İş Sürekliliği Yönetimi

İş Sürekliliği Yönetimine Giriş

Bu konu da öncelikli odak noktası kuruluşların sahip olduğu bilgi varlıkları ve sistemlerinin güvenliğinin sağlanması olacaktır. Ancak o bilgiye ilişkin operasyon ve sistemlerin varlığını ve sürekliliğini sağlamadan sadece bilgi güvenliğine odaklanmak en doğru yaklaşım olmayacaktır.

Bu nedenle “İş Sürekliliği” kavramına ve buna bağlı bir sürece ihtiyaç duyulmaktadır.

İş Sürekliliği, bir kuruluşun olağanüstü durumlar, felaketler veya beklenmedik olaylar karşısında kritik iş süreçlerini sürdürme ve etkilenen sistemleri hızlı bir şekilde kurtarma yeteneği olarak tanımlanır.

İş Sürekliliğinin amacı, kuruluşların faaliyetlerine devam edebilmelerini, hizmet sunma yeteneklerini sürdürebilmelerini ve müşterilere, çalışanlara ve diğer paydaşlara etkin bir şekilde yanıt verebilmelerini sağlamaktır.

İş Sürekliliği, iş süreçlerinin sürekliliğini sağlarken aynı zamanda bilgi güvenliğinin de bir parçasıdır. Çok sayıda çalışmada dile getirilen temel bir bilgi olarak bilgi güvenliğinin 3 temel boyutu vardır ve bunlara CIA (Gizlilik, Bütünlük, Erişilebilirlik) Üçlüsü adı verilmektedir.

Bu ağaç boyutunda Kullanılabilirlik, bilgi varlıklarının sürekli erişilebilirliğini ve bilgi sistemlerinin kullanılabilirliğini ifade eder. Bu da ancak “İş Sürekliliği” ile mümkündür.

İş Sürekliliği kapsamında gerekli süreçlerin tanımlanmasına ve organize edilmesine İş Sürekliliği Yönetimi (BCM) adı verilmektedir.

BCM, kuruluşları iki ana sorundan korumaya odaklanır:

• Yıkıcı Olaylar
• Afetler

“Yıkıcı olaylar, bir kuruluşun normal iş akışını ve süreçlerini etkileyen, hatta kesintiye uğratan beklenmedik olaylardır. Örnekler arasında altyapı sorunları, sistem arızaları ve insan kaynaklarının kullanılabilirliğini veya fiziksel bir konumun kullanılabilirliğini kesintiye uğratan sıradan sorunlar yer alır.

“Afetler”, bir kuruluşun süreçleri üzerinde tamamen veya kapsamlı olarak felaket etkisi yaratan olaylardır. Afetler deprem, sel veya yangın gibi doğal olabileceği gibi vandalizm, terörizm veya savaş gibi insan kaynaklı da olabilir.

Felaketler aynı zamanda bir kuruluşun tüm BT altyapısının hasar görmesini veya tüm bilgi varlıklarının güvenliğini tehlikeye atan büyük ölçekli siber saldırıları da içerebilir.

İş Sürekliliği ve Felaket Kurtarma

İş Sürekliliği ve Felaket Kurtarma terimleri sıklıkla birbirinin yerine kullanılır ve karıştırılabilir.

İş Sürekliliği ve Felaket Kurtarma ile ilgili farklı kaynaklarda farklı tanımlar bulunsa da iki kavram arasındaki ilişki ve farklılıklar en geçerli yaklaşıma göre aşağıdaki tabloda özetlenmiştir:

Yukarıdaki tablodan da görebileceğiniz gibi İş Sürekliliği Yönetimi daha geniş bir kavramdır. Bu nedenle BCM Afet durumlarını da dikkate alacak şekilde ele alındığında her iki konu birlikte ele alınacaktır.

Bu derste ders yukarıdaki yaklaşıma uygun olarak BCM’ye dayalı olacaktır.

İş Sürekliliği Yönetimi Adımları ve Ders Kapsamı

BCM planlamasının adımları ve her adımda yapılacak işin detayları organizasyonun büyüklüğüne göre değişmektedir. Küçük veya orta ölçekli bir şirket ile büyük ölçekli bir finans kuruluşunun İş Sürekliliği organizasyonunun aynı içeriğe sahip olması beklenmez. Ancak bilgi güvenliğinin genel konsepti nedeniyle yapılacak çalışmalara yaklaşım benzer olacaktır.

Örneğin küçük bir firmanın iş sürekliliği ekibi birkaç kişiden oluşacakken, büyük bir organizasyonun ekibi onlarca kişiden oluşacaktır. Her durumda BCM ekibinin kurulması sürecin bir parçası olarak gerçekleştirilecektir. Buna göre temel bir BCM sürecinin aşağıdaki adımları içermesi beklenmektedir:

Yukarıdaki başlıklar sürecin ana adımlarıdır ve her birinin alt bölümleri vardır.

İş Sürekliliği Projesinin Başlatılması

İş Sürekliliği Yönetiminin ilk adımı kapsamını belirlemek ve proje olarak başlatmaktır.

Tüm organizasyonel süreçlerde olduğu gibi İş Sürekliliği konusunda da üst yönetimin yönlendirme yapması beklenmektedir. Üst yönetimin katılımı olmadan, bazı birimlerin ve çalışanların inisiyatifiyle ancak sınırlı ilerleme beklenebilir.

Kasıtlı bir BCM organizasyonunun katalizörü genellikle kamu otoritelerinden veya paydaşlardan gelir. Bazı durumlarda vizyon sahibi yöneticiler veya çalışanlar tarafından başlatılabilir.

Kapsam belirleme ve planlama aşaması BCM sürecinin başlangıç ​​noktasıdır. Şu anda herhangi bir analiz yapılmamış, herhangi bir parti veya strateji belirlenmemiştir. Henüz bir BCM ekibi oluşturulmamıştır.

Dolayısıyla bu aşamada görevlerin üst yönetim tarafından atanan çekirdek bir ekip tarafından yerine getirilmesi bekleniyor.

İşletme Organizasyon Analizi

İş sürekliliği için planlama yaparken yapılacak ilk şeylerden biri organizasyonu analiz etmektir.

Özellikle aşağıdaki taraflar dikkate alınmalıdır:

• Operasyonel departmanlar müşterilere temel hizmetlerin sağlanmasından sorumludur.
• Bilgi teknolojisi (BT), tesisler ve bakım personeli gibi temel destek departmanları ve operasyonel departmanları destekleyen sistemlerin bakımından sorumlu diğer gruplar.
• Kurumsal güvenlik ekipleri fiziksel güvenlikten sorumludur; genellikle olaylara ilk müdahale eden kişilerdir ve aynı zamanda birincil ve alternatif işleme tesislerinin fiziksel güvenliğinden de sorumludurlar.
• Üst düzey yöneticiler ve kuruluşun devamlılığı açısından kritik öneme sahip diğer kilit kişiler.

Bir BCM Ekibi Seçmek

Proje kapsamı tanımlandıktan ve iş organizasyonu analizi yapıldıktan sonra BCM için genel bir kapsam oluşturulmuştur.

Daha sonra, daha organize ve kapsamlı bir çalışma için bir BCM ekibinin bir araya getirilmesi gerekiyor.

