Felaket Kurtarma Planı: Kritik Sistemleri Koruma Rehberi

Felaket Kurtarma Planı Nedir ve Neden Vazgeçilmez?

Klasik yedekleme stratejilerinden farkı, DRP'nin kurtarma senaryolarını, rolleri, iletişim kanallarını ve test protokollerini detaylandırmasıdır. Yalnızca "verim yedekte" demek yeterli değil; kimin, ne zaman, hangi adımları atacağını bilmesi gerekir. İnvekor olarak müşterilerimizde sık karşılaştığımız sorun, planın çekmecelerde kalmış eski bir PDF olması ve gerçek krizde kimsenin o dokümana erişememesidir.

ISO 22301 standardı ve KVKK'nın 12. maddesi, kişisel veri işleyen kurumlardan iş sürekliliği ve felaket kurtarma tedbirleri talep ediyor. Denetim süreçlerinde DRP eksikliği ciddi yaptırımlara yol açabiliyor. Ayrıca sigorta poliçeleri bile artık test edilmiş bir DRP belgesi talep edebiliyor.

RTO ve RPO: Kurtarma Hedeflerinizi Tanımlayın

Recovery Time Objective (RTO), bir sistemin maksimum ne kadar süre çevrimdışı kalabileceğini; Recovery Point Objective (RPO) ise kabul edilebilir maksimum veri kaybı süresini ifade eder. Örneğin RTO=4 saat, RPO=1 saat demek, sistemin 4 saat içinde ayağa kalkması ve en fazla son 1 saatlik verinin kaybolmasının tolere edilebileceği anlamına gelir.

RTO/RPO değerlerini belirlerken her sistem için ayrı analiz yapın. ERP ile kurumsal web sitesi aynı kritiklikte olmayabilir. Bulut altyapısı çözümleri, hibrit yedekleme ve anlık replikasyon sayesinde RPO'yu dakikalara düşürebilir, ancak maliyet dengesi kurmak önemli.

Başarılı Bir DRP'nin Temel Bileşenleri

Deneyimlerimizde işleyen bir felaket kurtarma planı şu unsurları içerir: risk analizi, sistem envanteri, yedekleme politikası, alternatif site tanımı (sıcak/soğuk), roller ve sorumluluklar, iletişim matrisi, kurtarma adımları (runbook), test takvimi. Eksik bir bileşen tüm planı işlevsiz hale getirebilir.

• Risk Analizi ve BIA (Business Impact Analysis): Hangi sistemin ne kadar kesintiye dayanabileceğini, finansal/operasyonel etkisini belirleyin.
• Yedekleme Stratejisi: 3-2-1 kuralı (3 kopya, 2 farklı ortam, 1 offsite). Veri yedekleme ve kurtarma çözümlerimizde immutable backup kullanarak fidye yazılımlarına karşı koruma sağlıyoruz.
• Alternatif Siteler: Sıcak site (hot site) anlık aktif, soğuk site (cold site) donanım mevcut ama pasif, sıcak site daha pahalı ama RTO'yu minimize eder.
• Runbook (Çalışma Kılavuzu): Her adım numaralandırılmış, ekran görüntülü, hangi komutun çalıştırılacağı yazılı prosedür. Panik anında insanlar uzun metinleri okumaz.

DRP ile BCP Arasındaki Fark

Sahada gördüğümüz kadarıyla DRP ve BCP birbirini tamamlar; DRP, BCP'nin IT bileşenidir. Örneğin 2023 Kahramanmaraş depremi sonrası müşterilerimizden biri, DRP sayesinde sistemleri 6 saatte devreye aldı ancak BCP eksikliği nedeniyle personel ulaşım sorunu yaşadı ve operasyon 3 gün gecikti. Danışmanlık hizmetlerimizde her iki planı da entegre olarak tasarlıyoruz.

Adım Adım Felaket Kurtarma Planı Nasıl Hazırlanır?

