İş etki analizi, RTO ve RPO

Altay Kargo'nun sipariş sistemi geçen kış bir veritabanı arızası yüzünden üç saat durdu. Çağrı merkezinin hatları kilitlendi, depolarda kamyonlar boş bekledi. Arıza giderildikten sonra yönetim kurulu iki soru sordu.

Bu kesinti bize kaça mal oldu? Bir sonraki kesintide en çok ne kadar beklemeyi göze alabiliriz? Güvenlik ekibinin elinde iki sorunun da yazılı cevabı yoktu. İş etki analizi bu boşluğu kapatır.

Bu derste önce analizin neden yapıldığını ve hangi adımlarla yürüdüğünü göreceksin. Sonra bir saatlik kesintinin bedelini hesaplayacaksın. Ardından RTO, RPO, MTD ve WRT kavramlarını aynı zaman çizgisine yerleştireceksin. Son bölümde bağımlılık zincirini ve bankacılıktaki ek kuralları tanıyacaksın.

İş etki analizi (BIA, business impact analysis), bir süreç durursa kurumun ne kadar zarar göreceğini ölçer. Amaç her süreci aynı önemde saymamaktır. Sipariş alma sistemi durursa gelir hemen kesilir.

Arşiv sistemi durursa etkisi günlerce fark edilmeyebilir. BIA her süreci finansal kayıp, müşteri etkisi, yasal yükümlülük ve itibar ölçütleriyle puanlar. Puanlardan bir kritiklik sırası çıkar.

Sınırlı bütçe önce bu sıranın başındaki sürece gider. NIST SP 800-34 Rev. 1, bilgi sistemlerinde olağanüstü durum planlamasını anlatan kılavuzdur. Kılavuz BIA'yı üç adımda yürütür.

Önce iş süreçlerini ve her birinin kurtarma kritikliğini belirlersin. Sonra bu süreçleri ayakta tutan kaynakları listelersin: sunucu, uygulama, veri, insan ve tedarikçi. En son bu kaynaklar için kurtarma önceliklerini çıkarırsın.

Analizin hammaddesi iş birimiyle yapılan görüşmelerdir. Teknik ekip, sunucunun kaç saatte ayağa kalktığını bilir. Bir saatlik kesintinin müşteriye ne yaptığını ise satış ve operasyon ekibi bilir. Bu yüzden BIA, süreç sahibine kısa ve somut sorular sorar.

Cevapların sayı olması gerekir, çünkü sayı karşılaştırılabilir. Çok önemli ya da kritik gibi sözcükler hesaba girmez. Aşağıdaki anket, Altay Kargo'nun sipariş süreci için doldurulmuş hâlidir. Her cevap, bir sonraki bölümdeki hesabın girdisidir.

İŞ ETKİ ANALİZİ ANKETİ                      Süreç: Sipariş alma
Süreç sahibi                                Operasyon Müdürü
Görüşme tarihi                              08.09.2026

1. Günde ortalama kaç sipariş alınır?       2.400
2. Çalışma saatleri nedir?                  08:00-20:00 (12 saat)
3. Sipariş başına ortalama brüt kâr?        150 TL
4. Kaç saatlik kesinti katlanılamaz olur?   8 saat
5. Sistem dönünce biriken iş kaç saatte
   tamamlanır?                              2 saat
6. En çok kaç dakikalık sipariş kaybı
   yeniden girilerek telafi edilebilir?     15 dakika
7. Süreç hangi sistemlere bağlı?            Kimlik servisi, ödeme API'si,
                                            DNS, depo yönetim sistemi

Anketi satır satır oku. İlk üç cevap paranın hesabına girer: günde kaç sipariş, kaç çalışma saati, sipariş başına ne kadar kâr. Dördüncü cevap katlanılabilir azami kesintiyi verir; birazdan bu sayının adı MTD olacak.

Beşinci cevap, sistem döndükten sonra biriken siparişleri işlemek için gereken süredir. Altıncı cevap veri kaybı sınırını, yani RPO'yu belirler. Son satır bağımlılık haritasının ilk taslağıdır.

Anketin hiçbir satırı teknik ekibin tahmini değildir. Cevapları süreç sahibi verir ve imzasıyla üstlenir. Teknik ekip daha sonra bu sayılara ulaşmanın ne kadar tutacağını hesaplar.

Yönetim kurulunun ilk sorusu paraydı. Cevap, anketteki üç sayıdan çıkar. Hesabı adım adım yap ve her ara sonucu yaz. Önce saatlik sipariş sayısını bul, sonra bunu saatlik kâra çevir.

