DR Hizmeti, BIA ve Kurtarma Hedefleri

Ön koşul: iş hizmeti zinciri, failure domain, availability, HA, backup, replication, RPO/RTO ve restore assurance kavramlarını açıklayabilmelisin. Bu dersin sonunda “ikinci site” talebini iş sürekliliği içindeki ölçülebilir DR hizmetine çevirecek; BCP, crisis/incident response, HA, backup ve DR sorumluluklarını ayıracak; olay senaryosu ve BIA’dan MTD/MTPD, RTO, RPO ve minimum hizmet hedefi çıkaracak; uygulama ile ortak bağımlılıkları recovery sırasına koyacak; Arven için owner, kanıt, risk, TBD ve yeniden açma koşulu taşıyan DR baseline hazırlayabileceksin. Yaklaşık 30 dakika anlatı/örnek, 18 dakika uygulama ve 10 dakika bilgi kontrolleridir.

Disaster Recovery, ürün veya ikinci lokasyon adı değil; ciddi bir kesinti nedeniyle bir iş hizmeti birincil çalışma yerinde amacını yerine getiremediğinde, onaylanmış hedef ve önceliklerle alternatif çalışma durumuna dönme yeteneğidir. NIST contingency planning yaklaşımı bunu plan, prosedür, teknik önlem, roller, eğitim, test ve yaşam döngüsü olarak ele alır. DR planı, kurumun insan, tesis, tedarik, iletişim ve manuel süreçlerini kapsayan Business Continuity Plan’ın teknik hizmet recovery alt kümesidir. Crisis management insan güvenliği, yönetim otoritesi ve kurum iletişimini; incident response olayın teknik sınırlama, inceleme ve giderimini; DR iş hizmetinin alternatif ortamda geri dönüşünü yönetir. Aynı olay bu planları birlikte tetikleyebilir. Yetki ve handoff açık değilse güvenlik ekibi kanıt korumaya çalışırken DR ekibi sistemi erken açabilir veya iş birimi gerçekte kullanamayacağı hizmeti “geri döndü” sayabilir. HA, beklenen bileşen arızalarında hizmeti mevcut mimari içinde sürdürmeye çalışır. Backup geçmiş bir noktadan data ve ilgili artefact’ları geri getirir. DR; site, region veya geniş hizmet kaybında data yanında uygulama, configuration, identity, key, network, DNS, security, gözlem, personel ve iş kabulünü orkestre eder. Replikasyon DR’nin veri mekanizması olabilir; tek başına declaration, kapasite, dependency sırası veya kullanıcı kabulü üretmez. “Disaster” eşiği kuruluş tarafından tanımlanır. Tek sunucu arızası HA/runbook ile kısa sürede kapanabilir; aynı görünen belirti ortak storage, kimlik veya lokasyon kaybıysa DR gerekebilir. Karar kartı olay kapsamı, tahmini yerel onarım süresi, veri riski, güvenlik durumu, iş etkisi ve alternatif ortam hazırlığını kullanır. Declaration authority, danışılacak roller, zaman sınırı ve geri dönüşsüz adımlar önceden yazılır. DR’ye erken geçmek veri ayrışması ve gereksiz kesinti; geç kalmak MTD ihlali doğurabilir.

Business Impact Analysis, teknoloji envanterini iş önceliğine çevirir. Önce mission/business process ve kullanıcıya değer üreten akış belirlenir; sonra akışın kesilmesi zaman ilerledikçe finansal, operasyonel, yasal, güvenlik ve itibar etkileriyle değerlendirilir. Gelir tahmini tek kanıt değildir. Kaçırılan yasal son tarih, stok hareketinin durması, manuel backlog, veri yeniden işleme, insan güvenliği veya müşteri taahhüdü farklı eşikler yaratabilir. Etki sahibi iş birimidir; IT süre ve mimari fizibiliteyi sınar. MTD veya MTPD, süreç kesintisinin kabul edilemez hâle geldiği üst sınırı ifade eder. Terminoloji kurumda tekleştirilmelidir. RTO bunun tamamı değildir: olay algılama, değerlendirme, declaration, recovery, teknik doğrulama, iş kabulü ve gerekirse manuel backlog’un eritilmesi MTD bütçesine sığmalıdır. RTO, kesintiden tanımlı hizmet durumuna hedef süredir ve MTD’den kısa olmalıdır. RPO, felaket anına göre kabul edilen veri kaybını zamanla ifade eder; veri tutarlılığı, transaction sınırı ve yeniden üretme kapasitesiyle onaylanır. Hedefler tek uygulama etiketiyle değil iş akışı ve senaryo bazında yazılır. ERP sipariş girişi dört saatte minimum moda dönebilirken raporlama ertesi gün açılabilir. Site enerji kaybı, bölgesel network kesintisi, platform control-plane kaybı, ransomware, tedarikçi hizmet kesintisi ve personel erişimsizliği farklı sağlam bileşenler bırakır. Aynı DR yaklaşımı her senaryoda çalışmayabilir. Güvenlik olayında hızlı failover saldırıyı taşıyabilir; fiziksel site kaybında temiz fakat uzak kopya yeterli olabilir. BIA çıktısı kritik süreç, hizmet owner’ı, kabul edilemez etki zamanı, minimum iş seviyesi, manual workaround, backlog/reconciliation, RTO, RPO, veri tutarlılığı, yoğun dönem ve bağımlılık önceliğidir. “Tier 1” ancak bu alanlar ve kurum onayıyla anlam kazanır. Bütün hizmetlere sıfır RTO/RPO vermek kaynakları kritik işlerden uzaklaştırır; hedef maliyet ve karmaşıklığı artırıyorsa iş sahibi trade-off’u görmelidir.

