Günümüzde kurumların is sürekliliği konusunda uymak zorunda olduğu birçok yasal zorunluluk ve standart bulunmaktadır. Bunların başında 2006 yılında devreye alınan BS 25999 ve 2012 yılında devreye alınan ISO 22301 standartları gelmektedir. Bu makalemizde BS25999 kodlu “İş Sürekliliği Yönetimi” başlıklı İngiliz Standardı temel hatlarıyla anlatılacaktır.
Kurumların sahip oldukları bilginin güvenilirliğini, gizliliğini, erişilebilirliğini bu yasal zorunluklar ve standartlar çerçevesinde sağlamak zorundadır. Kurumlar sundukları servis ve sakladıkları verinin her türlü durumda erişilebilirliğini sağlamak için iş sürekliliği ve felaket kurtarma planları geliştirmeli ve gerekli önlemleri alıyor olmalıdır. Bununla birlikte veri kaybıyla sonuçlanabilecek herhangi bir durumda veri kurtarma için gerekli altyapı ve planların oluşturulması gereklidir. Kurum IT servisleri tarafından geliştirilen bu plan ve alınan önlemler iç ve dış müşterilerle paylaşılıyor olmalıdır. Her türlü kesinti geriye dönük sorgulanmaya karşılık kayıt altına alınmalıdır.
Bu standart, bir kurumun İSYS’nin oluşturulması, uygulanması, çalıştırılması, takibi, tatbik edilmesi, korunması ve etkinliğinin geliştirilmesi için “Planla-Yap-Kontrol Et-Uygula (PYKU) döngüsünü kullanır.
Öncelikle bilinmesi gereken bazı kavramları detaylarına girmeden özet şekilde biz ITPro çalışanların gözüyle bakıp öğrenelim:
İş Devamlılığı Yönetimi, herhangi bir iş kesintisi durumunda, iş etkinliklerinin devamının ya da yeniden başlamasının sağlanmasını ve iş sürekliliği planının (planlarının) güncel ve geçerli kalmasını sağlayacak eğitim, tatbikat ve gözden geçirmelerle tüm programın yönetilmesini kapsar.
İş Sürekliliği Yönetimi (İSY), bir kuruma yönelik potansiyel tehditleri ve gerçekleşmeleri durumunda bu tehditlerin iş operasyonlarına etkilerini tanımlayan, kurumun iç ve dış müşterileri korumaya yönelik bir müdahale kapasitesine sahip olacak kurumsal bir direnç inşa etme sürecidir.
Ürün ve hizmetin sağlanmasına yeniden başlanamadığı takdirde kurumun mali yapısının geri dönülemez şekilde risk altında kalacağı süreye Tolere Edilebilir Maksimum Süre (RTO Recovery Time Objective) denir. Recovery Point Objective (RPO), kesinti sonunda servisin hangi durumdan/zamandan hizmet vereceğini göstermektedir.
Örnek vermek gerekirse; Storage arızası sonrasında üzerindeki tüm verilerin gittiğini düşünün. Bu durumda en iyi kurtarma prosedürü yedekten geri dönmedir. En fazla ne kadar sürede sistemi yeniden kurup hazır hale getireceğiniz bilgisine RTO denir. Bu sistemin en son ne kadar gecikmeli veri ile hizmet vereceği ise RPO’dir.
İş Sürekliliği Planı (İSP), bir kurumun kritik etkinliklerini önceden tanımlanmış, kabul edilebilir bir düzeyde sürdürebilmesini sağlamak amacıyla, bir olay anında kullanılmak üzere geliştirilmiş, derlenmiş ve hazır tutulan, belgelere dökülmüş bilgiler ve prosedürler toplamıdır.
İş Etkileri Analizi (İEA); çalışma işlevlerini ve iş kesintisinin bu işlevler üzerinde oluşturabileceği etkileri analiz etme işlemi.
Toparlanma Süresi Hedefi; bir olay sonrasında ürün, hizmet veya etkinliği sağlamaya yeniden başlanabilmesi için hedeflenen süredir. Hedeflenen toparlanma süresi tolere edilebilir maksimum kesinti süresinden kısa olmak zorundadır.
Dikkat edilecek nokta, Üst yönetim kurumun hedeflerini, yükümlülüklerini ve yasal görevlerini destekleyen başlıca ürün ve hizmetleri tanımlayarak RTO’ya kadar fayda maliyet analizinin sonucunda hangi hizmetlerin nasıl çalışır vaziyete getirileceğinin İSP’de belirtilip İSY programının kapsamını belirleyebilir. Neyin anahtar önemde olduğuna karar verilmesi, her ne kadar daha üst düzeyde düşünülmesi gerekirse de tanımlanan iş etkileri analizi ile uyumlu olmalıdır.