1. Risk ve Etki Analizi – Olası felaket senaryolarını listeleyin (deprem, yangın, siber saldırı, elektrik kesintisi). Her birinin olasılık ve etkisini skorlayın.
2. Kritik Varlıkları Belirleyin – Sistem envanteri çıkarın, her sistem için RTO/RPO tanımlayın. Hangi uygulamalar olmadan iş durur?
3. Yedekleme ve Replikasyon Mimarisi – Hangi verilerin nereye, ne sıklıkla yedekleneceğini, offsite konumu, şifreleme yöntemini belirleyin.
4. Rolleri ve İletişim Planını Yazın – Kriz lideri, teknik ekip, iletişim sorumlusu, karar verici roller tanımlayın. 7/24 ulaşılabilecek iletişim listesi (telefon, e-posta, alternatif kanal).
5. Runbook Oluşturun – Her senaryo için detaylı kurtarma adımlarını yazın. Komutları, erişim bilgilerini (güvenli ortamda), beklenen süreleri ekleyin.
6. Test Edin ve Güncelleyin – Yılda en az 2 kez tam simülasyon, çeyrek dönemlik masaüstü egzersizi. Her testten sonra planı revize edin.

Hazırlık sürecinde siber güvenlik ekibiyle koordinasyon çok kritik; fidye yazılımı senaryoları için immutable backup, izole ağ segmentleri ve incident response entegrasyonu şart.

Test, Test, Test: Planınızı Canlı Tutun

En detaylı plan bile test edilmezse kriz anında başarısız olur. İnvekor olarak müşterilerimize üç seviyeli test stratejisi öneriyoruz: masaüstü egzersizi (tabletop), kısmi kesinti simülasyonu, tam felaket senaryosu.

Masaüstü egzersizi, ekiplerin toplantı odasında senaryoyu adım adım konuşmasıdır; maliyetsiz ve hızlıdır. Kısmi simülasyonda örneğin canlı olmayan bir ortamda sunucu düşürülür, ekip gerçek adımları uygular. Tam senaryo ise planlı kesinti yaratarak (genelde hafta sonu) tüm kurtarma sürecini uçtan uca test eder. Deneyimlerimizde tam senaryo testleri, dokümantasyondaki eksikliklerin %80'ini ortaya çıkarır.

Her test sonrası "lessons learned" toplantısı yapın, planı güncelleyin. Sistem değişiklikleri (yeni uygulama, altyapı yükseltmesi) sonrası DRP revizyonu zorunludur.

Felaket Kurtarma Planı Maliyeti ve Yatırım Getirisi

DRP bütçesi, tolere edilen kesinti süresine ve veri kaybına bağlıdır. Sıcak site ve senkron replikasyon pahalıdır; soğuk site ve günlük yedekleme daha ekonomiktir ama RTO uzar. Deneyimlerimizde orta ölçekli bir kurumun (50-100 sunucu) DRP kurulum maliyeti 200-500 bin TL, yıllık işletme maliyeti 50-100 bin TL bandındadır.

Yatırım getirisini (ROI) hesaplarken kaçınılan kesinti maliyetini dikkate alın. Bir e-ticaret sitesi saatlik 500 bin TL gelir kaybediyorsa, 4 saatlik kesinti 2 milyon TL demektir. Bu perspektifle DRP yatırımı kendini ilk ciddi kesintide amorti eder. Ayrıca bulut tabanlı DRaaS (Disaster Recovery as a Service) modelleri, CAPEX yerine OPEX yapısı sunarak başlangıç maliyetini düşürüyor.

İnvekor olarak hibrit modeller öneriyoruz: kritik sistemler sıcak sitede, diğerleri soğuk sitede. Böylece maliyet optimize edilirken iş sürekliliği korunuyor.

Sıkça Sorulan Sorular (SSS)

Sonuç: Felaket Kurtarma Planı İş Sürekliliğinin Temelidir

Felaket kurtarma planı, "olursa bir şey" için değil, "ne zaman olacak" sorusuna hazırlıktır. Deneyimlerimizde DRP'si olan kurumlar, kriz anında sakin, organize ve minimum kayıpla toparlanıyor; olmayanlar ise günler süren kaos ve telafisi zor itibar kayıpları yaşıyor. RTO/RPO metriklerinizi belirleyin, yedekleme altyapınızı güçlendirin, roller tanımlayın ve en önemlisi düzenli test edin. ISO 22301 ve KVKK uyumluluğu artık opsiyonel değil; yasal gereklilik ve iş ahlakı meselesi. İnvekor olarak DRP hazırlama, test ve iyileştirme süreçlerinizde yanınızdayız; iş sürekliliğinizi birlikte güvence altına alalım.