Bilgi Sistemleri Süreklilik Planının Yönetimi Konu Anlatımı

Bilgi sistemleri süreklilik planının yönetimi, işletmenin bilgi sistemlerine bağımlılığını kabul ederek başlar.

Modern işletmelerde bilgi yalnız içeride üretilen bir kayıt değil, müşteriler, ortaklar ve diğer paydaşlar tarafından da sürekli erişilmesi beklenen kurumsal bir varlıktır.

Bu nedenle bilgi sistemlerinin kullanılamaması, tek başına teknik bir arıza sayılmaz; verimlilik, gelir, rekabet gücü, imaj ve pazar payı üzerinde etki doğurabilecek bir iş kesintisine dönüşebilir.

Süreklilik planı, işletmenin bu kesintilere önceden hazırlanmasını, kritik süreçleri kabul edilebilir seviyede sürdürebilmesini ve bilgi sistemleri hizmetlerini uygun zaman ve maliyet sınırları içinde geri yükleyebilmesini amaçlar.

Bilgi sistemleri sürekliliği, bilgi sistemleri süreçlerinde kesinti olduğunda önceden belirlenen kabul edilebilir seviyede devamlılığı sağlayacak müdahale ve planlama yetkinliğidir.

Bu kavram, genel iş sürekliliğinin bilgi sistemleri boyutudur.

İş sürekliliği, kesinti yaratan bir olaydan sonra ürün veya hizmetlerin kabul edilebilir düzeylerde sunulmaya devam etmesini hedeflerken, felaket kurtarma daha çok olayın ani etkisine ve sistemleri kısa sürede çalışır hale getirmeye odaklanır.

Bu ayrım plan yönetiminde önemlidir.

Felaket kurtarma planı sunucu kesintisi, güvenlik ihlali, deprem, sel veya yangın gibi olaylarda sistemlerin nasıl geri getirileceğini düzenler.

İş sürekliliği planı ise insanlar, süreçler, tedarikçiler, ortaklar ve alternatif çalışma biçimleri dahil işletmenin kriz boyunca nasıl çalışmaya devam edeceğini ele alır.

Planın yönetilebilir olması için ilk güçlü adım iş etki analizidir.

İş etki analizi, işletmenin temel ürün ve hizmetlerini sunması için gereken süreçleri, kaynakları ve bu süreçleri destekleyen bilgi sistemlerini değerlendirir.

Amaç, hangi süreçlerin iş hedefleri bakımından kritik olduğunu ve kesintinin hangi etkilere yol açacağını belirlemektir.

Yasal yaptırım riski, gelir kaybı, itibar zedelenmesi ve müşteri memnuniyetsizliği bu etkilere örnek verilebilir.

İşletme bu etkileri kendi belirlediği bir ölçekte sınıflandırır ve süreçlerle sistemlerin öncelik sırasını çıkarır.

Bu çalışma üst yönetim desteğiyle başlatılmalı ve sonuçları üst yönetim tarafından onaylanmalıdır; çünkü süreklilik kararları maliyet, kaynak ve kabul edilebilir risk düzeyiyle doğrudan ilişkilidir.

Kritiklik analizi, iş etki analizini kurtarma hedeflerine bağlar.

Her kritik süreç ve sistem için birbirine bağımlılıklar, dış kaynak bağımlılıkları, personel ve diğer kaynak ihtiyaçları belirlenir.

Bu aşamada maksimum tahammül edilebilir kesinti süresi, kurtarma süresi hedefi, iş kurtarma süresi ve kurtarma noktası hedefi gibi kavramlar devreye girer.

Maksimum tahammül edilebilir kesinti süresi, bir sürecin veya onu destekleyen sistemin yokluğuna işletmenin dayanabileceği en uzun süredir.

Bu süre aşılırsa finansal, yasal, itibari veya müşteri ilişkileri açısından ciddi zarar beklenir.

Kritiklik arttıkça bu sürenin kısalması beklenir; örneğin ödeme sistemleriyle insan kaynakları destek süreçleri aynı kesinti toleransına sahip olmayabilir.

Kurtarma süresi hedefi, kritik sistemlerin kesinti sonrasında yeniden çalışır hale gelmesi için kabul edilen azami süreyi ifade eder.

Sistemlerin açılması tek başına yeterli olmadığı için iş kurtarma süresi de dikkate alınır; bu süre, yeniden çalışan sistemlerin veri bütünlüğünün doğrulanması ve kritik iş süreçlerini gerçekten destekleyebilir hale getirilmesi için gerekir.

