri erişiminde harmonizasyon.

4.2 Türkiye’de Çerçeve: Kanun 6493, ÖHVPS, TÖDEB

Türkiye’de 6493 sayılı Kanun ve ikincil düzenlemelerle ödeme hizmetleri ve veri paylaşım servisleri (AIS/PIS) hukuken tanımlı. BDDK’dan TCMB’ye yetki devri 2020’de tamamlandı; TÖDEB ise sektörün kamu tüzel kişiliğine haiz meslek birliği. Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) BKM koordinasyonuyla pratikte işlerlik kazanıyor. HerdemLawTCMBtodeb.org.tr

Kurumsal etki: Banka-dışı oyuncular hesap bilgisi ve ödeme başlatma servisleriyle yeni iş modelleri (finansal yönetim, çek-senet dijitalizasyonu, muhasebe entegrasyonları, gömülü tahsilat) kurabiliyor.

---

5) Dijital Kimlik, KYC/AML ve Uzaktan Müşteri Edinimi

PSD2’nin SCA kuralı (iki bağımsız faktör) artık dünya standardı; FIDO2/WebAuthn ve passkey pratikleri kimlik avına dayanıklı bir yol sunuyor. Türkiye’de bankalar için uzaktan kimlik tespiti 2021’den beri yaygın; ödeme kuruluşları ve e-para kurumlarında da uzaktan edinim ve geliştirilmiş müşteri tanıma metodları MASAK uyumu ile ele alınıyor. CorbadoFIDO Alliance

Teknik not:

• Liveness + NFC e-kimlik okuma + biyometri, mobil onboarding’in “altın üçlüsü”.

• Graph tabanlı AML (ilişki grafı + davranışsal anomaliler) F/UAR ve şüpheli işlem raporlarını zenginleştiriyor.

• Kayıt zinciri (audit trail) ve kanıtlanabilir dinamik bağlama (dynamic linking) kart-dışı SCA senaryolarında denetlenebilirlik sağlar. Keyless

---

6) Kredi, BNPL ve Risk: Veri + Model + Regülasyon Üçgeni

BNPL Avrupa’da Tüketici Kredisi Direktifi (CCD) kapsamına daha sıkı giriyor; tarafların bilgi verme ve uygunluk kontrolleri keskinleşiyor. Türkiye’de taksitlendirme ve mikro-kredi uygulamaları taksit vade sınırları/ürün grupları gibi kurallarla çevrili; iş modeli tasarımında sorumlu fiyatlama ve şeffaflık kritik.

Model katmanı: Alternatif veri, cihaz parmak izi ve işyeri davranışı gibi sinyaller erken temerrüt ve sahte başvuru yakalama oranını artırıyor. Üretken yapay zekâ destekli asistler, manuel inceleme sürelerini kesiyor.

---

7) Sigorta (InsurTech): Anlık Risk, Anlık Fiyatlama

Telematik (IoT), kullanım-bazlı sigorta (UBI) ve gerçek-zamanlı hasar doğrulama ile sigorta ürünleri mikro-poliçe düzeyinde parçalanıyor. Açık finans veri akışları hasar ve fiyatlamada “tek kayıt kaynağı”na yaklaşıyor. (Avrupa’daki PSR/PSD3 trendi bu uyumu hızlandıracak.)

---

8) Sermaye Piyasaları, Blockchain ve Tokenizasyon

8.1 Tokenizasyon

2024’te BlackRock BUIDL gibi örneklerle on-chain fonlar ana akıma girdi; kurumsal saklama ve mevzuat netleştikçe RWA tokenizasyonu (tahvil, para piyasası fonu, mevduat sertifikası) hızlanıyor. İşletim farkı: DVP/PvP uyumu, on-chain mutabakat ve regülasyon-uyumlu KYC/transfer kısıtları.

8.2 CBDC’ler

BIS anketlerine göre merkez bankalarının çok büyük bölümü CBDC araştırıyor; mBridge çok-ülkeli toptan CBDC pilotlarıyla sınır ötesi ödemelerde “anlık-uyumlu” bir gelecek resmediyor. Türkiye’de Dijital Türk Lirası projesi, ulusal kritik kurumlarla pilotlarını sürdürüyor. Mesaj: RTGS + anlık + programlanabilir para kesişiminde yeni iş akışları doğuyor.

