DR Testi, Sizing, Operasyon ve Karar

Ön koşul: BIA, MTD/RTO/RPO, recovery topolojisi, declaration, recovery dalgaları, fencing, acceptance, reconciliation ve failback’i açıklayabilmelisin. Bu dersin sonunda masa başından tam kesintiye kadar risk kontrollü DR tatbikat programı kuracak; workload, dependency, portföy ve adverse durum için kapasite zarfı hesaplayacak; RACI, runbook, kanıt, lifecycle ve TCO ile DR hizmetini işletecek; Arven seçeneklerini zorunlu kapılarla eleyip koşullu öneri, risk/TBD, handover ve yeniden açma eşikleriyle savunacaksın.

DR testi yıllık olarak VM açmak değildir. Tatbikat merdiveni düşük riskli ve sık kontrollerden başlayıp daha geniş belirsizliği sınar: plan/tabletop; iletişim ve authority walk-through; dependency ve runbook dry-run; bileşen recovery; izole hizmet recovery; kontrollü failover; site/region kesintisi; cyber recovery ve failback. Her seviye bir öncekinin yerini almaz. Tabletop rol ve karar açığını bulur, fakat gerçek DNS cache, replication backlog veya throughput’u ölçmez. Test kartı senaryo, kapsam, production etkisi, assumptions, inject’ler, başlangıç-bitiş saati, hedef RTO/RPO, katılımcı ve gözlemci, güvenlik sınırı, stop condition, rollback, teknik/security/iş kabulü ve kanıt yerini içerir. Beklenmeyen sonuç “tatbikatı bozdu” diye gizlenmez. Controller güvenliği korur; evaluator davranışı ve zamanı kaydeder; ekip runbook’u uygular. Önceden bildirilen happy-path kadar personel yokluğu, yanlış alarm, network partition, gecikmiş tedarikçi ve bozuk recovery point gibi inject’ler kullanılır. Başarı yalnız hedefe ulaşmak değildir. Gerçek declaration süresi, her dalganın başlangıç-bitişi, manual step, otomasyon sapması, recovery point, veri kaybı, capacity saturation, iş kabulü ve reconciliation eforu ölçülür. RTO veya RPO geçilirse hangi varsayımın kırıldığı yazılır. Bulgular severity, owner, tarih, geçici risk azaltma ve aynı koşulla retest ölçüsü kazanır. Kanıtsız “düzeltildi” kapanış değildir. Program risk tabanlıdır. Kritik hizmet, büyük değişiklik, yeni site/provider, identity/key dönüşümü, önemli runbook değişikliği, personel devri veya başarısız test takvim dışı tatbikat tetikler. Aynı ekip ve aynı saatle sürekli prova yapmak yanlış güven verir. Handover sonrası bağımsız kişinin runbook’u çalıştırması, gerçek operasyonel aktarımı sınar.

DR sizing normal production toplamını ikinci siteye kopyalamaz. Önce minimum iş hizmeti, recovery dalgaları, eşzamanlı workload sayısı ve her dalgadaki CPU/RAM, storage capacity/IOPS/throughput, database connection, queue, network, DNS/key/identity, load balancer, log/SIEM ve dış quota talebi çıkarılır. RTO kısa ise provisioning, restore, scale-out ve validation için gereken geçici kaynaklar steady-state kapasiteye eklenir. Base zarf planlanan minimum hizmet ve ölçülmüş tepe yükü taşır. Adverse zarf olay anındaki daha zor fakat makul birleşimleri sınar: ay sonu tepe, replication backlog, backup restore, log replay, güvenlik taraması, bir node/AZ/network yolu kaybı, birden çok hizmetin aynı DR havuzuna gelişi ve personel kısıtı. “Bir arıza daha olmaz” varsayımı iş tarafından açıkça kabul edilmedikçe tek hata sonrası headroom gösterilir. Data hareketi ayrı zaman bütçesidir. Steady replication bandwidth’i failover anındaki catch-up, reseed, restore, image/config dağıtımı, kullanıcı trafiği ve logging ile aynı hat üzerinde yarışabilir. RPO lag byte kadar transaction zamanı ile ölçülür. Failback’te reverse replication ve yeni production yükü birlikte değerlendirilir. Compression/dedup, cache hit ve ideal WAN oranları ölçülmüş aralık olarak yazılır; üretici maksimumu adverse hesap değildir. Kapasite kullanılabilir olmak zorundadır. Cloud quota, capacity reservation, account limit, IP/subnet, lisans entitlement, certificate ve support erişimi; on-prem rack, power, port, media ve tedarik lead time ile eşleşir. Her sayı source, timestamp, owner, confidence ve hassasiyet taşır. Unknown sıfır sayılmaz. Eşik yalnız alarm değildir; satın alma, reservation, yeniden tasarım veya kabul edilen hizmet azalmasını lead time’dan önce tetikler.

