İş Sürekliliği Yönetimi

Neden Her Kuruluşun Bir İş Sürekliliği Yönetimine İhtiyacı Var ve Neden Bir Politika Tek Başına Yeterli Değildir?

Kuruluşlar bilgi güvenliği, siber savunma ve teknik koruma önlemleri için önemli kaynaklar ayırmaktadır. Buna rağmen uygulamada birçok kurumun gerçek bir kriz veya kesinti durumuna yeterince hazırlıklı olmadığı görülmektedir. Bir siber saldırı, kritik sistemlerin devre dışı kalması, önemli bir hizmet sağlayıcının hizmet verememesi veya bir yangın gibi olaylar, birkaç saat içerisinde kritik iş süreçlerinin durmasına neden olabilir.

İşte tam bu noktada İş Sürekliliği Yönetimi (Business Continuity Management — BCM) devreye girer. BCM’nin temel amacı, kesintileri tamamen önlemek değildir. Asıl amaç, kritik iş süreçlerinin olağanüstü koşullar altında da sürdürülebilmesini veya kabul edilebilir bir süre içinde yeniden çalışır hale getirilebilmesini sağlamaktır. Bu nedenle BCM yalnızca bilgi teknolojilerine değil, süreçlere, kaynaklara, çalışanlara ve bağımlılıklara sahip organizasyonun tamamına odaklanır.

BCM, Acil Durum Planlarıyla Başlamaz

Yaygın bir yanılgı, BCM’nin yalnızca bir acil durum el kitabından veya kriz prosedürlerinden ibaret olduğunu düşünmektir. Oysa acil durum planları, sistematik bir BCM sürecinin son aşamalarından biridir.

Bir kuruluşun öncelikle şu sorulara cevap vermesi gerekir:

• Hangi ürün veya hizmetler vazgeçilmezdir?
• Bu hizmetleri destekleyen iş süreçleri hangileridir?
• Bir süreç ne kadar süre durabilir?
• Süreçlerin devamı için hangi sistemler, veriler, çalışanlar ve tedarikçiler gereklidir?
• Bir kesinti meydana geldiğinde ne tür sonuçlar ortaya çıkar?

Bu sorular yanıtlanmadan gerçekçi ve uygulanabilir kurtarma planları oluşturmak mümkün değildir.

İş Etki Analizinin Önemi

Her BCM sisteminin merkezinde İş Etki Analizi (Business Impact Analysis — BIA) bulunur. BIA, kritik iş süreçlerinin ve bunların bağımlılıklarının belirlenmesini sağlar.

Uygulamada sıklıkla görülen bir durum, bilgi teknolojileri ekiplerinin teknik riskleri ön planda görürken, iş birimlerinin farklı önceliklere sahip olmasıdır. Örneğin BT departmanı e-posta sisteminin kritik olduğunu düşünürken, iş birimleri açısından çok daha kritik olan başka bir uygulama veya süreç olabilir.

BIA, farklı bakış açılarını ortak bir zeminde buluşturur ve şu temel soruya cevap verir:

“Hangi süreçler öncelikli olarak yeniden çalışır hale getirilmelidir?”

BIA sonucunda aşağıdaki önemli hedefler belirlenir:

Recovery Time Objective (RTO): Bir süreç veya sistemin yeniden çalışır hale gelmesi için kabul edilebilir azami süre.

Recovery Point Objective (RPO): Kabul edilebilir azami veri kaybı miktarı.

Maximum Tolerable Period of Disruption (MTPD): Bir sürecin geri döndürülemez zararlar oluşmadan önce en fazla ne kadar süre kesintiye uğrayabileceği.

Bu değerler daha sonra iş sürekliliği ve felaket kurtarma planlarının temelini oluşturur.

Politika (Leitlinie) Temel Taşıdır

Analizlere ve planlara başlamadan önce BCM’nin organizasyon içerisinde bir çerçeveye oturtulması gerekir. Bu çerçeve genellikle bir İş Sürekliliği Politikası (BCM-Leitlinie) ile oluşturulur.

İyi bir politika dokümanı, tüm detayları açıklamak yerine aşağıdaki konuları tanımlar:

• Kuruluş neden BCM uygulamaktadır?
• Hangi hedeflere ulaşılmak istenmektedir?
• Kapsam nedir?
• Rol ve sorumluluklar nasıl dağıtılmıştır?
• BCM nasıl gözden geçirilecek ve geliştirilecektir?