BCM ekibinin boyutu ve bileşimi, organizasyonun büyüklüğüne bağlı olarak değişebilir. Ancak aşağıdaki taraflardan temsilcilerin bulunması kritik öneme sahiptir:

• Kuruluş tarafından tanımlanan fonksiyonel alanlardan iş birimi ekip üyeleri
• BCM kapsamındaki alanlarda teknik uzmanlığa sahip BT konu uzmanları
• BCM süreci hakkında bilgi sahibi siber güvenlik ekibi üyeleri
• Fiziksel tesisten sorumlu fiziksel güvenlik ve tesis yönetimi ekipleri
• Kuruluşun yasal, düzenleyici ve sözleşmeden doğan sorumluluklarına aşina avukatlar
• Personel sorunlarını ve bunların bireysel çalışanlar üzerindeki etkilerini ele alabilecek insan kaynakları ekip üyeleri
• Herhangi bir olay durumunda paydaşlarla ve halkla iletişim kurabilen halkla ilişkiler ekibi üyeleri

BCM ekibi yukarıda listelenen tarafların çoğunu içerebilir. Ancak belli bir hiyerarşi ve organizasyon içerisinde olmaları gerekiyor.

Bu kapsamda ekipte bir lider, bir lider yardımcısı ve gerekiyorsa belirli pozisyonlardan sorumlu kişiler bulunacak.

Yasal ve Düzenleyici Gereksinimlerin Göz önünde bulundurulması

İş Sürekliliği Yönetimi faaliyetlerinin başında dikkate alınması gereken noktalardan biri yasal ve mevzuat gerekliliklerinin dikkate alınmasıdır.

Bu düzenlemeler BCM kapsamında gerçekleştirilecek aksiyonlar ve yatırımlar açısından kritik öneme sahip olabilir. Bu durumlara örnekler aşağıda verilmiştir:

• Bazı düzenlemeler kuruluşların verilerini yerel veri merkezlerinde tutmasını gerektirebilir. Bu durumda iş sürekliliği yönetiminde önemli bir altyapı olan bulut sistemleri kullanılamaz.
• Bazı düzenlemeler, bir kuruluşun yedekleme altyapısına coğrafi mesafe gereksinimleri getirebilir. Bu bağlamda yedek sistemlerin ana sistemlerden yüzlerce kilometre uzaktaki bir kampüste kurulması gerekebilmektedir.

Örneklerden de görebileceğiniz gibi, proje başlangıcında mevzuat gereklilikleri detaylı olarak belirlenmeli ve süreç buna göre yürütülmelidir. Aksi takdirde süreç uygulamaya geçtikten sonra aksiyonlarda ve yatırımlarda önemli değişiklikler yapılması gerekecektir. Bu durum başta maddi kayıplar olmak üzere önemli kayıplara neden olacaktır.

İş Etki Analizi

Bir kuruluşun sahip olduğu tüm varlıklar aynı düzeyde kritikliğe sahip değildir. Örneğin, bazı sistemler için en kısa kesintiler bile kritik öneme sahipken, diğerleri için günlerce süren kesintiler önemli bir sorun teşkil etmiyor.

Benzer şekilde bazı veriler için bir saatlik kayıp bile kritik öneme sahipken, son aya ait verilere ulaşılamaması önemli olmayabilir.

Öte yandan bir kuruluşun varlıklarına yönelik tehditler de çok çeşitli olabilir.

Sonuç olarak BCM’ye bir bütün olarak bakmak ve tüm varlıkların devamlılığı için benzer aksiyonlar almak doğru bir yaklaşım değildir. Bunun yerine, her varlığa yönelik tehditleri tanımlamak, kritikliği gösteren belirli parametreleri netleştirmek ve buna göre her varlığın devamlılığını sağlamak için alınacak uygun aksiyona karar vermek gerekir. İş sürekliliği literatüründe bu sürece “İş Etki Analizi (BIA)” adı verilmektedir.

Aşağıdaki şekil genel olarak İş Etki Analizi sürecinin aşamalarına ilişkin örnekleri göstermektedir.

Aşağıda açıklanan ve gösterilen her adımı bulabilirsiniz:

Temel Parametreler ve Tanımlar

BIA uygulanırken sürekliliği garanti altına alınması gereken varlıkların değerini ölçecek bazı parametrelere sahip olmak gerekir.

İş Sürekliliği Yönetimi literatüründe dikkate alınan önemli parametreler ve bunların kısa tanımları şunlardır:

Maksimum Tolere Edilebilir Kesinti Süresi (MTD)

MTD, bir kuruluşun bir iş sürecinin veya sistemin kesintiye uğraması durumunda tolere edebileceği maksimum süreyi ifade eder.

MTD’nin temel amacı, kurumun iş süreçlerini bir süreliğine aksatabilecek bir kesinti senaryosunda, söz konusu kesintinin süresinin belirlenen maksimum süreyi aşmamasını sağlamaktır.

Kurtarma Noktası Hedefi (RPO)

RPO, bir kuruluşun bir olay veya felaket durumunda ne kadar veri kaybını kabul edebileceğinin bir ölçüsüdür. RPO, bir iş sürecinin veya sistemin kesintiye uğraması durumunda veri kaybını en aza indirmeyi amaçlayan bir iş sürekliliği kavramıdır.

Kurtarma Süresi Hedefi (RTO)

RTO, bir felaketin veya kesintinin ardından bir kuruluşun iş süreçleri veya sistemleri için hedef kurtarma süresini belirten bir ölçümdür.

İş Kurtarma Süresi (WRT)

WRT, bir kuruluşun iş süreçlerini tam kapasiteye döndürmesinin ve bir felaket veya kesinti sonrasında normal iş faaliyetlerine dönmesinin ne kadar sürdüğünü gösteren bir ölçümdür.

WRT ve RTO benzer tanımlara sahip olduğundan karıştırılabilir. Bu iki kavramın diğer kavramlarla ilişkisi aşağıdaki şekil sayesinde daha iyi anlaşılabilir:

Arızalar Arasındaki Ortalama Süre (MTBF)

MTBF, bir arıza ile sistem veya cihazın bir sonraki arızası arasındaki ortalama süreyi ölçer. MTBF genellikle bir ürünün veya sistem bileşeninin güvenilirliğini değerlendirmek için kullanılır.

İş sürekliliği yönetimi ve buna bağlı İş Etki Analizi için başka parametreler de bulunsa da temel düzeyde bunları bilmek yeterlidir.

Varlık Tanımlaması

Başarılı bir İş Etki Analizi gerçekleştirmek için kuruluşun varlıklarını tanımlaması ve sürekliliğini sağlaması gerekir.

Bir “varlık”, bilgi güvenliği ve iş sürekliliği açısından kritik olan herhangi bir değerdir. Kuruluşun sorumluluğu altındaki bilgiler, BT hizmetleri, operasyonel süreçler ve fiziksel yerler varlıklardır.

BIA kapsamında gerçekleştirilen varlık tanımlaması, bilgi güvenliği yönetim sisteminin bir parçası olarak gerçekleştirilen ayrıntılı varlık envanteri olarak değerlendirilmemelidir.

Bilgi Güvenliği Yönetim Sistemi varlık envanteri ve buna ilişkin risk analizleri oldukça detaylıdır.

BIA için varlık tanımlaması ise daha rafine ve gruplandırmaya dayalı bir çalışmayı içermelidir. Aksi takdirde BIA süreci karmaşık ve külfetli bir görev haline gelebilir.

Kritik Parametrelerin Belirlenmesi

Varlıklar belirlendikten sonra her varlık için kritik iş sürekliliği parametreleri belirlenmelidir.

İş sürekliliği için dikkate alınabilecek kritik parametreler genel olarak yukarıda tanımlanmıştır. Analizde bu parametrelerin tamamının kullanılması veya ek parametrelerin kullanılması konusunda kesin bir kural yoktur. Ancak en azından; Varlıklar için MTD, RPO ve RTO parametrelerinin sağlanması bekleniyor.

Varlıklara parametre atamak için esnek bir yaklaşım gereklidir.

Örneğin, MTD parametresinin yalnızca kabul edilebilir kesinti süresini tanımladığı için BT sistemlerine özel olduğu kabul edilir. Ancak bu parametre “Maksimum Kullanılamama Süresi” olarak kabul edilirse insan kaynakları varlıklarına da uygulanabilir. Örneğin bir BT yöneticisi için MTD 4 saat olabilirken, bir BT personeli için 2 gün olabilir.

