BCP ve DRP: Kesinti ve Kurtarma Planlaması

İş Sürekliliği Planlaması (BCP) ve Felaket Kurtarma Planlaması (DRP) ilişkili ancak birbirinden farklı disiplinlerdir. BCP, bir kesinti sırasında manuel süreçler, alternatif siteler veya kısıtlı hizmet modları aracılığıyla iş operasyonlarını sürdürmeye odaklanır. DRP ise özellikle bir felaketten sonra BT sistemlerini ve altyapısını geri yüklemeye odaklanır. BCP daha geniş kapsamlı çerçevedir: DRP, teknoloji kurtarma boyutunu ele alan BCP bileşenlerinden biridir. Her iki plan da belgelenmeli, test edilmeli ve güncel tutulmalıdır.

BCP ve DRP, normal operasyonel olay müdahalesinin kapasitesini aşan kesintiye yol açan olaylar tarafından etkinleştirilir. Tetikleyiciler arasında şunlar bulunur: kritik sistemleri şifreleyen fidye yazılımı saldırıları, doğal afetler (birincil veri merkezine zarar veren sel, deprem veya hortum), altyapı arızaları (uzun süreli elektrik kesintisi, ISP kesintisi), salgın hastalıklar veya halk sağlığı acil durumları (COVID-19, uzaktan çalışmanın sürekliliği planlarının önemini kanıtladı) ve yedek donanımın temin edilmesini engelleyen tedarik zinciri kesintileri.

Bir İş Etkisi Analizi (BIA), hem BCP hem de DRP için temel belgedir. Şunları belirler: kritik olan ve ne pahasına olursa olsun sürdürülmesi gereken iş süreçlerini, önemli olmakla birlikte gecikmeyi tolere edebilen süreçleri, her süreç için kesintinin mali ve operasyonel etkisini (saat başına gelir kaybı, yasal cezalar, itibar kaybı) ve her süreç için tolere edilebilecek en uzun kesinti süresini. BIA çıktıları, teknoloji kurtarma gereksinimlerini belirleyen RTO ve RPO hedeflerini doğrudan belirler.

Bir felaket ilan edildiğinde, bir Kriz Yönetimi Ekibi (CMT) faaliyete geçer ve kuruluşun müdahalesi üzerindeki yetkiyi devralır. CMT; üst düzey yöneticileri, IT, hukuk, iletişim, HR ve tesis yönetimi birimlerini içerir. CMT, açık görevler atayan, önceden tanımlanmış bir Olay Komuta Yapısını (ICS) izler: kurtarma kararlarını kimin vereceği, müşteriler ve medyayla kimin iletişim kuracağı, tedarikçiler ve düzenleyici kurumlarla kimin koordinasyon sağlayacağı ve personelin refahını kimin yöneteceği belirlenir. Açık komuta yapıları, felaketin etkisini artıran kaosu ve iletişim kopukluklarını önler.

BCP, birincil tesis kullanılamadığında operasyonları sürdürmek için genellikle alternatif tesislere dayanır. Hot site, sürekli olarak eşitlenen ve dakikalar içinde devralabilen, tümüyle donatılmış bir yedek tesistir. Warm site ekipman ve güç barındırır; ancak verilerin yüklenmesi ve sistemlerin yapılandırılması için saatlerden günlere uzanan bir süre gerekir. Cold site ise güç ve bağlantıya sahip boş bir tesistir; ekipmanların gönderilip kurulması gerekir ve bu işlem günler veya haftalar sürer. Hot site'lar çok daha yüksek maliyetlidir; ancak kritik süreçlerdeki kesinti süresini en aza indirir.

Karşılıklı yardım anlaşmaları, felaketler sırasında yardım sağlamak üzere kuruluşlar arasında yapılan sözleşmelerdir. Yaygın biçimleri şunlardır: karşılıklı anlaşmalar (iki kuruluş, taraflardan biri felakete uğrarsa diğerinin operasyonlarını barındırmayı kabul eder), üçüncü taraf DR hizmet sağlayıcıları (Sungard veya IBM gibi şirketler hizmet olarak felaket kurtarma tesisleri sunar) ve sektörel karşılıklı yardım kuruluşları (kamu hizmetleri, bankalar ve sağlık sistemleri, bölgesel felaketler sırasında kaynak paylaşmak için resmi ağlara sahiptir). Karşılıklı yardım anlaşmaları her yıl gözden geçirilmeli ve tatbikatlar sırasında etkinleştirilmelidir.