Son adımda saatlik kaybı kesinti süresiyle çarp. Gerçek kayıp yalnız doğrudan kâr değildir; gecikme cezası, fazla mesai ve kaçan müşteri de eklenir. Yine de ilk hesap doğrudan kayıpla başlar, çünkü en kolay doğrulanan kalem odur. Ara sonuçlar yazılı olursa bir yıl sonra başka biri aynı hesabı kontrol edebilir.

BIA HESAP NOTU                           Süreç: Sipariş alma

Saatlik sipariş     2.400 / 12            =       200 sipariş
Saatlik brüt kâr    200 x 150 TL          =    30.000 TL
4 saatlik kesinti   4 x 30.000 TL         =   120.000 TL
8 saatlik kesinti   8 x 30.000 TL         =   240.000 TL

MTD (süreç sahibi, soru 4)                =         8 saat
WRT (biriken iş, soru 5)                  =         2 saat
RTO üst sınırı      8 - 2                 =         6 saat
Mimarinin hedef kurtarma süresi           =         4 saat
Sonuç: Hedef sınırın altında kalıyor, 2 saat pay var.

Notu yukarıdan aşağı oku. İlk satır 2.400 siparişi on iki çalışma saatine böler ve saatte 200 sipariş bulur. İkinci satır bunu 150 liralık brüt kârla çarpar. Her kesinti saati yaklaşık 30.000 lira eder.

Sonraki iki satır, dört ve sekiz saatlik kesintinin bedelini gösterir. Alt bölüm zamanla ilgilidir. Süreç sahibi sekiz saati katlanılamaz sınır olarak verdi.

Sistem döndükten sonra biriken siparişleri işlemek iki saat sürüyor. O hâlde sistem en geç altı saatte dönmelidir. Altay Kargo'nun seçtiği mimari dört saatte dönmeyi hedefliyor ve sınırın altında kalıyor. Aradaki iki saat, plan beklenenden yavaş işlediğinde ekibin nefes alanıdır.

Hesap notu tek kişinin işi değildir. Süreç sahibi katlanılabilir sınırı ve kaybı bilir. Teknik ekip ise hangi mimarinin hangi sürede döneceğini bilir.

İki taraf ayrı karar verirse hedef ya ulaşılamayacak kadar sıkı olur ya da işin ihtiyacından gevşek kalır. Altay Kargo'da sipariş sisteminin RTO'sunu ilk yıl yalnız teknik ekip yazmıştı. Ortaya çıkan bir saatlik hedef, eldeki altyapıyla hiçbir testte tutmadı.

Şimdi iki taraf aynı masada oturuyor ve rakamı birlikte imzalıyor. İmzalanan rakam, bir sonraki bütçe görüşmesinde hangi yatırımın öncelikli olduğunu da belirliyor. Hedefler her yıl BIA ile birlikte yeniden gözden geçiriliyor.

RTO (recovery time objective), yani kurtarma süresi hedefi, sistemin kesintiden sonra en geç ne zaman çalışır hâle gelmesi gerektiğini söyler. Saat ya da dakikayla yazılır. RPO (recovery point objective), yani kurtarma noktası hedefi, ne kadar veri kaybının kabul edilebilir olduğunu söyler.

Kesinti anından geriye doğru sayılır. Altay Kargo'nun sipariş sistemi için RTO dört saat, RPO on beş dakikadır. Sistem en geç dört saatte ayağa kalkmalı, en fazla son on beş dakikanın siparişleri kaybolabilir.

Arşiv sisteminde hedefler çok daha gevşektir: RTO üç gün, RPO yirmi dört saat. İki hedef farklı yönlere bakar. RTO ileriye, kesintiden sonraki zamana bakar. RPO geriye, kesintiden önceki son sağlam veri noktasına bakar.

İki eksen farklı teknik kararlar doğurur. Kısa bir RPO, sık yedek ya da verinin başka bir sunucuya sürekli kopyalanmasını gerektirir. Kısa bir RTO ise hazır bekleyen yedek altyapı ve otomatik yük devretme gerektirir. On beş dakikalık RPO için gecelik yedek yetmez.

Altay Kargo bu yüzden sipariş veritabanının işlem günlüklerini beş dakikada bir başka bir sunucuya gönderir. Dört saatlik RTO içinse yedek sunucunun kurulu ve güncel durması gerekir. Sıfırdan kurulan bir sunucu dört saate sığmaz; işletim sistemi, uygulama ve veri ayrı ayrı zaman alır.