Bir hizmetin recovery sırası CMDB’deki sunucu listesinden çıkarılamaz. İş akışından geriye doğru application/API, database, queue, file/object, compute, storage, network, load balancer, DNS, PKI, identity, key/secrets, time, logging/SIEM, monitoring, licence, external provider ve personel bağımlılıkları eşlenir. Her bağımlılık için recovery owner’ı, hedefi, alternatif yolu, configuration/data kaynağı ve kabul kanıtı yazılır. Ortak hizmetin kendisi de başka bağımlılıklara dayanabilir. Dependency haritası direction ve state taşır. Uygulama kimliğe çağrı yapar; database yazma kaynağıdır; DNS yönlendirme yapar; key service şifreli veriyi açar. “Bağlı” etiketi başlangıç sırasını söylemez. Identity’nin tamamı gelmeden break-glass ile belirli admin işlemleri yapılabilir mi? DNS açılmadan host doğrulaması nasıl yürür? Replication hangi yönde yazmaya izin verir? External payment provider DR endpoint’ini allowlist’e aldı mı? Bu sorular recovery wave ve stop/go kapılarını oluşturur. Minimum viable business service, production’ın bütün fonksiyonlarının kopyası olmak zorunda değildir. İlk dalga güvenli yönetim, identity/key, network/DNS ve observability’yi; sonraki dalga kritik data ve application’ı; daha sonra entegrasyon, kullanıcı grubu ve ertelenebilir fonksiyonları açabilir. Ancak azaltılmış kapasite ve fonksiyon iş sahibi tarafından önceden kabul edilmelidir. Tek bir ortak dependency birden fazla hizmetin RTO’sunu aynı anda tüketebilir; sıra portföy düzeyinde yönetilir. Zaman bütçesi parçalara ayrılır: detection, assessment, declaration, access/bootstrap, infrastructure, data convergence/restore, application start, technical validation, security validation, business acceptance ve traffic shift. Adımlar paralel yürüyebiliyorsa gerekli roller ve kaynak çekişmesi belirtilir. Her süre tahmin değil son test veya ölçümle izlenir. Eksik dependency, owner ya da kabul adımı UNKNOWN/TBD kalır; sıfır dakika varsayılmaz.

Arven yönetimi İstanbul ve Ankara’da iki veri merkezi bulunduğu için sipariş portalı ile ERP’nin “DR hazır” olduğunu düşünür. Altyapı ekibi VM replication’ın çalıştığını, uygulama ekibi geçen yıl Ankara’da üç VM açtığını, iş birimi ise kesintide çağrı merkezinin siparişleri Excel’e yazacağını söyler. Fakat hangi olayın declaration olduğu, İstanbul’daki ortak identity/DNS/key bağımlılıkları, Ankara kapasitesi, son tutarlı transaction, başlatma sırası ve Excel backlog’unun nasıl uzlaştırılacağı kayıtlı değildir. Pre-Sales önce üç senaryoyu ayırır: İstanbul lokasyonunun fiziksel kaybı; bölgeler arası WAN/control bağlantısının kesilmesi; privileged hesap kaynaklı ransomware. Fiziksel kayıpta Ankara sağlam olabilir; WAN ayrışmasında split-brain ve iki yazma riski vardır; cyber olayında replike point ve ortak identity güvenilmez olabilir. Her senaryo için sağlam kalan bileşen, containment koşulu, declaration eşiği, veri noktası ve alternatif çalışma yolu ayrı yazılır. BIA, sipariş almayı minimum hizmet seçer. İş sahibi iki saat sonunda müşteri kaybının hızlandığını, altı saat sonra manuel kapasitenin aşıldığını belirtir. Teknik ekip detection ve declaration için 30 dakika; güvenli temel servisler için 45 dakika; data convergence ve consistency için 60 dakika; uygulama/iş kabulü için 45 dakika bütçeler. Toplam hedef üç saattir ve altı saatlik MTD içinde backlog/reconciliation payı bırakır. Bu süreler henüz test edilmediği için hedef, garanti değildir. Baseline mevcut ve hedef sonuç arasındaki boşluğu kaydeder. KNOWN: iki lokasyon, bazı VM replikasyonu ve backup vardır. ASSUMED: Ankara compute/network kapasitesi ile external bağlantılar yeterlidir. UNKNOWN: identity/key bootstrap, replication lag ve data consistency. TBD: declaration matrix, minimum-service kabulü, dependency owner’ları, test point’i ve manual backlog uzlaştırmasıdır. Sonraki ders seçenekleri bu kanıta göre topolojiye dönüştürecektir.