afet durumunda kamuda veri güvenliği

AFET DURUMUNDA
KAMUDA VERİ GÜVENLİĞİ
PROJE ORTAKLARI
PROJE İŞTİRAKÇİLERİ
Sözleşme No: İSTKA/2012/DFD/142
2
Ekip
Tülay TAŞÇI – Bütçe ve Planlama Daire Başkanı
Ramazan BURÇAKBAŞ - Proje Sorumlusu
Zeynep Deniz ALDOĞAN - Proje Koordinatörü
Meral TOPÇU – Bilgi İşlem Uzmanı
Cemil KURDOĞLU-Proje Koordinatör Yardımcısı
Alperen ÖZTÜRK - Proje Koordinatör Yardımcısı
Proje Ortakları
Emine Üzüm TAN- İstanbul Aile ve Sosyal Politikalar İl Müdürlüğü
Hasan Utku KARADUMAN-İstanbul Emniyet Müdürlüğü
Necmi ŞAHİN- İstanbul İl Afet ve Acil Durum Müdürlüğü
Proje İştirakçileri
Burak REİS- İstanbul Proje Koordinasyon Birimi
Cenk KALFAOĞLU- Türk Kızılayı
Ercan MUTLU-İstanbul Milli Eğitim Müdürlüğü
İbrahim Söyler-İstanbul İl Sağlık Müdürlüğü
Mehmet Ali ALTINSOY-İSKİ(İstanbul Su ve Kanalizasyon İdaresi)
Mehmet GÜRSES-İstanbul Büyükşehir Belediyesi
Diğer Ekip Üyeleri Ömer Turhan - Ekip Lideri
Doç Dr. Yaşar Bülbül - Proje Danışmanı
Doç. Dr. Ertuğrul Karaçuha - Proje Danışmanı
Hande Özüak -Raportör
Ferhat Karakuş - Güvenlik ve Network Uzmanı
Server Tunca - Sistem Uzmanı
3
İçindekiler
7
8-9
Yönetici Özeti
Yöntem / Amaç
10-11
Afet ve Afet Yönetimi
12-24
Küresel Yönelimler
25-32
Veri Merkezleri
33-52
Mevcut Durum Analizi
53-54
Öneriler ve Sonuç
5
Yönetici Özeti
Doğal afetler, nedenleri, etkileri ve sonrasındaki faaliyetler, başta
mühendislik olmak üzere, pek çok bilim dalının inceleme konusudur.
Artan iletişim ve bilgi işlemin gücü doğal afetlerle başa çıkmanın
en önemli aracı olmaktadır. Herkesin bildiği üzere, İstanbul büyük
bir deprem riski ile karşı karşıyadır. Bu riske karşı çok sayıda
tedbir alınmakta ve çeşitli çalışmalar yürütülmektedir. Binaların
güçlendirilmesi veya yenilenmesi ana tedbir olarak gözükmekle
birlikte bir deprem veya farklı bir doğal afet durumunda yaraların
sarılması, zararların en aza indirilmesi etkin bir koordinasyonu şart
koşmaktadır. Koordinasyonun başarısı ise iletişim hizmetlerinin
kesintisiz sürmesine bağlıdır.
Günümüzde iletişim ve bilgi teknolojileri iç içe geçmiştir. Sayısallaşan
bilgi, veri merkezlerinde depolanmakta, işlenmekte, kablolu/
kablosuz networkler üzerinden iletilmektedir. Bir başka ifadeyle
kurumların hafızaları ve eylem güçleri kullanabildikleri bilgiişlem-iletişim kapasiteleri ile doğru orantılıdır. Bilgi-işlem-iletişim
kapasitesi aynı zamanda kesintisizlik ve süreklilik ifade etmektedir.
Veri merkezlerinin kesintisiz ve aşırı yüklerde çalışabilmesi için
alınması gereken tedbirler, yapılması gereken eylemler, yatırımlar
vardır.
Esas olarak; afet yönetimi, afetin olduğu an dışında öncesi ve
sonrasını da kapsayan bir süreçtir. Olası bir afet durumunda
hizmetlerin kesintisiz sürmesi için İstanbul’da kamuya ait veri
merkezlerinin ivedi olarak afet sonrasına hazırlıklı olmaları şarttır.
Bu çalışmada elde edilen bulgulara göre İstanbul’daki kamu veri
merkezleri ve iletişim altyapısı, olası bir afet durumuna hazır
gözükmemektedir.
Bu raporda çeşitli öneriler geliştirilmiştir. Bunların başında “sadece
bu işe tahsis edilmiş” kablosuz sayısal iletişim altyapısının kurulması,
veri merkezlerinin yeniden yapılandırılması ve konsolide edilmesi,
konulara hakim insan kaynağı yetiştirilmesi, gelmektedir.
Ramazan BURÇAKBAŞ
Proje Yetkilisi
7
Yöntem/Amaç
Bu çalışmada; gelecek referanslı / bütünlüklü-holistik / paydaş
beklentilerini hesaba katan / bilimsel / uygulanabilir bir yaklaşım
hedeflenmiştir. Problemleri gün yüzüne çıkarmak, çözüm önerileri
geliştirmek ve uygulama süreçlerinin takip edilmesini sağlamak
yönünde bir anlayış benimsenmiştir.
Keşif
Tanımlama
Yayma
Uygulama
Çalışmada 4D - Discovery/Define/Deploy/Drive metodolojisi
kullanılmıştır. Bu metodoloji sorunları teşhis etmekle yetinmeyip
aynı zamanda tanımlar ve yayma, uygulama önerileri içerir.
Saha Ziyareti ve Teknik İncelemeler
Proje kapsamında saha ziyaretleri yapılarak veri merkezleri teknik
uzmanlar tarafından yerinde incelenmiştir.
Mülakatlarda İzlenen Yöntem
Mülakatlarda yarı yapılandırılmış anketler uygulandığı gibi
görüşüne başvurulan kişinin dikkat çekmeye çalıştığı meseleler
dikkatlice not edilmiştir. Bazı görüşmeler kartopu etkisi yaratmış
ve ardından birçok uzmanın kıymetli görüşlerinin toplanmasını
sağlamıştır.
Odak Grup Toplantılarında İzlenen Yöntem
Yönetici ve uzmanların katıldığı odak grup toplantılarında beyin
fırtınası, zaman-değer matrisi teknikleri uygulanmış ve
katılımcılardan maksimum katkı almaya çalışılmıştır. Problemler ve
çözüm yolları tartışılmıştır. Ayrık görünen tüm fikirler
birleştirilerek ortak akıl üretmek amaçlanmıştır.
Rapor Yazımında İzlenen Yöntem
Verilerle, örneklerle desteklenen, herkesin okuyup
faydalanabileceği bir yazım yöntemi uygulanmış, inter-disipliner
bir yaklaşım benimsenmiştir.
8
Sunucu Genel
Bakım
İklimlendirme
Fiziksel
Güvenlik
Yangın
VERİ
MERKEZİ
Bağlantılar
Genel
Sistem
Devamlılığı
Fiziksel
Yapı
Enerji
Kritik
Uygulamalar
Yedekleme
“Afet Durumunda Kamuda Veri Güvenliği” kapsamında İstanbul’da
seçilmiş kamu kurumlardaki mevcut veri güvenliği durumlarının
incelenmesi ile bu doğrultuda kurumların olası afet durumlarındaki
veri güvenliklerinin analiz edilmesi hedeflenmektedir.
Raporun ilk aşamasında veri güvenlik merkezlerinin mevcut
durumlarının sağlıklı bir biçimde ortaya konabilmesi için dünyadaki
örneklerin anlaşılmasına yönelik literatür incelemesi yapılmıştır.
Bir sonraki aşamada, İstanbul’da önem arz eden kamu kurumlarının
veri güvenlikleri ile ilgili hedeflenen analizlerin yapılabilmesi için
tüm kurumlarda incelenmek üzere 12 ana başlık (Fiziksel Kontrol,
İklimlendirme, Yangın ve Duman, Enerji, Fiziksel Güvenlik, Sunucu
Genel Bakım, Veri Güvenliği, Yedekleme, Kritik Uygulama/Sunucular,
Bağlantılar, Sistem Devamlılığı ve Genel Durum) altında 120 parametre
belirlenmiş ve bu parametreler doğrultusunda kurumlar ziyaret
edilerek, kurum yetkilileriyle derinlemesine mülakatlar/anketler
gerçekleştirilmiştir.
Raporun son aşamasında ise İstanbul’da belirlenmiş kamu
kurumlarının veri merkezlerinin mevcut durumları dünyadaki örnekler
ile karşılaştırılarak mevcut durum analizi gerçekleştirilmiş; alınacak
tedbirler tespit edilerek veri güvenlik merkezlerinin yönetim ve
stratejilerine yönelik bir politika yaklaşımı geliştirilmiştir.
9
Afet ve Afet Yönetimi
Afet, birçok kurum ve kuruluşun koordineli bir biçimde görev almasını
gerektiren ve insan hakları için fiziksel, ekonomik ve sosyal kayıplar
meydana getiren, normal yaşamı ve insan aktivitelerini durdurarak
veya kesintiye uğratarak toplumları veya insan topluluklarını etkileyen
doğal, teknolojik ve insan kökenli olaylara denilmektedir.
Afetler aşağıdaki gibi tasnif edilmektedir.
a) Jeolojik-Jeomorfolojik
Afetler (deprem, tsunami,
volkanik püskürmeler, her türlü
kütle hareketleri),
d) Biyolojik Afetler (erozyon,
orman yangınları, hayvanların
neden olduğu salgınlar, böcek
istilaları, çekirge istilaları),
b) Klimatik-meteorolojik
Afetler (sel-taşkın, aşırı
sıcaklar ve aşırı soğuklar, aşırı
kar yağışları, hava kirliliği,
kuraklık, etkili rüzgarlar,
hortum, tornado, kasırga,
yıldırım düşmesi, sis, dolu,
çığ, don ve buzlanma, asit
yağmurları, El Nino, buzulların
erimesi, küresel ısınma ve iklim
değişmeleri),
e) Sosyal Afetler (açlık, kıtlık,
insanların toplu bulunduğu
yerlerdeki büyük yangınlar,
bulaşıcı hastalıklar ve salgınlar,
savaşlar ve soykırımlar, göçler,
terör saldırıları)
c) Hidrografik Afetler (akarsu
taşkınları, akarsuların
kirlenmesi, barajların taşması
ve yıkılması, göl sularının
kirlenmesi, deniz kabarmaları),
10
f ) Teknolojik Afetler (maden
kazaları, petrol tankeri
kazaları, nükleer kazalar,
endüstriyel kazalar, karayolu,
demiryolu, denizyolu, havayolu
ulaşımındaki kazalar, NBC
silahlarının kullanılması, uzay
kazaları)
Afet yönetimi, afet öncesi ve afet sonrası yapılacakları içine alır. Afet
öncesi yapılacaklar afet sonrası işler kadar önemlidir. İşin bu iki
boyutunun göz önüne alındığı kapsamlı afet yönetiminin amacını ise
aşağıdaki gibi özetlemek mümkündür.
Afet öncesinde;
• Meydana gelebilecek
olaylardan toplumun en az
zararla ve fiziksel kayıplarla
kurtulabilmesi için gereken
teknik, idari ve yasal tüm
önlemleri olaylar olmadan önce
almak,
• Mümkün olan hallerde
olayları önlemek, mümkün
olmayan hallerde ise kurtarma,
ilk yardım ve iyileştirme
çalışmalarının zamanında, hızlı,
verimli ve etkili bir şekilde
yapılmasını sağlamak,
• Afet zararlarının azaltılması
çalışmalarını kalkınmanın her
aşamasına dahil etmek; riski
azaltmak ve sürdürülebilir bir
kalkınma sağlamak,
Afet sırasında;
• Haber alma ve ulaşım
olanaklarını tekrar sağlamak,
• Arama - kurtarma ve
ilk yardım çalışmalarının
başlatmak,
• Her türlü boşaltma ve tahliye
işlerinin yapılması, insanların
hasarlı konutlardan
uzaklaştırılması ve bu
konutların insanlara daha fazla
zarar vermesini önlemek,
• Geçici iskân alanları
oluşturarak insanların yiyecek,
içecek, giyecek, yakacak
teminini sağlamak,
• Her türlü güvenlik önlemini
almak,
• Toplumun her kesiminin
olayların etkilerinden en az
zararla kurtulabilmesi için
gerekli bilgilerle donatılmasını
sağlayacak eğitim programları
uygulamak ve toplumda bir afet
kültürü oluşturmak.
11
• Çevre sağlığı ile ilgili önlemler
almak,
• Hasar tespiti çalışmalarını
başlatmak,
• Yangınlar, patlamalar, bulaşıcı
hastalıklar vb. ikincil afetleri
önlemektir.
Küresel Yönelimler
Olağanüstü Durumlarda Dünyada
İletişim Alt Yapısı ve İş Modelleri
Afetler ve kamu güvenliğine karşı
artan tehditler başta ABD olmak
üzere tüm dünyada önemli
değişimlere neden olmaktadır.
