Felaket kurtarma planı ve testi

Felaket kurtarma planı, BIA'da yazılan hedeflere teknik olarak nasıl ulaşılacağını anlatır. Hangi sistem hangi sırayla ayağa kalkar, veri nereden geri gelir, kim hangi adımı atar? Plan aynı zamanda bir rol dağılım tablosudur.

Adı yazılmayan bir adımı olay gecesinde kimse üstlenmez. Yazılı plan tek başına güvence değildir; test edilmeyen plan gerçek olayda çoğu zaman eksik çıkar. Bu derste önce planın yedek stratejisini kuracaksın.

Sonra dört test türünü hafiften ağıra sıralayacaksın. Ardından Altay Kargo'nun sipariş veritabanını yedekten döndürüp süreyi ölçeceksin. Son bölümlerde tatbikat raporunu, kriz iletişimini ve tedarikçi testlerini göreceksin.

İyi bir plan beş soruya cevap verir. Planı kim, hangi koşulda devreye alır? Sistemler hangi sırayla kurtarılır? Veri hangi yedekten, hangi adımlarla geri gelir?

Kim kime, hangi kanaldan haber verir? Olay bitince ana sisteme nasıl dönülür? Son soru sık unutulur. Altay Kargo'nun ilk planında yedek merkeze geçiş on sayfa tutuyordu, ana merkeze dönüş ise tek cümleydi.

Bankacılık yönetmeliği bu adımı bankalar için açıkça ister: felaket bitince ikincil merkezden birincil merkeze dönüş prosedürü hazırlanır. Planın her adımında bir sorumlu ve bir yedek sorumlu yazılır. Telefon numaraları da ayrıca sınanır, çünkü değişen tek bir numara bütün iletişim zincirini koparır.

Planın omurgası yedektir. Fidye yazılımı saldırıları bu omurgayı hedef alır; saldırgan önce ulaşabildiği yedekleri siler ya da şifreler. CISA'nın fidye yazılımı rehberi bu yüzden kritik verinin çevrimdışı ve şifreli yedeğini tutmayı önerir. Rehber, yedeklerin erişilebilirliğini ve bütünlüğünü bir felaket senaryosunda düzenli olarak sınamayı da ister.

Yaygın bir kural 3-2-1 yöntemidir: verinin en az üç kopyası, iki farklı ortamda tutulur ve kopyalardan biri kurum dışında ya da çevrimdışı durur. Değiştirilemez (immutable) depolamada kopya, yazıldıktan sonra belirli bir süre silinemez. Yedek sunucusu, üretim sistemleriyle aynı yönetici hesaplarına bağlı olmamalıdır. Aynı hesap ikisini de yönetiyorsa, o hesabı ele geçiren saldırgan iki tarafa da ulaşır.

Planı sınamanın dört temel yolu hafiften ağıra doğru sıralanır. Masaüstü tatbikatı ekibi bir masa etrafında toplar ve senaryoyu sözlü tartışır; ucuzdur ve sık tekrarlanabilir. Yürüyüş, planın adımlarını tek tek ve gerçek sistemlere dokunmadan izler. Simülasyon, kontrollü bir ortamda geri yükleme adımlarını fiilen çalıştırır.

Tam kesinti testi üretimi gerçekten durdurur ve yedek altyapıya geçer. En gerçekçi test odur, ama en riskli test de odur. NIST SP 800-34, SP 800-53'teki test kontrolünü aktarırken yelpazeyi biraz daha geniş sayar: kontrol listesi, yürüyüş ya da masaüstü, simülasyon, paralel test ve tam kesinti. Paralel testte yedek sistem ayağa kalkar ve üretimle yan yana çalışır, ama kullanıcılar ona yönlendirilmez.

Her tür farklı bir şeyi ölçer. Masaüstü tatbikatı ekibin rolleri bilip bilmediğini ölçer. Yürüyüş, adım sırasının mantıklı olup olmadığını gösterir.

Simülasyon, geri yüklemenin gerçekten çalıştığını ve dönen verinin sağlam olduğunu kanıtlar. Tam kesinti testi ise gerçek RTO'nun kâğıttaki hedefle örtüşüp örtüşmediğini gösterir. Zincirin tamamı yalnız bu testte gerçek zamanla ölçülür: karar, geçiş, doğrulama ve kullanıcıların geri dönüşü.