Öte yandan bazı parametreler bazı varlıklar için geçerli olmayabilir. Örneğin RPO parametresi kabul edilebilir veri kaybını temsil eder. İş sürekliliği için yedekleme aktivitelerinin bu parametreden az olacak şekilde belirtilmesi gerekmektedir. İnsan kaynakları için RPO parametresi geçerli değildir.

Aşağıda çeşitli örnek varlıklar için BIA parametrelerini belirlemeye yönelik bir tablo bulunmaktadır:

Kesinti Sırasında Risk Düzeylerinin Belirlenmesi

İş sürekliliği açısından kritik olan varlıklara ilişkin kritik parametreler belirlendikten sonra iş kesintisi riskleri belirlenir.

Bu kesintilerin kaynakları farklılık gösterebilir. Her kesinti kaynağını bir BIA’da ayrı ayrı analiz etmek, süreci çok karmaşık hale getirebilir. Bu nedenle belirli kesinti kaynaklarına odaklanılmamalı, kesintinin bir şekilde gerçekleşeceği varsayılarak etki ve risk belirlenmelidir.

Risk değerlendirmesinde kuruluş tarafından hâlihazırda uygulanan güvenlik önlemleri de dikkate alınmalıdır. Örneğin bir sunucu altyapısı halihazırda kümelenmiş bir mimari üzerinde çalışıyorsa, öncelikle kesinti riskinin düşük olarak tanımlanması gerekir.

Risk değerlendirmesini daha anlaşılır kılmak için basitleştirilmiş risk seviyelerinin kullanılması yararlı olacaktır. Bu risk seviyeleri yalnızca olası olaylar arasında bir dengeleme sağlamalı ve karmaşık hesaplamalar içermemelidir.

Aşağıda bazı örnek varlıklar için mevcut kontrollerin nasıl tanımlanacağını gösteren bir tablo bulunmaktadır:

İlk Yanıtların Belirlenmesi

Herhangi bir aksaklık durumunda alınacak ilk aksiyonlar, BİA sırasında belirlenmesi gereken temel alanlardan biridir. Kapsamlı kurtarma ve kurulum çalışmalarından önce ilk eylemler gerçekleştirilmelidir.

Örneğin bir sunucu sisteminin arızalanması durumunda altyapı bağlantılarının kontrol edilmesi, teknik ekiplere hızlı bir şekilde bilgi verilmesi gibi konular bu başlık altında değerlendirilebilir.

İlk eylemler çoğu zaman yüksek düzeyde uzmanlık ve planlama gerektirmez. Bu nedenle bunların son kullanıcı düzeyinde açıkça ifade edilmesi ve ilgili paydaşlara iletilmesi gerekir.

Afetlerin Değerlendirilmesi

İş Sürekliliği Yönetimi temel olarak 2 aşamada ele alınmalıdır:

• Yıkıcı olaylar
• Afetler

Felaket olayları daha çok ilgi çekse de örgütlerin işleyişini aksatan olaylara çok daha sık rastlanıyor. Bu bağlamda BIA’nın öncelikle yukarıda anlatıldığı gibi kesinti olaylarına göre yürütülmesi beklenmektedir.

Ancak kesinti olaylarının kapsamı felaketlerden daha dar ve varlığa özgü olduğundan, kesintilere ilişkin analiz ve eylemler varlığa özel olarak planlanmalıdır.

Afet olaylarının kapsamı beklendiği gibi daha geniştir. Bu bağlamda BIA’nın afet senaryoları genelinde uygulanmasına senaryo odaklı yaklaşmak yerinde olacaktır.

Kesinti olayları için analiz sunucu sistemleri ve ağ altyapısı gibi varlık grupları genelinde yapılırken, felaket olayları için analiz deprem, sel, yangın gibi felaket olayları baz alınarak gerçekleştirilir.

Bu nedenle BİA sürecinde afet olayları için ayrı bir analiz çalışması yapılmalı ve belgelenmelidir.

Kaynak Önceliklendirme ve Eylem Planı

Her ne kadar iş sürekliliği bilgi güvenliği açısından kritik öneme sahip olsa da bu çabaya ayrılabilecek kaynaklar sınırsız değildir. Bu nedenle iş etki analizi, varlıkların kritiklik düzeyini ve bunlarla ilişkili riskleri netleştirir. Ayrıca bir aksaklık durumunda atılacak ilk adımları da belirler.

Bir sonraki adım, belirlenen kesinti senaryoları ve felaketler için kaynak ve aksiyonların belirlenmesidir. Bu aşamaya ilişkin süreç aşağıda açıklanmıştır:

Temel Müdahale Planının Belirlenmesi

BIA aksaklık ve felaket durumlarını öngördükten sonra her duruma özel eylem planları oluşturulmalıdır. Bu eylem planları çoğu zaman ayrıntılı planlama ve yatırımlar gerektirir.

Detaylı planlama ve yatırımlar konusunda hızlı hareket etmek mümkün olmadığından kuruluşlar bu aşamada sıklıkla sorunlarla karşılaşmaktadır. Bazı eylemler için gereken ayrıntılı çabalar tüm süreci durdurabilir.

Bu nedenle, aksama senaryoları için kapalı çalışmalar yürütmeden önce, maddeler halindeki temel eylemlerin belirlenmesi faydalı olacaktır. Örneğin:

• Dosya sunucusunda sorun varsa başka bir dosya sunucusu kurun ve yedekleme verilerini yeni sunucuya yükleyin.
• Mevcut internet servis sağlayıcınızda sorun varsa aynı hat üzerinden hizmet verebilecek başka bir servis sağlayıcıdan acil servis satın alın.
• Bir felaketin fiziksel konumu etkilemesi bekleniyorsa çalışanların uzaktan çalışmasına geçiş yapın.
• Vesaire.

Sorunlara Detaylı Müdahale Süreci Tasarlamak

İş Sürekliliği Yönetimi planlaması yapılırken sürecin başında bir BCM ekibinin oluşturulmasını beklemek mantıklıdır. Ancak bu ekip sürecin yönetilmesinden ve koordine edilmesinden sorumludur.

İş kesintisi ve felaket kurtarma söz konusu olduğunda, başta BT ekipleri olmak üzere daha fazla paydaşın sürece dahil edilmesi ve ayrıntılı görevler verilmesi gerekmektedir.

Aksaklıkları ve felaketleri yönetmeye yönelik kapsamlı bir sürecin ana hatları belirlenmeli ve sorumluluklar tanımlanmalı ve iletilmelidir.

Bu süreç en azından aşağıdaki sorunları ele almalıdır:

• İş sürekliliği için izlenmesi gereken varlıklardan kim sorumlu?
• Bir aksaklık veya afet öncesinde hangi faaliyetlerin yapılması gerekiyor?
• Bir aksaklık veya afet tespit edilirse ne zaman, nerede, kim tarafından ve nasıl raporlanacak?
• Olay ve kurtarma sürecine hangi ekipler müdahale edecek? Bu ekiplerin üyeleri kimlerdir?
• Gerektiğinde iç ve dış paydaşlar nasıl dahil edilecek?

Gerekli Altyapıların Sağlanması

İş Sürekliliği Yönetimi, kesintilere ve felaketlere karşı eylemlerin teorik olarak planlanmasının ötesine geçer. Organizasyonda halihazırda mevcut olan altyapının aksiyonlara cevap verebilecek durumda olması gerekmektedir.

Eksik bileşenler, yönetim tarafından sağlanan kaynaklarla belirli bir plan kapsamında tedarik edilmelidir.

Detaylı Plan ve Talimatların Hazırlanması

İş sürekliliği yönetimi kapsamında hazırlanması beklenen en temel belge İş Sürekliliği Planıdır. BIA raporları gibi ek analiz raporları ve acil durum iletişim bilgileri gibi ek çalışmalar genellikle bu planın ekleri olarak sunulur.

