İş sürekliliği, beklenmedik olaylar (doğal afet, siber saldırı, pandemi, altyapı arızası) karşısında bir kuruluşun kritik iş fonksiyonlarını sürdürme veya hızla yeniden başlatma yeteneğidir. İş sürekliliği planlaması; gelir kaybını minimize eder, müşteri güvenini korur, yasal ve düzenleyici uyumluluk sağlar (BDDK, SPK gibi düzenleyiciler finans sektöründe iş sürekliliği planı zorunluluğu getirir), rekabet avantajı sunar ve kuruluşun hayatta kalma kapasitesini artırır. İş sürekliliği, tüm organizasyonu kapsayan stratejik bir yönetim konusudur.
BCP (Business Continuity Plan), kuruluşun tüm kritik iş süreçlerinin kesintisiz devam etmesini sağlayan kapsamlı plandır; insan kaynağı, tesisler, tedarik zinciri ve teknoloji dahil tüm boyutları kapsar. DRP (Disaster Recovery Plan) ise BCP'nin bir alt bileşeni olup yalnızca BT altyapısının kurtarılmasına odaklanır: sunucular, ağlar, veritabanları ve uygulamaların yeniden devreye alınması. BCP sorar: "İşi nasıl sürdürürüz?" DRP sorar: "Sistemleri nasıl geri getiririz?" Her ikisi de birlikte çalışır; DRP olmadan BCP eksik kalır.
BIA (Business Impact Analysis), kritik iş süreçlerinin kesintiye uğraması durumunda oluşacak etkilerin sistematik olarak değerlendirilmesidir. BIA adımları: (1) Kritik iş süreçlerinin belirlenmesi. (2) Her sürecin bağımlılıklarının haritalanması (sistem, personel, tedarikçi). (3) Kesinti etkisinin ölçülmesi: finansal kayıp, müşteri etkisi, yasal sonuçlar, itibar hasarı. (4) RTO ve RPO hedeflerinin belirlenmesi. (5) Kurtarma önceliklendirmesi. BIA sonuçları, BCP ve DRP planlarının temelini oluşturur ve kaynak tahsisi kararlarını yönlendirir.
RTO (Recovery Time Objective), bir kesinti sonrasında iş sürecinin veya sistemin kabul edilebilir sürede yeniden devreye alınması gereken maksimum süredir. Örneğin: e-posta sistemi RTO'su 4 saat, ERP sistemi RTO'su 2 saat. RPO (Recovery Point Objective), kabul edilebilir maksimum veri kaybı süresini ifade eder; yani en son yedekten bu yana geçebilecek süredir. RPO 1 saat ise saatlik yedekleme gereklidir; RPO sıfıra yakınsa gerçek zamanlı replikasyon şarttır. RTO ve RPO birlikte, yedekleme stratejisini, teknoloji seçimini ve bütçeyi belirler.
ISO 22301, İş Sürekliliği Yönetim Sistemi (İSYS/BCMS) için uluslararası standarttır. Plan-Do-Check-Act (PDCA) döngüsünü temel alır. Sertifikasyon süreci: (1) Kapsam belirleme ve politika oluşturma. (2) BIA ve risk değerlendirmesi yapma. (3) İş sürekliliği stratejileri geliştirme. (4) BCP ve DRP planlarını hazırlama. (5) Tatbikat ve test programı uygulama. (6) İç denetim. (7) Yönetimin gözden geçirmesi. (8) Bağımsız denetim kuruluşu tarafından belgelendirme denetimi (Aşama 1: dokümantasyon, Aşama 2: uygulama). Sertifika 3 yıl geçerlidir ve yıllık gözetim denetimleri yapılır.
Temel DRP stratejileri, maliyet ve kurtarma hızına göre sıralanır: Cold Site: Boş tesis; en ucuz ama devreye alma günler sürer. Warm Site: Kısmi altyapı hazır; saatler-günler içinde devreye alınır. Hot Site: Tam yedek altyapı; dakikalar içinde geçiş yapılabilir. Bulut tabanlı DR: DRaaS (Disaster Recovery as a Service); esneklik ve maliyet avantajı sunar. Active-Active: İki veri merkezi eşzamanlı çalışır; en yüksek kullanılabilirlik ama en yüksek maliyet. Strateji seçimi BIA sonuçlarına (RTO/RPO hedefleri) ve bütçeye göre belirlenir.
3-2-1 yedekleme kuralı: Verinin 3 kopyası, 2 farklı ortamda (disk + teyp/bulut), 1 kopya tesis dışında (off-site) tutulmalıdır. Modern genişletilmiş versiyon 3-2-1-1-0: ek olarak 1 kopya çevrimdışı (air-gapped, ransomware koruması) ve 0 hata ile doğrulanmış yedekler. Yedekleme türleri: Tam (full) — tüm veri, artırımlı (incremental) — son yedekten bu yana değişenler, farksal (differential) — son tam yedekten bu yana değişenler. Yedeklerin düzenli olarak geri yükleme testi yapılması kritiktir; test edilmemiş yedek, yedek sayılmaz.