Altay Kargo sipariş sistemi için yılda iki masaüstü tatbikatı, bir simülasyon ve iki yılda bir tam kesinti testi yapar. Daha az kritik sistemlerde takvim seyrekleşir. Yeni bir sistem, planı yazılıp en az bir kez test edilmeden üretime hazır sayılmaz.

NIST SP 800-84, tatbikatları iki aileye ayırır. Masaüstü tatbikatı tartışmaya dayanır; ekipman ya da kaynak devreye girmez. Kolaylaştırıcı bir senaryo sunar ve katılımcılara rolleri, koordinasyonu ve kararları sorar. İşlevsel tatbikatta ise ekip görevlerini benzetilmiş bir operasyon ortamında fiilen yapar.

İşlevsel tatbikat, bildirim zincirini sınayan küçük bir provadan bütün planı kapsayan tam ölçekli bir provaya kadar büyüyebilir. Sınavlarda ve sözleşmelerde iki sınıflandırma da geçer. Adlar farklı olsa da ikisi aynı merdivenin basamaklarını anlatır.

Simülasyonun en değerli çıktısı bir sayıdır: geri yükleme gerçekte kaç dakika sürdü? Altay Kargo'nun ekibi sipariş veritabanının gece yedeğini, yedek deposundan bir test sunucusuna alır. Önce deponun sağlam olduğunu, sonra döküm dosyasının bozulmadığını doğrular.

En son geri yüklemeyi süre ölçerek çalıştırır. Üç komut da üretime dokunmaz; yalnız okur ya da test veritabanına yazar. Bu sıra bilinçlidir, çünkü bozuk bir yedeği geri yüklemek saatler harcatır. Aşağıdaki çıktı eylül ayındaki simülasyondan alındı.

$ restic -r /yedek/siparis check --read-data-subset=5%
using temporary cache in /tmp/restic-check-cache-2210548817
create exclusive lock for repository
load indexes
check all packs
check snapshots, trees and blobs
[0:03] 100.00%  31 / 31 snapshots
read 5.0% of data packs
[2:41] 100.00%  87 / 87 packs
no errors were found

$ sha256sum -c siparis_2026-09-15.dump.sha256
siparis_2026-09-15.dump: OK

$ time pg_restore -d siparis_test -j 4 siparis_2026-09-15.dump

real    72m14.502s
user    18m40.117s
sys     3m2.884s

Çıktıyı sırayla oku. restic check önce deponun yapısını denetler: indeks dosyaları, anlık görüntüler ve veri ağaçları tutarlı mı? --read-data-subset=5% bayrağı ise paket dosyalarının rastgele yüzde beşini gerçekten okur ve içeriğini doğrular.

no errors were found satırı, okunan bölümde bozulma bulunmadığını söyler. Okunmayan yüzde doksan beş için bir şey söylemez; ekip bu yüzden her hafta farklı bir rastgele bölüm okutur. sha256sum -c, döküm dosyasının özetini yanında saklanan özet dosyasıyla karşılaştırır.

OK sonucu, dosyanın yolda bozulmadığını gösterir. Son komut geri yüklemeyi dört paralel işle çalıştırır. time çıktısındaki real satırı duvar saati süresidir: 72 dakika 14 saniye. user ve sys satırları işlemci zamanıdır ve kurtarma hesabına girmez.

Bir önceki simülasyonda aynı adım beklenenden bir saat uzun sürmüştü. Kök neden, döküm dosyasının yanlış sunucuya kopyalanmasıydı. Plan hedef sunucuyu tam adıyla değil, eski bir takma adla anıyordu. Takma ad da emekliye ayrılmış bir sunucuyu gösteriyordu.

Ekip bulguyu plana geri yazdı ve adımı sunucunun tam adıyla netleştirdi. Belgeyi değiştirmekle de yetinmedi; adımın sorumlusuna ve yedeğine kısa bir bilgilendirme yaptı. Ölçümün bir de eğilimi var.

Geri yükleme geçen yıl 51 dakika sürüyordu. Sipariş verisi bu hızla büyürse iki yıl içinde hedef aşılır.

Simülasyon bileşenleri tek tek ölçer. Gerçek bir olayda ise süreler art arda eklenir. Ekip bu yüzden ölçülen ve tahmin edilen bütün adımları tek bir tabloda toplar. Her satırın yanına sürenin nereden geldiği yazılır.

Ölçülen bir süre ile tahmin edilen bir süre aynı güvenilirlikte değildir ve tablo bu farkı gizlememelidir. Tahmin satırları, bir sonraki testte ölçülmesi gereken adımların listesidir. Tablo bu yüzden her testten sonra yeniden yazılır.