---

9) Güvenlik ve Uyum: PCI DSS 4.0, SCA, ISO 20022, CoP

9.1 PCI DSS 4.0—31 Mart 2025 Takvimi

PCI DSS v4.0.1 ile “future-dated” gereksinimlerin 31 Mart 2025’te zorunlu olacağı net. Ödeme sayfası script envanteri/kontrolü, MFA kapsam genişlemesi, targeted risk analysis, PAN koruma yaklaşımları için şimdiden değişiklik yönetimi planı hazırlayın. blog.pcisecuritystandards.org+1

9.2 SCA: Kart Ötesi

PSD2’nin Strong Customer Authentication şartı, kartlı/kartsız tüm dijital ödemeler için yaygın. Passkey/FIDO2 ile phishing-resistant MFA, mobil deneyimde sürtünmeyi azaltırken uyumu koruyor. CorbadoFIDO Alliance

9.3 Instant Payments Regülasyonu ve “Ad-Soyad/IBAN Eşleşmesi”

AB’nin Instant Payments Regulation’ı; IBAN-isim uyuşmazlığı uyarısı gibi kontrolleri zorunlu kılıyor. Kurumsal hesaplarda payee-name check ve ekran üstü açık uyarılar, otomatize edilmiş iç kontrollerle birlikte düşünülmeli.

9.4 Türkiye Özelinde

• Kanun 6493 ve ikincil düzenlemeler: TCMB yetkisi, veri paylaşımı, lisans çerçevesi. HerdemLaw

• TR Karekod Yönetmelik ve teknik kurallar: kartlı ödeme/FAST QR birlikte çalışabilirliği. TCMB+1

• TÖDEB: Üyeler için rehber ve hakem heyeti; sektörel yeknesaklık ve iletişim. todeb.org.trtodeb.org.tr

---

10) Altyapı ve Mimari: “Payments-Grade” Sistem Nasıl Kurulur?

10.1 Çizgimiz: Cloud-Native + Event-Driven + Zero-Trust

• Çok bölgeli (multi-region) aktif-aktif mimari, <100 ms P99 hedefli ödemeler için elzem.

• Event bus (Kafka, Pulsar) ile idempotent ve exactly-once semantiğe yakınlaşın; settlement/ledger katmanında ACID + eventual reconciliation hibritini uygulayın.

• Zero-trust: müşteri-kanalı → API GW → servis mesh (mTLS) → HSM/VAULT hattında anahtar yönetimi (BYOK/HYOK).

• Gözlemlenebilirlik: trace-ID’yi işlem referansı ile eşleyin; SLA/SLO metrikleri uyarılı ve yazılı olsun.

10.2 Entegrasyon: ISO 20022 + ÖHVPS + TR Karekod

• ISO 20022 mapping tablolarını şema-versiyonlamalı yönetin.

• ÖHVPS için gözlem noktaları: erişim token ömrü, SCIM/rol yönetimi, rate-limit ve idempotency-key.

• TR Karekod’da merchant registry ve yönlendirme sistemi (KYS) entegrasyonlarını test ortamında uçtan uca doğrulayın. TCMBarchitecht.com

10.3 Güvenlik Sertifikasyonları

• PCI DSS 4.0 uyum yol haritasını dev-sec-ops boru hattına sabitleyin; tarayıcı script envanteri ve onay mekanizmasını CI/CD’ye bağlayın.

• SCA için WebAuthn/Passkeys + CIBA/decoupled auth senaryolarını paralel kurgulayın. blog.pcisecuritystandards.orgFIDO Alliance

---

11) Yapay Zekâ: Fraud, Risk, Operasyon ve Deneyim

11.1 Sahtekârlık (Fraud) ve Davranışsal Analitik

• GNN/graph modelleri, cihaz-kullanıcı-hesap-işyeri ilişkilerinden organize kalıpları yakalıyor.

• Gerçek zamanlı feature store ile sub-second skorlamada dinamik eşikler.

• GenAI: fraud analistlerine otomatik özet, itiraz/chargeback dosyalarında içerik üretimi. (Visa/Mastercard tarafındaki yeni duyurular ve endüstri raporları bu yönde.)

11.2 Kredi ve Tahsilat

• Explainable AI (SHAP/LIME) ile regülatör-uyumlu karar şeffaflığı.

