Veri Kaybının Maliyeti

Veri kaybı yalnızca "dosya kaybı" değildir

Bir işletmede veri kaybı yaşandığında ilk akla gelen, kaybolan dosyalardır. Oysa asıl hasar çoğu zaman dosyaların kendisinden değil, onlar olmadan çalışılamayan her şeyden doğar: sipariş alınamaz, fatura kesilemez, müşteriye yanıt verilemez, ekip beklemek zorunda kalır.

Veri kaybının gerçek bedeli birkaç kalemden oluşur:

• Kesinti maliyeti: Sistem ayağa kalkana kadar çalışanların ürettiği değer sıfırlanır, ama maaşlar ve giderler sürer.
• Yeniden üretim emeği: Kaybolan kayıtların elle yeniden girilmesi, çoğu zaman mümkün bile olmaz.
• İtibar ve müşteri güveni: Teslim edilemeyen sipariş ya da kaybolan müşteri bilgisi, rakiplere gidilmesi demektir.
• Hukuki ve mali sonuçlar: Kişisel verilerin korunmasına ve ticari kayıtların saklanmasına ilişkin yükümlülükler.
• Kurtarma masrafları: Acil veri kurtarma hizmetleri pahalıdır ve sonuç garantisi vermez.

Yedeksiz ve yedekli işletme: aynı olay, farklı sonuç

Aynı diske ya da aynı fidye yazılımına yakalanan iki işletmeyi düşünün. Birinde güncel bir yedek var, diğerinde yok. Olay anı aynıdır; yaşananlar değil.

Veri kaybının en yaygın senaryoları

1. Donanım arızası

Diskler, sunucular ve depolama birimleri sonsuza kadar çalışmaz. Arıza çoğu zaman uyarı vermeden gelir. RAID bir diskin bozulmasına karşı koruma sağlar, ancak denetleyici arızası, yazılım hatası ya da yanlışlıkla silinen veriye karşı sizi korumaz.

2. İnsan hatası

Yanlışlıkla silinen bir klasör, üzerine yazılan bir dosya, hatalı çalıştırılan bir SQL komutu... İş yerlerindeki veri kayıplarının büyük bölümü kötü niyetten değil, basit hatalardan doğar. Geçmiş sürümleri tutan bir yedek, bu hatayı geri alınabilir kılar.

3. Fidye yazılımı

Fidye yazılımı dosyalarınızı şifreler ve erişimi geri vermek için ödeme ister. Ödeme yapmak verinin geri geleceğini garanti etmez; üstelik saldırganları cesaretlendirir. Fidye yazılımına karşı en güçlü savunma, saldırganın ulaşamadığı güncel bir yedektir.

4. Hatalı güncelleme veya yazılım hatası

Bir uygulama güncellemesi veritabanını bozabilir ya da bir entegrasyon hatalı veri yazabilir. Sorun fark edildiğinde, "bozulmadan önceki" bir yedeğe dönmek en hızlı çözümdür.

5. Fiziksel olaylar

Yangın, su baskını, elektrik dalgalanması, hırsızlık... Sunucu odasına gelen fiziksel bir zarar, aynı yerdeki yedeği de götürür. Bu nedenle en az bir kopyanın başka bir konumda bulunması gerekir.

RPO ve RTO: yedekleme hedeflerinizi belirleyin

Yedekleme planı yaparken iki kısaltma işinize yarar:

• RPO (Recovery Point Objective – Kurtarma Noktası Hedefi): En fazla ne kadarlık veri kaybını göze alabilirsiniz? Yedekleriniz günde bir kez alınıyorsa, en kötü durumda neredeyse bir günlük veriyi kaybedebilirsiniz.
• RTO (Recovery Time Objective – Kurtarma Süresi Hedefi): Olaydan sonra sistemin ne kadar sürede yeniden çalışır hale gelmesi gerekir? Bu süre yedeğin türüne, boyutuna ve geri yükleme hızına bağlıdır.

Yedekler de saldırının hedefidir

Güncel fidye yazılımları yalnızca canlı verileri değil, erişebildikleri yedekleri de şifrelemeyi ya da silmeyi dener. Aynı ağdan, aynı hesapla erişilen bir paylaşım klasörü, saldırgan için ilk hedeflerden biridir. Yedeklerinizi korumak için:

• Yedekleri asıl sistemden ayrı bir konumda (örneğin uzak bir SFTP sunucusu) tutun.
• Yedekleme hesabına yalnızca gereken yetkiyi verin; yönetici hesabıyla her yere erişmesini engelleyin.
• Yedek dosyalarını AES-256 ile şifreleyin; çalınan yedek okunamaz olsun.
• Geçmiş sürümleri saklayın; saldırı geç fark edilse bile önceki temiz sürüme dönebilin.
• Mümkünse bir kopyayı çevrimdışı ya da değiştirilemez (immutable) biçimde tutun.
• Geri yüklemeyi düzenli olarak test edin.

Yasal ve kurumsal boyut

Yedekleme yalnızca teknik bir konu değildir. 6698 sayılı KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini, erişilmesini ve kaybolmasını önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü getirir. Müşteri, çalışan ve tedarikçi bilgilerini tutan bir işletme için güvenilir bir yedekleme bu tedbirlerin doğal bir parçasıdır.

Ayrıca ticari defterler ve belgeler için Türk Ticaret Kanunu ve Vergi Usul Kanunu gibi mevzuatta belirlenmiş saklama süreleri vardır. Bu kayıtlar dijital ortamdaysa, bu süre boyunca erişilebilir kalmaları için yedeklenmeleri gerekir. Kendi işletmeniz için geçerli süreleri mali müşavirinizden ve hukuk danışmanınızdan teyit edin.

Kesinti maliyeti hesaplayıcısı

Aşağıdaki basit hesaplayıcı, bir kesintinin kabaca ne kadara mal olabileceğine dair fikir verir. Kendi değerlerinizi girerek deneyin.

Bugün atabileceğiniz 6 adım

1. Neyin kritik olduğunu listeleyin. Veritabanları, ortak klasörler, yapılandırma dosyaları.
2. RPO ve RTO hedeflerinizi yazın. "En fazla ne kadar veri kaybederim, ne kadar sürede ayağa kalkmalıyım?"
3. Yedeklemeyi otomatikleştirin. Zamanlanmış, şifreli ve izlenen bir çözüm kurun.
4. Uzak bir kopya ekleyin. En az bir yedek başka bir konumda dursun.
5. Geri yüklemeyi deneyin. Yılda en az birkaç kez gerçek bir geri yükleme testi yapın.
6. Sorumluyu belirleyin. Yedek bildirimlerini kimin takip ettiğini bilin.