Felaket durumunu ve alınması gereken aksiyonları anlatan bölüme Felaket Kurtarma Planı denir.

Ancak özellikle küçük ve orta ölçekli kuruluşlarda Felaket Kurtarma Planı, İş Sürekliliği Planının bir parçası olarak da değerlendirilebilir.

Özellikle büyük organizasyonlar için süreci tek bir planda özetlemek yeterli olmayabilir. Bu nedenle sürecin parçası olan birden fazla plan oluşturmak faydalı olabilir.

Bu bağlamda oluşturulabilecek plan örnekleri şunlardır:

Bu detaylı planların yanı sıra BT operasyonlarına yönelik detaylı talimatlar hazırlamak da oldukça faydalıdır. Bu talimatlar, bir kesinti veya felaket durumunda müdahalenin etkinliğine önemli ölçüde katkıda bulunacaktır. Çünkü kurumun süreçlerini bilen personel tarafından kolaylıkla gerçekleştirilebileceği varsayılan operasyonlar, afet anında ilgili personelin bulunamaması nedeniyle gerçekleştirilemeyebilir. Bu bağlamda kritik işlemler için kapsamlı talimatlar yazılması tavsiye edilir. Örneğin:

• Verileri yedeklerden geri yükleme prosedürleri
• Yedekleme sistemleri için ağ yapılandırmaları
• Yedekleme sunucusu başlatma prosedürleri
• Vesaire.

Alternatif Yerlerin Hazırlanması

Deprem veya savaş gibi bazı felaket senaryoları, bir kuruluşun mevcut sahalarını tamamen devre dışı bırakabilir ve yeni bir saha ihtiyacı yaratabilir. Bu duruma yanıt olarak kuruluşların uzak bir alternatif saha belirlemesi ve hazırlaması gerekebilir.

Alternatif bir site kurmak çok ciddi bir ekonomik ve idari masraftır. Sonuç olarak, genellikle normal iş sürekliliği yönetimi sürecine dahil edilmez.

Ancak finansal hizmet sağlayıcılar ve stratejik yönetim birimleri gibi kritik kuruluşların afet yönetimi kapsamında alternatif saha planları hazırlaması gerekiyor. Çoğu durumda, bu planlar devlet kurumları tarafından zorunlu kılınmaktadır.

Ancak kendi operasyonlarını hayati önemde gören her şirket de bu yolu izleyebilir. Son yıllarda bulut altyapılarının gelişmesiyle birlikte alternatif sitelere olan ihtiyaç göreceli olarak azalmış olsa da, bulut kullanımının düzenleyici ve operasyonel kısıtlamaları nedeniyle alternatif sitelere olan ihtiyaç halen geçerliliğini koruyor.

Aşağıda alternatif sitelerin uygulanmasına yönelik yaklaşımlardan bazıları verilmiştir:

Soğuk Bölge

Soğuk Sitenin temel altyapısı vardır. Bu genellikle bir binayı, elektriği, suyu ve hava koşullarına karşı korumalı bir alanı içerir. Ancak işletim sistemleri ve uygulama yazılımları gibi kritik bileşenler çoğu zaman bu altyapıda eksik kalıyor.

Bir felaket durumunda kuruluş bu sahadaki altyapıyı başlatabilir ve işlemleri yeniden başlatabilir.

Soğuk bölge genellikle en ekonomik seçenektir ancak hızlı tepki verme yeteneği minimum düzeydedir.

Sıcak Site

Sıcak bir site, biraz daha hızlı yanıt süresine sahip bir ortam sağlar. Bu tür siteler temel altyapıyı ve belirli düzeyde sistem ve verilerin bir kopyasını içerir. Bu, bir felaket durumunda kuruluşun daha hızlı bir şekilde ayağa kalkıp çalışmaya başlamasını sağlar. Ancak bu işlem soğuk sahaya göre daha pahalıdır.

Sıcak bir tesisin genellikle yaklaşık 12 saat içinde %100 çalışır duruma gelmesi beklenir.

Sıcak yer

Sıcak bir site, temel altyapıyı, işletim sistemlerini, uygulamaları ve tüm verilerin bir kopyasını içerir. Afet anında hızlı bir şekilde devreye alınabilmektedir.

En hızlı yanıt süresini sağlar ancak aynı zamanda en pahalı seçenektir.

Aşağıda farklı site seçenekleri için temel bir karşılaştırma tablosu bulunmaktadır:
Bu detaylı planların yanı sıra BT operasyonlarına yönelik detaylı talimatlar hazırlamak da oldukça faydalıdır. Bu talimatlar, bir kesinti veya felaket durumunda müdahalenin etkinliğine önemli ölçüde katkıda bulunacaktır. Çünkü kurumun süreçlerini bilen personel tarafından kolaylıkla gerçekleştirilebileceği varsayılan operasyonlar, afet anında ilgili personelin bulunamaması nedeniyle gerçekleştirilemeyebilir. Bu bağlamda kritik işlemler için kapsamlı talimatlar yazılması tavsiye edilir. Örneğin:

• Verileri yedeklerden geri yükleme prosedürleri
• Yedekleme sistemleri için ağ yapılandırmaları
• Yedekleme sunucusu başlatma prosedürleri
• Vesaire.

Alternatif Yerlerin Hazırlanması

Deprem veya savaş gibi bazı felaket senaryoları, bir kuruluşun mevcut sahalarını tamamen devre dışı bırakabilir ve yeni bir saha ihtiyacı yaratabilir. Bu duruma yanıt olarak kuruluşların uzak bir alternatif saha belirlemesi ve hazırlaması gerekebilir.

Alternatif bir site kurmak çok ciddi bir ekonomik ve idari masraftır. Sonuç olarak, genellikle normal iş sürekliliği yönetimi sürecine dahil edilmez.

Ancak finansal hizmet sağlayıcılar ve stratejik yönetim birimleri gibi kritik kuruluşların afet yönetimi kapsamında alternatif saha planları hazırlaması gerekiyor. Çoğu durumda, bu planlar devlet kurumları tarafından zorunlu kılınmaktadır.

Ancak kendi operasyonlarını hayati önemde gören her şirket de bu yolu izleyebilir. Son yıllarda bulut altyapılarının gelişmesiyle birlikte alternatif sitelere olan ihtiyaç göreceli olarak azalmış olsa da, bulut kullanımının düzenleyici ve operasyonel kısıtlamaları nedeniyle alternatif sitelere olan ihtiyaç halen geçerliliğini koruyor.

Aşağıda alternatif sitelerin uygulanmasına yönelik yaklaşımlardan bazıları verilmiştir:

Soğuk Bölge / Cold Site

Soğuk Sitenin temel altyapısı vardır. Bu genellikle bir binayı, elektriği, suyu ve hava koşullarına karşı korumalı bir alanı içerir. Ancak işletim sistemleri ve uygulama yazılımları gibi kritik bileşenler çoğu zaman bu altyapıda eksik kalıyor.

Bir felaket durumunda kuruluş bu sahadaki altyapıyı başlatabilir ve işlemleri yeniden başlatabilir.

Soğuk bölge genellikle en ekonomik seçenektir ancak hızlı tepki verme yeteneği minimum düzeydedir.

Sıcak Site / Warm Site

Sıcak bir site, biraz daha hızlı yanıt süresine sahip bir ortam sağlar. Bu tür siteler temel altyapıyı ve belirli düzeyde sistem ve verilerin bir kopyasını içerir. Bu, bir felaket durumunda kuruluşun daha hızlı bir şekilde ayağa kalkıp çalışmaya başlamasını sağlar. Ancak bu işlem soğuk sahaya göre daha pahalıdır.

Sıcak bir tesisin genellikle yaklaşık 12 saat içinde %100 çalışır duruma gelmesi beklenir.

