IT altyapı hizmetleri: Siz işinize bakın, sistemleriniz sessizce çalışsın

KOBİ'lerde IT altyapısı genellikle nerede aksar?

Türkiye'deki birçok KOBİ'nin altyapısı yıllar içinde parça parça büyümüştür: ofisin bir köşesinde muhasebe programının veritabanını taşıyan bir sunucu, ortak klasörler için bir NAS, kişisel e-posta adresleriyle karışmış kurumsal yazışmalar, kimin hangi şifreyi bildiği belli olmayan bir modem. Bu yapı çalışır; ta ki bir disk dolana, bir çalışan ayrılana ya da bir fidye yazılımı paylaşılan klasörleri şifreleyene kadar.

Bir altyapıyı devraldığımızda ilk hafta şu soruların cevabını arıyoruz:

• İşletim sistemleri hâlâ güncelleme alıyor mu, yoksa desteği bitmiş sürümler mi çalışıyor?
• Yedek gerçekten var mı ve en son ne zaman geri yüklenerek denendi?
• Ayrılan çalışanların hesapları kapatılmış mı, yönetici şifresini kaç kişi biliyor?
• E-posta ve bulut hesaplarında iki adımlı doğrulama açık mı?
• Misafir Wi-Fi'ı, muhasebe bilgisayarı ve kamera kayıt cihazı aynı ağda mı?

Bu sorulardan birine "bilmiyoruz" cevabı çıkması hiç de alışılmadık değildir. IT altyapı hizmetinin ilk işi, bu cevapları netleştirip yazılı hâle getirmek ve her birini düzenli bir rutine bağlamaktır.

Yedekleme: 3-2-1 kuralı ve test edilmemiş yedeğin bedeli

Yedekleme için yaygın kabul gören başlangıç kuralı 3-2-1'dir: Verinin en az üç kopyası olmalı, bu kopyalar iki farklı ortamda tutulmalı ve en az bir kopya başka bir konumda bulunmalıdır. Ofisteki sunucu, aynı ofisteki NAS ve başka bir şehirde ya da bir veri merkezinde duran şifreli bir kopya bunun tipik bir örneğidir.

Fidye yazılımları yedekleri de hedef aldığı için kopyalardan en az birinin ağdan ayrılmış ya da değiştirilemez (immutable) olması gerekir. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi de veri seti yedeklerinin ağ dışında tutulmasını, yedeklere yalnızca yetkili yöneticilerin erişmesini ve yedeklerin fiziksel güvenliğinin sağlanmasını öngörür.

Kuralın en çok atlanan kısmı testtir: Geri yüklenmemiş bir yedek yalnızca bir varsayımdır. Bu yüzden belirli aralıklarla örnek dosyaları, veritabanlarını ve gerektiğinde bütün bir sunucuyu geri yükleyerek deniyor, sonucu raporluyoruz. Kaç saatlik veri kaybını göze alabileceğinizi ve sistemlerinizin ne kadar sürede yeniden çalışması gerektiğini de baştan sizinle belirliyoruz; yedek sıklığı bu cevaplara göre şekillenir.

KVKK'nın beklediği teknik tedbirler ve IT altyapısı

KVKK'nın 12. maddesi, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almasını ister. Kurum'un rehberinde sayılan teknik tedbirlerin çoğu doğrudan altyapı işidir: yetki matrisi ve yetki kontrolü, erişim kayıtları (log), kullanıcı hesabı yönetimi, ağ ve uygulama güvenliği, şifreleme, güvenlik duvarı, güncel antivirüs, sızma testi, yedekleme ve verilerin silinmesi ya da yok edilmesi.

Bu tedbirleri yalnızca kurmakla kalmıyor, belgeliyoruz. Bir müşteriniz, denetçiniz ya da sigorta şirketiniz "Yedeklerinizi nasıl alıyorsunuz, ayrılan çalışanların erişimini nasıl kapatıyorsunuz?" diye sorduğunda gösterebileceğiniz yazılı bir durum tablonuz olur. Bir veri ihlali yaşanırsa Kurul, bildirimin öğrenme tarihinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmasını bekler; erişim kayıtları ve güncel belgeler, bu kısa sürede neyin ne zaman olduğunu ortaya koymanın temelidir.

Web siteniz ve formlarınız için geçerli kurallara KVKK uyumlu web sitesi yazımızda değindik. Hukuki değerlendirme için avukatınızla çalışmanızı öneriyoruz; teknik tarafı biz üstleniyoruz.

IT ve yazılım tek ekipte: Sorunu dolaştırmadan çözmek

Muhasebe programı sabah dokuzda herkes aynı anda açtığında donuyorsa sorun programda mı, sunucunun diskinde mi, yoksa ofisin ağ anahtarında mı? Bu soruyu üç ayrı firmaya sorduğunuzda çoğu zaman üç ayrı suçlu duyarsınız. Yazılım geliştiren ve web siteleri işleten bir ekip olduğumuz için zinciri sunucudan veritabanına ve uygulamaya kadar tek elden inceleyebiliyoruz.

Yeni bir yazılıma geçerken de altyapıyı en baştan birlikte planlıyoruz. Kendi geliştirdiğimiz Coordix ERP gibi web tabanlı bir sistem ya da size özel bir ERP ve CRM yazılımı devreye girdiğinde; sunucunun nerede duracağı, yedeklerin nasıl alınacağı ve kullanıcıların nasıl yetkilendirileceği yazılımla aynı projede netleşir.

Sunucu bakımının neleri kapsadığını ve bir kesintinin işletmeye maliyetini nasıl hesaplayabileceğinizi KOBİ'ler için sunucu bakımı yazımızda ayrıntılı ele aldık.