İletişim planları, kritik bir BCP bileşenidir. Felaket sırasında normal iletişim kanalları kullanılamayabilir (e-posta sunucuları çalışmayabilir, ofis telefonlarına erişilemeyebilir). Planlar şunları içermelidir: kişisel cep telefonu numaralarının yer aldığı acil durum iletişim listeleri, kurum dışı iletişim kanalları (Slack, Teams yedek örneği, kişisel e-posta), müşteri bilgilendirme prosedürleri (durum sayfaları, sosyal medya, doğrudan e-posta), düzenleyici kuruma bildirim gereksinimleri (veri ihlali bildirim yasaları, mali düzenleyici kurumlar) ve kamuya yapılacak açıklamaların yönetilmesine yönelik medya ilişkileri.

Etkili BCP belgeleri birkaç temel bileşen içerir: kritik süreçleri ve tolere edilebilecek en uzun kesinti süresini belirleyen BIA, operasyonları sürdürmeye yönelik adım adım prosedürleri içeren BCP'nin kendisi, DRP (IT kurtarma prosedürleri), acil durum iletişim dizinleri, tedarikçi iletişim listeleri (Cloud sağlayıcıları, ISP'ler, kilit tedarikçiler), sigorta belgeleri ve düzenleyici kuruma bildirim prosedürleri. Tüm belgeler, birincil sistemler kullanılamadığında erişilebilecek konumlarda saklanmalıdır — basılı kopyalar, çevrimdışı erişim sağlayan güvenli Cloud depolama veya kilit personelin elinde bulunan USB sürücüleri.

COVID-19, çoğu BCP planının felaketin belirli bir bölgeyle sınırlı kalmayıp tüm konumları aynı anda etkilediği pandemi senaryolarını yeterince ele almadığını gösterdi. Temel dersler şunlardır: iş gücünün %100'ünü uzaktan destekleyecek şekilde VPN altyapısının ölçeklenmesini sağlayın (pandemi öncesi tasarımların varsaydığı gibi yalnızca %20-30'u değil), şirket içi altyapı olmadan çalışabilen Cloud tabanlı iş birliği araçlarını uygulayın, kritik süreçlerin tamamen uzaktan tamamlanabildiğini doğrulayın ve ofislerin çalışanların evlerinde hızla kurulması gerektiğinde Hardware için tedarik zinciri sürekliliğini sağlayın.

Hiç test edilmemiş bir BCP, gerçek bir felaket sırasında başarısız olacak bir BCP'dir. Düzenli test yaklaşımları şunları içerir: masa başı tatbikatları (sistemlerin etkinleştirilmediği, kilit personelle gerçekleştirilen tartışma temelli uygulamalar), işlevsel tatbikatlar (iletişim zincirlerinin ve kısmi kurtarma prosedürlerinin gerçekten etkinleştirildiği uygulamalar), tam kapsamlı testler (operasyonların alternatif site'a aktarılması ve belirli bir süre boyunca işin oradan yürütülmesi) ve planın gerçek deneyimlere göre güncellendiği olay sonrası incelemeler. Planlar her yıl gözden geçirilmeli ve önemli bir altyapı değişikliğinden sonra güncellenmelidir.

Birçok düzenlemeye tabi sektör BCP ve DRP'yi zorunlu tutar. HIPAA, kapsam dahilindeki kuruluşların veri yedekleme, DR ve acil durum işletim prosedürlerini içeren acil durum planlarına sahip olmasını gerektirir. PCI-DSS, kapsam dahilindeki sistemler için olay müdahale planları ve iş sürekliliği prosedürleri gerektirir. FINRA ve bankacılık düzenleyicileri, yıllık test ve düzenleyici kuruma sunum içeren ayrıntılı bir BCP gerektirir. Siber sigorta şirketleri, teminat koşulu olarak belgelenmiş ve test edilmiş bir BCP'yi giderek daha fazla zorunlu tutmakta; teminat kapsamındaki bir olay gerçekleştiğinde planlar mevcut değilse veya test edilmemişse tazminat taleplerini reddedebilmektedir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: BCP kesintiler sırasında iş operasyonlarını sürdürürken DRP, IT sistemlerini kurtarır; İş Etkisi Analizi, kurtarma gereksinimlerini belirleyen kritik süreçleri ve tolere edilebilecek en uzun kesinti süresini tanımlar; alternatif tesisler (hot/warm/cold), birincil site kullanılamadığında operasyonların sürdürülmesi için farklı kurtarma hızları ve maliyet düzeyleri sağlar. Sırada, kurtarma hedeflerini nicel olarak ifade eden RTO, RPO ve MTTR gibi belirli ölçümleri inceleyeceğiz.