Kriz iletişim planı, olağanüstü durumlarda iç ve dış paydaşlarla etkili iletişimi sağlar. Bileşenleri: İletişim ekibi ve sözcü belirlenmesi. Paydaş haritası: çalışanlar, müşteriler, tedarikçiler, medya, düzenleyiciler, yatırımcılar. İletişim kanalları: birincil (e-posta, SMS), ikincil (telefon ağacı), üçüncül (sosyal medya). Mesaj şablonları: Her senaryo için önceden hazırlanmış bildiri taslakları. Zamanlama protokolü: kim, kime, ne zaman, nasıl bildirim yapacak. Medya yönetimi: basın bülteni hazırlığı, Q&A dokümanı. Plan düzenli tatbikatlarla test edilmeli ve güncellenmelidir.
Tatbikat türleri artan karmaşıklık sırasıyla: Masa başı tatbikatı (tabletop): Senaryo üzerinden tartışma; düşük maliyetli, başlangıç için ideal. Yürüyüş tatbikatı (walkthrough): Prosedürlerin adım adım gözden geçirilmesi. Simülasyon: Gerçekçi senaryo ile karar alma pratiği. Paralel test: Yedek sistemler devreye alınır, üretim etkilenmez. Tam kesinti testi (full interruption): Üretim sistemleri kapatılır, yedeklerle çalışılır; en gerçekçi ama en riskli. Her tatbikat sonrası derslerin çıkarılması (lessons learned) raporu hazırlanmalı ve planlar güncellenmelidir. ISO 22301, yılda en az bir tatbikat şart koşar.
Siber olaylara hazırlık, geleneksel BCP'nin ötesinde özel yaklaşımlar gerektirir: Ransomware senaryosu: Çevrimdışı yedekler, şifre çözme karar ağacı, ödeme politikası. Veri sızıntısı: KVKK bildirim prosedürleri (72 saat), etkilenen kişilere bilgilendirme, hukuki danışmanlık. DDoS saldırısı: CDN ve DDoS koruma hizmetleri, trafik yönlendirme planı. Tedarik zinciri saldırısı: Kritik tedarikçi alternatiflerinin hazır tutulması. Her senaryo için özel playbook hazırlanmalı, müdahale ekibi (CSIRT) ile iş sürekliliği ekibi arasında net görev dağılımı yapılmalıdır.
COVID-19 pandemisi, uzaktan çalışmanın iş sürekliliğindeki kritik rolünü kanıtlamıştır. Uzaktan çalışma planı unsurları: Teknoloji altyapısı: VPN kapasitesi, bulut uygulamalar, sanal masaüstü (VDI), iş birliği araçları. Güvenlik: Uç nokta koruması, MFA, DLP, güvenli dosya paylaşımı. Operasyonel: Uzaktan yönetilebilir iş süreçleri, dijital imza, elektronik belge yönetimi. İnsan kaynağı: Çalışan iletişimi, performans takibi, ergonomi desteği. BCP, tüm kritik görevlerin en az %80'inin uzaktan yürütülebilir olmasını hedeflemelidir.
Tedarik zinciri kesintileri, iş sürekliliğini doğrudan etkiler. Strateji: (1) Kritik tedarikçi analizi ve tek kaynak bağımlılığının azaltılması. (2) Alternatif tedarikçi listesi ve ön sözleşmeler. (3) Güvenlik stoku planlaması. (4) Tedarikçi iş sürekliliği değerlendirmesi (yıllık). (5) Sözleşmesel korumalar: iş sürekliliği gereksinimleri, SLA'lar, ihlal bildirimi. (6) Coğrafi çeşitlendirme. (7) Gerçek zamanlı tedarik zinciri izleme. Dijital tedarik zinciri riskleri de dahil edilmelidir: kritik yazılım tedarikçisinin hizmete ara vermesi, bulut sağlayıcı kesintisi, API bağımlılıkları.
Yüksek erişilebilirlik (High Availability), sistemlerin kesintisiz çalışmasını sağlayan tasarım yaklaşımıdır. Bileşenleri: Sunucu kümeleme (clustering): Aktif-pasif veya aktif-aktif yapılandırma. Yük dengeleme (load balancing): Trafik dağılımı ve otomatik yönlendirme. Depolama replikasyonu: Senkron (sıfır veri kaybı) veya asenkron (performans avantajı). Ağ yedekliliği: Çift ISP, çift yönlendirici, HSRP/VRRP. Güç yedekliliği: UPS, jeneratör, çift besleme (A+B power). Kullanılabilirlik seviyeleri: %99.9 (yılda 8.76 saat kesinti), %99.99 (yılda 52 dakika), %99.999 (yılda 5 dakika).
