ISO 22301 İş Sürekliliği: BIA ve DR Planı Nasıl Hazırlanır?

ISO’nun resmi açıklamasına göre ISO 22301, kuruluşların kesintilere karşı hazırlanmasına, olaylara yanıt vermesine ve daha hızlı toparlanmasına yardımcı olan bir iş sürekliliği yönetim sistemi standardıdır. Standardın mantığı yalnızca bir acil durum dosyası tutmak değil; iş sürekliliği politikasını, hedeflerini, risk bakışını, iş etki analizini, süreklilik stratejilerini, müdahale ve toparlanma prosedürlerini, testleri ve sürekli iyileştirmeyi tek çatı altında yönetmektir. Yani bir başka deyişle bu standart, “kriz gelirse bakarız” yaklaşımını kurumsal dünyadan çıkarıp yerine “kriz gelse bile hangi sırayla ayağa kalkacağımızı biliyoruz” yaklaşımını koyar. NaroCert de tam burada, standardı teoride bırakmayıp operasyonel gerçekliğe çevirmeyi önemli görür.

Bu yazının kalbinde iki kavram var 🌿: BIA yani Business Impact Analysis, Türkçesiyle iş etki analizi; bir de DR Planı yani Disaster Recovery Plan, Türkçesiyle felaket kurtarma planı. Birçok işletme bu iki başlığı karıştırıyor. Oysa BIA, neyin ne kadar kritik olduğunu anlamaya yarayan analitik pusuladır; DR planı ise özellikle bilgi sistemleri, altyapı ve kritik teknolojik bileşenlerin yeniden ayağa kaldırılması için yazılmış teknik toparlanma haritasıdır. Ben bunu genelde şöyle anlatıyorum: BIA, hangi damarların hayati olduğunu gösteren teşhistir; DR planı ise hayati damarları yeniden çalıştırmak için uygulanan ameliyat protokolüdür. İşte bu yüzden NaroCert ile yürütülen iş sürekliliği çalışmalarında, BIA yapılmadan DR planı yazmak çoğu zaman sıralamayı ters çevirmek anlamına gelir.

ISO 22301 Tam Olarak Ne İster?

ISO 22301’in özü, kurumun kritik faaliyetlerini koruyabilmesi ve kesinti sonrası kabul edilebilir sürelerde yeniden çalışabilir hale gelebilmesidir 😊. Bu nedenle standart sadece BT ekibinin konusu değildir; üretim, müşteri hizmetleri, lojistik, insan kaynakları, tedarik, finans, kalite, bilgi güvenliği ve üst yönetim dahil olmak üzere birçok alanı ilgilendirir. Çünkü kesinti dediğimiz şey tek bir sunucunun düşmesiyle sınırlı değildir. Bazen sunucu ayaktadır ama kritik personel yoktur, bazen personel vardır ama veri yoktur, bazen veri vardır ama tedarikçi zinciri kopmuştur. İş sürekliliği yönetimi tam da bu çapraz ilişkilere odaklanır. ISO 31000 risk yönetimi yaklaşımı burada çok güçlü bir destek sağlar; çünkü iş sürekliliği, riskin teorik anlatımı değil, etkisinin kabul edilemez hale geldiği anı yönetme becerisidir. NaroCert bu nedenle iş sürekliliğini yalnızca kriz planı değil, risk odaklı yönetim kültürü olarak okur.

Burada çok önemli bir ayrım yapalım 🤝. İş sürekliliği planı ile felaket kurtarma planı aynı şey değildir. NIST’in tanımına göre DRP, büyük bir donanım, yazılım ya da tesis kaybı sonrasında bilgi sistemlerini veya kritik uygulamaları geri getirmek için hazırlanmış yazılı bir plandır. Yani daha dar, daha teknik ve çoğu zaman BT merkezli bir plandır. Buna karşılık geniş iş sürekliliği yaklaşımı, kurumun temel hizmetlerini sürdürmesini ya da kabul edilebilir sürede geri getirmesini hedefler. Kısacası her DR planı iş sürekliliğinin içinde yer alabilir, ama iş sürekliliği sadece DR planından ibaret değildir. NaroCert bu ayrımı doğru kurmanın, özellikle denetimlerde çok ciddi fark yarattığını gösterir.

