Veri kaybının en ucuz çözümü, hiç yaşanmamasıdır. Bir yedekleme sistemi kurmanın maliyeti, tek bir veri kaybı vakasının maliyetinin çok altındadır. Buna rağmen pek çok kurumda yedekleme ya hiç yok, ya da yıllardır kimse geri dönüp dönmediğini test etmemiş durumda.
Kurumunuza uygun yedekleme mimarisini kuruyor, otomatikleştiriyor ve düzenli olarak test ediyoruz. Test edilmemiş bir yedek, yedek sayılmaz.
3-2-1 Yedekleme Stratejisi
Sektörde en yaygın kabul gören yaklaşım 3-2-1 kuralıdır:
- 3 kopya: Asıl veri ve en az iki yedek
- 2 farklı ortam: Örneğin bir NAS ve bir bulut hesabı
- 1 kopya şirket dışında: Yangın, hırsızlık ve sel gibi fiziksel risklere karşı
Üçüncü madde çoğu kurumda eksiktir. Tüm yedeklerin aynı binada durması, o binayı etkileyen bir olayda hepsinin birden kaybı anlamına gelir.
NAS Kurulumu ve Yapılandırması
NAS cihazları, kurumsal yedeklemenin en yaygın ve maliyet etkin çözümüdür. Synology ve QNAP başta olmak üzere NAS kurulumlarını uçtan uca yürütüyoruz:
- Model ve kapasite seçimi: Mevcut veri hacmi ve büyüme hızına göre planlama
- RAID yapılandırması: Disk arızasına karşı koruma seviyesinin belirlenmesi
- Paylaşım ve yetkilendirme: Departman bazlı klasör yapısı ve erişim izinleri
- Anlık görüntü (snapshot): Fidye yazılımına karşı geri dönülebilir noktalar
- NAS-to-NAS çoğaltma: İkinci lokasyona otomatik kopyalama
- Uyarı yapılandırması: Disk arızası ve kapasite doluluk bildirimleri
Önemli bir ayrım: RAID yedekleme değildir. RAID, disk arızasına karşı koruma sağlar; yanlışlıkla silinen bir dosyayı ya da şifrelenen verileri geri getirmez. NAS üzerinde de ayrıca yedekleme yapılandırılmalıdır.
Otomatik Yedekleme Sistemleri
Elle yapılan yedekleme, er ya da geç unutulur. Tüm yedekleme işlerini otomatikleştiriyor ve merkezî olarak izliyoruz:
- Sunucu ve sanal makine yedekleri
- Veritabanı yedekleri (tutarlı yedek alma dahil)
- Kullanıcı bilgisayarlarındaki kritik klasörler
- E-posta ve bulut hesapları
- Ağ cihazlarının yapılandırma yedekleri
Yedekleme Planı: RPO ve RTO
Yedekleme planı iki soruya verilen cevaba göre kurgulanır:
- Ne kadar veri kaybını göze alabilirsiniz? (RPO) Günlük yedek alınıyorsa en kötü senaryoda bir günlük çalışma kaybolur. Bu kabul edilebilir değilse yedekleme sıklığı artırılmalıdır.
- Ne kadar sürede ayağa kalkmanız gerekiyor? (RTO) Sunucu tamamen çöktüğünde kaç saat içinde çalışır hâle gelmelisiniz? Bu süre, yedekleme yönteminin yanı sıra kurtarma altyapısını da belirler.
Bu iki soruyu birlikte yanıtlayarak, ihtiyaca uygun ve bütçeyi zorlamayan bir plan çıkarıyoruz.
Geri Dönüş Testleri
Yedekleme sistemlerinde en sık karşılaştığımız sorun, yedeğin alınmıyor olması değil; alınan yedeğin geri dönmemesi. Bozuk yedek dosyaları, eksik yapılandırma ve unutulmuş şifreler ancak gerçek bir felaket anında fark edilir.
Bu yüzden düzenli geri dönüş testi yapıyoruz: yedekten örnek bir geri yükleme gerçekleştirilir, sonuç raporlanır. Test edilmiş yedek, gerçek güvencedir.
