Özkan Yılmaz

Konular / ISO ve yönetim sistemleri / ISO 22301

ISO 22301

Kesinti olduğunda ne kadar sürede ayağa kalkmalısın ve ne kadar veri kaybını göze alabilirsin? İki sayı — RTO ve RPO — tüm sistemin belkemiği.

Standart nedir

ISO 22301, iş sürekliliği yönetim sisteminin (İSYS) şartlarını tanımlar. Mevcut baskı 2019'dur. 9001, 14001, 45001 ve 27001 ile aynı 10 maddelik iskelete oturur.

Standardı diğerlerinden ayıran unsurlar 8. maddede toplanıyor ve iki tanesi bu standarda özgü:

Bunlardan ilki iş etki analizidir; hangi faaliyetin ne kadar süre durabileceğini ve kesinti uzadıkça etkinin nasıl büyüdüğünü belirler. İkincisi tatbikat ve test şartıdır; yazılan planların kâğıt üzerinde kalmadığının kanıtlanmasını zorunlu kılar.

ISO 31000 ile ilişkisi tamamlayıcıdır: risk yönetimi olayın olmasını engellemeye çalışır, iş sürekliliği olay olduktan sonra ne yapılacağını kurgular. İkisi aynı riskleri farklı açıdan ele alır.

ISO 27001'in erişilebilirlik boyutuyla da belirgin bir örtüşme var. Ancak 22301'in kapsamı daha geniştir: yalnızca bilgi sistemlerini değil tesisin, personelin, tedarikçilerin ve süreçlerin sürekliliğini de içine alır. Bilgi işlem tarafındaki felaket kurtarma planı, bu sistemin yalnızca bir parçasıdır.

İş etki analizi

Sistemin çekirdeğini oluşturan çalışmadır ve her kritik faaliyet için tek bir soruyla ilerler: bu faaliyet durursa zaman geçtikçe etki nasıl büyür? Sorunun cevabı bir tek sayı değil, kesinti süresine göre değişen bir eğridir.

Etkinin zamanla doğrusal artmadığı BIA'nın temel bulgusudur. İlk saatler tolere edilebilir; belirli bir eşikten sonra etki hızlanır — sözleşme cezaları devreye girer, müşteri kaybı kalıcılaşır, itibar zarar görür.

Analiz sırasında her faaliyet için dört bilgi toplanır: faaliyetin ürettiği çıktı, bağımlı olduğu kaynaklar (personel, sistem, tesis, tedarikçi), ona bağımlı olan diğer faaliyetler ve kesinti süresine göre etkinin nasıl büyüdüğü. Son madde olmadan kurtarma hedefi belirlenemez.

MTPD, RTO ve RPO

KısaltmaAçılımıAnlamıKim belirler
MTPDMaximum Tolerable Period of DisruptionKesintinin kabul edilemez hale geldiği süreBIA sonucu — bulunur
RTORecovery Time ObjectiveHedeflenen kurtarma süresiYönetim kararı — seçilir
RPORecovery Point ObjectiveGöze alınabilecek maksimum veri kaybı süresiYönetim kararı — seçilir
Kural: RTO < MTPD olmak zorundadır. MTPD bir gerçektir, BIA ile bulunur. RTO ise bir hedeftir ve MTPD'nin altında, güvenlik payı bırakacak şekilde seçilir. RTO = MTPD seçmek, hiç pay bırakmamak demektir.

RTO zamanla, RPO ise veriyle ilgilidir ve ikisi birbirinden bağımsız kararlardır. Bir sistem dört saatte yeniden ayağa kalkabilir ama son yirmi dört saatlik veri kaybolmuş olabilir; bu durumda RTO dört saat, RPO ise yirmi dört saattir. Farklı yatırım gerektirdikleri için ayrı ayrı karara bağlanmaları gerekir.

Çözümlü örnek

BIA — takip ve sevk sistemi kesintisi

Sistem kesintisinin süreye göre kümülatif finansal etkisi ölçüldü.

Kesinti süresiKümülatif kayıp (mn TL)Saat başına ortalamaEtki niteliği
1 saat0,40,40Operasyonel yavaşlama
4 saat2,10,53Sevk gecikmesi
8 saat5,80,72Vardiya kaybı, birikme
24 saat19,50,81Teslimat taahhüdü ihlali başlıyor
48 saat52,01,08Sözleşme cezaları, kurumsal müşteri kaybı
72 saat98,01,36İtibar zararı, kalıcı müşteri kaybı
168 saat240,01,43Pazar payı kaybı
Saat başına kayıp: 1. saatte 0,40 mn TL, 72. saatte 1,36 mn TL
Artış = 1,36 ÷ 0,40 = 3,4 kat  ⇒  etki doğrusal değil, hızlanan

Bu tablo BIA'nın neden gerekli olduğunu gösteriyor. "Sistem çökerse saatte şu kadar kaybederiz" cümlesi yanlıştır — kayıp hızı süreye bağlı olarak değişir.

MTPD belirleme

Üst yönetim, kabul edilemez kayıp eşiğini 50 milyon TL olarak belirledi.