• Aksiyonlaşabilir öngörü: tahsilata düşmeden “erken itme” (nudging) ve kişiselleştirilmiş ödeme planları.

11.3 Müşteri Deneyimi

• Konuşan asistanlar (LLM) ile “başvuru → sözleşme → aktivasyon” süreci dakikalara iner; hallucination-guardrail ve KMS izolasyonuyla güvenli.

---

12) Türkiye Merceği: Strateji ve Yol Haritası (Infranet perspektifi)

1. Ödeme modernizasyonu (0–6 ay):

• FAST ve TR Karekod kapsaması; KOLAS entegrasyonu.

• Kart tarafında PCI DSS 4.0 zorunlulukları için boşluk analizi (gap assessment). blog.pcisecuritystandards.org

2. Açık bankacılık ürünleşmesi (3–12 ay):

• ÖHVPS (AIS/PIS) üzerinden nakit akışı görünürlüğü, otomatik mutabakat, gömülü tahsilat.

• TÖDEB rehber ve hakem mekanizmalarıyla müşteri deneyimi standartlaştırma. todeb.org.tr

3. Veri ve AI (6–18 ay):

• Fraud/risk feature store, graph altyapı, gerçek zamanlı skorlama.

• Explainability + model risk dokümantasyonu.

4. ISO 20022 + ISO-first mimari (0–12 ay):

• Kasım 2025 kesiti öncesi mesaj haritaları ve regresyon testleri.

5. Uyumluluk seti (hemen):

• SCA güçlendirmesi (passkeys, device binding).

• PCI 4.0’a yol haritası; script inventory, MFA, network segmentation. Corbadoblog.pcisecuritystandards.org

---

13) Sık Sorulanlar (FAQ)

S: FAST ile kartlı ödemeler çakışır mı?
C: Hayır. TR Karekod sayesinde hem kartlı ödeme hem FAST aynı QR ekosisteminde yaşayabilir. İş modeli seçimi (komisyon, settlement hızı) senaryoya bağlı. TCMB

S: PSD3/PSR bizi nasıl etkileyecek?
C: AB ile iş yapanlar için SCA, fraud izleme ve veri paylaşımı standardı daha netleşecek; IBAN-isim kontrolü gibi hızlı ödeme gereksinimleri süreçlerinize girecek.

S: PCI DSS 4.0 için en kritik “action item” nedir?
C: 31 Mart 2025’e hazırlıkta tarayıcı script envanteri/kontrolü ve MFA kapsamı çoğu kurumda ana efor kalemi. blog.pcisecuritystandards.org

S: ISO 20022 bize ne kazandırır?
C: Zengin veri alanları (faturalama, eşleştirme) mutabakatı hızlandırır; AML ve sahtekârlık tespiti için daha bağlamsal bilgi sağlar. Kasım 2025 itibarıyla SWIFT CBPR+ uyumu şart.

S: CBDC ve tokenizasyon yakın vadede gerçek mi?
C: Evet; mBridge ve BUIDL gibi projeler kurumsal düzeyde çalışıyor. Türkiye’de Dijital TL pilotu ilerliyor; kısa vadede toptan ödemeler ve mutabakat alanlarında etkisini göreceğiz.

---

Sonuç: “Finans = Yazılım + Regülasyon + Davranışsal Veri”

2025’in FinTech resmi net: anlık, açık, güvenli.
Türkiye’de FAST/KOLAS/TR Karekod üçlüsü günlük ödemeleri dönüştürüyor; 6493 ve ÖHVPS ile açık bankacılık ürünleşiyor. AB tarafında PSD3/PSR + Instant Payments Regulation, globalde ISO 20022 ve PCI DSS 4.0 uyumu oyunun kural kitabı. Üzerine yapay zekâ eklendiğinde, kazananlar alçak gecikmeli altyapı + sıkı uyum + ölçülebilir müşteri değeri kombinasyonunu kuranlar olacak. blog.pcisecuritystandards.org

Pratik tavsiye:

• 90 gün içinde: PCI 4.0 gap analizi, SCA-passkey pilotu, TR Karekod/FAST uçtan uca test.

• 180 gün içinde: ÖHVPS tabanlı bir nakit görünürlüğü veya gömülü tahsilat MVP’si.

• 12 ay içinde: ISO 20022 tam uyumluluk + graph-tabanlı fraud skorlama.