Diğer dikkat edilecek nokta ise Dış Kaynak kullanımıdır. İSP’lerde dış kaynak kullanımı gösterilse de risk tamamen kuruma aittir. Yani işten kurum sorumludur. Bu nedenle İSY’de belirtilen RTO ve RPO değerlerinize göre Dış Kaynaklarla yapacağınız Service Level Aggrement (SLA) anlaşmalarınızda RTO değerinizden az olması gerekliliğidir.
Özetle söyle söyleyebiliriz: Active Directory, Mail, veri tabanınız gibi kritik sistemlerinizin olası bir problem veya arızalanmaya karşı kabul edilebilen en kısa sürede hizmet vermeye devam ediyor olmanız gerekmektedir. Her sistemin iş sürekliliği farklı yöntemlerle sağlandığından burada genel hatlarıyla standardın neleri, nasıl kapsadığına ve işleyişi anlatılmaktadır.
Bir satış firmasın çalıştığınızı düşünün ve Muhasebe veri tabanınızın durması sonucunda satış yapamayacaksanız. Bu durumda RTO süreniz 4 saat, günlük full yedek aldığınızı düşündüğümüzde ise RPO süreniz 1 gündür. Böyle bir yapıda kesintiyi minimum yapmak için Veri tabanınız en az 2 node’tan oluşan cluster sunucu olması gerekmektedir ki bir sunucuda meydana gelecek bir sorundan dolayı sistem en az kesinti ile çalışmasını sürdürebilsin. Eğer RTO değeriniz dakikalar cinsindense o zaman sunucu yedekliliğinin yanında storage yedekliliğini de sağlayan geocluster çözümüdür.
Örnekleri daha da arttırılabilir. İşin özü; İSP’ler kurumun büyüklüğüne, yapısına ve sorumluluklarına göre değişmekle birlikte, büyüklüğüne, kapsamına ya da karmaşıklığına bakılmaksızın ister özel, ister kamu isterse de gönüllü sektörü olsun, temel prensipler tamamen aynıdır. Amaç; kâr edip büyümektir. Her tür iş etkinliği teknoloji arızası, sel baskını, elektrik, su veya doğalgaz kesintisi ya da terör nedeniyle kesintiye maruz kalabilir. İSY, bir yandan operasyonel kesintilere yeterli yanıtı verme, bir yandan da mal ve can güvenliğini koruma kapasitesi sağlayarak beklenmedik kesintilerle bu amaç ve hedeflerden taviz verilmemesini temin eder.
İnsan hata yapar. Hata/yanlışların minimize edilmesi adına İSY politikasından ve bu politikanın uygulanmasından sorumlu olacak, uygun kıdem ve yetkiye sahip kişi atamasının yapılması gerekmektedir. Ayrıca İş sürekliliği programını uygulama ve koruma ile görevlendirilmiş kişiler, kurumun büyüklüğüne, ölçeğine ve karmaşıklığına bağlı olarak kurumun birçok alanında görevli olabilirler. Ancak İSY’den genel anlamda sorumlu olacak yeterli yetkiye sahip kişi (örneğin şirket sahibi, yönetim kurulu üyesi ya da seçilmiş temsilci), bu kapasitenin sürekli olarak başarılı olmasından doğrudan sorumludur. Büyük kurumlarda, İSY programının uygulanmasına yardımcı olmak üzere tüm işletmenin çeşitli görev alanları ve işlevlerinden temsilciler atayabilir. Daha küçük kurumlarda ise iş sürekliliği sorumluluğu bir veya daha fazla kişiye verilebilir.
İSY artık maliyetli bir planlama süreci olarak değil, kuruma değer katan bir süreç olarak görülmelidir. Bu nedenle yapılan iş sürekliliği planları belli aralıklarla tam anlamıyla tatbikatının yapılıp oluşan durumlara karşı süreç dokümanlarının güncellenmesi gerekmektedir.
Aşağıdaki İSY Döngüsüne ait resimde görüleceği üzere firma büyüdükçe, yeni ürünler geldikçe, amaç/kapsam değiştikçe ve tatbikatlarla yapılan gözden geçirmeler sonucunda bulunan hatalar iyileştirildikçe İSY, devam eden bir yaşam döngüsü haline gelmektedir.
İSY kaynakları nasıl sağlanırsa sağlansın, hem ilk başlangıçta hem de sonrasında sürekli olarak yerine getirilmesi gereken etkinlikler vardır. Bu etkinlikler aşağıdakileri içerebilir:
• İSY’nin kapsamını, rolleri ve sorumlulukları tanımlamak;
• Süregelen İSY kapasitesinin yönetimi için uygun bir kişi ya da ekip atamak;
• İyi uygulamalarla iş sürekliliği programının güncel kalmasını sağlamak;
• İş sürekliliğinin tüm kurum içinde, hatta uygun olduğunda daha da geniş planda, öne çıkarılmasını sağlamak;
• Tatbikat programını uygulamak;
• Risk değerlendirmelerinin ve iş etkisi analizlerinin (İEA) gözden geçirilmesi veya yeniden hesaplanması dâhil, iş sürekliliği kapasitesinin düzenli olarak gözden geçirilip güncellenmesini koordine etmek;
• Kurumun büyüklüğüne ve karmaşıklığına uygun dokümantasyonu korumak
• iş sürekliliği kapasitesinin performansını izlemek;
• iş sürekliliği kapasitesi ile ilgili maliyetleri yönetmek;
• Değişim yönetimi ve veraset yönetimi rejimlerini oluşturmak ve izlemek.