Birçok gelişmiş ülke olağanüstü
durumlar için özelleştirilmiş yeni
nesil
kablosuz
sayısal
ağ
teknolojileri ile afetler karşısında
müdahale
yeteneklerini
geliştirmeye çalışmaktadır. Temel
yönelim tek bir ağ üzerinden
sağlık, yangın, kurtarma, ulaşım,
güvenlik gibi hizmetlerin
yönetimini
sağlamaktır.
Öte
yandan Avrupa Birliği (AB)
ülkelerinde bu ağları kurmak,
işletmek ve sürdürülebilirliğini
sağlamak üzere özel şirketler
görevlendirilmektedir.
Fransa
hariç tüm AB ülkelerinde bu
ağlar
şirketler
tarafından
sunulmaktadır. Bu türden kritik
kamu hizmetlerinin özel şirketler
tarafından
sağlanıyor
olması
önemli bir anlayış değişikliğidir.
Bazı Avrupa Ülkelerinde Paket Akım Ağlarının
Sahiplik, Teknik İşletim ve Bakım Düzenlemeleri
Ülke
Sahiplik
İşletme
Bakım
Avusturya
Özel Şirket*
Özel Şirket
Özel Şirket
Belçika
Devlet Şirketi
Devlet Şirketi
Özel Şirket
Estonya
Devlet Şirketi
Devlet Şirketi
Devlet Şirketi
Finlandiya
Devlet
Devlet Şirketi
Özel Şirket
Fransa
Almanya
Devlet
Devlet
Devlet
Özel Şirket
Devlet
Özel Şirket
Macaristan
Özel Şirket*
Özel Şirket
Özel Şirket
Hollanda
Devlet
Devlet Şirketi
Devlet Şirketi
Norveç
Devlet
Özel Şirket
Özel Şirket
İspanya
Özel Şirket*
Özel Şirket
Özel Şirket
İsveç
Devlet
Özel Şirket
Özel Şirket
Birleşik Krallık
Özel Şirket*
Özel Şirket
Özel Şirket
*Ağ özel bir şirkete aitse, sahiplik düzenlemeleri ile ilgili devlet sıkı sınırlamalar ve hizmet seviyesi gereklilikleri
belirlemektedir. Bu gibi durumlarda ağ yalnızca paket anahtarı akım kuruluşları tarafından kullanılmaktadır.
12
(Şekil.1)
Kamu güvenliği ve acil yardım
hizmeti sunmak üzere görevli
kurum ve kuruluşların sayısı
hayli fazladır. Bu kurum ve
kuruluşların işlevleri farklı
olduğu gibi, ihtiyaçları çeşitlilik
göstermektedir: ses metin
temelli bilgi sorgulama, hızlı
internet bağlantısı, resim temelli
görüntü iletimi, video iletimi,
gerçek zamanlı (real time)
görüntü, yüksek çözünürlüklü
(HD) video iletimi gibi.
karşılayabilme yeteneğine sahip
değildir. Bu nedenledir ki, söz
konusu ihtiyaçların
karşılanması için birden fazla
teknolojinin birlikte kullanıldığı
bir haberleşme platformu
gündeme gelmiştir.
Örneğin
ABD’de
kamu
güvenliği ve acil yardım
haberleşmesinin
sağlanacağı
ülke geneline yayılmış tek bir
sayısal kablosuz haberleşme
platformu inşaa etmek üzere
geleneksel telsiz ve yeni nesil
genişbant hizmetlerinin birlikte
sunulduğu
FirstNet
ağını
(Şekil.1) başlatılmıştır. Bu ağda
her bir kurum için gerektiğinde
sanal özel ağ (VPN) ile
Dünyada kamu güvenliği ve acil
yardım haberleşme amacıyla
kullanılan geleneksel LMR/PMR
teknolojilerinin
(APCO/P25,
TETRA, DMR vb.) hiçbiri bu
ihtiyaçların tümünü
13
bağımsız olarak haberleşme
imkanı sağlanılmakta ve ağ
kurumlara özel uygulamalar ve
özel
güvenlik
çözümleri
içermektedir.
Platform,
iki
ayrı
iletişim
teknolojisinin
birlikte
kullanılması
ile
oluşturulmaktadır.
Bunlar;
geleneksel
telsiz
haberleşmesi için sayısal telsiz
(LMR) ve yeni nesil genişbant
hizmetleri
için
Kablosuz
genişbanttır (LTE).
güvenliği ve acil yardım için
ihtiyaç duyulacak her türlü ses,
veri
ve
görüntü
temelli
haberleşme
ihtiyaçlarının
karşılanması mümkün hale
gelmektedir.
ABD’de Katrina Fırtınası gibi acil
durumlarda,
farklı
kamu
güvenliği ajansları birbiriyle
temasa
geçemediği
zaman
risklerin arttığı ortaya çıkmıştır.
Bu
bölünme,
maliyetlerin
artmasına
ve
hizmetlerin
aksamasına da yol açmaktadır.
Birbirleri
için
tamamlayıcı
nitelikteki bu teknolojilerin
birlikte kullanımı ile kamu
ABD-FirstNet ağı şu tip faaliyetlerin yapılmasına imkan sağlayacaktır.
Güvenlik kameralarından ya da bir helikopter monitöründen havadan
bir görüntü ileten canlı video almak;
Bir krize doğru giden bir ambulanstayken, bir değerlemeye yardım
ederken ya da tıbbi bir hizmetin ortasındayken, uzaktan hasta tıbbi
kayıtlarına giriş yapmak ve imajları iletmek;
Bir polis karakolunda kayıp bir kişinin e-mail yoluyla fotoğrafını almak
ve onu anında bölgedeki memurlara göndermek;
Polisin yüz tanıma, iris tarama ve parmak izi teşhisi gibi teknolojiler
yoluyla suç zanlılarını ve kaza kurbanlarını hızla teşhis etmelerine
imkân veren uzmanlaşmış uygulamalar kullanmak;
İşlenmekte olan bir suçun video imajlarına ulaşmak;
Yanan bir binanın taslağını elde tutulan bir aygıta indirmek;
Bir kriz esnasında diğer kasabalardan ve şehirlerden personelle hızlı
ve güvenli iletişim kurmak;
Enformasyon içeren (örneğin sürücü ehliyetleri ya da diğer fotolar;
garanti kayıtları, tutuklamalar, hapishane süresi ya da şiddet içeren
davranış geçmiş) veritabanlarına ulaşmak.
14
Daha önceki kamu güvenliği
uygulamalarından ders alan
FirstNet,
ortak
faaliyet
gösterebilmenin
önündeki
engellerin üstesinden gelmek
için güçlü bir koordinasyon ve
federal
fon
katalizöründen
yararlanacaktır.
Sonuçta
ABD’nin ilk aranan kurumları ve
kamu
güvenliği
ajansları
nihayetinde daha güvenli ve
daha efektif olacaktır.
Ulusal çapta kablosuz kamu
güvenliği geniş bant ağı şiddetli
acil durumlarda çok kritik
olacakken, aynı zamanda da
günlük bazda kamu güvenliği
performansını da artıracaktır.
Bu doğrultuda ABD’de 2012
yılı Şubat ayında bir yasa
çıkarılmıştır. Yasanın 6. Maddesi
Amerika’nın
ilk
aranan
kurumları ve diğer kamu
güvenliği çalışanları tarafından
kullanılacak ulusal boyutta bir
son teknoloji ortak işletilebilir
geniş bant ağının kurulması
talimatını vermektedir.
Yasa
kablosuz
geniş
bandın
faydalarının ülke çapında ilk
aranan kurumlara açık olmasını
sağlayacak ve aynı zamanda da
hukuki sınırlar ötesinde ortak
işletilmeye imkan verecek bir
kamu güvenliği geniş bant ağını
15
oluşturmak
için
20
Mhz
spektrum ve 7 milyar $
fon
sağlamaktadır. Yasa İlk Aranan
Kurumlar Ağı Otoritesi ya da
“FirstNet”i yaratmış ve ülke
çapında, ortak işletilebilir bir
kamu güvenliği geniş bant ağı
kurmak için direktif vermiştir.
FirstNet
Ulusal
Telekomünikasyon
ve
Enformasyon Yönetimi (NTIA)
kapsamında
organize
olan
bağımsız bir otorite olarak
tasarlanmıştır.
FirstNet sadece bir teknoloji
olmakla
kalmayıp,
aynı
zamanda bir yönetim yaklaşımı
da sunmaktadır.
Ulusal çapta
bir ortak işletilebilir geniş bant
ağı
geliştirme
misyonunda
başarılı olması için konunun
uzmanı ve kendini bu konuya
adamış bir yönetim kuruluna
sahip olması hedeflenmiştir.
FirstNet Yönetim Kurulu, 15
yüksek nitelikli,
iyi motive
olmuş üyeden oluşan bir takım
olarak tasarlanmıştır.
Tüm
dünya gibi ABD’de afetlerde
iletişimin kurtarma, sağlık,
yiyecek ihtiyaçlarında daha
öncelikli olduğu gerçeğinden
hareket eden yeni bir pozisyon
almıştır.
Afet Durumlarında
İş Sürekliliğinin Önemi
“İş Sürekliliği Yönetimi”,
iş
süreci başarısızlığına, varlık
kaybına, hizmette kesintiye,
kurumsal imaja zarar vermeye
yol açabilecek tüm riskleri
azaltmaya ve hatta ortadan
kaldırmaya yönelik bir süreçtir.
atmakla mükelleftir. Her kurum
felaket durumunda kurumsal
faaliyetlerini devam ettirmeye
yönelik bir master plan olan “İş
Sürekliliği Planı”nı tüm görevli
ve çalışanlarına göndermelidir.
Sürecin amacı, mevcut varlıkları
korumak ve kurumsal işlerin
sürekliliğini
ve
emniyetini
sağlamaktır.
Her
kurum
herhangi bir kriz ya da afet
durumunda
faaliyetlerini
sürdürmesine
ve
önemli
kurumsal faaliyetler kesintiye
uğradığında
bu
faaliyetleri
yeniden derhal başlatmasına
imkan veren bir süreç olan “İş
Sürekliliği Yönetimi” planını
oluşturmak için gerekli adımları
Tüm paydaşların detaylı ve aktif
katılımı, yürütmeye değer bir
planın geliştirilmesini sağlar.
Planın kendisi tüm detaylı
unsurları ve test planı ile birlikte
bir iyileşme stratejisi içermelidir.
16
En iyi plan, uygulanabilir plandır.
Her süreci yeniden başlatma ve
iyileştirme prosedürü sürekli
güncellenmeli ve düzenli bir
şekilde test edilmelidir.
“İş Sürekliliği Planı”, iş sürekliliğine şu dört konuda katkıda bulunur: afet iyileştirme, iş iyileştirme, işe yeniden başlama ve acil
durum planları.
-
Afet İyileştirme Planı- Kurum için kritik olan teknoloji ve
uygulamaları alternatif bir bölgede iyileştirmek.
-
İş İyileştirme Planı- Kurumsal açıdan kritik olan iş süreçlerini
bazen “iş iyileştirme yeri” olarak adlandırılan- alternatif bir
bölgede iyileştirmek.
-
İşe Yeniden Başlama Planı-Kurum için kritik olan fonksiyonları
uygulama düzeltilene kadar dışarıda yapılan çalışmalarla üretim
bölgesinde sürdürmek.
-
Acil Durum Planı-Kurum üzerinde kapsamlı bir etkisi olan dışsal
bir olayı yönetmek.
Bu planın oluşturulmasında Uluslararası, Endüstri Bazında
Standartlar şöyle belirlenmiştir: ISO/Uluslar arası Elektroteknik
Komisyonu (IEC) 17799:2000, ISO/IEC Teknik Raporu (TR) 13335,
ISO 9002.
“İş Sürekliliği Planı” mekâna, faaliyet alanına ve iş ölçeğine bağlı
olarak aşağıdaki maddelerde belirtilen özellikleri içermelidir:
1-Karar-alma ve emir-komuta zincirinin belirlenmesi ve
netleştirilmesi;
2-Bir iç iletişim sisteminin kurulması;
3-Asgari gereksinim duyulan önemli kurumsal faaliyetlerin
tanımlanması
4-Önemli data için bir back-up sisteminin kurulması;
5-Gerekli kaynakların sağlanması;
6-Muhataplarla iletişim kurmak için bir sistemin kurulması;
7-Bir iyileşme planının hazırlanması
8-Bir “Kurumsal Kullanım Kılavuzu”nun hazırlanması;
9-İlgili otoritelerle ve organizasyonlarla iletişim kurmak için bir
sistemin oluşturulması;
10-Doğal afet durumunda alınacak finansal tedbirlerin belirlenmesi.
17
İş Sürekliliği Planlanması ve
Yönetimi Çözüm Geliştirme Süreci
Konu
Dış Destek Opsiyonları
Aşama 1: Kurumun Geliştirilmesi
Organizasyonun tüm birimlerine idare
desteği var mı?