Sıcak Site / Hot Site

Sıcak bir site, temel altyapıyı, işletim sistemlerini, uygulamaları ve tüm verilerin bir kopyasını içerir. Afet anında hızlı bir şekilde devreye alınabilmektedir.

En hızlı yanıt süresini sağlar ancak aynı zamanda en pahalı seçenektir.

Aşağıda farklı site seçenekleri için temel bir karşılaştırma tablosu bulunmaktadır:

Bu ders, BIA sonucunda belirlenen risklere yanıt olarak alınacak aksiyonlara odaklandı.

Ancak, hem aksatıcı olaylara hem de afetlere yanıt olarak gerçekleştirilecek teknik eylemlerin niteliği ve kapsamı açısından çok farklı olabileceği unutulmamalıdır.

Yedekleme ve İş Sürekliliği Altyapısı

İş sürekliliğini sağlamak için beklenen aksatıcı olaylara ve felaketlere karşı uygulanabilecek birçok farklı türde ve düzeyde teknik önlem vardır. Bu teknik uygulamaların tamamını bu derste ele almak mümkün olmasa da, bu derste tüm bilgi güvenliği profesyonellerinin bilmesi gereken temel iş sürekliliği uygulamalarından bazılarına değinilecektir.

Veri Yedekleme Yöntemleri

Veri yedekleme, bilgi güvenliği ve iş sürekliliği konusunda farkındalığı az olan kuruluşların bile uyguladığı temel bir güvenlik önlemidir. Bu nedenle oldukça genel ve sabit bir şekilde uygulandığı düşünülebilir.

Ancak altyapı gereksinimleri, yedekleme süresi, geri dönüş süresi gibi parametrelerin önemli ölçüde farklılık gösterdiği farklı yöntemler de vardır.

En temel yöntemler aşağıda açıklanmıştır:

Tam Yedekleme

Tüm verilerin bir sistemden diğerine (genellikle bir yedekleme depolama aygıtına) kopyalanması işlemi.

Avantajları

• Bilinen en temel yedekleme yöntemi olduğundan uygulaması kolaydır. Yedeklemeden kurtarma, karmaşık işlemlere gerek kalmadan kolayca gerçekleştirilebilir.
• Herhangi bir anlık görüntü durumunu geri yüklemek kolay, tam sistem kurtarma sağlar.

Dezavantajları

• Her yedekleme işlemi nispeten büyük depolama alanı ve zaman gerektirir.
• Aşağıda Tam Yedekleme işleminin bir gösterimi bulunmaktadır:

Diferansiyel/Differential  Yedekleme

Son tam yedeklemeden bu yana yapılan tüm değişiklikleri içerir, ancak aynı zamanda bir sonraki tam yedeklemeden önce yapılan değişiklikleri de içerir.

Avantajları

• Tam yedeklemeye göre daha az depolama alanı ve daha az yedekleme süresi gerektirir.
• Tam geri yükleme için yalnızca son tam yedekleme ve bir sonraki diferansiyel yedekleme gereklidir.

Dezavantajları

• Yedekleme işlemi, tam yedeklemeye göre biraz daha hassas bir organizasyon gerektirir.
• Geri yüklemeler tam yedeklemelerden biraz daha uzun sürer.

Aşağıda diferansiyel yedekleme sürecinin bir gösterimi bulunmaktadır:

Artımlı/Incremental  yedekleme

Her işlem, son yedeklemeden bu yana yapılan değişiklikleri yedekler. Bu, yedekleme sırasında depolama ve zaman tasarrufunu en üst düzeye çıkarır.

Avantajları

• Küçük depolama gereksinimi ve daha hızlı yedekleme süreleri.

Dezavantajları

• Kurtarma işlemleri diğer yedeklemelere göre çok daha fazla zaman ve hassasiyet gerektirir.

Aşağıda Artımlı Yedekleme işleminin bir gösterimi bulunmaktadır :

Aşağıda 3 ana yedekleme yönteminin karşılaştırması bulunmaktadır:

Uzak Konumlarda Yedekleme Yöntemleri

Yedekleme işlemlerini gerçekleştirirken uzak bir siteye taşınmak veya uzak bir siteyle çalışmak için çeşitli yaklaşımlar kullanılabilir. En temel yöntemler aşağıda açıklanmıştır:

Elektronik Kasalama

• Elektronik kasaya alma, verilerinizi düzenli aralıklarla (örneğin, günlük, haftalık veya aylık) uzak bir konuma kopyalama yöntemidir. Kopyalar genellikle tam yedeklerdir, yani verileri eksiksiz biçimde içerirler.
• Ancak yöntem periyodik olduğundan her tur arasında veri kaybı yaşanabilir.

Uzaktan Günlük Tutma

• Uzaktan günlük kaydı, verilerdeki (süreçlerdeki) değişiklikleri sürekli veya periyodik olarak uzak bir konuma gönderme yöntemidir.
• En yaygın örnek, veritabanı işlem günlüklerinin taşınmasıdır. Elektronik kasalamanın aksine bu yöntem, dosyaların tamamı yerine işlem günlüklerini aktarır.
• Bu günlük kayıtları bir yedekleme sitesinde saklanır.
• Bir felaket durumunda, mevcut verileri kurtarmak için işlem günlükleri üretim veritabanıyla birleştirilir.

Uzaktan Yansıtma

• Uzaktan yansıtma, verileri uzak konumdaki başka bir sunucuya sürekli olarak kopyalama yöntemidir.
• Bu, uzak sunucunun her zaman verilerinizin bir kopyasına sahip olduğu ve böylece bir sorun oluştuğunda anında müdahale edebileceği anlamına gelir.
• Uzaktan yansıtma, veriler uzak sitede her zaman mevcut olduğundan en hızlı kurtarma sürelerini sağlar.
• Ancak bu yöntem diğer yöntemlere göre daha pahalıdır çünkü her iki taraftaki sistemlerin sürekli aktif tutulması gerekir.

Sabit Sürücüleri ve RAID’leri Koruma

Verilerin korunması ve herhangi bir kesinti durumunda yedekleme disklerine hızlı erişim, iş sürekliliği açısından en önemli konular arasında yer alıyor. Bu bağlamda en öne çıkan uygulama ise RAID yapısıdır.

RAID (Yedek Bağımsız Disk Dizisi veya Yedekli Ucuz Disk Dizisi), veri depolama sistemlerinde kullanılan bir dizi teknoloji ve yöntemi ifade eder. Temel olarak, daha fazla performans, güvenilirlik veya her ikisi için birden fazla sabit sürücünün birleştirilmesine olanak tanıyan bir yapıdır.

RAID yapıları farklı düzeylerde ve modellerde gelir. Her model belirli avantajlar ve muhtemelen bazı dezavantajlar sunar.

Şeritleme vs Yansıtma vs Eşlik

RAID yapılarını anlamada üç kavram çok önemlidir. Kısa tanımlar aşağıda verilmiştir:

Aynalama : Aynalama, RAID yapılarındaki bir veri diskinin içeriğinin, aynı verileri içeren başka bir diske kopyalanması işlemidir. Bu sayede disklerden birinin arızalanması durumunda diğer disk devreye girer ve sistem çalışmaya devam eder.

Şeritleme : Şeritleme, verileri birden fazla diske dağıtarak depolama yöntemidir. Veriler bloklar halinde disklere birbiri ardına yazılır. Bu yöntem aynı anda 2 işlemin (veri okuma ve yazma) gerçekleştirilebilmesi nedeniyle performansı artırabilir. Ancak veri yedekliliği veya ek güvenlik sağlamaz.

Eşlik : Eşlik, verileri özetleyen ek bilgidir. Bir disk arızalandığında kaybolan verileri hesaplamak ve kurtarmak için kullanılır.

