Yedek saklama politikası, hangi verinin kaç kopyasının, ne kadar süreyle, nerede ve kimin erişimiyle tutulacağını yazılı hale getiren belgedir. Çoğu işletmede bu belge yoktur; yedekleme yazılımının kurulduğu günkü varsayılan ayarı politikanın yerini tutar. Bu yazı politikanın dört sorusunu (kopya, süre, ortam, erişim) sırayla cevaplıyor ve KVKK’nın teknik tedbir beklentisiyle nasıl örtüştüğünü gösteriyor.
Yedek saklama politikası nedir?
Yedek saklama politikası, bir kurumun yedek kopyalarını hangi kurallarla tutacağını tanımlayan yazılı belgedir: hangi sistem yedeklenir, kaç kopya tutulur, her kopya ne kadar süre saklanır, kopyalar nerede durur ve kim erişir. Politika yedekleme yazılımının ayarlarını belirler; yazılımın ayarı politikayı belirlemez.
Politikasız yedek, kurulum günündeki varsayılanla yaşar. Disk dolunca en eski kopyalar kendiliğinden silinir, yeni devreye giren sistemler listeye eklenmez, ayrılan personelin erişimi açık kalır. Politika bu boşlukları kapatır ve bir denetimde “yedeğiniz nasıl yönetiliyor” sorusuna gösterilecek belge olur.
Kaç kopya tutulmalı?
Yaygın kural 3-2-1’dir: verinin üç kopyası, iki farklı ortamda, en az biri kurumun fiziksel konumu dışında. Üretimdeki veri birinci kopyadır; yerel yedek ikinci, şirket dışındaki kopya üçüncü kopyadır.
Kopya sayısı kadar kopyaların birbirinden bağımsız olması önemlidir. Aynı sunucudaki ikinci disk ya da aynı yönetici hesabıyla silinebilen ikinci depo bağımsız kopya sayılmaz. Fidye yazılımı senaryosunda bağımsızlığın ölçüsü şudur: üretim ağını ele geçiren bir saldırgan bu kopyaya aynı yoldan ulaşabiliyor mu? Ulaşabiliyorsa kopya sayısı bir eksiktir.
Yedek ne kadar süre saklanmalı?
Yedek saklama süresi iki ihtiyacın birleşimiyle belirlenir: işletmenin geçmişe ne kadar dönmesi gerektiği ve mevzuatın belgeler için öngördüğü saklama yükümlülüğü. İkisinden uzun olan geçerlidir; ancak saklama amacı biten kişisel veri de yedekte süresiz tutulamaz.
İşletme ihtiyacı katmanlı saklama (GFS) ile karşılanır: günlük kopyalar kısa süre, haftalık kopyalar birkaç ay, aylık kopyalar bir yıl ya da daha uzun tutulur. Böylece dünkü hataya da aylar önce başlamış bir bozulmaya da dönülebilir.
Mevzuat tarafında Türk Ticaret Kanunu ticari defter ve belgeler için on yıllık saklama süresi öngörür; muhasebe ve e-fatura verisini taşıyan sistemlerin yedeği bu süreyi gözetmek zorundadır. Buna karşılık KVKK, saklama amacı ortadan kalkan kişisel verinin silinmesini, yok edilmesini ya da anonim hale getirilmesini ister ve periyodik imhanın altı ayı aşmayan aralıklarla yapılmasını öngörür. Yedek saklama politikası bu iki ucu aynı tabloda gösterir: hangi veri sınıfı ne kadar tutulur, süresi dolunca hangi yedek kotundan çıkar.
Yedek hangi ortamda ve nerede durmalı?
Yedeğin en az bir kopyası üretim sistemlerinden fiziksel ve mantıksal olarak ayrı bir ortamda, kurumun binası dışında durmalıdır. Ortam seçimi üç soruyla yapılır: yerel bir felaket bu kopyayı etkiler mi, üretim ağından bu kopyaya erişilebilir mi, saklama süresi dolmadan silinebilir mi?
Kurum içindeki ikinci sunucu ilk soruda kalır; yangın, su baskını ve uzun elektrik kesintisi ikisini birlikte vurur. Aynı ağdaki depolama birimi ikinci soruda kalır. Üçüncü soruyu yalnız değiştirilemez saklama geçer: saklama süresi dolmadan gelen silme ve üzerine yazma isteği, hesabın yetkisi ne olursa olsun depolama katmanında reddedilir.