-Sadece tavsiye bazlı danışman
-Mevcut hardware satıcısından danışmanlık
hizmeti
-Software satıcısının danışmanlık hizmeti
olsun veya olmasın, kurum etki analizi ve risk
değerlemesi için software
İhtiyaçlar:
-Kurum etki analizi
-Risk değerlemesi
Çıktılar:
-Tüm varlık değerleriyle ve tüm bozulma
senaryolarının maliyetlerini içeren Kurum
Etki Analizi
-Risk/fayda analizi ve süreklilik önceliklerini
içeren Risk Analizi
Satıcı Seçimi Hususunda Dikkate Alınması Gerekenler
-İç değerlemeye karşı dış analistin objektifliği
-Hardware ve software satıcılarının muhasebe yönetimi güdüleri
Aşama 2: Plan Geliştirilmesi
Süreklilik planlamasında ve
yönetiminde kurum-içi uzman var mı?
-Sadece tavsiye bazlı danışman
-Mevcut hardware satıcısından danışmanlık
hizmeti
-Software satıcısının danışmanlık hizmeti
olsun veya olmasın, iş süreklilik planı için
software
İhtiyaçlar:
-Kurum birimlerinin mevcut süreklilik
planları (eğer varsa)
-İSP Yönetim takımı üye tespiti
-Süreklilik-hedefli faaliyetlerin ve
sistemlerin önceliği
-Alternatif çözümler arasında fiyat
karşılaştırması
-Her çözümün rakip satıcıları arasında
fiyat karşılaştırması
-Krizi önleme ve hızlı iyileşme için
kaynak seçimi
-Planın yürütülmesi ve bakım için fon
tahsisi
Çıktılar:
-Mevcut planların matrisi ve tavsiye edilen en
başarılı uygulamaların benimsenmesi
-İş sürekliliği rolleri/sorumlulukları ve arama
listesi
-Faaliyet ve sistem öncelik listesi
-İş sürekliliği gereksinimleri (teklif
şartnamesi için spesifikasyonlar)
-Çözüm maliyeti karşılaştırması ve tavsiyeler
-Satıcı maliyet karşılaştırması ve tavsiyeler
-Geliştirilen ve potansiyel satıcılara
gönderilen teklif şartnamesi
-Değerlendirilen ve tavsiye için sıralanan
satıcı teklifleri
-Planın yürütülmesi ve bakım için tahsis
edilen fon
Satıcı Seçiminde Dikkate Alınması Gereken Hususlar:
-Aynı endüstride iş sürekliliği/afet iyileştirme süreçlerindeki tecrübesi
-Benzer ortamlarda (teknik, fiziki, bölgesel) iş sürekliliği/afet iyileştirme süreçlerindeki
tecrübesi
18
Konu
Dış Destek Opsiyonları
Aşama 3: Planın Bakımı
-Tavsiye bazlı danışman
-Mevcut hardware satıcısından
danışmanlık hizmeti
-Software satıcısının danışmanlık hizmeti
olsun veya olmasın, iş sürekliliği için
software
Çıktılar:
-Süreklilik prosedürleri çalışan eğitimi paketi
-Mevcut kurumsal datayı yansıtmak için
plan kaynak listelerinin güncellenmesi
için metodolojinin tanımlanması
-Plan güncellemelerinin bildirilmesi
için metodolojinin tanımlanması
-Test tetikleyici olayların ve
planlanmış testlerin listesi
-Tetiklenmiş ve planlı testlerin
performansı için metodolojinin
tanımlanması
-Test sonuçlarının değerlemesi
için metodolojinin tanımlanması
-Test-sonrası plan güncellemelerinin
uygulanması için metodolojinin
Bu çalışmayı gerçekleştirecek iç
kaynaklar var mı?
İhtiyaçlar:
-Çalışanların süreklilik işlemleri
konusunda eğitilmesi
-Mevcut kurumsal datayı yansıtmak için
plan kaynak listelerinin otomatik olarak
(ya da elle) güncellenmesi
-Plan güncellemelerinin otomatik
şekilde (ya da elle) bildirilmesi
-Tetiklenmiş olayları test etmek ve
planlanmış testler
-Tetiklenmiş ve planlı testlerin
performansı
-Test sonuçlarının değerlemesi
-Test-sonrası plan güncellemelerinin
uygulanması
Satıcı Seçimi Hususunda Dikkate Alınması Gerekenler
Gereken Hususlar:
-Krizden kaçınma başarısının takibi
-Hızlı iyileşme başarısının (onarım istatistiklerinin ortalama zamanı) takibi
-Aynı endüstrideki tecrübe
-Benzer ortamlardaki (teknik, fiziki, bölgesel) tecrübesi
Alınabilecek Hizmet Opsiyonları
İş sürekliliği hizmeti satanlar arasında önemli bir eğilim, iş sürekliliği
konusuna bir bütün olarak odaklanmaktır. İyileşme süreci hızlı (24
saatten daha kısa) olmalıdır; yalnızca data merkezinin sürekliliğini
sağlamakla kalmayıp, hizmet verilen kitlenin işlerinin kritik
yönlerinin sürekliliğini de sağlamalıdır. Bu odaklanma muhataplara
daha entegre bir hizmet sağlarken, satıcıya daha iyi bir hesap
kontrolü imkanı verir.
19
Danışmanlık ve Planlama Yardımı
-
Software ve Danışmanlık. Birçok hizmet sağlayıcısı taktik
danışmanlığın iş süreklilik planı ve yönetimi yazılımıyla bir
kombinasyonunu sunar ve buna bazen tam süreklilik yönetim
hizmetleri ve sıcak-bölge imkanları dahil edilir.
-
Hardware ve Danışmanlık. Hardware satıcıları süreklilik
planlama danışmanlığını hızlı hardware yedekleme nakli, mobilbölge teslimatı ya da sıcak-bölge imkanlarıyla birleştirebilir.
-
İnternet Sürekliliği ve Danışmanlığı. İletişim ve şebeke
satıcıları, yüksek-mevcutlu şebeke ve hızlı iyileştirme çözümlerini
taktik danışmanlıkla birlikte sunabilir.
-
Üründen Bağımsız Danışmanlık. Analiz, denetim ve taktik
tavsiyeler sağlayan danışmanlar, bir şirketin iş süreklilik
ürünlerini ve hizmetlerini seçerken kullanmaları gereken
spesifikasyonları geliştirmede objektiflik sunarlar.
PC Bazlı Planlama Araçları. Neredeyse tüm sıcak bölge satıcıları
bir PC bazlı afet iyileştirme planı geliştirme aracı sunar (danışmanlık
hizmetleri gibi). Birçok örnekte, bu paketler alıcıya tam kapasiteli
sıcak bölge hizmetlerini satın almaları için bir yem olarak sunulur.
İyileştirme Yardımı
Bölge dışı iyileştirmeye yönelik tekil düşünceler, süreklilik yönetim
stratejisinin önemli bir kısmını oluşturur. Paket oluşturmak için
spesifik hizmet tipleri bir araya getirilebilir: OEM sigortası, hızlı nakil
gibi.
İyileştirme Bölgeleri
İyileştirme bölgeleri bir bilgisayar ya da ekipmanın afet yaşaması
durumunda, bir organizasyonun bilgisayar ve şebeke faaliyetlerini
sürdürebilmesine imkân verir.
20
Bu bölgeler ve hizmetlere yıllık bir anlaşmayla abone olunur.
Abone olan organizasyon sıcak ya da soğuk bölgeyi aktif olarak
kullandığı zaman, temel aylık ödemelere ilave olarak başka
ücretler de tahakkuk edecektir.
Sıcak Bölge: Sıcak bölge, hizmet sağlayıcısına bir felaket olduğu
bildirildiği zaman, derhal kullanım için hazır spesifik hardware
platformları sunan faaliyete hazır tam donanımlı data merkezidir.
Bir sıcak bölge teşebbüsün operasyonu sürdürmesi için gereksinim
duyulan ofis alanı ve mobilyası, telefon jakları ve bilgisayar
ekipmanı dahil tüm ekipmana sahiptir. Çalışanlar normal lokasyon
yerine sıcak bölgeye raporlarını sunarlar.
Ticari sıcak bölgelere abonelikler, bir bilgisayar konfigürasyonunu
iyileştirmek için gereksinim duyulan hardware spesifikasyonlarına
dayandırılır. Abonelikler ortalama 40 aylıktır; şirketin ihtiyaçlarına
bağlı olarak aylık yüz dolardan yüz binlerce dolara kadar değişen
maliyetlere sahiptir. Kontratlar genelde afet modunda sekiz haftaya
kadar sıcak bölge kullanımına izin verir.
Soğuk Bölge: Soğuk bölge bilgisayar ekipmanının taşınması için
hazır ofis alanı, telefon jakları vb. olan boş, çevresel koşulları
hazırlanmış bir bilgisayar odasıdır. Soğuk bölge de abonelik bazında
tedarik edilir ve sıcak bölgeden çok daha ucuzdur, fakat alıcı
faaliyetlerini sürdürmek için gerekli tüm ekipmanı tedarik ettiği ve
yüklediği için, bir teşebbüsün afet sonrası tam faaliyete geçmesi
daha uzun sürer (Bu ekipman genellikle bir leasing şirketiyle yapılan
bir kontratla sağlanır).
Bazı sıcak bölge sağlayıcıları genelde abone sıcak bölgede yer alma
zamanını aştıktan sonra sıcak bölgenin çıplak maliyetinde bir soğuk
bölge hizmeti verir.
Mobil Bölge ya da Porta-Bölge: Daha küçük hardware
konfigürasyonları ya da acil durum ofis ortamları için mevcut mobil
bilgisayar/ofis ortamları. Mobil bölgeler mobil taşıyıcılar üzerinde
tekil birimlerdir. Porta-bölgeler tesise nakledilir ve bölgede inşa
edilir. Bu opsiyonlar temelde soğuk bölgelerle aynı maliyete sahiptir.
21
Mobil bölgelerin avantajı, iş alanını nihai kullanıcıya götürecek şekilde
bir parkta ya da başka bir şirketin bölgesinde kurulabilir olmasıdır.
Data Stoklama
Bölge Dışı Stoklama: Bütçeye ve coğrafi risklere bağlı olarak, diske
back-up yapılan datanın bölge dışında stoklanması, yeni bina
yapılması, bir bankanın gizli kasasının kiralanması ya da şehrin başka
bir yerindeki şubenin ofisinin kullanılması şeklinde olabilir. Daha iyi
bir seçim, ticari bir medya stok tedarikçisi tarafından sağlanan bir
depolama tesisinde güvenli, iklim-kontrollü, ateşe karşı dayanıklı bir
medya mahzenidir.
Elektronik Mahzen: (ya da Gelişmiş İyileştirme Hizmetleri). Data
doğrudan abone bölgesinden sıcak bölgeye gönderilir. Bu maliyetli
hizmet, aboneye tahsis edilen, hizmetin diğer aboneler tarafından
paylaşılması engellenmiş bir doğrudan girişi olan bir depolama aygıtı
(DASD) gerektirir.
İş Sürekliliği Yönetimi Sürecinde
Faydalar ve Riskler
Faydalar
İş sürekliliği desteği, bir kurumun bir krize rağmen faaliyetlerini
etkin maliyetle yürütebilme kabiliyetini temin eden spesifik
uzmanlık ve hizmetleri sağlayabilir. Her kurum gereksinim
duyduğu uygun tipleri ve hizmet seviyelerini belirlemelidir.
Tam- hizmet danışmanlıkları, süreklilik hizmet satıcıları, süreklilik
planı geliştirmekten iletişim ve bakıma kadar bir hizmet
spektrumu gerçekleştiren bir yazılım gibi. Bir kez gerekli destek
tipleri seçilirse bu, iş sürekliliği çözümü önemli faydalar sağlar.
22
Güvenilir Bir Plan Yapısının Geliştirilmesi ve Bakımı
İş sürekliliği danışmanlığı unsurlarından, iyileştirme bölgelerinden
ve destekleyici softwareden yararlanma, bütünsel bir planlama için
en uygun uygulamalara titiz dikkati göstermek.
Etkin Kaynak Taahhüdü ve Görev Dağılımı
En-kötü senaryo üzerinden teste tabi tutmak dahil, yürütmeyi
planlamak için kaynakların bütünüyle tamamlanmasını sağlamak,
hem paydaşların ve hem de denetçilerin taleplerini karşılamayı
amaçlar.
Güvenilir, Doğru Plan Bildirimi ve Dağıtımı
Plan “arama ağacı” (iletişim zinciri) database’ini kurumsal
çalışanların temas enformasyon database’ine entegre eder ve doğru
tarafların minimum database bakım maliyetiyle her tip bildirimi
alma hakkını garanti eder.
Kapsamlı Plan Yönetimi Raporlaması
Versiyon takibi risk yönetim takımı için önemlidir; bütün planın
periyodik fotoğrafları ya da unsurları bütçeleme, personel ve başarı
analizi gibi kurum fonksiyonları açısından gereklidir.
Riskler
Destek Danışmanlarına, İyileştirme Hizmetlerine ve
Software’e Aşırı Güvenme
Tüm endüstri lideri iş süreklilik servis satıcıları zaman testine tabi
tutulmuş, analitik aletleri kullanırken, aynı zamanda da iyi niyetle
kuruma özel hale getirmeye imkan verirler.