Bu nedenle politika, BCM sisteminin stratejik temelidir. Aynı zamanda üst yönetimin iş sürekliliğine verdiği önemin ve taahhüdünün resmi bir göstergesidir.

Bilgi Güvenliği, Kriz Anında da Devam Etmelidir

Kurumların sıklıkla gözden kaçırdığı konulardan biri, bilgi güvenliğinin kesinti sırasında nasıl sürdürüleceğidir.

Bir kriz anında sistemleri mümkün olduğunca hızlı ayağa kaldırma baskısı oluşur. Ancak bu süreçte bazı güvenlik kontrollerinin devre dışı bırakılması veya atlanması yeni riskler yaratabilir.

Bu nedenle olgun bir BCM yaklaşımı yalnızca sistemlerin kullanılabilirliğine değil, aynı zamanda şu bilgi güvenliği hedeflerine de odaklanır:

• Gizlilik (Confidentiality)
• Bütünlük (Integrity)
• Erişilebilirlik (Availability)

Normal koşullarda uygulanan güvenlik önlemleri kriz döneminde kullanılamıyorsa, önceden tanımlanmış ikame güvenlik önlemlerinin (compensating controls) devreye alınması gerekir.

Tatbikatlar Fark Yaratır

Pek çok kuruluşun kapsamlı acil durum planları bulunmasına rağmen, bu planlar hiç test edilmemiş olabilir.

Test edilmemiş bir plan, gerçekte yalnızca bir varsayımdır.

Düzenli tatbikatlar sayesinde:

• Kurtarma prosedürlerinin çalışıp çalışmadığı,
• Kritik kişilere ulaşılıp ulaşılamadığı,
• Sistemlerin belirlenen RTO süreleri içinde geri getirilebildiği,
• Rol ve sorumlulukların anlaşılıp anlaşılmadığı

doğrulanabilir.

Özellikle masa başı tatbikatları (Tabletop Exercise), gerçekçi senaryoların kontrollü şekilde değerlendirilmesine ve eksikliklerin ortaya çıkarılmasına yardımcı olur.

BCM Bir Proje Değil, Sürekli Bir Süreçtir

Bazı kuruluşlar BCM çalışmalarını tek seferlik bir proje olarak ele alır ve gerekli dokümanlar hazırlandıktan sonra sürecin tamamlandığını düşünür.

Oysa işletmeler sürekli değişir:

• Yeni uygulamalar devreye alınır.
• Organizasyon yapıları değişir.
• Yeni tedarikçilerle çalışılmaya başlanır.
• Mevcut iş süreçleri dönüşür.

Bu değişikliklerle birlikte riskler ve bağımlılıklar da değişir.

Bu nedenle etkili bir BCM sistemi düzenli olarak gözden geçirilmeli ve güncellenmelidir. İş Etki Analizleri, kurtarma hedefleri, acil durum planları ve sorumluluklar belirli aralıklarla veya önemli değişikliklerden sonra yeniden değerlendirilmelidir.

Sonuç

İş Sürekliliği Yönetimi yalnızca bir acil durum el kitabı veya uyum (compliance) gerekliliği değildir. Kuruluşun kritik süreçlerini anlamasını, kriz anlarında doğru kararlar almasını ve beklenmedik olaylara karşı daha dirençli hale gelmesini sağlayan stratejik bir yönetim yaklaşımıdır.

Bu yolculuk genellikle bir BCM politikası ile başlar. Ardından İş Etki Analizleri, süreklilik stratejileri ve acil durum planları gelir. Ancak gerçek fayda, bu yapıların düzenli olarak gözden geçirilmesi, test edilmesi ve sürekli iyileştirilmesiyle ortaya çıkar.

Bu yaklaşımı benimseyen kuruluşlar yalnızca krizlere daha hazırlıklı olmakla kalmaz; aynı zamanda kendi iş süreçlerini, bağımlılıklarını ve risklerini çok daha iyi tanıyarak uzun vadeli kurumsal dayanıklılık kazanırlar. Çünkü iş sürekliliğinin temel amacı yalnızca bir felaketten kurtulmak değil, kurumu her koşulda faaliyet gösterebilecek kadar güçlü hale getirmektir.