Aşağıda en yaygın RAID yöntemleri ve bunların avantajları ve dezavantajları yer almaktadır:

RAID 0

RAID 0, verileri iki veya daha fazla sabit disk sürücüsü arasında bölümlendirerek (şeritlere ayırarak) verileri depolayan bir RAID düzeyidir.

RAID 0’ın ana özellikleri şunlardır:

• Yüksek Performans : Verileri birden fazla disk arasında bölümlendirerek (“şeritler”) depolar; bu, okuma ve yazma işlemlerini paralel olarak gerçekleştirerek performansı artırır.
• Yüksek Kapasite : Mevcut depolama alanını tüm disklerin toplam kapasitesine eşitleyerek daha geniş bir depolama alanı sağlar.
• Paralel İşlem : Verileri segmentlere böler ve bu segmentleri paralel olarak okuma/yazma işlemlerini gerçekleştiren farklı disklerde saklar.
• Disk Arıza Riski : Disk arızası durumunda, veri parçaları arasında artıklık olmadığından RAID 0’daki tüm veriler kaybolabilir.

Bu özellikler, RAID 0’ın performans artışı ve kapasite genişletme açısından avantajlarına rağmen veri güvenliği açısından riskleri de beraberinde getirdiğini göstermektedir.

Aşağıda 2 diskli RAID 0 yapısında bir disk içindeki verilerin dağılımı verilmiştir:

RAID1

RAID 1, veri güvenliğini artırmak için verileri iki veya daha fazla sabit sürücü arasında aynı kopyalar halinde depolayan bir RAID düzeyidir.

Veriler bir diskten diğerine yansıtıldığı için bu terime “yansıtma” da denir.

RAID 1’in ana özellikleri şunlardır:

• Orta performans : RAID 1, aynı verileri iki diske yazdığı için okuma performansını artırmaz. Ancak okuma işlemleri için iki diskin aynı anda kullanılabilmesi performans avantajı sağlar.
• Düşük kapasite : Her iki diskte de aynı veriler depolandığından, kullanılabilir depolama alanı RAID 1’deki disklerin toplam kapasitesinin yarısı kadardır.
• Disk arızasına karşı yedeklilik : RAID 1’de bir disk arızalanırsa veriler diğer diskte mevcut olduğundan sistem çalışmaya devam edebilir. Bu, arızalı sürücü değiştirilene kadar sistemin çalışmaya devam etmesini sağlar.

Bu özellikler, RAID 1’in disk ve veri güvenliği göz önünde bulundurularak oluşturulduğunu göstermektedir.

Aşağıda 2 diskli RAID 1 yapısında disk içindeki verilerin dağılımı verilmiştir:

RAID5

RAID 5, verileri üç veya daha fazla sabit sürücüyü ayrıştırarak ve eşlik ekleyerek depolayan bir RAID düzeyidir. En az üç sabit disk gerektirir ancak daha büyük yapılandırmalarda daha fazla disk kullanılabilir.

RAID 5’in ana özellikleri şunlardır:

Eşlik kullanımı: RAID 5, veri parçalarını ve eşlikleri içeren bir yapı kullanır. Eşlikler diğer disklerdeki veri parçalarından türetilir.

Şeritleme: Verileri birden fazla diskte şeritlere bölerek depolar. Bu, okuma ve yazma işlemlerinin paralel olarak gerçekleştirilmesine olanak tanıyarak performansı artırır.

Disk arızasına karşı direnç : Disk arızasına karşı direnç sağlar. Disk arızası durumunda eksik veriler eşlik kullanılarak yeniden oluşturulabilir.

Orta performans: RAID 5, okuma performansında artış sağlar. Ancak eşlik hesaplamaları nedeniyle yazma performansını düşürebilir.

Orta kapasite: RAID 5, kullanılabilir depolama alanını toplam disk kapasitesinin bir disk kapasitesine eşit miktarda artırır. Örneğin, üç diskli bir RAID 5 yapılandırmasında depolama, bir disk kapasitesi kadar artırılır.

Bu özellikler, RAID 5’in performans avantajları ile veri güvenliği arasında bir denge sağlayacak şekilde tasarlandığını gösterir.

Temel RAID 5 yapısında disklerdeki verilerin dağılımı aşağıda verilmiştir:

RAID10

RAID 10, RAID 1 ve RAID 0’ın birleşimidir. Bu yapı, depolama için yansıtma ve şeritlemeyi kullanır. Her yansıtma grubunda en az iki disk bulunduğundan en az dört sabit disk gerekir.

RAID 10’un temel özellikleri aşağıdaki gibidir:

Disk arızalarına karşı dayanıklılık: RAID 10, her ayna grubunun disk arızalarına karşı dayanıklılık sağlar. Disk arızası durumunda diğer diskten verilere ulaşılabilir.

Artan performans: Veriler şeritleme yoluyla paralel olarak saklandığı için hem okuma hem de yazma işlemlerinde performans artışı sağlar.

Yüksek maliyet: RAID 10, mevcut depolama alanının yarısı kadar kapasite sağladığı için diğer RAID düzeylerinden daha pahalıdır.

RAID 10, performans ile veri güvenliğini dengeleyen bir yapıdır ve genellikle yüksek performanslı uygulamalarda tercih edilir.

Aşağıda temel bir RAID 10 yapısında sabit sürücüdeki verilerin dağılımı verilmiştir:

Kümeleme/Cluster

İş sürekliliği kapsamında hem sistemlerin hem de verilerin yedeklenmesi gerekmektedir. Bu amaçla oluşturulan yapılara genel olarak küme mimarisi adı verilmektedir.

Küme mimarisi, birden fazla sunucu sisteminin tek bir işlem için bir araya getirilerek sistematik bir şekilde birleştirilmesidir.

Cluster mimarisi farklı amaçlarla kullanılsa da onu kullanmanın 2 temel yolu vardır:

• Yük Devretme Kümesi
• Yük dengeleme

“Failover Cluster”, arıza durumunda birincil sistemin otomatik olarak devre dışı bırakılması ve yedek sistemin devreye alınmasına dayalı bir kümeleme yapısıdır. Arıza durumunda kesintisiz hizmetin sağlanması için yük devretme kullanılır.

“Yük dengeleme, yüksek kapasiteli hizmet veren sistemler arasındaki işlem yükünü dengelemek, sürekliliği sağlamak için kullanılır. Bu uygulamalarda genellikle dengelenmesi gereken sistemlerin önüne “yük dengeleyici” adı verilen ek bir sistem kurulur.

Aşağıdaki şekilde yük dengeleme ve Yük Devretme Kümesi yapısı bir arada gösterilmektedir:

Bu küme yapısında “Yük Dengeleyici”, internet üzerinden web sunucularına gelen yoğun düzeydeki erişim taleplerini dengeler.

DB1 ve DB2 yapıları birlikte Yük Devretme Kümesini oluşturur. Buna göre 2 yapıdan birinde sorun yaşansa dahi diğeri üzerinden hizmetin devamı garanti altına alınmaktadır.

Eğitim, Test ve Bakım

İş sürekliliği yönetiminin planlanması ve gerekli altyapının kurulmasının ardından bir sonraki adım sürecin sürekliliğinin sağlanmasıdır. Bunun için en temel 3 bileşen eğitim, test ve bakımdır.

Eğitim

İş Sürekliliği Yönetim Planının uygulanması ve ilgili sistemlerin devamlılığı için ilgili personelin eğitimi esastır.

Bu eğitim sistematik olmalı ve her paydaş grubunun rolleri ve ihtiyaçlarına göre uyarlanmalıdır.

• BCM ekip üyeleri süreç yönetimi ve organizasyon becerileri konusunda eğitilmelidir.
• İş birimlerinin, özellikle de BT ekiplerinin, operasyonlarını iş sürekliliği gereksinimlerine uygun şekilde yönetebilmeleri için gerekli eğitimleri almaları gerekmektedir.
• Çalışanlar iş sürekliliği yönetiminin temelleri ve sorumlulukları konusunda farkındalık eğitimi almalıdır.