BIA Nedir ve Neden Her Şey Onunla Başlar?

Ready.gov’un güncel tanımına göre bir BIA, bir kesintinin işletme üzerindeki sonuçlarını öngörür ve toparlanma stratejilerini geliştirmek için gerekli bilgiyi toplar. FEMA’nın BIA rehberinde de benzer şekilde BIA sonuçlarının, risk azaltma ve süreklilik stratejileri için temel oluşturduğu açıkça belirtilir. Bu tanım çok kıymetli çünkü bize BIA’nın sadece “hangi süreç önemli” sorusunu değil, “ne kadar önemli, ne kadar süre dayanabilir, neye bağımlı, durursa kime zarar verir, ne zaman kabul edilemez hale gelir” sorularını birlikte sorduğunu anlatır. Yani BIA, sadece kritik süreç listesi değildir; zaman boyutunu, etki türlerini ve bağımlılık ilişkilerini masaya koyan iş zekâsıdır 📊.

İyi bir BIA çalışmasında genellikle şu başlıklar çıkar: süreç adı, süreç sahibi, ürün veya hizmete etkisi, finansal etki, müşteri etkisi, yasal etkiler, itibar etkisi, manuel geçici çözüm imkânı, bağımlı uygulamalar, bağımlı personel, bağımlı tedarikçiler, kabul edilebilir azami kesinti süresi, hedef toparlanma süresi ve veri kaybı toleransı. İşte burada MTPD ya da bazı kurumlarda MAO olarak ifade edilen azami tolere edilebilir kesinti süresi; RTO yani toparlanma süresi hedefi; RPO yani kabul edilebilir veri kaybı penceresi gibi kavramlar çok kritik hale gelir. Bir üretim şirketi için sipariş alma uygulaması 24 saat durabilir ama üretim emir sistemi 6 saatten fazla duramaz. Bir e ticaret şirketi için web sitesi 2 saat kapalı kalınca itibar ve satış etkisi büyüyebilir. Bir laboratuvar için veri bütünlüğü kaybı saatten bile daha önemli olabilir. Dolayısıyla BIA yapılmadan herkes kendi işini kritik sanır; BIA yapıldığında ise organizasyon ilk kez ortak bir öncelik dili kurar. NaroCert ile yapılan iş sürekliliği çalışmalarının en değerli taraflarından biri de budur.

BIA Nasıl Hazırlanır? Adım Adım Anlatım

Burada en sık yapılan hata, BIA’yı bir Excel egzersizi sanmaktır 😌. Oysa iyi bir BIA, masa başı şablondan çok yöneticilerle ve süreç sahipleriyle yürüyen akıllı bir keşif çalışmasıdır. İlk adım, kapsamı belirlemektir. Tüm kurumu mu analiz edeceksiniz, belirli lokasyonları mı, yalnızca kritik iş birimlerini mi? Kapsam net değilse analiz şişer ve işe yaramaz hale gelir. İkinci adım, süreç envanterini çıkarmaktır. Kurum gerçekten hangi iş faaliyetlerini yürütüyor, bunların müşteri değeri nedir, birbirine bağımlılıkları nelerdir? Üçüncü adım, etki kriterlerini tanımlamaktır. Finansal kayıp, müşteri kaybı, düzenleyici yaptırım, itibar kaybı, operasyonel darboğaz ve iş sağlığı güvenliği etkileri nasıl puanlanacak? Dördüncü adım, zaman boyutunu eklemektir. Bir süreç 2 saat durunca ne olur, 8 saat durunca ne olur, 24 saat durunca ne olur, 3 gün durunca ne olur? İşte BIA’nın gerçek gücü burada başlar.