Kurumun personeli, danışmanlarla karşılıklı temasa geçtikçe, güvenli
bölgelerde iyileştirme stratejilerini hazırladıkça ve yapılandırılmış iş
süreklilik planı tasarılarını tamamladıkça, her zaman şunu
düşünüyor olacaktır: “Hangi bize has faktörü buna eklemeliyiz?”
23
Bakımı İhmal Etme
Her sorumlu kuruluş değişim yönetimi prosedürlerine sahiptir ve
süreklilik planlaması mantıksal olarak bunlarla bütünleşir.
Tecrübeler bir çekmecede unutulan İSP’nin acil bir durumda pek işe
yaramadığını göstermiştir.
Danışman ya da Satıcı Güvenilirliği ve Kontrat Maddeleri
İyileştirme hizmetlerinin ya da iş sürekliliği software’nin satıcısı ya
da danışmanının müşterilerine destek konusunda iyi bir şöhrete
sahip olması gerekir. Hizmet kontratı muhakkak bu tip kontratlara ve
“standart” bir kontratta var olabilecek görünmesi zor tuzaklara aşina
bir avukatla gözden geçirilmelidir.
Diğerlerini İhmal Edip Organizasyonun Bir Kısmına Yoğunlaşma
Tüm iş sürekliliği planlaması, stratejisi, uygulaması ve bakımı iş
sürekliliğinin tüm yönlerini –data, finans, binalar, iletişim, ekipman,
personel, verilen hizmet, bilgi varlıkları vs.- hesaba katmalıdır. Risk
analizi tam anlamıyla yapıldığı zaman, kurumu iş sürecinde tutmanın
tüm esasları açıkça ortaya çıkar. Bu tip bir düşünceyi gerçekleştirme
konusundaki başarısızlık, bir kurumu örneğin güzel bir güvenilir data
merkezi olan fakat data merkezi ile dışarısı arasında bir iletişim
olmayan bir kurum yapabilir ve belki de işçilerin çevreleyen binadaki
hasardan dolayı data merkezine ulaşması için hiçbir yol
bulamadıkları bir durumda bırakabilir.
Günümüzde “İş Sürekliliği” Bilgi İşlem-İletişim alt yapılarının
sağlamlığı
ve felakat senoryalarına hazırlıklı olmasına bağlı.
.
Kurumlar afet durumlarına karşı öncelikli olarak iletişim ve
IT altyapılarını iyileştirmek zorunda.
24
Veri Merkezleri
Veri merkezi ya da bilgisayar merkezi, bilgisayar sistemlerini ve
telekomünikasyon ve depolama sistemleri gibi ortak unsurları
barındırmak için kullanılan tesistir. Genelde gereğinden fazla ya da
yedekleme
güç
tedariklerini,
gereğinden
fazla
veri
iletişim
bağlantılarını, ortam kontrollerini (örneğin havalandırma, yangın) ve
güvenlik aygıtlarını içerir.
1990’larda
istemci-sunucu
bilişiminin
gelişimiyle
mikrobilgisayarlar eski bilgisayar
odalarında yer bulmaya başladılar.
İlk veri merkezi örnekleri büyük
bilgi işlem odaları olarak ortaya
çıkmıştır.
İlk
bilgisayar
sistemlerinin işletimi ve bakımı
karmaşıktı.
Spesifik
olarak
tasarlanan
bilgisayar odalarına uygulandığı
şekliyle veri merkezi (data center)
ifadesinin
kullanımı,
bu
dönemlerde
popülerlik
kazanmaya başladı.
Mikrobilgisayar
endüstrisinin
patlama
çağında,
bilhassa
1980’lerde bilgisayarlar her yerde
kullanılmaya
başlandı.
IT
operasyonlarının karmaşıklığının
artmasıyla birlikte şirketler IT
kaynaklarını
kontrol
etme
ihtiyacından haberdar oldular.
Veri merkezlerinin
dot.com
balonu
meydana geldi.
25
patlaması,
esnasında
Şirketler
sistemleri
kullanmak
ve
internette var olmak için hızlı internet
bağlantısına ve sürekli operasyona ihtiyaç
duymaktaydı. Birçok şirket internet veri
merkezleri adıyla çok büyük tesisler inşa
etmeye başladı. Bu tip büyük ölçekli
operasyonların ölçek ve operasyonel
gereksinimlerini gidermek için yeni
teknolojiler ve uygulamalar tasarlandı. Bu
uygulamalar en sonunda özel veri
merkezlerine taşındı.
Bulut bilişiminin artışıyla, işletmeler ve
devlet
kurumları
güvenlik,
hazırbulundurma, çevresel etki ve standartlara
bağlılık gibi alanlarda daha yüksek
dereceleri aramaya başladılar. Operasyonel
uygulamada ve çevre dostu veri merkezi
tasarımında hâlâ çok sayıda geliştirilecek
nokta vardır. Veri merkezi inşası ve bakımı
çok pahalıdır.
MODERN VERİ MERKEZLERİ
GEREKSİNİMİ
IT operasyonları tüm dünyada örgütsel
operasyonların hayati bir yönüdür. Temel
kaygılardan biri iş sürekliliğidir. TIA-942
Veri Merkezi Telekomünikasyon Altyapı
Standardı,
veri merkezlerinin ve
bilgisayar
odalarının
asgari
telekomünikasyon
altyapısı
gereksinimlerini belirler. Telcordia ve
endüstri temsilcileri tarafından ortak
şekilde geliştirilen kriterler vardır.
26
Efektif veri merkezi operasyonu, hem
tesiste ve hem de barındırılan
ekipmanda dengeli bir yatırıma
ihtiyaç duyar. İlk adım ekipman
yükleme için uygun bir temel tesis
ortamı kurmaktır. Standardizasyon
ve modülerlik telekomünikasyon veri
merkezlerinin tasarım ve inşasında
tasarruf ve etkinlik sağlayabilir.
Standardizasyon entegre bina ve
ekipman mühendisliği anlamına
gelmektedir.
Modülerlik ölçeklendirilebilirliğin ve
daha kolay büyümenin faydalarına
sahiptir.
Karartılmış ya da karanlık veri
merkezi, olağanüstü koşullar hariç
personel tarafından doğrudan giriş
ihtiyacı hariç her şeye sahip olan veri
merkezidir.
Bu
yüzden
ışık
olmaksızın
çalıştırılabilir.
Tüm
aygıtlar
uzaktan
kumandayla
yönetilir.
Araştırmalara göre veri merkezlerini
ortalama yaşı 7-9 yılı geçtiğinde
demode kabul edilmektedir.
Data center transformasyonu zaman
içerisinde gerçekleştirilen entegre
projeler ile adım adım yaklaşımını
benimser ve şu aşamaları kapsar:
S t a n d a r d i z a s y o n /
Konsolidasyon:
Hardware,
software
platformları, aletler ve süreçlerin sayısını
azaltmayı
hedefler.
Standartlaştırma
yönetimi
kolaylaştırır,
konsolidasyon
maliyetini düşürür.
Otomatikleştirme:
Data
center otomasyonu provizyon,
konfigürasyon, yazılım yaması,
tahliye yönetimi ve uyum gibi
otomatik görevleri içerir.
Sanallaştırma: Çoklu data center
ekipmanını ikame etmek ya da konsolide
etmek için IT sanallaştırma teknolojileri
kullanılır. Sanallaştırma, sermaye ve
faaliyet harcamalarını azaltmaya yardım
eder, enerji tüketimini azaltır.
Güvenlik: Sanal sistemlerde
data güvenliği mevcut fiziki
altyapı güvenliğiyle entegredir.
Modern data centerın güvenliği
fiziki güvenlik, ağ güvenliği ve
data ve kullanıcı güvenliğini
dikkate alır.
2012 itibarıyla operasyonların
%48’i sanallaştırılmıştır.
Data center tier’ları
Tier-Seviye
Gereksinimler
1
-IT ekipmanına hizmet eden tek fazla olmayan dağıtım kanalı
fazla olmayan kapasite unsurları
-%99,671 beklentili temel site altyapısı
2
-Tüm Tier 1 gereksinimlerini karşılar ya da aşar.
-%99,741 beklentili gereğinden fazla site altyapı kapasite
unsurları
3
-Tüm Tier 1 ve 2 gereksinimlerini karşılar ya da aşar
-IT ekipmanına hizmet veren çoklu bağımsız dağıtım .kanalı
-Tüm IT ekipmanı site mimarisinin topolojisiyle tam uyumlu ve
düal-enerjili olmalıdır.
-%99,982 beklentili eş zamanlı bakıma alınabilir site altyapısı
4
-Tüm Tier 1, 2 ve 3 gereksinimlerini karşılar ya da aşar.
-Tüm soğutma ekipmanı bağımsız düal-enerjilidir.
-%99,995 beklentili, elektrik enerjisi depolama ve dağıtım tesisi
olan hata toleranslı site altyapısı
Not: %99,982 ile %99,995 arasındaki %0.0132lük fark uygulamaya bağlı olarak çok ciddi bir fark olabilir.
27
Veri Merkezi Kurarken-İyileştirirken
Dikkat Edilmesi Gerekenler
Bir veri merkezi bir binanın tek odasında, bir veya daha fazla katında
ya da bütün bir binada olabilir. Bir veri merkezi projesinin alanını
belirlemek için araştırma ve karar alma süreci zorunludur. Bu süreç
gelecekte alan, enerji, soğutma ve maliyet senaryoları geliştirmek
için kullanılır. Amaç sayı, boyut, lokasyon, topoloji, IF zemin sistem
taslakları, güç ve soğutma teknolojisi ve konfigürasyonları gibi
parametrelerle bir master plan çıkarılmalı ve modellenmelidir.
Mekanik soğutma kapasiteleri, kabin başına kilowat, yükseltilmiş
yer alanından yararlanarak optimal teknoloji altyapısı belirlenir ve
planlama kriterleri geliştirilir.
Kavramsal tasarımlar tasarım tavsiyelerini içerir ya da tüm
operasyonel ihtiyaçların karşılandığını garanti etmek için “şayet böyle
olsa” senaryolarını dikkate alarak inter-disipliner bir yaklaşımla
aşağıdaki başlıklarda tasarım yapılır.
Detay Tasarım: Tesis şemaları
ve inşaat dokümanları, bunların
yanı sıra teknoloji altyapısı
şeması, detaylı IT altyapı
tasarımı
ve
IT
altyapı
dokümantasyonu geliştirilir.
Makine Mühendisliği Altyapı
Tasarımı:
Data center’ın iç
ortamında gerekli olan ısıtma,
havalandırma, nem kontrolü,
basınç vb. mekanik sistemleri
ele alır.
Elektrik Mühendisliği Altyapı
Tasarımı: Çeşitli güvenilirlik
28
gereksinimlerini ve veri merkezi
boyutlarını karşılayan elektrik
konfigürasyonlarını tasarlamaya
odaklanır.
Teknoloji Altyapı Tasarımı:
Data centerlarda bir baştan bir
başa kurulan telekomünikasyon
kablo sistemlerini ele alır.
Emre-Amadelik (Up-time): Bu
beklenti ne kadar yüksekse, veri
merkezini yönetmenin sermaye
ve faaliyet harcamaları da o
kadar yüksek olur. Kesintisiz
çalışma veya belirli bir zaman
diliminde arızanın tahmini
maliyeti amortizmanı düşülmüş
sermaye maliyetlerini ve faaliyet
harcamalarını aşarsa, daha
yüksek bir hazır-tutma seviyesi
tasarlanmalıdır.
Yer Seçimi: Mevcut enerji
kanallarına, telekomünikasyon
altyapısına, ağ hizmetlerine,
ulaşım hatlarına ve acil durum
hizmetlerine
yakınlık
gibi
yönler, data center tasarımı için
dikkate alınacak maliyetler, risk,
güvenlik ve diğer faktörleri
etkileyebilir.
Modülerlik ve Esneklik: Bunlar
bir data center’ın büyümesi ve
zaman içerisinde değişmesine
imkan veren ana unsurlardır.
Data center modülleri kolaylıkla
konfigürasyonu
yapılabilen,
gereksinim
duyulduğunda
taşınabilen
mühendisliği
önceden yapılmış, standart bina
bloklarıdır.
Ortam Kontrolü: Bir data
center’ın fiziki ortamı sıkı bir
şekilde kontrol edilir. Data
center’da ısı ve nemi kontrol
etmek için air-conditioning
kullanılır.
29
Elektrik
Enerjisi:
Backup
enerjisi bir veya daha fazla
kesintisiz güç kaynağı, pil
ve/veya
dizel/gaz
türbini
jeneratörlerinden oluşmaktadır.
Enerji Verimliliği: Artan enerji
fiyatları ve sera gazı emisyonları
veri
merkezlerinde
enerji
verimliliğini öne çıkartmaktadır.
Doğal iklimlendirme, enerji
verimliliği yüksek ekipman
seçimi başlıca faktörlerdir.
Düşük Voltaj Kablo Dolanımı:
Data kabloları modern data
centerlarda genel kablo ağları
üzerinden dolanır.