DR bir proje teslimi değil işletilen hizmettir. Service owner hedef, bütçe ve residual riski; business owner minimum hizmet ve kabulü; incident commander declaration’ı; recovery lead runbook’u; data owner yazma otoritesi ve reconciliation’ı; security lead containment ve release’i; platform/network/identity ekipleri bağımlılıkları yönetir. RACI tek harf tablosu değildir: karar yetkisi, vekâlet, zaman sınırı, handoff ve separation-of-duties ile çalışır. Operasyon dashboard’u son başarılı replication’dan fazlasını izler: gerçek RPO lag, recovery site/config drift, kapasite/headroom, quota/licence, identity/key/DNS readiness, son test yaşı, açık defect, runbook erişimi, break-glass testi, certificate, support ve personel readiness. Alarmın owner’ı ve eylem süresi vardır. Aylık service review exception, test trendi, değişiklik etkisi ve risk kabulünün yaşını inceler. Lifecycle; application/schema, OS/hypervisor, storage/database, network/security, IaC/image, API, licence, key/certificate ve site sözleşmesinin uyumluluğunu kapsar. Her production değişikliği DR parity veya bilinçli divergence kaydı üretir. Upgrade/migration öncesi rollback ve recovery testi yapılır. EOL, capacity ve contract kararları lead time’dan önce açılır. Exit plan data/config export, yeni platformda recovery, retention, audit ve güvenli decommission’u içerir. TCO; ikinci site/cloud kapasitesi, reservation, data replication ve egress, storage, network circuit, licence, support, güvenlik/gözlem, test ortamı, seyahat/tesis, otomasyon, eğitim, 7x24 nöbet, tatbikat ve reconciliation işgücünü içerir. Base yanında adverse olay ve büyüme maliyeti gösterilir. RTO/RPO, trust domain veya test kapısını geçmeyen düşük maliyetli seçenek ekonomik kazanan değildir; karşılanmayan hedef residual risk ve iş etkisi olarak ayrıca sunulur.

Arven üç yaklaşımı karşılaştırır. A Ankara’da backup/restore ve IaC ile düşük sürekli kapasite tutar; raporlama gibi uzun RTO’lu hizmetlere uygundur. B minimum sipariş zincirini warm standby çalıştırır; üç saatlik RTO için adaydır. C active-active tasarımı kısa geçiş potansiyeli sunar; tek-writer ERP, dış ödeme ve operasyon olgunluğu nedeniyle büyük yeniden tasarım ve yüksek ortak değişiklik riski taşır. Zorunlu kapılar ürün puanından önce gelir: minimum hizmet ve senaryo bazlı RTO/RPO; güvenilir site/network/identity/key/control domain; recovery point ve bağımsız backup; fencing/tek writer; dependency ve adverse kapasite; teknik/security/iş kabulü; reconciliation ve failback; kanıtlı tatbikat. Bir seçenek kapıyı geçmiyorsa ucuz, hızlı veya tanıdık olduğu için kazanamaz. Kalan seçenekler üç yıllık base/adverse TCO, lifecycle, beceri, otomasyon, tedarikçi bağımlılığı ve exit ile karşılaştırılır. POC İstanbul control plane kapalıyken declaration, break-glass, fence, promote, scale, DNS/traffic, dış allowlist, canary, tepe + backlog + yol kaybı, iş kabulü, reconciliation, reverse replication ve failback’i zamanlar. Kanıt aynı olay günlüğünde tutulur. Koşullu öneri: warm standby; ayrı recovery admin ve DNS/key yolu çalışır, tek-writer fencing negatif testi geçer, minimum sipariş zinciri adverse yükte üç saat içinde iş sahibince kabul edilir, 15 dakikalık RPO ve reconciliation doğrulanır, failback tatbikatı ile üç yıllık TCO onaylanırsa seçilir. Raporlama backup/restore dalgasında kalır. Active-active ancak uygulama ve data ownership yeniden tasarlanırsa yeniden değerlendirilir. Karar paketi BIA, senaryolar, topoloji, sizing, test kanıtı, source lineage, RACI/runbook, TCO, risk/TBD, POC, migration/rollback, handover ve yeniden açma eşiklerini taşır. İş akışı, RTO/RPO, tehdit, dependency, veri modeli, kapasite, support, maliyet veya test sonucu değiştiğinde karar açılır.