Beşinci adım, bağımlılık haritasını çıkarmaktır. Her kritik sürecin arkasında uygulamalar, veri tabanları, dış tedarikçiler, lokasyonlar, ekipmanlar, anahtar personel ve bazen tekil uzmanlık bilgisi vardır. Kurumlar burada çok şaşırır 😊 çünkü bir süreç sandıkları şeyin aslında başka beş sürece, iki tedarikçiye ve tek bir uzmana bağlı olduğunu görürler. Altıncı adım, MTPD, RTO ve gerekiyorsa RPO hedeflerini belirlemektir. Yedinci adım ise toparlanma öncelik sırasını çıkarmaktır. Hangi süreç önce dönecek, hangi sırayla, hangi minimum kaynakla? İşte bu sorunun cevabı olmadan yazılmış bir DR planı çok şık görünebilir ama kriz anında dağılır. ISO 9001 süreç yaklaşımı, ISO 14001 çevresel risk bakışı ve sektöre özel belgelendirme planlaması bu nedenle BIA’da çok işe yarar; çünkü her sektörün kritik faaliyet tanımı ve kesintiye duyarlılığı farklıdır. NaroCert bu farkı sahaya göre kurmayı önemli görür.

DR Planı Nedir ve BIA’dan Sonra Nasıl Kurulur?

Şimdi gelelim işin teknik tarafına 💻. DR planı, NIST’e göre büyük donanım, yazılım veya tesis kaybı sonrası kritik bilgi sistemlerini ve uygulamaları geri getirmek için hazırlanmış yazılı plandır. Bu tanımın iki güçlü tarafı var. Birincisi, plan yazılı olmalıdır; yani kafada duran bilgi iş sürekliliği sayılmaz. İkincisi, plan geri getirme sırasını, alternatif çalışma mantığını ve toparlanma prosedürlerini açıkça göstermelidir. NIST’in kontenjan planlama rehberi de BIA’dan sonra toparlanma stratejilerinin belirlenmesini, sonra planın yazılmasını, ardından test, eğitim ve bakım döngüsünün kurulmasını önerir. Yani teknik toparlanma planı; analiz, strateji, dokümantasyon, test ve bakım aşamalarını birlikte ister.

İyi bir DR planı genelde şu bölümlerden oluşur: amaç ve kapsam, devreye alma kriterleri, olay ilanı ve eskalasyon zinciri, roller ve sorumluluklar, iletişim listeleri, kritik sistem envanteri, uygulama bağımlılıkları, yedekleme ve replikasyon bilgisi, alternatif lokasyon veya bulut stratejisi, geri yükleme sırası, doğrulama adımları, manuel geçici süreçler, tedarikçi temasları, siber olay senaryoları, test planı ve planın bakım takvimi. Özellikle siber olaylar çağında sadece “yedek var” demek yetmez; yedeğin temizliği, erişilebilirliği, geri dönüş süresi ve test edilmiş olması gerekir. kimya sektörü, medikal sektör ve veri bütünlüğünün kritik olduğu alanlarda bu konu daha da hassastır. Bu nedenle bilgi güvenliği ve süreklilik arasında güçlü bağ kurmak gerekir. NaroCert bu bağı yalnızca teknoloji meselesi değil, yönetim sistemi meselesi olarak ele alır.

BIA ve DR Planı Arasındaki Farkı Çok Basit Anlatım

Çok pratik söyleyelim 😊. BIA size “önce neyi kurtarmanız gerektiğini” söyler. DR planı ise “onu nasıl kurtaracağınızı” söyler. BIA olmadan yazılmış DR planı, herkes için her şeyi kurtarmaya çalışan dağınık bir çabaya dönüşebilir. DR planı olmadan yapılmış BIA ise teorik doğrulardan ibaret kalır. İkisi birlikte çalıştığında ise kurum ilk kez şu netliğe kavuşur: hangi süreçler gerçekten kritik, hangi sistemler bu süreçleri besliyor, bu sistemlerin ne kadar veri kaybı toleransı var, hangi kaynak ve kişi olmadan geri dönüş yapılamaz, ilk 4 saatte ne olacak, ilk 24 saatte ne olacak, ilk 72 saatte normalleşmeye nasıl gidilecek? İş sürekliliği yönetiminde asıl olgunluk burada doğar.