Testler ve Alıştırmalar

İş Sürekliliği Yönetim Planı oluşturulup uygulandıktan sonra etkinliği periyodik olarak test edilmelidir. Bunu yapmanın en geçerli yolu test ve egzersiz yapmaktır.

Test ve egzersiz yapmanın birden fazla geçerli yolu vardır. Her yaklaşımın avantajları ve dezavantajları vardır.

Geçerli test ve egzersiz yöntemlerine ilişkin bilgiler aşağıda yer almaktadır:

Okuma Testi

“Read-Through Testi, İş Sürekliliği Yönetimi çerçevesinde yapılması gereken en basit ve temel testtir ancak yine de oldukça kritiktir.

Test sırasında hazırlanan iş sürekliliği süreç dokümanları ilgili taraflara gönderilir ve incelenir.

Beklenen faydalar aşağıdaki gibidir:

• Kilit personelin sorumluluklarının farkına varmasını sağlar
• Tarafların güncel olmayan bilgiler için planları gözden geçirmesine olanak tanır
• Tarafların değişikliklerden haberdar olmasını ve gerekli değişiklikleri önerebilmesini sağlar

Yapılandırılmış Geçiş

“Masaüstü Tatbikatı” olarak da bilinen bu tür testte, BCM ekibinin üyeleri ve diğer ilgili ekipler büyük bir konferans odasında toplanır ve bir iş sürekliliği kesintisi ve/veya felaket senaryosunu canlandırır.

Senaryo bir veya daha fazla olabilir.

Ekip liderinin sunduğu veya talimat verdiği senaryolara yanıt olarak ilgili taraflar müdahale eylemlerini sunacaklardır.

Testin sonunda paydaşlar yetkinliklerini ölçebilmeli ve eksikliklerini tespit edip giderebilmelidir.

Simülasyon Testi

Simülasyon testi, yapılandırılmış adım adım testin ileri düzeyidir. Simülasyon testlerinde senaryolar sadece kağıt üzerinde tartışılmaz. Senaryolar gerçek hayatta oynanıyor. Buna karşılık, etkilenen sistemlerin onarılması veya alternatif sistemlerin devreye alınması için çaba sarf edilmektedir.

Paralel Test

Paralel Test, İş Sürekliliği Yönetimine yönelik ileri düzey testlerden biridir. Bu test çalışmasında bir felaket senaryosunun oluştuğu ve kurumun ana sistemlerinin devre dışı kaldığı varsayılmaktadır.

Süreçlerin alternatif lokasyonlar (Felaket Kurtarma Merkezleri vb.) veya İş Sürekliliği Yönetimi kapsamında hazırlanmış sistemler üzerinden yürütülmesine çalışılmaktadır.

Ancak bu alıştırma sırasında birincil siteler ve sistemler aslında kesintiye uğramaz.

Paralel testler kapsamlı organizasyon ve yüksek maliyetler gerektirir. Bu nedenle çok sık kullanılması mümkün değildir.

Tam Kesinti Testi

Tam kesinti testi, iş sürekliliği ve felaket yönetiminde kullanılabilecek en üst düzey testtir. Temelde paralel testle aynı mantığa sahiptir. Tam bozulma testinde ise kuruluşun ana sitesi ve sistemleri tamamen devre dışı bırakılır.

Tam Kesinti Testi çok riskli bir test türüdür. Test sırasında meydana gelebilecek bir kesinti, ciddi operasyonel ve itibar kaybına neden olabilir.

Ancak gerçek dünyadaki afet senaryolarına hazırlıklı olmak için kritik altyapı kuruluşlarının uzun vadeli planlamasının bir parçası olarak uygulamaya konulmalıdır.

İş Sürekliliği Testlerinin Karşılaştırılması

Aşağıda iş sürekliliği sürecinin bir parçası olarak kullanılabilecek testlerin karşılaştırma tablosu yer almaktadır:

Bakım

İş Sürekliliği Yönetimi ve faaliyetleri dinamik bir süreç olarak görülebilir. Eğitim faaliyetleri, test ve olay sonuçları kuruluşa değerli bilgiler sağlar.

Bu nedenle İş Sürekliliği Yönetimi süreci ve onu açıklayan dokümanların edinilen bilgilere göre düzenli olarak güncellenmesi gerekmektedir.

Ayrıca İş Sürekliliği Yönetiminin sürekli iyileştirmeyi desteklemek için Deming Döngüsünü (PDCA, Planla-Uygula-Kontrol Et-Önlem Al) takip etmesi beklenmektedir.

İş Sürekliliği Kuralları

Bilgi güvenliği için iş sürekliliği esas olsa da önemi sadece bu yönüyle sınırlı olamaz. Kuruluşlar, daha önce bahsettiğimiz bilgi güvenliği üçlüsünün (CIA) “gizlilik” ve “bütünlük” konularında çok başarılı olmasalar bile temel düzeyde faaliyetlerine devam edebilirler. Ancak kullanılabilirlik ve ilgili iş sürekliliği sağlanmadan operasyonel süreçler bile işleyemez.

Yani tüm kuruluşların önemli verilerin yedeklenmesi, kritik sistemler için kümelenme yapılarının kurulması gibi sistematik bir yaklaşım şeklinde olmasa da iş sürekliliği ile ilgili temel aksiyonları aldığını söyleyebiliriz.

Ancak İş Sürekliliği Yönetiminin bir organizasyonda detaylı ve eksiksiz bir şekilde sistematik bir şekilde uygulanabilmesi için bu alanda yayınlanmış uluslararası rehberlerden faydalanılmasında fayda vardır. Bu süreçte ya sadece ilgili rehberlerden ilham alabilir ya da bir tanesinin tüm gerekliliklerini detaylı bir şekilde uygulayıp ardından denetimler/sertifikalar yoluyla süreci iyileştirebilirsiniz.

Aşağıda bu alanda öne çıkan rehberlere ilişkin bir özet yer almaktadır:

NIST SP800-34

“NIST SP 800-34: Bilgi Teknolojisi Sistemleri için Acil Durum Planlama Kılavuzu”, bilgi teknolojisi sistemleri için kriz acil durum planlaması ve iş sürekliliği konusunda rehberlik sağlar.

Kılavuz, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından geliştirilmiştir. Esas olarak Amerika Birleşik Devletleri’ndeki federal kurumlar tarafından kullanılsa da, aynı zamanda uluslararası alanda da dikkate alınan ve takip edilen bir rehberdir.

NIST SP 800-34’ün ana özellikleri aşağıdaki gibidir:

Amaç: Bu kılavuz, bilgi teknolojisi sistemlerinin krizlere hazırlıklı olmasını, krizlere yanıt vermesini ve krizlerden kurtulmasını sağlamayı amaçlamaktadır. Bu, bir kuruluşun bilgi teknolojisi altyapısının sürekli çalışması ve dolayısıyla iş sürekliliği açısından kritik öneme sahiptir.

Kapsam: “NIST SP 800-34 iş sürekliliği planlama süreçlerini detaylandırır. Bu süreçler risk değerlendirmesini, süreç tanımlamayı ve sürekli güncellenen iş sürekliliği planlarının oluşturulmasını ve test edilmesini içerir.

İş Sürekliliği Planlaması: Kılavuz, kuruluşların iş sürekliliği planlarını geliştirmesi ve uygulaması için adım adım bir yaklaşım sağlar; planlama, analiz, tasarım, uygulama, değerlendirme ve sürdürülebilirlik gibi konular detaylı bir şekilde ele alınmaktadır.