ADIM                              SÜRE (dk)   KAYNAK
Olayın doğrulanması ve karar          45      masaüstü tatbikatı tahmini
Yedek sunucunun hazırlanması          30      simülasyon ölçümü
Veritabanı geri yükleme               72      simülasyon ölçümü
Uygulama ve veri doğrulama            40      simülasyon ölçümü
DNS ve yük dengeleyici geçişi         15      yürüyüş tahmini
----------------------------------------------------------------
Toplam                               202      hedef RTO: 240

Toplam 202 dakika, yani yaklaşık 3 saat 22 dakika eder. Dört saatlik hedefin altında kalır ama pay yalnız 38 dakikadır. Tablonun iki satırı hâlâ tahmindir: karar süresi ve DNS geçişi. Bu tahminleri ancak tam kesinti testi gerçek ölçüme çevirir.

Test üretimi durdurduğu için ön koşulları vardır. Yedek doğrulanmış olmalı, üst yönetim yazılı onay vermeli ve trafiğin en düşük olduğu bir saat seçilmelidir. Testi durdurma ölçütü ve ana sisteme geri dönüş planı da önceden yazılır. Altay Kargo testi bir pazar sabahı 05:00'te başlatır ve müşterilere önceden bakım duyurusu yapar.

Her test bir tatbikat sonrası raporla (after-action report) kapanır. Rapor beş alan taşır: gözlem, kök neden, eylem, sahip ve hedef tarih. CISA'nın masaüstü tatbikat paketleri de tatbikatı böyle bir raporla bitirmeyi önerir.

Bulgusuz kapatılan bir tatbikat şüphelidir; ya senaryo fazla kolaydı ya da kimse not tutmadı. Altay Kargo'nun son tam kesinti testinde DNS geçişi tahmin edilenden çok uzun sürdü. Toplam süre 235 dakikaya çıktı ve hedefe yalnız beş dakika kaldı.

TATBİKAT SONRASI RAPOR   TT-2026-03, tam kesinti testi, 27.09.2026

Gözlem     DNS geçişi 15 dakika yerine 48 dakika sürdü.
Kök neden  Sipariş kaydının TTL değeri 3600 saniye; plan 300 saniye
           varsayıyordu. Eski kayıt istemcilerde bir saate kadar kaldı.
Eylem      TTL değerini 300 saniyeye indir, plandaki süreyi güncelle.
Sahip      Ağ Ekibi Lideri
Hedef      15.10.2026
Durum      Açık; kapanış bir sonraki simülasyonda doğrulanacak.

Teknik kurtarma sürerken ikinci bir iş akışı başlar: iletişim. Çağrı merkezi müşteriye ne söyleyecek? Sosyal medyadaki soruya kim cevap verecek? Kriz iletişimi planı bu soruları önceden cevaplar.

Plan tek bir sözcü belirler ve başka kimse kurum adına dışarıya bilgi vermez. İç ve dış mesaj için hazır şablonlar tutulur. İlk dış mesaj kısa olur: ne oldu, müşteri neyi fark edebilir, bir sonraki güncelleme ne zaman gelecek? Doğrulanmamış bilgi, örneğin verinin sızıp sızmadığı, mesaja girmez.

NIST SP 800-61 Rev. 3 de basın ve halkla ilişkiler rolünü olay müdahalesinin parçası sayar. Kılavuz bir uyarı da ekler: medya olayı bazen kurumun basın biriminden değil, başka kaynaklardan öğrenir. Hazır bir basın stratejisi bu durumda ekibin elini rahatlatır.

Aynı test disiplini tedarikçilere de uzanır. Kritik bir tedarikçinin kendi kurtarma planını test edip etmediği sözleşme görüşmesinde sorulur. Tedarikçi kendi RTO'sunu hiç ölçmemişse, Altay Kargo'nun hedefi de kâğıt üstünde kalır. Bu yüzden yüksek riskli tedarikçilerden yıllık test raporunun bir özeti istenir.

Mümkünse tedarikçi, Altay Kargo'nun tam kesinti testine de katılır. Bankacılık yönetmeliği bunu bankalar için zorunlu tutar ve dış hizmet sağlayıcıları felaket testine dâhil eder. Tedarikçinin raporu da kendi raporun gibi okunur: ölçülen süre, hedef süre ve açık kalan bulgular.