Fakat güvenlik gerekçesiyle
yükseltilmiş zemin kabloları
tavsiye edilmektedir.
Yangından Korunma: Data
centerlarda pasif ve
aktif
tasarım unsurları, aynı zamanda
da
faaliyetlerde
yangından
korunma
programlarının
uygulanması dahil, yangından
korunma sistemleri mevcuttur.
Güvenlik: Fiziki güvenlik de
data centerlarda büyük bir rol
oynamaktadır.
Kamu veri merkezleri konsolide
edilerek verimlilik artışı ve maliyet
tasarrufu ve süreklilik sağlanıyor.
Günümüzde birçok devlet; maliyetleri azaltmak, fiziksel altyapıyı
optimize etmek, yeşil IT metotları kullanmak ve felaket senaryolarına
karşı emre emadeliği arttırmak için “Veri Merkezi Konsolidasyonu”
yapmaktadır. Başlangıçta her bir devlet kurumu kendi veri merkezini
kurmuş olsa da küresel yönelim; il veya bölge veya ulusal ölçekte bu
merkezlerin birleştirilmesi yönündedir. Esas olarak tüm dünyada
kamu hizmetleri “bilgisayar yazılımları” üzerinden icra edilir ve
yönetilir olmuştur. Süreç içinde iletişim ve ağ teknolojilerinin gelişimi
ile kurumlar arası koordinasyonun temelini de bilişim teknolojileri
oluşturmaktadır.
Kamu hizmetleri yönetiminde kullanılan yazılımlar arasında gerçek
zamanlı veri aktarımı ve veri paylaşımı, konsolidasyonun temel
amacıdır. Bir bakıma kamu hizmetlerinde uyumluluk veya
eşgüdümden bahsetmek; kurumların hatta bu kurumlarla irtibat
halinde olan özel işletmelerin kullandıkları veri setlerinin, veri alışverişlerinin, yazılımların uyum ve eşgüdümünden bahsetmiş
olmaktayız. Son 20 yıl içinde internet ve bulut bilişimdeki hızlı gelişim
değişimin ana dinamosudur.
Bulut bilişim; büyük ölçekli veri merkezleri üzerinde koşan geniş
uygulamalardan oluşur. Bu uygulamalarda üretilen bilgi veri
merkezlerindeki sunuculardan sorgulanır, işlenir, kaydedilir. Eğer bir
veri merkezinde birden fazla uygulama çalışıyor ve bir uygulama
diğerine veri gönderiyor veya alıyorsa bu veriler doğrudan aynı lokal
ağ üzerinde çok hızlı, sıfır maliyetle ve güvenli bir şekilde akar. Öte
yandan merkezileştirilmiş büyük veri merkezi, küçük veri
merkezlerinde sağlanamayan birçok standardı sağlayabilecek bir
ölçek ekonomisi oluşturur.
30
Data Center Konsolidasyonu’nun unsurları şunlardır: Tesisler,
Hardware/Software, Hizmetler, Tier III Tesislerinin Modernizasyonu, Enerji
Tüketimi, Enerji Etkinliği, İş Sürekliliği ve (sanallaştırma yoluyla) Platform
Konsolidasyonu.
ABD’de şu an genel eğilim kamu veri merkezlerinin konsolidasyonu
yönündedir. Birçok eyalet “Eyalet Veri Merkezi” kurarak eyaletin kritik
operasyonlarını merkezileştirmiş, bu tesislerin kesintiye uğramaması ve
felaketlerde temel faaaliyetlerin sürdürülebilmesi için yatırımlar
yapmışlardır. Bazı eyaletler özel sektörün veri merkezlerinden hizmet
alarak veya yenilerini inşaa ettirerek operasyonları özel sektöre
devretmişlerdir.
Örneğin; ABD’de Michigan eyaleti 2004’ten beri yaklaşık 4.000 sunucuyu,
çeşitli ana çerçeveler ve üç güvenlik merkezinin birinin ekipmanı dahil 37
kurum-bazlı bilgisayar/sunucu odalarını konsolide ederek tek bir veri
merkezine taşımıştır. Konsolidasyon, kritik öneme sahip kurum
uygulamalarının güvenliğini, yönetilebilirliğini ve up- time (emre
amadelik) durumunu geliştirmiştir. 19 milyon $’dan fazla tasarruf elde
edilmiş, 2.800 m2 ofis alanı ıslah edilmiştir.
Verizon’a bağlı veri merkezi hizmetleri sunan bir şirket 70’den fazla
merkezi hükümet kuruluşuna ABD’de ülke çapında veri merkezi hizmeti
vermektedir. Benzer örnekler göstermektedir ki; artık devletler gerekli
güvenlik politikalarını oluşturarak ve tedbirleri alarak özel şirketlere veri
merkezi kurdurmakta ve bu operasyonları özel şirketler eliyle
sürdürmektedirler.
31
Mevcut Durum
İstanbul’da faaliyet gösteren
çeşitli
kamu
kurumlarının
bilgisayar/sunucu
odalarında
yapılan incelemeler sonucunda
mevcut durum analiz edilmiştir.
İnceleme yapılan kurumlarda
sunucu odalarının çoğu evrensel
standartlara göre veri merkezi
tanımına uygun değildir.
edecek veya yönetimin veri
Mevcut durum analizi, bölüm
personeli
ile
yapılan
görüşmeleri,
kontrol
ve
incelemeleri, yapılan gözlemleri,
dökümantasyon ve ekipman
yapılarının gözden geçirilmesini
de içermektedir. İncelemede
veri fiziksel kontroller, nem, sel,
yangın, ısı, deprem, enerji
dalgalanmaları ve kesintileri
gibi çevresel risklerin ve insan
kaynaklı tehditlerin kontrolünü
de kapsamaktadır.
iyileştirilme yapılmakta, ancak
İnceleme
sonucunda
genel
olarak,
veri
merkezlerinin
işleyişinin sürekliliğini temin
belirlenerek
33
merkezi
kontrollerinin
gerekliliği, uygunluğu ve maliyet
etkinliği konusunda bilinçli bir
karar vermesini sağlayacak bir
süreç bulunmadığı görülmüştür.
Kurumlarda
minimal
bir
yaklaşım benimsenmiştir; sorun
çıktığında hasar kontrolü ve
bilinen tüm riskleri ortadan
kaldırmak ya da azaltmak için
kapsamlı
bir
çalışma
yapılmamaktadır.
Bu çalışma; fiziksel güvenlik
önlemlerinin ve su ve depremle
bağlantılı tehditlere karşı alınan
önlemlerin
arttırılmasını,
afet
çalışmalarının
müdahale
koordinasyonu ve veri merkezi
güvenliği için sorumlulukların
gerekli
düzenlemelerin yapılmasını net
bir yaklaşımla önermektedir.
1. FİZİKSEL ÖZELLİKLER
Sistem odası, bulunacağı binanın proje aşamasından itibaren bu
amaca yönelik planlanmış olmalı, mümkünse ihtiyaca dayalı olarak
ANSI/TIA/EIA-942 ve TIER sertifikasyon süreci takip edilmelidir.
Bölgesel gerçekler göz önüne alındığında depreme dayanıklılık
birincil öneme sahip olmakla birlikte iklimlendirme, yangın (ve
duman) kontrolünde kullanılacak ekipmanın konumu ihtiyaçlara
göre planlanmalıdır. Sistem odasının konumlandırılacağı yer
seçilirken ortamın fiziksel değişikliklerden minimum etkileneceği
bir bölge tercih edilmelidir. Nem ve ısı oluşturacak ısıtma,
soğutma tesisat ve cihazlarından, kalorifer boru ve peteklerinden
uzak, mevsimsel değişikliklerden etkilenmeyecek, manyetik
alan oluşturabilecek enerji ve elektrik hatlarından izole bir alan
seçilmelidir.
Yapım sırasında sistem odası olarak planlanmamış ama sistem odası
olarak kullanılacak mekânların modernizasyonu, öncelikle depreme
karşı güçlendirme ile başlamalı bunu takiben dış ortam su, nem ve
ısı izolasyonu yapılmalı zemin epoksi ve/veya anti statik malzeme ile
kaplanmalı, kapı ve havalandırma girişlerinde toza karşı filtre
uygulaması yapılmalıdır. Bunu takiben enerji, iklimlendirme ve
yangın sistemlerinin geçeceği yollar birbirini etkilemeyecek şekilde
planlanmalıdır.
Sistem odası olarak kullanılacak mekanların en temel gereksinimler
şunlardır: Oda zemini yükseltilmiş taban şeklinde düşünülmeli,
kablolama zemin altında yapılacaksa burada oluşturulacak kablo
kanallarına ve soğuk hava akışına imkan verecek şekilde bir
yükseklikte (asgari 50 cm) döşeme yapılmalıdır.
Kullanılacak döşeme malzemeleri kabinlerdeki tam dolu olma
durumu göz önünde tutularak 1000 kg kadar basınca dayanabilecek
sağlamlıkta seçilmelidir. Günümüz kabinlerinin 1500 kg kadar yük
taşıma
kapasitelerine
sahip
olabildikleri
göz
önünde
bulundurulmalıdır.
34
Deprem anı düşünülerek kabinlerin sallanması gibi ihtimallere karşı
bu ayaklar yerlerinden kolayca oynamayacak ve birbirine destek
olabilecek şekilde yerleştirilmeli, kabinetler çelik tel veya sabit
ekipmanlar ile kirişlere bağlanmalıdır.
Proje kapsamında görüşülen kurumların büyük bölümünün en
temel problemi, bulundukları binaların çok eski olması
nedeniyle bilgi sistemi ekipmanlarının sistem odası olarak
planlanmamış ya da gerekli modernizasyonu yapılmayan
mekanlarda konumlandırılmış olmasıdır. Binaların bu özelliği
büyük çaplı felaket anlarında kurumları çalışamaz hale
getirebilir, daha önemlisi onarılması zor sonuçlarla karşı karşıya
bırakabilir.
Aynı şekilde bazı kurumlarda sistem odası olarak kullanılan
odaların içerisinden tesisat borularının geçiyor olması ve sistem
odasına çok yakın şekilde WC/Lavabo bulunması da bu
kurumlarda su baskını yaşanması ihtimalini arttırmaktadır.
Bilgi sistemi ekipmanlarının bakım aşamasında büyük bir
yer kaplayan toz temizliği konusunda sistem odalarında
önlem alınmamış olması da ziyaret edilen kurumlarda
görülen bir diğer eksikliktir.
2. İKLİMLENDİRME
Elektrikle çalışan tüm cihazlar için ideal bir çalışma sıcaklığı
bulunmaktadır, işlemciler 70º ve üzeri sıcaklıkta
çalışamayacağı için bu ısıya ulaşan sunucular üzerindeki
sensörler aracılığıyla kendini kapatmaktadır ve bu sunucu
sistemleri için kabul edilemez bir durumdur. Bu nedenle
ortam sıcaklığının yedeklenmiş klimalar aracılığıyla optimum
çalışma derecesinde tutulması gündelik işlerin devamlılığı
açısından da önem arz etmektedir.
Isı kadar bir diğer önemli etken nem ve havanın kalitesidir,
sistem odalarında iklimlendirme, ortamın sıcaklığını, hava
temizliğini, nemini, hava hareketlerini istenilen seviyelerde
tutmak üzere planlanmalıdır. ASHRAE (The American Society
of Heating, Refrigerating and Air-Conditioning Engineers)
tarafından önerilen sistem odası sıcaklık (2008) alt sınır
olarak 18 üst sınır olarak 27 derece, nem alt sınırı 5,5 çiy
35
noktası üst sınır olarak 60% bağıl nem ve 15 °C çiy noktası
olarak önerilmiştir.
ANSI/TIA/EIA-942 standardında da belirtildiği gibi cihazların
bulunduğu kabinler sıcak ve soğuk hava koridorları oluşturacak ve
cihazların soğuk havayı aldıkları yüzleri karşılıklı gelecek şekilde
konumlandırılarak, diğer cihazların ortama verdikleri sıcak havanın
soğuk hava ile karışmasının önüne geçilmesi sağlanmalıdır.
Bilgisayar sistemlerinin ya da çevre birimlerinin bir grubunun ısınem duyarlılığı diğerlerinden daha yüksek olabilmektedir. Uygun
ısı-nem düzeyinin tespiti için cihazların kullanım kılavuzlarına göre
uygun iklimlendirme metodu ve değerleri seçilmelidir.
Mevcut soğutma sistemlerinin cihazlar için en uygun konuma göre
değil, fiziksel ortamın gerekliliklerine göre yerleştirilmiş olması,
kullanılan iklimlendirme cihazının daha fazla çalışmasına neden
olmakla birlikte cihazların uygun koşullarda çalışmasını
engellemektedir.
Sistem devamlılığı açısından kritik önem arz eden iklimlendirme
cihazlarının yedekli olması ve bakımlarının yapılması ve kullanılacak
cihazların sistem odasındaki ekipmanların üreteceği ısı miktarları
göz önüne alınarak seçilmesi gerekmektedir.