BIA
↓
Kritik süreçleri belirler
↓
MTPD / RTO / RPO hedeflerini tanımlar
↓
Öncelik sırasını oluşturur
↓
DR Planı
↓
Kritik sistemleri geri getirme adımlarını yazar
↓
Test edilir, güncellenir, tekrar doğrulanır

Örnekle Anlatalım: E Ticaret Şirketinde BIA ve DR Planı

Diyelim ki orta ölçekli bir e ticaret şirketiniz var 🛒. Sipariş sistemi, web sitesi, ödeme entegrasyonu, stok yönetimi, çağrı merkezi ekranları ve kargo aktarımı sizin için kritik. Yönetim ekibi ilk toplantıda doğal olarak her şeyi kritik ilan ediyor. Ama BIA yapıldığında şu tablo çıkıyor: web sitesi ve ödeme sistemi 1 saatten fazla durursa gelir ve itibar etkisi çok yüksek, stok sistemi 4 saate kadar manuel listelerle idare edilebiliyor, çağrı merkezi ekranları 8 saatlik kesintide ciddi müşteri memnuniyeti riski yaratıyor, kargo aktarımı ise 24 saate kadar tamponlanabiliyor. Bu analiz sonunda web sitesi ve ödeme altyapısı için RTO 1 saat, stok sistemi için 4 saat, çağrı merkezi için 8 saat belirleniyor. RPO tarafında ödeme ve sipariş verileri için 15 dakika, ürün katalog verisi için 4 saat kabul edilebilir görülüyor.

Şimdi DR planı bu çıktılara göre yazılıyor. Öncelik bir, DNS ve web uygulaması; öncelik iki, ödeme entegrasyonu ve sipariş veri tabanı; öncelik üç, çağrı merkezi erişimi; öncelik dört, raporlama ve ikincil paneller. Yedek lokasyon bilgileri, bulut snapshot politikası, uygulama bağımlılık sırası, kim hangi yetkiyle restore sürecini başlatır, karar kime eskale edilir, hangi tedarikçi kaçıncı dakikada aranır ve geri dönüşün başarılı olduğu nasıl doğrulanır; hepsi plana işleniyor. Sonra masa başı test yapılıyor, sonra teknik test yapılıyor, sonra iletişim listesi güncelleniyor. İşte bu örnek, BIA ile DR planının nasıl zincir gibi birbirine bağlandığını çok net gösterir. NaroCert ile yapılan sağlıklı kurulumlarda en önemli fark da budur: plan, işletmenin gerçek ritmine göre yazar.

Bir Başka Örnek: Üretim Tesisinde BIA Nasıl Düşünülür?

Bir üretim tesisinde işler biraz daha katmanlıdır 🏭. ERP kapalıysa üretim emirleri aksar, kalite kayıt sistemi kapalıysa serbest bırakma gecikir, enerji izleme sistemi kapalıysa bazı hatlar güvenli modda kalabilir, bakım sistemi erişilemezse arıza yönetimi uzar. BIA burada sadece dijital uygulamaları değil, fiziksel kaynakları da ele alır: jeneratör kapasitesi, kritik yedek parça, alternatif tedarikçi, vardiya liderlerinin manuel çalışma bilgisi, kalite onay prosedürleri ve hatta yemekhane ya da servis gibi destek süreçleri bile toplam etkiyi değiştirir. Bu yüzden bazı şirketler yanlışlıkla DR planını BT dokümanı gibi yazıp işin operasyonel tarafını zayıf bırakır. Oysa üretimde gerçek süreklilik, teknoloji ile saha operasyonunun birlikte düşünülmesiyle kurulur. ISO 22000 gibi üretim ve gıda odaklı sistemlerde, IFS yaklaşımında ve süreç yoğun yapılarda bu bütüncül bakış çok daha kritik hale gelir. NaroCert bunu belge odaklı değil, operasyon odaklı bir süreklilik meselesi olarak görür.