RTO tek başına yetmez, çünkü sistemin dönmesi işin dönmesi demek değildir. NIST bu farkı MTD kavramıyla anlatır. MTD (maximum tolerable downtime), yani katlanılabilir azami kesinti süresi, bütün etkiler hesaba katıldığında sürecin en çok ne kadar durabileceğidir. ISO dünyasında aynı fikir için çoğu zaman MTPD kısaltması kullanılır.

SP 800-34'e göre RTO, MTD'yi aşmayacak biçimde seçilir ve normalde ondan kısadır. Kılavuz nedenini de açıklar: sistem döndükten sonra birikmiş veriyi yeniden işlemek zaman alır. Bu ek süre RTO'ya eklendiğinde toplam MTD'yi geçmemelidir. Sektörde bu ek süreye WRT (work recovery time), yani iş kurtarma süresi denir.

Kural şudur: RTO ile WRT'nin toplamı MTD'yi aşamaz. RPO bu toplamın parçası değildir; zamanı değil, kaybedilen veriyi sınırlar.

Hedefleri izlemek için iki işletme ölçüsü de kullanılır. MTBF (mean time between failures), iki arıza arasında geçen ortalama süredir ve sistemin ne sıklıkla düştüğünü gösterir. MTTR (mean time to repair), bir arızanın ortalama giderilme süresidir.

MTTR geçmiş olaylardan ölçülür, RTO ise bir taahhüttür. Altay Kargo'nun son bir yılda ölçtüğü MTTR beş saatse, dört saatlik RTO kâğıt üstünde kalıyor demektir. Bu fark, bir sonraki bütçe görüşmesinin ilk gündem maddesi olur.

Her hedefin bir fiyatı vardır. Yedek altyapı üç temel biçimde kurulur. Soğuk sahada yalnız bina, elektrik ve ağ hazırdır.

Sunucular olaydan sonra kurulur ve dönüş günler sürer. Ilık sahada donanım kuruludur ama veri birkaç saatte bir eşitlenir. Sıcak sahada sistemler ve veri neredeyse anlık olarak eşittir; yük devretme dakikalar sürer ve maliyet en yüksektir.

Dört saatlik RTO ve on beş dakikalık RPO, Altay Kargo'yu sipariş sistemi için en az ılık sahaya ve sürekli veri kopyasına iter. Arşiv sistemi için soğuk saha yeterlidir. Bütün sistemlere sıcak saha kurmak, bütçeyi kritik olmayan sistemlere harcamak demektir.

Bir sistemin RTO'su, bağlı olduğu en yavaş halkadan iyi olamaz. Sipariş uygulaması dört saatte dönse bile kimlik servisi sekiz saatte dönüyorsa kullanıcılar giriş yapamaz. Bu yüzden BIA'nın son ürünü bir bağımlılık haritasıdır.

Haritada uygulama sunucusu, veritabanı, kimlik doğrulama, DNS, ağ bağlantısı ve dış tedarikçiler yer alır. Her halkanın yanına kendi RTO'su yazılır. Altay Kargo'nun haritasında ödeme API'si dış bir sağlayıcıdan gelir.

Sağlayıcının sözleşmesinde kurtarma süresi hiç yazmıyordu. Ekip bu satırı haritada kırmızıyla işaretledi ve sözleşme yenilemesinde sayı istedi. Yazılı bir taahhüt yoksa kendi hedefin, tedarikçinin gerçek performansına değil, onun hakkındaki bir varsayıma dayanır.

Düzenlenmiş sektörlerde hedeflerin bir kısmını mevzuat koyar. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik bunun iyi bir örneğidir. Yönetmeliğin 25. maddesi, bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu tutar.

Birincil sistemlerin her türlü yedeği de ikincil sistem sayılır. Bu kural, felaket kurtarma merkezini yurt dışındaki bir bulut bölgesine kurma seçeneğini baştan kapatır. 28. madde ise iş etki analiziyle her servis için kabul edilebilir kesinti süresini ve veri kaybını belirlemeyi ister.

Birincil sistemler tamamen devre dışı kalsa bile bankanın en geç yirmi dört saatte faaliyetlerine dönebilmesini esas alır. İkincil merkezin de deprem, sel ya da elektrik kesintisi bakımından birincil merkezle aynı risklere açık olmaması gerekir.