3. YANGIN
Bilgisayar sistemleri yangına karşı oldukça zayıf bir korunmaya
sahiptir. Yangın bilgisayarları doğrudan yakabilir ve/veya yüksek
sıcaklık nedeni ile sabit disklerin ve kartların zarar görmesine neden
olabilir. Sistem odasında, yaşanabilecek olası bir yangın anında
yangının tespiti ve bertaraf edilmesi için yangın söndürme sistemine
ihtiyaç vardır. Günümüzde sistem odalarında yangın söndürme
düzeneklerinde oksijen azaltma yöntemi kullanılmaktadır.
36
Oksijen azaltma yönteminde ortamdaki oksijen miktarının %12 ila
%15 arasında tutulması amaçlanmaktadır. Günümüzde bu yöntem
için genellikle FM 200 gazı kullanılmaktadır. FM 200 gazı,
söndürme esnasında ortamdaki canlılara zarar vermemesi, ozon
dostu olması, söndürme sonrası temizlik istememesinin yanında
çabuk ve etkin söndürme sağlamasıyla ön plana çıkmaktadır.
Sistem odasında olası bir yangın anında algılayıcılardan gelen
sinyalle birlikte denetleyici birim devre girmeli ve sesli ve
ışıklı alarm vermelidir, alarmı takiben ortalama 20 saniye
içerisinde korunaklı ortama gazın tamamı 10 saniye
içerisinde boşaltılmalıdır.
Ek olarak taşınabilir yangın söndürücünün kapıya
olabildiğince yakın olmasını ve sistem odasına girme
yetkisine sahip personelin bu söndürücüyü kullanabilme
konusunda yeterli deneyim sahibi olmasını sağlamak için
periyodik eğitimler düzenlenmelidir.
Yangın söndürücünün yeniden doldurulması gerekip
gerekmediği düzenli olarak kontrol edilmeli, eğer yangın
söndürücü halon ya da CO2 temelli ise, sistem odasının dış
kapısına (ya da uygun bir diğer yere) yangın alarmı ile
birlikte sistem odasına girecek personelin gazdan
etkilenmemesi için yapması gerekenleri gösteren bir uyarı
levhası yerleştirilmelidir. Otomatik bir yangın alarm
sistemi varsa, sistemin yanlış alarm ve acil durumlarda
durdurulabilir olması gerekmektedir.
Sistem odası veya yakın çevresinde, yangını ya da yanlış
alarmı fark edenlerin kullanabilecekleri bir telefonun
bulundurulmalıdır.
Sistem odası dışında çıkabilecek yangınlara karşı ise sistem
odasının kapısı olarak yangına dayanıklı, ısıyı ve dumanı
diğer tarafa geçirmeyen özel üretim bir kapı seçilmeli, oda
duvarlarında iki tarafı alçı ile kaplanmış taş yünü
kullanılmalıdır. Taş yünü –50º ile +650º arasındaki
sıcaklıklara dayanıklı bir malzeme olduğundan muhtemel dış
yangın durumlarında sistemin korunmasına yardımcı
olacaktır.
37
4. ENERJİ
Sistem odalarında kesintisiz hizmet verebilmenin ilk adımı
güç
kaynaklarını
yedeklemekle
başlamaktadır
ve
gerçekleşmesi en muhtemel risk, bölgesel altyapı
yetersizlikleri de göz önüne alındığında elektrik kesintisidir.
Enerjinin sürekliliği ve yedekliliği için sistem odası
planlanırken sunucular, storage birimleri, yedekleme
üniteleri, switch, router ve diğer tüm cihazların çektiği
mevcut enerjinin yanında, büyüme trendi de düşünülerek
ihtiyaca uygun, şebekedeki dalgalanmaları önleyecek
regülatörlü bir UPS ve paralelde şebeke hattı için ayrıca bir
regülatör (düzenleyici) ve sistemlerin kritiklik durumuna
bağlı olarak jeneratör kurulumu yapılmalıdır.
Elektrik dağıtım panosu klimalar ve sistem odası beslemesi
olmak üzere iki adet tasarlanmalıdır. Klimaların yüksek güç
tüketimi göz önüne alınarak yapılan bu tasarım, girişte de ayrı
sigortalanmalıdır. Böylece klima beslemelerinden kaynaklanan
sorunların sistemlere zarar vermesi ve kesintiye uğratması
engellenecektir.
Sunucu cihazlarının çoğu yedeklilik açısından çift enerji beslemesi
ile üretilmektedir. Bu doğrultuda kabinlere giden UPS, diğeri
jeneratör beslemeli 220V istikrarlı gerilime ve regüle edilmiş iki
enerji hattına sahip olmalıdır.
Enerjinin iletimi ile ilgili olarak, enerji nakil hatlarının
konumlandırılacağı yer seçilirken oluşturacağı manyetik
alan nedeniyle network kablolarından belli uzaklıkta bir
bölge seçilmelidir.
Enerji nakil hatlarının kablolaması yapılırken, her kablo üzerinden
çekilecek toplam enerji miktarı göz önünde bulundurularak doğru
kablo tipi ve kalınlığı seçilmelidir. Kablolama yaparken kabinlerin
her birine birden çok güç kablosu çekileceği, her sunucuya birden
çok güç kablosu takılacağı ve her kabinde birden çok güç dağıtım
ünitesi yerleştirileceği göz önünde bulundurulmalıdır.
38
Kullanılacak UPS sistemi ve kapasitesi seçilirken
mevcut enerji tüketiminden %15 fazla besleme
sağlanmalıdır.
Enerjinin izlenmesi sistem için kritik diğer bir başlıktır,
tüm cihazların kullandığı enerji miktarı sayısal değer
olarak bilinmeli, gözetim altında tutulmalı, sisteme
eklenecek yeni cihazlara yeterli enerji sağlanacağından
emin olunmalıdır. Aksi takdirde sigorta atması, tüm
sistemlerin kapanması ya da kabloların ısınmasından
dolayı istenmeyen sonuçlar oluşabilmektedir.
Topraklama konusunda sistem odası kurulmadan önce
mutlaka profesyonel yardım alınmalıdır. Topraklamanın
hiç olmadığı ya da ihtiyaçlara uygun yapılmadığı bir
sistemde devreler sürekli statik elektrikle yüklenecek
ve arızalanacaktır. Konuyla ilgili olarak başbakanlık
tarafından
yayınlanan
Elektrik
Tesislerinde
Topraklamalar Yönetmeliği, ANSI/-J-STD-607-A veya
CENELEC EN50310 incelenmelidir.
5. FİZİKSEL GÜVENLİK
Sistem odasına giriş çıkışlar için belli bir yetkilendirme ile
yapılmalı ve uygulanmalıdır. Sadece yetkilendirilmiş
personelin giriş yapabilmesini kontrol amacıyla, biyometrik
sistemlerden kartlı sistemlere kadar birçok alternatiften
yararlanılabilir.
Kurum dışından sistem odasında çalışma yapacak kişilerin
yanında mutlaka kontrol, bilgilendirme ve uyarı amacıyla bir
yetkili personel bulundurulması önemlidir. Sisteme vakıf
olmayan birinin bu odada iş yaparken gerek yanlışlıkla
gerekse kasten vereceği zararların önüne geçebilmek için bu
yaklaşım elzemdir. Oda içinde yapılan değişiklikler veya
güncellemeler kayıt altına alınmalı ve ilgilisi olan kişiler de
bunlardan haberdar edilmelidir.
Kurumun önemi ve kritik bilgilerin değeri göz önüne
alınarak, sistem odalarında ek güvenlik protokolü
uygulanmalı, kabin bazında erişim yetkilendirmeleri
yapılmalıdır.
39
Ziyaret edilen kurumların bir kaçında görevli personel harici
kurum personelinden herhangi bir kişinin sistem odasına girmesi,
kişisel ilişkiler yolu ile ya da sistem odasının öneminin farkında
olunmaması gibi nedenlerle mümkündür. Sistem odası girişleri ve
sistem odasının içi kamera ile izlenmeli ve bu kamera kayıtları
minimum bir yıl süre ile saklanmalıdır. Güvenlik ihlali durumunda
daha önceden belirlenmiş kişilerin telefon, SMS ya da mail yoluyla
uyarılmasını sağlayacak otomasyon sistemi kurulmalıdır.
6. GENEL BAKIM
Sistem odalarında bulunan ekipmanlara yapılan periyodik
bakımlar, bilgisayar sistemleri ve çevre birimlerinde oluşmuş ve
daha önemlisi oluşması muhtemel arızaların tespit edilerek
bunların önüne geçilmesi açısından önemlidir.
Bakım faaliyetleri belirli bir takvim dâhilinde ve aksatılmadan
yapılmalı, bu işlemi yapacak personelin ehil olması
sağlanmalıdır.
Bünyesinde kritik sunucu bulunan kurumlar sunucu bakım
faaliyetlerini büyük oranda güçlü şartlara sahip dış kaynak
hizmeti olarak almaktadır; bu nedenle kontrolü yapılan
maddeler arasında büyük oranda bütünlük sağlanmıştır.
Bu hizmeti dışarıdan alan kurumların sözleşme yaparken
aşağıdaki maddelerden taviz vermeden “Bakım ve Destek
Sözleşmesi” imzalaması uygun olacaktır:
• Sözleşme imzalanacak yükleniciden 7/24 çağrı merkezi
hizmeti istenmelidir.
• Sözleşme imzalanacak yükleniciden arızaya yılın tüm
günleri, resmi tatiller de dahil olmak üzere 365 gün, en geç 2
(iki) saat içerisinde yerinde müdahale istenmelidir.
• Sözleşme imzalanacak yükleniciden bakım ve arıza giderme
konusu cihazlar ile ilgili varsa yeterlilik belgesi istenmelidir.
40
• Bakım ve arıza giderme sözleşmesine konu
cihazların teknik özelliklerinden kaynaklı özel
durumları var ise sözleşmede, bu durumu
kapsayan maddelere yer verilmelidir(kesintisiz
güç kaynaklarının akü değişimleri gibi).
• Sözleşme maddelerinde belirtilen şartların yerine
getirilmemesi durumunda mevcut yasaların izin
verdiği en ağır yükümlülükler sözleşmede yer
almalıdır.
• Sözleşme maddelerinde belirtilen şartların yerine
getirilmemesinden kaynaklı doğabilecek maliyetlerin
yüklenici firmadan temini ile ilgili sözleşmede açık
maddeler yer almalıdır.
• Bahsedilen şartları sağlayacak yüklenici
bulunmasında zorluk çekilmesi durumunda, benzer
büyük kurumların sistem odası bakım ve arıza
giderme
sözleşmesi
deneyimlerinden
yararlanılmalıdır.
7. VERİ GÜVENLİĞİ
Son 10-15 senedir internet hızlarının artması, değişen ve
gelişen ihtiyaçlar neticesinde kurumlar,
işlerini
sürdürebilmek için elektronik bilgi kullanımına yönelmiş,
zaman geçtikçe uygulamalar büyümüş ve süreçlerin %90’a
yakını elektronik ortama aktarılmıştır. Bilgiye olan bu
bağımlılık aynı zamanda bilginin korunması ihtiyacını
gündeme getirmiştir. Bu anlamda bilgi, kurumun sahip
olduğu varlıklar arasında çok önemli bir yere sahip olmuş;
ancak bu durum büyük bir tehlikeyi de beraberinde
getirmiştir. Bilgiye yönelik olası saldırılar, bilginin tahrip
edilmesi, silinmesi, bütünlüğünün ve/veya gizliliğinin zarar
görmesi, bilgi altyapısının bozulması gibi sonuçlar
doğurmakta, bu da beraberinde işlerin aksamasına neden
olmaktadır.
41
Veri güvenliği üç temel üzerine odaklanmıştır: Gizlilik
(Confidentiality),
Bütünlük
(Integrity)
ve
Kullanılabilirlik (Availability).
Gizlilik, bilginin yetkisiz kişilerin erişimine kapalı olması
şeklinde tanımlanabilir. Bir diğer tarif ile gizlilik, bilginin
yetkisiz kişilerce açığa çıkarılmasının engellenmesidir.
Bütünlük, bilginin yetkisiz kişilerce değiştirilmesi, silinmesi ya
da herhangi bir şekilde tahrip edilmesi tehditlerine karşı
içeriğinin korunmasıdır.
Kullanılabilirlik, bilginin her ihtiyaç duyulduğunda kullanıma
hazır durumda olmasıdır. Herhangi bir sorun ya da problem
çıkması
durumunda
bile
bilginin
erişilebilir
olması;
kullanılabilirlik özelliğinin bir gereğidir bu sistem devamlılığının
da esas maddesidir.
