Avrupa Bankacılık Otoritesi, Revolut, HSBC ve Lloyds gibi finans kuruluşlarının hizmetlerini etkileyen Google Cloud kesintisinin ardından şirketten olayın etkilerine ilişkin bilgi istedi. Milyonlarca müşteriyi etkileyen kesinti, bankaların büyük bulut sağlayıcılarına bağımlılığı ve finansal hizmetlerde operasyonel dayanıklılık tartışmasını yeniden gündeme taşıdı.
20 Ekim’de Google Cloud’un Londra merkezli europe-west2 bölgesinde yaşanan kesinti, bankacılık hizmetlerinin yanı sıra çeşitli kamu ve özel sektör hizmetlerini de etkiledi. Google, sorunun üçüncü taraf bir tesiste yaşanan güç kaynaklı olayla bağlantılı olduğunu açıklarken hizmetler birkaç saat içinde yeniden devreye alındı.
Revolut müşterileri kesinti sırasında kart ödemeleri, para transferleri ve ATM işlemleri dahil bazı hizmetlerde sorun yaşadı. Lloyds ve HSBC kullanıcılarının da bankacılık hizmetlerine erişiminde aksaklıklar bildirildi. Revolut, müşteri verileri ve fonların olay sırasında güvende kaldığını açıkladı.
EBA Google Cloud’dan bilgi istedi
Kesintinin ardından Avrupa Bankacılık Otoritesi Google Cloud ile temasa geçerek olayın Avrupa Birliği’ndeki finans kuruluşları üzerindeki etkisini değerlendirmek amacıyla bilgi talep etti.
Bu adım, olayın sıradan bir teknoloji kesintisinin ötesine geçerek Avrupa’daki finansal düzenleyicilerin doğrudan gündemine girmesine yol açtı.
Reuters’ın aktardığına göre gelişme, Avrupa Birliği’nin kritik teknoloji sağlayıcılarına yönelik yeni gözetim sisteminin önemli uygulama örneklerinden birini oluşturuyor. Google Cloud, finans sektörüne sunduğu hizmetlerin ölçeği nedeniyle DORA kapsamında kritik ICT üçüncü taraf sağlayıcıları arasında yer alıyor.
DORA bulut sağlayıcılarını doğrudan gözetim kapsamına alıyor
Avrupa Birliği’nin Dijital Operasyonel Dayanıklılık Yasası DORA, finans kuruluşlarının bilgi ve iletişim teknolojileri kaynaklı operasyonel risklerini yönetmesine yönelik ortak bir çerçeve oluşturuyor.
Düzenleme aynı zamanda finans sektörünün yoğun biçimde kullandığı kritik teknoloji sağlayıcılarını da Avrupa düzeyinde doğrudan gözetim kapsamına alıyor.
EBA, Avrupa Menkul Kıymetler ve Piyasalar Otoritesi ESMA ve Avrupa Sigorta ve Mesleki Emeklilik Otoritesi EIOPA, kritik teknoloji sağlayıcılarından bilgi isteyebiliyor, inceleme ve yerinde denetim gerçekleştirebiliyor ve gerekli durumlarda tavsiyelerde bulunabiliyor.
Bu yapı, bankanın hizmet aldığı teknoloji şirketinde yaşanan kesintinin artık yalnızca banka ile tedarikçisi arasındaki operasyonel bir sorun olarak ele alınmadığını gösteriyor.
Bulut altyapısındaki yoğunlaşma yeniden gündemde
Bankaların ve fintek şirketlerinin bulut altyapılarına yönelmesi ölçeklenebilirlik, işlem kapasitesi ve yeni ürünlerin daha hızlı geliştirilmesi açısından önemli avantajlar sağlıyor. Ancak aynı teknoloji sağlayıcısının çok sayıda finans kuruluşuna hizmet vermesi, tek bir arızanın birden fazla kurum ve milyonlarca müşteri üzerinde aynı anda etkili olabilmesi riskini beraberinde getiriyor.
20 Ekim’deki kesinti bu riskin somut örneklerinden biri oldu.
EBA’nın son dönemde yayımladığı üçüncü taraf risk yönetimi yaklaşımı da kritik veya önemli fonksiyonları destekleyen teknoloji hizmetlerinde risk değerlendirmesi, sözleşme yönetimi, izleme ve çıkış stratejilerinin finans kuruluşları açısından önemini vurguluyor.
İngiltere tarafında da olay düzenleyici gündeme taşındı. Reuters’a göre İngiltere Parlamentosu Hazine Komitesi, İngiltere Merkez Bankası ve Finansal Davranış Otoritesinden kesintinin etkileri ve olası finansal zararlar konusunda bilgi istedi.
Google Cloud kesintisinin asıl önemi birkaç saatlik hizmet aksamasından çok, finans sektörünün teknoloji altyapısındaki yoğunlaşmayı görünür hale getirmesi. Aynı bulut sağlayıcısının farklı bankaların kritik süreçlerinde yer alması, operasyonel riskin artık kurum bazında ele alınmasının yeterli olmadığını gösteriyor.
DORA’nın kritik teknoloji sağlayıcılarını doğrudan gözetim kapsamına almasının gerekçesi de tam olarak burada ortaya çıkıyor. Önümüzdeki dönemde bankaların bulut stratejilerinde yalnızca maliyet ve performans değil, alternatif altyapı, hizmet sürekliliği ve tedarikçi değiştirebilme kapasitesi de daha fazla önem kazanacak.