En Sık Yapılan Hatalar

Burada biraz dürüst olalım 😊 çünkü iş sürekliliği projelerinde çok sık tekrar eden bazı hatalar var. Birincisi, BIA’yı sadece BT’nin hazırlaması. Bu durumda gerçek iş etkisi kayboluyor. İkincisi, her sürecin “kritik” ilan edilmesi. Her şey kritikse aslında hiçbir şey önceliklendirilmemiş demektir. Üçüncüsü, RTO ve RPO hedeflerini gerçek kapasiteye bakmadan yazmak. Kağıt üzerinde 1 saat yazmak kolaydır ama yedekleme mimariniz buna izin vermiyorsa hedefiniz dekor olur. Dördüncüsü, DR planını yazıp hiç test etmemek. NIST’in toparlanma ve kontenjan planlama rehberleri, test, eğitim ve bakım döngüsünü özellikle vurgular; çünkü denenmeyen plan, kriz anında varsayımdan ibarettir. Beşincisi ise iletişim ağacını küçümsemek. Olay anında kimi kim arayacak, olay ilanını kim yapacak, müşteri iletişimini kim yönetecek, üçüncü taraf erişimlerini kim doğrulayacak gibi sorular yazılmadan plan eksik kalır. NaroCert bu nedenle plan yazımından çok planın çalışabilirliğine odaklanır.

Ben bu konuda hep aynı anekdotu hatırlarım 💙. Bir kurumda çok güzel hazırlanmış bir felaket kurtarma dokümanı vardı. Sayfalar dolusu teknik detay, ekran görüntüleri, numaralar, tablolar… ama masa başı tatbikatta bir noktada şu soru soruldu: “Peki bu süreci hafta sonu gece kim başlatacak?” O an odada sessizlik oldu. Çünkü plan teknik olarak güçlüydü ama organizasyonel sahipliği net değildi. İşte iş sürekliliğinin duygusal tarafı burada başlıyor. İnsanlar kriz anında ne yapacağını bildiğinde sakinleşir. Sakinlik de çoğu zaman en iyi toparlanma aracıdır.

Kişisel Deneyim ve Duygusal Bağ

Kurumsal yapılarda iş sürekliliği çalışmalarının en etkileyici tarafı şudur 🌱: insanlar ilk başta bunu ekstra evrak gibi görür ama iyi kurgulandığında aslında kurum içindeki görünmez kırılganlıkları ortaya çıkarır. Hangi bilgi tek kişinin zihninde tutuluyor, hangi tedarikçi alternatifsiz, hangi dosya sadece bir klasörde, hangi süreç “yıllardır böyle gidiyor” diye belgesiz yürütülüyor, hangi toplantı hiç yapılmasa da sistem devam ediyor sanılıyor… BIA çalışmaları bu gizli gerçekleri ortaya döker. Bence bu yüzden iş sürekliliği yalnızca kriz yönetimi değil, kurumsal olgunlaşma aracıdır. İnsanların yaptığı işin değerini ve kırılganlığını aynı anda görmesini sağlar. NaroCert ile bu tarz bir çalışmaya giren ekipler genelde yalnızca denetim için değil, kendi iç düzenleri için de çok kıymetli bir netlik kazanır.

10 Sık Sorulan Soru

1) ISO 22301 sadece büyük şirketler için mi uygundur?

Hayır. Büyük şirketlerde kapsam daha karmaşık olur ama orta ve küçük işletmeler için de iş sürekliliği kritik olabilir. Ölçek değişir, mantık değişmez.

2) BIA ile risk analizi aynı şey midir?

Hayır. Risk analizi olası tehditleri ve olasılıkları ele alır. BIA ise bir kesinti olduğunda iş üzerindeki etkileri ve toparlanma önceliklerini ortaya koyar.

3) DR planı sadece BT ekibinin işi midir?