Etkili iş sürekliliği yönetişimi: Üst yönetim sponsorluğu — CEO/Genel Müdür düzeyinde sahiplenme zorunludur. İş Sürekliliği Komitesi: Üst yönetim, IT, operasyon, finans, hukuk temsilcilerinden oluşur. İş Sürekliliği Yöneticisi: Planların koordinasyonu, tatbikatlar ve güncellemeden sorumlu. Departman temsilcileri: Her birimde iş sürekliliği irtibat kişisi. Kriz yönetim ekibi: Olağanüstü durumlarda karar alma yetkisine sahip. Roller ve sorumluluklar RACI matrisi ile tanımlanmalı, iletişim zincirleri net olmalıdır.
Siber dayanıklılık, bir kuruluşun siber saldırılara rağmen operasyonlarını sürdürme, adapte olma ve toparlanma yeteneğidir. Siber güvenlik "saldırıyı engelleme"ye odaklanırken, siber dayanıklılık "saldırı gerçekleşse bile işi sürdürme"yi hedefler. NIST Cybersecurity Framework beş fonksiyonuyla siber dayanıklılığı destekler: Tanımlama (Identify), Koruma (Protect), Tespit (Detect), Müdahale (Respond), Kurtarma (Recover). Temel unsurlar: proaktif tehdit avcılığı, saldırı yüzeyini küçültme, olaya hazırlıklı müdahale kapasitesi, hızlı kurtarma yeteneği ve sürekli iyileştirme kültürü.
DRaaS (Disaster Recovery as a Service), felaket kurtarma altyapısının bulut üzerinden hizmet olarak sunulmasıdır. Avantajları: düşük başlangıç maliyeti (CAPEX yerine OPEX), hızlı devreye alma, ölçeklenebilirlik, coğrafi esneklik ve düzenli otomatik test imkânı. DRaaS modelleri: Self-service: Müşteri kendi planlarını yönetir. Assisted: Sağlayıcı destek verir. Managed: Tam yönetilen hizmet. Seçim kriterleri: RTO/RPO uyumu, veri lokasyonu (KVKK uyumluluğu — verinin Türkiye'de kalması), SLA garantileri, şifreleme ve güvenlik standartları, test kolaylığı ve maliyet yapısı.
En sık yapılan hatalar: (1) Planı bir kez yazıp hiç güncellememek. (2) BIA yapmadan plan hazırlamak — öncelikleri yanlış belirlemek. (3) Yalnızca BT'ye odaklanıp insan kaynağı, tesis ve tedarik zincirini ihmal etmek. (4) Planı hiç test etmemek veya yalnızca masa başı tatbikatıyla yetinmek. (5) Üst yönetim desteği almamak. (6) İletişim planını eksik bırakmak. (7) Siber olay senaryolarını dahil etmemek. (8) Tedarikçi bağımlılıklarını göz ardı etmek. (9) Yedekleri test etmemek. (10) Planı çok karmaşık yaparak kriz anında uygulanamaz hale getirmek.
Pandemi BCP'si, geleneksel BT odaklı planlardan farklı boyutlar içerir: İnsan kaynağı planlaması: Yüksek devamsızlık oranları için yedek personel, çapraz eğitim. Uzaktan çalışma altyapısı: VPN kapasitesi, iş birliği araçları, güvenli uzaktan erişim. İş süreçleri: Fiziksel imza yerine elektronik imza, dijital belge yönetimi. Tedarik zinciri: Alternatif tedarikçiler, kritik malzeme stoğu. Müşteri hizmetleri: Dijital kanal kapasitesinin artırılması. Sağlık ve güvenlik: Hijyen protokolleri, çalışma alanı düzenlemeleri. COVID-19 sonrası bu planlar artık hibrit çalışma modeli ile entegre edilmektedir.
Türkiye'de iş sürekliliği ile ilgili başlıca düzenleyici gereksinimler: BDDK (Bankacılık): Bilgi sistemleri yönetimi yönetmeliği kapsamında BCP/DRP zorunluluğu, yıllık tatbikat şartı. SPK (Sermaye Piyasası): Aracı kurum ve portföy yönetim şirketleri için iş sürekliliği planı zorunluluğu. EPDK (Enerji): Kritik enerji altyapıları için süreklilik gereksinimleri. BTK: Elektronik haberleşme sektöründe hizmet sürekliliği. KVKK: Kişisel veri güvenliği tedbirleri kapsamında yedekleme ve kurtarma. ISO 22301 sertifikası, tüm bu gereksinimlerin karşılanmasında ortak çerçeve sunar.
İş sürekliliği olgunluk modeli, kuruluşun hazırlık seviyesini ölçer. Seviyeler: Seviye 1 — Başlangıç: Planlama yok veya bireysel çabalara dayalı. Seviye 2 — Yönetilen: Temel BCP mevcut ama test edilmemiş. Seviye 3 — Tanımlı: BIA yapılmış, planlar dokümante edilmiş, yıllık tatbikat yapılıyor. Seviye 4 — Ölçülen: KPI'lar izleniyor, düzenli iyileştirme yapılıyor, ISO 22301 uyumlu. Seviye 5 — Optimum: Sürekli iyileştirme kültürü, proaktif risk yönetimi, sektör lideri uygulamalar. Değerlendirme araçları: BCI Good Practice Guidelines, ISO 22301 Gap Analizi, öz değerlendirme anketleri.