İş sürekliliğini koruma ile görevli kişiler iş sürekliliği dokümantasyonunu oluşturmalı ve korumalıdır. İster olay yönetimi, ister iş sürekliliği, isterse de iş toparlanma planları olsun, tüm planlar özlü ve içlerinde tanımlanan sorumluluklara sahip kişilerce erişilebilir olmalıdır. Bu etkinlik aşağıdakileri içerebilir:
· İSY politikası: İSY kapsamı bildirimi ve İSY referans terimleri.
· İş etkileri analizi (İEA) : meydana gelebilecek bir kesintinin etkilerini belirlemeli ve bunları dokümante etmelidir.
· Risk ve tehdit değerlendirmesi;
· İSY stratejisi/stratejileri;
· Bilinçlendirme programı;
· Eğitim programı;
· Olay yönetimi planları;
· İş sürekliliği planları;
· İş toparlama planları;
· Tatbikat çizelgesi ve raporlar;
· Hizmet düzeyi sözleşmeleri ve kontratları.
Her bir özel planın amaç ve kapsamı tanımlanmalı, üst yönetimce mutabık kalınmalı ve planı uygulayacak olanlar tarafından anlaşılmalıdır. Kurum içindeki başka ilgili plan veya belgelerle her tür ilinti açık referanslarla tanımlanmalı ve bu planların nasıl elde edileceği, onlara nasıl erişileceği açıkça belirtilmelidir.
Aşağıdaki şekilde bir olayın zaman içindeki 3 ana evresini ve olay yönetimi ile iş sürekliliği arasındaki ilişkiyi göstermektedir. Herhangi bir olay durumunda kurumun uygun bir iş sürekliliği yanıtını da başlatmalıdır. Bu yapıya olay yönetimi ekibi (OYE) veya kriz yönetimi ekibi (KYE) adı verilebilir.
Aşağıdaki İSYS süreçlerine uygulanan PYKU döngüsü iş sürekliliği gereklilikleri ile ilgili tarafların beklentilerini bir girdi olarak nasıl aldığını, gerekli faaliyet ve süreçlerle bu gereklilik ve beklentileri karşılayacak iş sürekliliği çıktılarını (örn. yönetilebilir bir iş sürekliliği) nasıl sağladığını göstermektedir.
PYKU döngüsü ise iş sürekliliğinin etkin şekilde yönetilmesini ve iyileştirilmesini sağlayan araçtır. PYKU döngüsü, İSY döngüsünün tüm bölümleri için geçerlidir. Şimdi PYKU’nun açılımını görelim.
Planla; Kurumun genel politikaları ve hedefleri doğrultusunda sonuçlar üretebilmek için risklerin yönetilmesi ve iş sürekliliğinin iyileştirilmesiyle ilgili iş sürekliliği politikasını, hedeflerini, kontrollerini, süreçlerini ve prosedürlerini oluştur.
Yap; İş sürekliliği politikasını, kontrolleri, süreçleri ve prosedürleri uygula ve çalıştır.
Kontrol Et; İş sürekliliği hedefleri ve politikası doğrultusunda performansı izle ve gözden geçir, sonuçları yönetimin gözden geçirmesi için sun, düzeltme ve iyileştirme amaçlı faaliyetleri belirle ve bunları uygulama yetkisi ver.
Uygula; Yönetimin gözden geçirme sonuçları bazında önleyici ve düzeltici faaliyetleri gerçekleştirerek ve İSYS ile iş sürekliliği politikası ve hedeflerinin kapsamını yeniden belirleyerek İSYS’yi koru ve iyileştir.
Şu unutulmamalı; Firmanızda öngörülebilecek düzeyde hasarlara karşı müdahale önlemlerini çok ciddi bir şekilde inceleyip İSP planlarınızı ustaca oluşturmuş olsanız bile bazen bir olay/problem kurumun hazırlıklı olduğu düzeyi aşabilir. Bu nedenle yönetimin ve bunu destekleyen yapıların mevcut bir plana inatla bağlı kalmak yerine, şartlara göre yargılarda bulunması zorunludur. İş sürekliliği planı, yönetimin bilgiye dayalı ve ustaca karar verme yeteneğinin yerine asla geçemez.