24 saat → 19,5 mn (eşik altında)  ·  48 saat → 52,0 mn (eşik üstünde)
Doğrusal ara değer: 24 + (50,0 − 19,5) ÷ (52,0 − 19,5) × 24 = MTPD ≈ 46,5 saat

RTO seçimi

MTPD = 46,5 saat  ⇒  RTO bunun altında olmalı
Seçilen RTO = 24 saat
Güvenlik payı = (46,5 − 24) ÷ 46,5 = %48,4

24 saat seçilmesinin gerekçesi: eşiğin yarısına yakın bir pay bırakıyor ve kurtarma tahmininin sapması durumunda hâlâ MTPD'nin altında kalınıyor.

RPO seçimi

Sistem saatte yaklaşık 20.000 işlem kaydı üretiyor (günlük 480.000 gönderi).

Yedekleme yöntemiRPOKaybolabilecek kayıtMaliyet
Günlük tam yedek24 saat480.000En düşük
4 saatte bir artımlı4 saat80.000Orta
15 dakikada bir0,25 saat5.000Yüksek
Sürekli replikasyon~0~0En yüksek
24 saat → 15 dakika RPO: kayıp 480.000 → 5.000 kayıt = %99,0 azalma

Kritik nokta: kaybolan her kayıt bir gönderinin takip bilgisidir. 480.000 kaydın kaybolması, o gönderilerin nerede olduğunun bilinmemesi demektir — bu, sistemin ayağa kalkmasından bağımsız, ayrı ve daha uzun süren bir kriz üretir. Bu yüzden RTO iyi ama RPO kötü olan bir kurtarma planı, çoğu zaman işe yaramaz.

Süreklilik stratejileri

KaynakStratejiKargo operasyonunda karşılığı
Bilgi sistemiYedekli altyapı, felaket kurtarma merkeziİkincil veri merkezi, çevrimdışı çalışma modu
TesisAlternatif lokasyonYakın aktarma merkezine yönlendirme planı
PersonelÇapraz eğitim, vekâletKritik rollerin yedeklenmesi
TedarikçiAlternatif tedarikçiİkinci taşeron anlaşması, çerçeve sözleşme
SüreçManuel çalışma moduSistem yokken kâğıt üzerinden sevk — RTO'yu fiilen uzatır

Son satır önemlidir: geçici manuel mod, RTO'yu karşılamanın en ucuz yoludur. Sistem 24 saat içinde ayağa kalkacaksa ve bu süreyi kâğıt üzerinden idare edebiliyorsan, milyonluk yedek altyapıya gerek olmayabilir. Ama manuel modun önceden yazılmış, denenmiş ve personelin eğitilmiş olması gerekir; kriz anında icat edilmez.

Tatbikat

Standart planların test edilmesini ve düzenli tatbikat yapılmasını zorunlu tutar. Yazılı bir plan tek başına uygunluk kanıtı sayılmaz, çünkü bir planın kriz anında işleyip işlemeyeceği ancak denendiğinde görülebilir.

Tatbikat türüKapsamıKesinti riski
Masa başı (tabletop)Senaryo üzerinden tartışmaYok
Yürüyüş (walkthrough)Adımların fiilen gözden geçirilmesiÇok düşük
SimülasyonGerçek koşullarda kısmi devreye almaOrta
Tam devreye almaGerçek geçiş testiYüksek
Tatbikatın asıl çıktısı "plan çalıştı" değil, bulunan eksiklerdir. Hiç bulgu üretmeyen tatbikat, ya çok kolay kurgulanmıştır ya da dürüst yapılmamıştır. Bulgular uygunsuzluk kaydı olarak açılır ve planın revizyonuna girdi olur.

Sık karşılaşılan hatalar

Kurtarma hedefini iş etki analizi yapmadan belirlemek. MTPD bilinmeden seçilen bir RTO'nun dayanağı yoktur ve denetimde ilk sorulacak şey bu dayanaktır.

RTO ile RPO'yu karıştırmak. Biri kesintinin ne kadar süreceğini, diğeri ne kadar verinin kaybedilebileceğini tanımlar. Ayrı kararlardır ve farklı çözümler gerektirir.

Planı yazıp test etmemek. Denenmemiş bir plan, kriz anında çalışıp çalışmayacağı bilinmeyen bir plandır. Tatbikatın asıl çıktısı da planın onaylanması değil, ortaya çıkan eksiklerdir.

Kapsamı yalnızca bilgi sistemleriyle sınırlamak. Standart tesis, personel ve tedarikçi sürekliliğini de kapsar; bilgi işlem tarafındaki felaket kurtarma planı tek başına bir iş sürekliliği yönetim sistemi değildir.

Bağımlılıkları haritalamamak. Bir faaliyetin kurtarma süresi, bağımlı olduğu kaynağın kurtarma süresinden kısa olamaz. Zincir her zaman en yavaş halkanın hızıyla ilerler.

Tedarikçinin sürekliliğini varsaymak. Kritik bir tedarikçinin kendi iş sürekliliği yapısı sorgulanmadığında, kuruluşun planı görünmeyen bir noktadan kırılır.