En temel güvenlik açığı dışarıdan gelecek saldırılar değil,
içerideki kullanıcı kaynaklı (bilinçli ya da bilinçsiz) bilgi
açıklarıdır. Sosyal mühendislik yöntemi ile çalınan bilgiler siber
istihbaratın en önemli silahlarındandır, önemsiz görülen güvenlik
açıkları (kompleks verilmeyen şifreler, kullanıcıların şifrelerini
paylaşması, erişim kısıtlaması olmayan veri ambarları)
kurumlara çoğu zaman dışarıdan gelecek saldırılardan daha fazla
zarar verebilmektedir. Temel seviyede alınması gereken önlem
kullanıcıların eğitilmesi ve bilinçlendirilmesidir. Bilinmelidir ki,
kullandığı sistemin ve bilginin önemine inanmayan kullanıcı en
büyük hedef ve tehdittir. Kurum ziyaretlerinde dahi şifrelerini
sesli olarak paylaşan kurum çalışanlarının olması gibi örnekler,
bu konuda önlem alınmasının gerektiğini göstermektedir.
Kurumların büyük çoğunluğunda kırılmış yazılım kullanımına
karşı herhangi bir önlem olmadığı dikkat çekmektedir.
Programların kırılmasında kullanılan crack uygulamalarının
%80’inin virüs içermesi, bu konunun güvenlik için önemini
ortaya koymaktadır.
42
Dışarıdan gelecek saldırılar açısından göz önünde
bulundurulan bu kurumlar birincil hedeftir. Saldırının bu
zamana
kadar
gerçekleşmemiş
olması
saldırının
yapılmayacağı ve daha önemlisi yapılmadığı ve sistemin ele
geçirilmediği şeklinde değerlendirilmemelidir; değişen siber
saldırı kavramı sistemlere zarar vermek, devre dışı
bırakmaktan çıkarak, fark ettirmeden içeri sızarak veriye
erişmek şekline evrilmiştir.
Kurumlar dışarıya açık sistemlerini mutlaka kontrol altında
tutmalı, kurum için gerekli olmayan tüm port ve uygulama
erişimleri kapatılmalıdır. Bu şekilde saldırının nereden
geleceği bilinebileceği gibi karşı önlem alınması gereken
riskler de azaltılmış olacaktır. Kritik bilgilerin korunması için
spesifik önlemlerden ziyade, sistematik bir risk
değerlendirme yaklaşımı ve ihtiyaçlara uygun bir metodoloji
geliştirmelidir (risk değerlendirme konusunda daha fazla
bilgi veren BS 7799-3 standardına başvurulabilir).
Bilgi Güvenliği politikalarının belirlenmesi, uygulanması ve
devamının getirilmesinden kurum yöneticisi, belirlenen
politika, standart ve kurallara uymaktan da tüm personel
sorumludur. ISO/ IEC 27001 ve ISO/IEC 27002 standartları
veri güvenliği konusunda en temel başvuru kaynaklarıdır.
Kurumların genelinde kullanıcıların USB bellek
kullanımının açık olması ve internet üzerinden yapılan
kritik yazışmalarda e-imza kullanılmaması da diğer
eksikliklerdir.
8. YEDEKLEME
Bilgi, kurumların önemli varlıkları arasındadır. Bilginin
herhangi bir nedenle kullanılamaz duruma gelmesi, bilginin
kritikliği derecesinde kuruma zarar vermektedir. Her geçen
gün önemi artan ve hayati öneme sahip olan verilerin,
yedeklenmemesi ya da yeterli şekilde yedeklenmemesi
büyük risk oluşturmaktadır. Bu nedenle çalışma şekillerine
bağlı olarak, kurumlarda yedekleme sistemleri kurulmalı ve
yedekleme işlemleri günlük olarak takip edilmelidir.
43
Temel olarak bilgi kayıplarının dört ana sebebi vardır:
donanım arızaları, yazılım hataları, insan hatası ve doğal
afetler. Bu tehditlere karşı yedek alınmaması ne kadar
büyük bir tehlikeyse, kritik sistem yedeklerinin ihtiyaç
anında mevcut yedeklerden geri dönememesi de bir o kadar
iş ve itibar kaybına neden olacaktır.
Kritik bilgilerin yedekleme prosedürü mevcut tehditler ve veri
güvenliğinin
kullanılabilirlik
ilkesi
değerlendirilerek
belirlenmeli, verilerin geri dönülemez biçiminde kaybolmasını
engellemek
amacıyla
birden
fazla
kopya
halinde
bulundurulmasını sağlayan adımlar bu kopyaların kabul
edilebilir sürelerde geri döndürülebilir işlemler bütünü olarak
planlanmalıdır.
Yedekleme, klasik bilgi işlem adımları şeklinde saatlik, günlük
veya haftalık olarak değil, yedeklenecek veri miktarı, yedekleme
sıklığı, yedeklenen verinin zaman içerisinde değişme oranı, kabul
edilebilir maksimum veri kaybı ve verinin önemi gibi parametreler
göz önünde bulundurularak ve yapıya uygun teknoloji seçilerek
planlanmalıdır.
Yedekleme
medyaları
canlı
veri
zarar
gördüğünde
kullanılmaktadır. Yedekleme medyalarının tamamının canlı veri
ile aynı fiziksel ortamda bulunması hem canlı verinin hem
yedeğinin aynı zamanda zarar görmesine neden olabilmektedir.
Bu sebeple yedekleme medyalarının sistem odası ile aynı etkiye
maruz kalmayacak kadar uzak bir mesafede saklanması
gerekmektedir. Sistem odası dışında saklanacak yedekleme
medyalarının neler olduğu, uzak mesafede depolanması
sırasında medya aktarımının güvenliği ve hangi aralıklarla
aktarımının gerçekleştirileceği de planlanmalıdır.
Verilerin yedeklenmesi kadar önemli bir diğer nokta da
yedeklerin saklama süreleri ve güvenliğidir. Veri yedekleme
planlaması yapılırken aşağıdaki gibi bir kontrol listesi yapılması
da sağlıklı olacaktır.
44
Kurumun bütün verisinin, kurum çapında kullanılan işletim
sistemlerinin ve uygulamaların tamamının yedeği uygun ve
düzenli olarak alınmalı, yedekleme sistemi iş sürekliliği
planında yer alan veri yedekleme ihtiyacını karşılamalı, yedeği
alınacak veri ve uygulamalar için sınıflandırma yapılmalı ve her
bir sınıf için kabul edilir veri kaybı süresi belirlenmeli, kabul
edilir veri kaybı süresi yönetim tarafından onaylanmalı,
yedekleme işlemlerinin sağlanması için yedekleme politikasına
uygun olarak bir yedekleme planı oluşturulmalıdır.
Yedekleme işlerine ait kayıtlar tutulmalı, başarısız olan
yedekleme işleri takip edilmeli ve hata nedeni ile yedeği
alınamamış verinin yedeği tekrar alınmalı, yedekleme medyaları
etiketlenmeli ve hangi medyada hangi yedeğin bulunduğuna
dair kayıtlar tutulmalıdır. Yedekleme medyalarının kopyaları
alınarak ana sistem odasına zarar verebilecek felaketlerden
etkilenmeyecek kadar uzakta ve güvenli olarak depolanmalı,
yedeklenmiş verinin düzenli aralıklarla geri döndürme testi
yapılmalı, yedekleme altyapısı, yedekleme ve geri döndürme
işlemleri için talimatlar hazırlanmalıdır.
9. KRİTİK UYGULAMALAR
Tüm dünya genelinde bünyesinde kritik sunucu bulunan kurum ve
şirketlerin birinci önceliği uygulamalarının devamlılığını
sağlamaktır ve kurumlar ihtiyaçları doğrultusunda farklı
teknolojiler ve protokoller seçmekle birlikte, bu konuda belli
standartları sağlamak zorundadır.
Ziyaret edilen kurumlar bu devamlılığı son yılların tercih edilen
metodu olan sanallaştırma ve bu sanal sunucuların birbirini
yedeklemesi şeklinde sağlamayı tercih etmiştir. Uygulamanın
kritikliğine göre yedek sunucular ihtiyaç halinde otomatik olarak
devreye girmekte ya da bu işlem manuel olarak yapılmaktadır.
Orta ve büyük çaplı kritik uygulamalara sahip kurumların en
büyük eksikliği sunucuların fiziksel ya da sanal bir yedeği
olmasına karşın bu sistemlerin gerçek ortam ile aynı ortamda
olmasıdır. Tercih edilmesi gereken yöntem gerçek ortam
verilerinden farklı bir lokasyonda, mümkünse bilginin ve
devamlılığın çok önemli olduğu kurumlarda 100 km üzeri
mesafelerde tutulması olmalıdır.
45
Kurumlar süreçlerinin büyük kısmını internet üzerinden
yürütmektedir. Bu bağlamda siber saldırı tehdidi altındaki bu
kurumların yedek sunucularını otomatik veya manuel olarak farklı
network/IP üzerine çekebilecek şekilde planlaması bir diğer
önemli konudur.
Kurumlar normal gün işlemlerini kesintisiz olarak verebilmekte,
orta çaplı felaket senaryolarına karşı hızlı şekilde aksiyon almaları
mümkün görünmektedir ancak yine de bölgesel felaket anlarında
bu kurumlarda ciddi sıkıntılar yaşanılması kaçınılmazdır.
10. BAĞLANTILAR
Sürekli gelişen bilişim teknolojileri, kurumlara çok yönlü hizmet
verme gereksinimleri doğrultusunda yeni ufuklar açmakta ve
problemlere uygun çözümler sunabilmektedir. Bunların başında
kurumların tanıtım, ilke ve hizmetlerini elektronik ortama
yansıttıkları internet siteleri ve web tabanlı yönetim sistemleri
gelmektedir.
Bilgi teknolojilerinin yarattığı olanaklarla üretilen bilgi miktarının
artması ve bilginin bulunduğu ortamların çeşitlenmesi, bilginin
etkin yönetimine dönük çok yönlü stratejilerin geliştirilmesini
gerektirmektedir. Yapılandırılmış bilgi sistemleri kadar yarı
yapılandırılmış ya da yapılandıramamış ortamlardaki bilgiye
etkin erişim, içeriğin bütünleştirilmesi ve uzun süre koruma, iş
süreçlerinde soysal ağ kullanımı, kotalar ve sınırlamalar, denetim
gibi konular bilgi sistemleri üzerine güncel tartışma konuları
arasında yer almaktadır.
Ziyaret edilen kurumların %90’ı günlük işlemlerini internet
üzerinden yapmaktadır; buna karşın internet bağlantıları kimi
zaman bölgesel alt yapı yetersizlikleri kimi zamansa konuya yeterli
önem verilmemesi nedeni ile kontrol edilmemekte ve
yedeklenmemektedir. X servis sağlayıcıdan alınan internet
hizmetinin yine aynı servis sağlayıcıdan alınmış bir hizmet ile
yedeklenmesi doğru bir yöntem değildir. Kurumlarda olması
gereken bağlantı sistemi iki farklı servis sağlayıcısından bu
hizmetlerin yedeklenmesidir.
46
Kurumların %70’i profesyonel Firewall/IPS ve kontrol cihazları
kullanmaktadır; ancak bu cihazlara sahip kurumlarda da kullanıcı ya
da grup bazlı internet kullanımı denetimi yapılmadığı
gözlemlenmiştir.
Kritik kurum çalışanlarının internet ve tüm iletişim araçlarını
kullanmaktaki birincil amacının “iş” olmasına yönelik önlemler
alınmalıdır. Kullanıcılardan gelen istekler kurumsal hizmetleri
engellemeyecek şekilde yönetilmelidir.
İnternet bağlantısı dışında kullanılan ikinci iletişim yapısı
kurumların telefon alt yapılarıdır. Yapılan incelemelerde kurumlarda
kullanılan telefon santrallerinin %90 oranında yedekli olmadığı
görülmüştür, dolayısıyla kurumların birçoğunda sıradan bir santral
arızası durumunda dahi telefon altyapısının devre dışı kalması
kaçınılmazdır.
11. SİSTEM DEVAMLILIĞI
Kurumların normal gün sistem devamlılığı %97 oranında kesintisiz
olmakla birlikte, performans sorunları yaşanmaktadır. Kurumlarda
birinci kritik uygulama genel itibariyle kurumsal süreçlerin
yönetildiği yazılımlardır ve bu yazılımlar kurum bünyesinden
yönetilmekle birlikte sadece kullanımının yapıldığı örneklerde
mevcuttur.
Kendi uygulamasını geliştiren ve bu uygulamaları bünyesinde
bulunduran kurumların, bu uygulamalara alternatif geliştirmeleri,
yapının büyüklüğü ve kullanım şekli değerlendirildiğinde mümkün
görünmemektedir. Bu nedenle, kurumlarda izlenmesi gereken yol
mevcut
uygulamaların
kesintisiz
çalışmasını
sağlayacak
protokollerin belirlenmesi ve uygulanmasıdır.
Felaket anlarına karşı fiziksel ekipman ve yazılım odaklı
hazırlıklılık kadar önemli olan bir diğer nokta, ilgili personelin
konuya verdiği önemdir. Ziyaret edilen kurumların tamamında
personel bu konunun öneminin bilincindedir, buna karşın felaket
anını yaşayan kurumlarda dahi bürokratik engeller ve iş yoğunluğu
nedeni ile felaket anı testleri yapılmamaktadır. Bu durum felaket
anına ekipman olarak hazır kurumların bile olaya müdahale
süresini uzatacak ve yanlış işlemler yapmasına neden olabilecektir.