Felaket Kurtarma Planı
Yedekleme, felaket kurtarmanın yalnızca bir parçasıdır. Tam bir plan şunları içerir:
- Kritik sistemlerin öncelik sırasının belirlenmesi
- Kurtarma adımlarının yazılı prosedüre bağlanması
- Sorumluların ve iletişim zincirinin tanımlanması
- Alternatif çalışma senaryosunun hazırlanması
- Planın düzenli olarak tatbik edilmesi
Mevcut Yedekleme Sisteminizin Denetimi
Halihazırda bir yedekleme sisteminiz varsa, önce onu denetliyoruz: neler yedekleniyor, neler dışarıda kalmış, yedekler gerçekten geri dönüyor mu, saklama süresi yeterli mi. Çoğu durumda mevcut yatırımı korumak ve eksikleri tamamlamak, sıfırdan kurmaktan daha akılcıdır.
Fidye Yazılımına Karşı Yedekleme
Fidye yazılımları artık yalnızca aktif dosyaları değil, erişebildikleri yedekleri de şifreliyor. Ağa bağlı ve sürekli erişilebilir durumdaki bir NAS, saldırı anında asıl veriyle birlikte şifrelenebilir. Bu durumda "yedeğimiz vardı" cümlesinin pratik bir karşılığı kalmaz.
3-2-1 kuralının fidye yazılımına karşı çalışan kısmı, şirket dışındaki ve sürekli bağlı olmayan kopyadır. İki yaklaşım kullanıyoruz:
- Çevrimdışı kopya. Yedek alındıktan sonra fiziksel olarak ağdan ayrılan disk. Basit ve etkilidir; disiplin gerektirir.
- Değiştirilemez yedek. Belirlenen süre boyunca silinemeyen veya üzerine yazılamayan bulut yedeği. Yönetim yükü daha azdır.
Bir ayrıntı çoğu zaman atlanır: yedekleme hesabı, günlük kullanıcı hesaplarından ayrı ve yetkisi sınırlı olmalıdır. Ele geçirilen bir kullanıcı hesabı yedeklere erişebiliyorsa, katman sayısı kaç olursa olsun koruma çalışmaz.
Yedeğin kendisini korumak, saldırıyı önlemekten ayrı bir iştir; ikisi birlikte kurgulanmalıdır. Uç nokta ve e-posta tarafı için siber güvenlik hizmetimize, kuralın tamamı için 3-2-1 yedekleme stratejisi yazımıza bakabilirsiniz.
Yedeklemesi Sık Atlanan Veriler
Yedekleme planları genellikle sunucu etrafında kurulur. Sahada karşılaştığımız veri kayıplarının önemli bölümü ise plana hiç girmemiş yerlerden çıkar.
- Kullanıcı bilgisayarlarındaki yerel dosyalar. Masaüstünde tutulan sözleşme, teklif ve tasarım dosyaları sunucuya hiç kopyalanmamış olabilir.
- E-posta ve bulut ofis verileri. Bulut hizmeti sağlayıcısı altyapıyı yedekler; ancak kullanıcının kalıcı olarak sildiği bir öğeyi belirli bir süreden sonra geri getirmek genellikle mümkün olmaz.
- Muhasebe ve sektörel uygulama veritabanları. Uygulama çalışırken alınan kopya tutarsız olabilir; veritabanının kendi yedekleme yöntemiyle alınması gerekir.
- Kamera kayıtları. DVR/NVR diskleri döngüsel yazar; kritik bir kayıt üzerine yazılmadan alınmalıdır.
- Cihaz yapılandırmaları. Firewall, switch ve sunucu rol ayarları. Veri geri gelse bile yapılandırma yoksa sistem günlerce ayağa kalkmaz.
Mevcut yapınızda hangi verinin kapsam dışında kaldığını çıkarmak, yedekleme denetiminin ilk adımıdır.
KVKK Açısından Yedeklerin Saklanması
Kişisel veri içeren yedekler de KVKK kapsamındadır ve bu, çoğu yedekleme planında gözden kaçar.