Kurtarma noktası hedefi ise veri kaybı toleransını gösterir.

İşletme kesintiden önceki kaç dakikalık, saatlik veya günlük veriyi kaybetmeyi kabul edebileceğini belirler.

Bu hedef yedekleme sıklığını, veri çoğaltma teknolojisini ve kurtarma maliyetini doğrudan etkiler.

RTO ve RPO felaket anına ne kadar yakın belirlenirse, sıcak site, gerçek zamanlı çoğaltma veya kümeleme gibi çözümler nedeniyle maliyet yükselir.

Süreklilik planının yönetimi, belirlenen hedeflere uygun kurtarma stratejilerini seçmeyi gerektirir.

Her kritik bilgi sistemi için kurtarmanın en uygun yolu, iş etki analizinde belirlenen risk düzeyi ve maliyet etkisi dikkate alınarak seçilmelidir.

Sıcak site, donanım ve sistem yazılımıyla kullanıma hazır alternatif tesis sağlar.

Ilık site bazı imkanları hazır tutar fakat tam donanımlı değildir.

Soğuk site fiziksel ve elektriksel altyapıyı sunar, ancak bilgi işlem donanımı hazır değildir.

İkiz site, ana sistemle aynı bilgileri taşıyan ve yük dengeleme için de kullanılabilen alternatif ortamdır.

Mobil tesisler veya karşılıklı işlem anlaşmaları da senaryoya göre seçenek olabilir.

Alternatif yerin aynı felaketten etkilenmeyecek coğrafi konumda olması ve ikincil sisteme ağ bağlantısının kurulabilmesi planın uygulanabilirliği açısından kritiktir.

Plan yalnız alternatif tesis seçimiyle bitmez.

Uygulama esnekliği için kümeleme yöntemleri, tek arıza noktasını azaltabilir.

Aktif-pasif yapıda pasif düğüm arıza anında devreye girerken, aktif-aktif yapıda uygulama birden fazla düğümde çalışır.

Veri depolama tarafında disk yedekliliği, yedekleme, dış lokasyona kopyalama, çıkarılabilir ortam veya bulut yedekleme gibi yöntemler kullanılır.

Bu yedeklerin erişilebilir olması ve bilgi güvenliği politikasına uygun biçimde gizlilik, bütünlük ve kullanılabilirlik ilkelerini koruması gerekir.

İletişim ağları da planın ayrı bir unsurudur; kablo kesintileri, yazılım hataları, insan hataları ve telekomünikasyon kaynaklı sorunlar iş süreçlerini durdurabileceğinden ağ esnekliği için prosedürler kurulmalıdır.

Yönetim boyutunun en görünür kısmı test ve bakımdır.

Planın gerçek bir kesintide çalışacağından emin olmak için süreçler, görevler, adımlar, kaynaklar ve iletişim akışı sınanmalıdır.

Test, ekiplerin plan etkinleştirildiğinde hangi adımları uygulayacağını anlamasını sağlar; eksik süreçleri, dış bağımlılıkları ve karşılıklı bağımlılıkları ortaya çıkarır.

Görevlerin doğru kişilere dağıtılıp dağıtılmadığı kriz anında değil, test aşamasında doğrulanmalıdır.

Her adımın doğru sırada yer alıp almadığı, gerekli kaynakların gerçekten mevcut olup olmadığı ve bilginin kime ne zaman aktarılacağı test edilmelidir.

Böylece plan kağıt üzerinde kalan bir metin olmaktan çıkıp uygulanabilir bir kontrol haline gelir.

Bakım, süreklilik planını yaşayan bir sistem haline getirir.

Riskler, teknoloji, kurumsal strateji, ürün ve hizmetler, altyapı, üçüncü taraf sağlayıcılar, düzenleyici gereklilikler ve tehdit ortamı değiştikçe plan da güncellenmelidir.

Testlerden ve alıştırmalardan öğrenilen dersler, denetim bulguları, güvenlik açığı değerlendirmeleri ve sızma testleri plan revizyonuna girdi sağlar.

Kurumsal birleşme, satın alma, bölünme veya yeniden yapılandırma gibi olaylar da süreklilik planını etkileyebilir.

Bu nedenle iyi yönetilen bir bilgi sistemleri süreklilik planı, bir defa hazırlanıp arşivlenen belge değil; iş hedefleri, risk iştahı, kurtarma hedefleri ve teknik kapasiteyle düzenli olarak uyumlandırılan kurumsal dayanıklılık aracıdır.