47
12. DİĞER/GENEL
Bilgi çağı olarak adlandırılan günümüzde bilgi, birey ve
organizasyonlar için hayati önem kazanmıştır. Bilginin, sadece
günlük hayatta değil organizasyonların stratejik karar
aşamalarında da son derece önemli olması, onun birtakım
niteliklere sahip olma zorunluluğunu beraberinde getirmiştir.
Bilginin hem bireyler hem de organizasyonlar için bir anlam ifade
edebilmesi, doğru olması, zamanında elde edilmesi ve devamlı elde
edilebilmesi gibi çeşitli özellikler taşıması ile mümkündür.
Herhangi bir felaket durumunda bilişim sistemleri ve buna bağlı
olarak iş süreçleri saatler, günler, haftalar boyunca durabilir.
Sistemin bu şekilde etkilenmesi geniş kitleleri mağdur edebilecek
bir durumdur. Kamu bilişim sistemleri genelde çok daha yaygın bir
kitleye (vatandaşlar) ve kurumlara hitap ettiğinden, bu sistemlerin
durması mağduriyetin etkisinin ve maliyetinin de çok daha yüksek
olmasına yol açacaktır.
Bu kapsamda, bilginin güvenliğini her şartta temin etmek ve iş
sürekliliğini sağlamak için kritik verilerin ve uygulamaların olduğu
kurumlarda herhangi bir kesinti veya felaket durumunda (türü ve
sebebi ne olursa olsun) sistemlerin devamlılığını sağlamak esastır.
Felaket senaryosu hazır ve yürürlükte olan organizasyonlar,
karşılaşacakları herhangi bir problem veya bir felaket durumunda
hayatta kalmayı, aldıkları ve verdikleri hizmeti kesintisiz olarak
sürdürmeyi garantilemiş olacaktır.
48
Ziyaret edilen kurumlarda ilk dikkati çeken (yeterli önlemler
alınmamış olsa dahi), ilgili personelin felaket anlarına hazırlığın
öneminin farkında olmasıdır. Personel felaket senaryosu hazırlığı
için önlem ya da ekipman almak istediğinde, önüne çıkan
bürokratik engeller süreci kimi kurumda işleyişi yavaşlatmakta,
bazı kurumlarda ise tamamen durdurmaktadır.
Fiziksel mekan olarak tarihi binalarda bulunan kurumlarda sistem
odasına fiziksel hiçbir ekleme yapılamıyor olması, sistem
devamlılığı için alınacak önlemlere engel teşkil etmektedir.
Kurumlar normal gün işlemlerini genel itibariyle sorunsuzca
yapmaktadır; ancak felaket anlarına tam anlamıyla hazır
denilebilecek kurum oranı çok düşüktür. Bu oranın düşük olması
bazı konularda en temel güvenlik prosedürlerinin uygulanmaması,
bazı durumlarda ise mevcut ekipmanın kullanılmaması veya
prosedürün uygulanmaması olarak karşımıza çıkmaktadır.
Sosyal mühendislik yöntemi ile birçok kurumdan veri hırsızlığı
yapmak mümkündür, kurumlarda şifresini paylaşan ya da şifresi
“1 “ olan kurum personellerinin mevcut olduğu belirtilmiştir.
Yapılan felaket senaryosu hazırlıklarının geneli donanımsal ya da
en fazla orta çaplı felaket durumlarına karşı alınmıştır. Örneğin bir
sunucunun yedeği sanal ve/veya fiziksel olarak hazırlanmış ve
gerçek ortamın zarar görmesi halinde kesintisiz olarak devreye
girecek şekilde planlanmıştır; ancak gerçek ve yedek sistemlerin
aynı bina içerisinde ya da birbirine çok yakın binalarda bulunuyor
olması, binayı ya da bölgeyi vuracak büyük bir felaket anında hiçbir
anlam ifade etmeyecektir.
Kurum ziyaretlerinde ve daha sonra yapılan değerlendirmelerde
bölgesel çaplı büyük bir felaket anına hazırlıklı sadece tek bir
kurum olduğu görülmüştür.
49
Yönetici ve Uzmanların Gözüyle
Afet Durumunda Veri Güvenliği
“Afet Durumunda Kamuda Veri Güvenliği Projesi”
kapsamında, incelenmiş kurumların yönetici ve uzmanlar ile
İl Özel İdaresi’nde gerçekleştirilen ortak akıl toplantısında beş
önemli başlık ön plana çıkmıştır.
1. İnsan Kaynakları Yönetimi ve Personelin Eğitimi:
Toplantıda en fazla öne çıkan başlıklardan bir tanesi, insan
kaynakları yönetimi sorunudur. Mühendisler gibi bilişim alanında
çalışması tercih edilen kaliteli insan kaynağı, kamuda ücretler daha
düşük olduğundan ve etkin bir kariyer düzenlemesi olmadığından,
özel sektörde çalışmayı tercih etmektedir ve bu da çoğunlukla
KPSS(Kamu Personeli Seçme Sınavı) ile eleman alan kamu
kurumlarında insan kaynağı kalitesinin belli bir düzeyde
kalmasına ve kurumlarda yetkin olmayan insan kaynağı
sorununun çözümsüz bir hale gelmesine neden olmaktadır.
İnsan kaynakları ile ilgili bir diğer sorun da kamu kurumlarında
kaliteli bir yükselme sisteminin olmamasıdır. Kamuda aylık
ücretlerin standart olması, ücretlerin değişken aralıklı ve
performansa dayalı olmaması personelin motivasyonunun
düşmesine sebebiyet vermektedir. Kamuda çalışan elemanların
büyük kısmının özel sektör tecrübesi olmadan direk kamuda
çalışmaya başlaması ve saha tecrübesine sahip olmaması da mevcut
sistemlerin işletilememesi sonucunu doğurmaktadır.
Kamuda personelin yetiştirilmesi ile ilgili kaynak sıkıntısı da
yaşanmaktadır. Kamu personeline bilişim sistemleri ile verilmesi
istenen eğitimlerin maliyetleri yüksek olduğundan ve bunlar
kurumların tümüne hitap eden eğitimler olmadıklarından,
personelin motivasyonunu da arttırabilecek bu eğitimler
verilememektedir. Teknolojinin hızlı gelişime paralel olarak artan
personel taleplerinin bütçe sıkıntıları sebebiyle karşılanamıyor
olması da bir diğer sorundur.
50
2. Kamu Kurumlarında Kooperasyon Kültürü:
İstanbul’da bilişim sistemleri ve veri güvenliği ile ilgili gerekli
altyapı hazır olmasına karşın, kurumlar arasında kooperasyon
kültürünün gelişmemiş olması, ortak yapılabilecek çalışmaların
önünde engel oluşturmaktadır. Bu bağlamda, kurumların tek
başlarına politika geliştirip uygulama yapmasının zor olduğu
ülkemizde, veri güvenliği açısından en büyük sorunlardan biri,
kurumlararası koordinasyonu engelleyen kültür ve zihniyettir.
Ülkemizde aynı işi yapan çok sayıda kurum olması bir yetki
karmaşası yaratmakta, mevcut kısıtlı kaynakların gereksiz
kullanımına yol açmaktadır. Kurumlar arasında afet durumu gibi
acil durumlarda dahi eşgüdüm yerine çatışma oluşmaktadır.
3. Teknik Olmayan Yöneticiler ile İlgili Algı Sorunları:
Afet ve acil durum senaryolarının ve uygulamalarının önemi ile
ilgili farkındalık her geçen gün artmaktadır. Ancak afet konusunda
bilgi verilmesi gereken kilit kişilere ulaşılması ve proje ve veri
güvenliğinin öneminin kurum yöneticilerine anlatılması
konularında sıkıntılar yaşanmaktadır. Bunun en büyük nedeni ise
teknik olmayan kişilere teknik sorunların basit ve anlaşılır
biçimde iletilemiyor olması ve yöneticilere alınması gereken
önlemlerin çok masraflı olacağını düşündüren genel algı
sorunudur. Yöneticilerin iyi bir biçimde bilgilendirilmesi ve bu
algı sorununun aşılması veri güvenliğinin sağlanması için
elzemdir.
Sadece veri güvenliği açısından değil, genel anlamda öne çıkan
diğer kültürel bariyerler de, yönetimdeki kişilerin izlenmek
istememesi ve kurumların etki kapasitelerini diğer kurumlar ile
bilgi paylaşımında bulunarak azaltmak istememeleridir. Her
kurum kendi içerisinde detay ve küçük işleri yapıp diğer kurumlar
ile birlik içerisinde çalışırsa projelerin yürütülmesi daha hızlı ve
etkin olacaktır.
51
4. Afet Risk Haritalarının Oluşturulması:
Türkiye’de ve İstanbul’da bölgesel altyapıların ortaya konduğu
afet risk haritalarının oluşturulması ve bölgesel uygulamaların
bu haritalara göre yapılması büyük önem taşımaktadır. Afet
durumu için tüm kurumların önceliklerini belirlemesi ve buna
göre hazırlık planlarını yapması elzemdir.
5. Siber Saldırılar:
Son yıllarda tüm kamu kurumlarını etkileyen ve yoğun biçimde
gerçekleştirilen siber saldırılar da afet kategorisine
sokulabilecek olaylardır. Sistemi kesintiye uğratıp, halka hizmet
veren kamu kurumlarının işleyişlerini aksatan siber saldırılara
karşı çok iyi güvenlik önlemlerinin alınması gerekmektedir.
52
Sonuç
Yapılan literatür taraması, küresel yönelimlerin anlaşılması,
teknik incelemeler, mülakat ve toplantılar sonucunda
İstanbul’un olası bir afet durumuna karşı güçlü ve yedekli veri
merkezi olması gerektiği ve bağımsız bir sayısal telsiz ağına
sahip olması gerektiği sonucuna varılmıştır.
SONUÇ-ÖNERİLER
Öneriler
1
Tüm kamu kurumlarının afet durumunda vereceği kritik
hizmetlerin envanterinin çıkarılması ve bu hizmetlerin
afet durumunda verilebilmesi veya yönetilebilmesi için IT
ihtiyaçlarının tespit edilmesi, kesintisizlik -sürdürülebilirlik
analizinin yapılması.
2
Kritik ve kesintisiz hizmetler esas alınarak bu hizmetlerin
verildiği sunucuları hedefleyen olağanüstü bir veri merkezi
(yedekli olarak) tasarımı yapılması.
3
Başta kritik uygulamalar ve veriler olmak üzere kamunun
ihtiyacını karşılayacak afetlere dayanıklı veri merkezi (yedekli)
kurulması. Kurulacak (yeni veya mevcut seçilen kamuya ait veya
özel sektörce işletilen bir merkezde olabilir) veri merkezine
çeşitli kamu kurumlarında hali hazırda çalışan sunucu odalarının
taşınarak konsolide edilmesi.
4
Normal durumlarda kamu çalışanlarının kullanabileceği veya
vatandaşların da hizmet alabileceği yeni nesil kablosuz, sayısal,
afetlerden etkilenmeyecek bir yeni ağ altyapısı kurulması. Bu ağ
tüm ilk yardım ve güvenlik ve diğer olağanüstü faaliyetlerin ana
omurgasını oluşturacaktır. Ses, metin, veri, video gibi formatları
destekleyen bir ilk ağ inşaa edilmesi.
53
Öneriler
5
Mevcut sunucu odalarında ISO 27001 standartlarının ivedi
uygulanarak güvenliğin arttırılması (bu standartlar eksiklerin
giderilmesini hızlandıracak bir temel çerçeve sunacaktır).
6
Kamu bilişim yöneticilerinin bu alandaki teknik kapasitelerini
yukarı çıkaracak yaşam boyu öğrenim hedefli müfredat
geliştirilmesi ve eğitimler alınması, dünyadaki kamu veri
merkezlerinin yerinde incelenerek hızlı birikim sağlanması.
7
İl veya bölge çapında Veri Merkezleri yönelimine uygun olarak
kurumlar arasında işbirliği ve iletişim ortamlarının tesis edilerek
yeni bir birlikte çalışma kültürü inşaa edilmesi.
8
Teknik olmayan yönetici ve karar vericiler için konunun önemini
anlatan ve bu alana kaynak ayırmalarını teşvik edecek anlatım,
sunum vb. içeriklerin hazırlanması.
9
Afet risk haritalarının oluşturulması ve bu risk haritalarına
veri güvenliği veya iş sürekliliği faktörlerinin ilave edilmesi.
Bu faktörler gözetilerek müdahale önceliklerinin yeniden ele
alınması.
10 Afet yasasına ek olarak veri merkezleri ve ulusal afet iletişim ağı
ile ilgili düzenlemelerin yasal bir çerçeveye oturtulması.
54
Bu çalışma İstanbul Kalkınma Ajansı’nın
“Bilgi ve İletişim Teknolojileri Odaklı Ekonomik
Kalkınma Mali Destek Programı” kapsamında
“Kamu Kurumlarında Afet Durumunda Veri
Güvenliği Projesi”ne sağlanan destek ile Vezir
Danışmanlık tarafından hazırlanmıştır.