- Saklama süresi yedekler için de geçerlidir. Silinmesi gereken bir veri, yedekte süresiz kalmamalıdır; rotasyon planınız saklama sürelerinizle uyumlu olmalıdır.
- Ofis dışına çıkan yedekler şifreli tutulmalıdır. Kaybolan bir harici disk, şifresizse bildirim yükümlülüğü doğurabilir.
- Bulut sağlayıcının sunucu konumu önemlidir; yurt dışına aktarım söz konusuysa ilgili mevzuata uygunluk gerekir.
- Yedeklere kimin eriştiği kayıt altında olmalıdır.
Veri işleme ve saklama yaklaşımımızı KVKK aydınlatma metnimizde ayrıntılandırdık.
Yedekleme Maliyetini Ne Belirler?
Yedekleme yatırımı tek kalemden oluşmaz. Teklif hazırlarken şu başlıklar üzerinden hesaplıyoruz:
- Korunacak veri hacmi ve büyüme hızı. Kapasite, bugünün verisine göre değil iki yıl sonrasına göre planlanır.
- Sürüm geçmişi. Kaç gün geriye dönebilmek istediğiniz, gereken alanı doğrudan belirler.
- Kurtarma süresi hedefi. "Bir gün duramayız" ile "bir hafta idare ederiz" farklı mimariler gerektirir.
- Şirket dışı kopyanın biçimi. Bulut aboneliği yinelenen gider, harici disk tek seferlik yatırım ve süreklilik disiplini demektir.
- Uygulama sayısı ve tipi. Veritabanı ve sanal makine yedeklemesi, dosya yedeklemesinden farklı lisans ve yapılandırma gerektirir.
Mevcut yapınızın ne kadarının korunduğunu görmek için ücretsiz bir yedekleme denetimi yapıyoruz; sonucunu yazılı olarak paylaşıyoruz.
Yedekleme Yapısını Çevreleyen Hizmetler
Yedekleme, korumaya çalıştığı sistemden bağımsız düşünülemez. Neyi, nereden, hangi sıklıkta yedeklediğiniz altyapınızın kendisiyle belirlenir.
Yedeklenen verinin kaynağı çoğu zaman sunucu sistemleridir; kurulum aşamasında yedekleme mimarisini birlikte kurguluyoruz. Fidye yazılımına karşı yedeğin kendisini korumak için siber güvenlik katmanı gerekir — ağa sürekli bağlı bir yedek, saldırı anında birlikte şifrelenebilir.
Yedeğin düzenli çalıştığının izlenmesi yönetilen BT hizmetleri kapsamındadır. Yedeği olmayan ve erişilemeyen veriler için veri kurtarma laboratuvarımız son çaredir; ancak kurtarma hiçbir zaman yedeğin yerini tutmaz.
Tam, artımlı ve diferansiyel yedek arasındaki fark
Yedekleme planı kurarken verilen ilk karar budur. Üçü de aynı veriyi korur; ayrıştıkları yer, yedek almanın ne kadar sürdüğü ile geri dönüşün ne kadar sürdüğü arasındaki takastır.
| Tür | Yedek süresi | Geri dönüş | Alan |
|---|---|---|---|
| Tam | Uzun | Kısa | Yüksek |
| Artımlı | Kısa | Uzun | Düşük |
| Diferansiyel | Orta | Orta | Orta |
Artımlı yedekte geri dönüş, son tam yedeğe ek olarak ondan sonraki bütün artımlı yedekleri sırayla gerektirir. Zincirdeki tek bir dosya bozuksa geri dönüş o noktada durur. Bu yüzden artımlı plan kuranlarda düzenli geri dönüş testi, tam yedek kullananlara kıyasla daha kritiktir.
Uygulamada çoğu kurumda haftalık tam, günlük artımlı bir düzen kuruyoruz ve geri dönüşü periyodik olarak deniyoruz. Yedeğin varlığı değil, geri dönebildiği kanıt sayılır.