Risk Değerlendirmesi: Risk değerlendirmesi ve yönetimi, bilgi teknolojisi sistemleri için iş sürekliliği planlarının geliştirilmesinde kritik öneme sahiptir. Kılavuz, risk yönetimi sürecini detaylandırıyor ve kuruluşların kendi risk profillerini belirlemelerine yardımcı oluyor.

Sürekli İyileştirme: “NIST SP 800-34, kuruluşların iş sürekliliği planlarını periyodik olarak gözden geçirmek, güncellemek ve iyileştirmek için süreçler oluşturmasını önerir. Bu, kuruluşların değişen koşullara ve risklere uyum sağlamasına olanak tanır.

ISO 22301

“ISO 22301: İş Sürekliliği Yönetim Sistemleri – Gereksinimler Standardı, iş sürekliliği yönetim sistemlerinin kurulması, uygulanması ve sürdürülmesine ilişkin gereksinimleri belirten uluslararası bir standarttır.

ISO 22301, iş sürekliliği yönetim sistemlerinin temel unsurlarını tanımlar ve kuruluşlara aşağıdaki konularda rehberlik eder:

İş Sürekliliği Politikası: Kuruluşun iş sürekliliği hedeflerini belirten ve taahhütlerini içeren bir politika oluşturmak.

Risk Değerlendirmesi ve Yönetimi: Potansiyel risklerin belirlenmesi, değerlendirilmesi ve bu risklere karşı etkili önlemlerin alınması.

İş Sürekliliği Planlama ve Uygulama: İş sürekliliği planlarının oluşturulması ve planların işler hale getirilmesi.

İyileştirme: Sürekli iyileştirme sürecinin uygulanması ve kuruluşun iş sürekliliği performansının düzenli olarak gözden geçirilmesi.

Sertifikasyon ve İnceleme: İş sürekliliği yönetim sistemi dokümantasyonunu, sertifikasyon süreçlerini ve periyodik incelemeleri oluşturmak.

Standardın güncel versiyonu ISO ve yetkili platformlarından satın alınabilmektedir.

ISO tarafından yayınlanmış ve bu bağlamda dünya çapında geçerliliği olan bir standarttır.

ISO 22301 standardı, bir kuruluşun faaliyet kapsamına ve tabi olduğu düzenlemelere bağlı olarak yetkililer veya paydaşlar tarafından zorunlu tutulabilir.

Bu durumda kuruluşlar iş sürekliliği yönetimi süreçlerini ISO 22301 standardının gerekliliklerine göre düzenler, denetimlerden geçer ve sertifika alırlar.

Diğer Standartlar ve Çerçeveler

İş Sürekliliği, Bilgi Güvenliği ve BT Altyapı Yönetiminin önemli bir parçasıdır. Dolayısıyla bu alanlarda yayınlanan standartlar ve çerçeveler iş sürekliliği yönetimi için referans teşkil etmektedir.

Bu standartlar ve çerçeveler, kuruluşların iş sürekliliğini başarılı bir şekilde tesis edebilmeleri için yol gösterici gereklilikler içerir. Bu kılavuzların örnekleri aşağıda listelenmiştir:

ISO 27001

ISO 27001: Bilgi Güvenliği Yönetim Sistemleri, Bilgi Güvenliği Yönetim Sisteminin (BGYS) kurulması, uygulanması ve sürdürülmesine yönelik gereksinimleri belirtir. Bu standardın bir parçası olarak iş sürekliliği ve felaket yönetimi ile ilgili temel gereklilikler bulunmaktadır.

Mevcut ISO 27001 standardında iş sürekliliği, genel bilgi güvenliği yönetiminin yanı sıra aşağıdaki gereksinim başlıkları altında ele alınmaktadır.

Kesintiler Sırasında Bilgi Güvenliği

İş sürekliliğini etkileyen bir kesinti sırasında alınacak aksiyonların belirlenmesine yönelik gereklilikleri içerir.

İş Sürekliliği için BİT hazırlığı

Bilgi ve iletişim teknolojisi altyapılarının bakım, kapasite ve diğer gereksinimler açısından sürekli işlevselliğinin sağlanmasına yönelik gereksinimleri içerir.

COBIT

COBIT (Bilgi ve İlgili Teknolojiler için Kontrol Hedefleri), bilgi teknolojisi ve iş sürekliliği yönetimi için kapsamlı bir çerçevedir. Özellikle iş sürekliliğiyle ilgili spesifik gereksinimlere odaklanır. COBIT, kuruluşların bilgi ve teknoloji varlıklarını etkin bir şekilde yönetmelerini sağlamak için tasarlanmış bir çerçevedir. İş Sürekliliği Yönetimi bu çerçevede ele alınan önemli konulardan biridir.

COBIT’in İş Sürekliliği Yönetimi ile ilgili temel prensip ve gerekliliklerinden bazıları şunlardır:

• İş Sürekliliği Yönetim Sisteminin Kurulması ve Yönetilmesi: İş sürekliliği yönetim sisteminin kurulması ve sürdürülmesi için gerekli yönetim süreçlerini tanımlar.

• İş Sürekliliği İhtiyaçlarının Belirlenmesi ve Analiz Edilmesi: İş sürekliliği gereksinimlerinin belirlenmesi ve analiz edilmesi için gerekli süreçleri içerir.

• İş Sürekliliği Planlarının Oluşturulması ve Güncellenmesi: İş sürekliliği planlarının oluşturulması, güncellenmesi ve test edilmesi için gereken süreçleri içerir.

• İş Sürekliliğinin İyileştirilmesi ve Uygulanması: İş sürekliliği yönetimi süreçlerinin sürekli olarak iyileştirilmesi ve uygulanması için gerekli değerlendirmeleri içerir.

• İş Sürekliliği Performansının ve Etkinliğinin İzlenmesi ve Gözden Geçirilmesi: İş sürekliliği planlarının ve süreçlerinin performansını izlemek ve gözden geçirmek için gereken kontrolleri ana hatlarıyla belirtir.

ITIL (Bilgi Teknolojileri Altyapı Kütüphanesi)

ITIL (Bilgi Teknolojisi Altyapı Kütüphanesi), bilgi teknolojisi hizmetlerinin yönetimine yönelik en iyi uygulama kılavuzlarının bir çerçevesidir. BT hizmetleri sağlayan kuruluşların hizmet yönetimi süreçlerini tanımlar ve rehberlik sağlar.

İş Sürekliliği, ITIL’de BT Hizmet Yönetimi süreçlerinin önemli bir bileşeni olarak ele alınmaktadır. Aşağıda ITIL’de yer alan iş sürekliliği gereksinimlerinin örnekleri verilmiştir:

Hizmet Sürekliliği Yönetimi: ITIL, kuruluşların BT hizmetlerini sürdürme ve kriz durumlarına hazırlanma süreçlerine rehberlik eder. Bu başlık, İş Sürekliliği Yönetimini içerirken aynı zamanda bir kuruluşun kritik BT hizmetlerinin sürdürülebilirliğini sağlamak için gerekli adımları da tanımlar.

Risk Yönetimi: ITIL risk yönetimi süreçlerine odaklanır. Kuruluşların potansiyel kriz durumlarını tanımlamasına, değerlendirmesine ve yönetmesine yardımcı olur.

Acil Durum Yönetimi: ITIL acil durum yönetimi süreçlerini kapsar. Bu süreçler, beklenmeyen olaylara hızlı yanıt verme ve iş sürekliliğini sağlama yeteneğini içerir.

Planlama ve Tasarım: ITIL, BT hizmetlerinin planlanması ve tasarımına odaklanır. Bu bağlamda iş sürekliliği planlarının oluşturulması ve tasarlanması önemli bir konu olarak değerlendirilmektedir.

İyileştirme: ITIL’in temel ilkelerinden biri sürekli iyileştirmedir. İş Sürekliliği süreçleri ve planları düzenli olarak gözden geçirilmekte ve iyileştirilmektedir.