Kişisel veri taşıyan yedekler için bir soru daha vardır: kopya hangi ülkede? KVKK kişisel verilerin yurt dışına aktarımını ayrı koşullara bağlar; yurt dışındaki bir bulut deposuna gönderilen yedek de bu kapsamdadır. Kopyanın Türkiye’de kalması bu başlığı politikadan çıkarır.
KVKK teknik tedbir olarak yedekleme ne ister?
KVKK’nın teknik tedbir beklentisi açısından yedekleme, kişisel verinin kaybını önleyen ve erişilebilirliğini koruyan bir önlemdir; yedeğin kendisi de kişisel veri barındırdığı için şifreleme, erişim kısıtı ve süresi dolan verinin imhası aynı tedbir listesine girer.
- Yedekler aktarım sırasında ve saklandığı yerde şifreli tutulur; anahtarın kimde olduğu yazılıdır.
- Yedeğe kimin eriştiği kayıt altındadır; ayrılan personelin erişimi aynı gün kapanır.
- Saklama süresi dolan kişisel verinin yedeklerden çıkışı planlanır ve imha kaydı tutulur.
- Geri yükleme testleri düzenli yapılır; sonuçları saklanır.
- Yedek ortamının konumu ve sorumlusu varlık envanterinde yazar.
Bu maddeler yedekleme yazılımının özellikleri değil, kurumun kararlarıdır. Politika kararı yazar; yazılım uygular.
Politika bir sayfaya nasıl sığar?
Bir KOBİ’nin yedek saklama politikası tek sayfalık bir tabloya sığar: satırlarda sistemler, sütunlarda kopya sayısı, kot derinlikleri, saklama süresi, ortam ve sorumlu. Aşağıdaki tablo örnek değerlerle kurulmuştur; her işletme kendi sayılarını yazar.
| Sistem | Kopya | Günlük / haftalık / aylık kot | Saklama süresi | Ortam | Sorumlu |
|---|---|---|---|---|---|
| Muhasebe ve ERP | 3 | 14 / 8 / 12 | 10 yıl (arşiv kotu ayrı) | Yerel + şirket dışı değiştirilemez | BT yöneticisi |
| E-posta | 3 | 7 / 4 / 6 | Kurum politikası | Yerel + şirket dışı | BT yöneticisi |
| Dosya sunucusu | 3 | 14 / 8 / 12 | Veri sınıfına göre | Yerel + şirket dışı değiştirilemez | BT yöneticisi |
| Web sitesi | 2 | 7 / 4 / 3 | 3 ay | Şirket dışı | Ajans veya BT |
Tablo yılda bir gözden geçirilir; yeni bir sistem devreye girince satır açılır. Sorumlu sütunu boş kalan satır, politikanın en zayıf yeridir.
Katmanlı ve değiştirilemez saklama pratikte nasıl kurulur?
Layer Sistem’in LayerBackup hizmetinde saklama politikası kurumla birlikte plana yazılır: günlük, haftalık ve aylık kotların derinliği ihtiyaca göre belirlenir, en derindeki aylık çekirdek değiştirilemez saklanır. Kopya kurum dışında, İstanbul’daki veri merkezinde Türkiye sınırları içinde durur ve aktarımdan saklamaya kadar şifreli kalır. Yedek trafiği üretim ağından ayrı bir düzlemde akar. Böylece 3-2-1 kuralının şirket dışı ayağı, yurt dışı aktarım sorusu ve değiştirilemezlik şartı tek planda karşılanır. İşletmeye kalan, tabloyu yazmak ve yılda bir gözden geçirmektir.
Sonuç
Yedek saklama politikası dört sorunun yazılı cevabıdır: kaç kopya, ne kadar süre, hangi ortamda, kimin erişimiyle. Cevaplar yazılımın varsayılanından değil, işletmenin ihtiyacından ve mevzuatın süresinden çıkar. Tek sayfalık tabloyu bu hafta yazın; yedekleme planını ona göre kurun.
Konuyu derinleştirmek için: E-ticaret ve finans için KVKK uyumlu veri saklama ve Fidye yazılımına karşı değiştirilemez yedek.
İletişim: +90 850 500 0 166 | [email protected] | www.layersistem.com