Çoğunlukla BT yoğun bir plandır ama tek başına BT’ye bırakılamaz. Çünkü geri dönecek sistemlerin önceliğini iş birimleri belirler.

4) RTO ile RPO farkı nedir?

RTO, hizmetin ne kadar sürede geri gelmesi gerektiğini ifade eder. RPO ise kabul edilebilir veri kaybı penceresini anlatır.

5) BIA ne sıklıkla güncellenmelidir?

Yeni süreç, yeni lokasyon, büyük teknoloji değişikliği, birleşme, tedarikçi değişimi veya büyük organizasyon değişimi olduğunda mutlaka gözden geçirilmelidir. Ayrıca periyodik güncelleme de iyi uygulamadır.

6) DR planı test edilmeden kullanılabilir mi?

Kağıt üzerinde kullanılabilir görünür ama güven vermez. Test edilmeyen planın gerçek bir olayda aksama ihtimali yüksektir.

7) Bütün süreçler kritik çıkarsa ne olur?

Bu genelde analiz yeterince ayırt edici yapılmadığı anlamına gelir. Gerçek önceliklendirme için zaman ve etki kriterleri yeniden çalışılmalıdır.

8) İş sürekliliği ile bilgi güvenliği arasında bağ var mı?

Evet, çok güçlü bir bağ vardır. Özellikle veri erişimi, yedekleme, olay müdahalesi ve toparlanma kabiliyeti iki alanı birbirine bağlar.

9) DR planında tedarikçiler neden önemli?

Çünkü birçok kritik sistem dış tedarikçi, bulut sağlayıcı, telekom operatörü veya uygulama partnerine bağımlıdır. Plan bunları açıkça göstermelidir.

10) ISO 22301 denetiminde en çok neye bakılır?

Bağlama uygunluk, BIA mantığı, süreklilik stratejileri, planların gerçekçiliği, test ve gözden geçirme kültürü ile iyileştirme yaklaşımı önemlidir.

İnsanlar Bunları da Sordu

• BIA şablonu hazırlanırken hangi departmanlar mutlaka dahil olmalı?
• RTO hedefleri teknik kapasiteyle nasıl hizalanır?
• Bulut kullanan şirketlerde DR planı nasıl farklılaşır?
• Yedekleme var ama restore testi yoksa bu yeterli sayılır mı?
• İş sürekliliği planı ile acil durum planı aynı şey midir?
• Tek lokasyonlu şirketler için alternatif çalışma alanı nasıl planlanır?
• Siber saldırı senaryosu için ayrı DR planı gerekir mi?
• Kritik personel bağımlılığı BIA’da nasıl ölçülür?
• İş sürekliliği testleri hangi sıklıkla yapılmalıdır?
• ISO 22301 ile ISO 27001 birlikte kurulabilir mi?

Sonuç

Özetle 🌟 ISO 22301 iş sürekliliği yaklaşımı, kuruma yalnızca kriz sonrası toparlanma planı değil; kritik faaliyetlerini tanıma, önceliklendirme, bağımlılıklarını görme ve gerçekçi toparlanma hedefleriyle hareket etme disiplini kazandırır. BIA bu yapının analitik omurgasıdır; neyin ne kadar kritik olduğunu, ne kadar sürede kabul edilemez hale geldiğini ve hangi kaynaklara bağımlı olduğunu ortaya koyar. DR planı ise bu bulguları özellikle teknoloji ve bilgi sistemleri tarafında uygulanabilir toparlanma adımlarına dönüştürür. Yani biri yönü gösterir, diğeri yolu çizer. NaroCert ile bu süreci doğru kurgulayan işletmeler için asıl kazanç yalnızca bir sertifika değil; kriz anında karar verebilen, öncelikleri belli, teknik ve operasyonel dili ortaklaşmış bir kurum yapısıdır. Çünkü iş sürekliliği aslında şu cümlenin kurumsal karşılığıdır: işler bozulduğunda da paniklemeden yolumuza devam edebiliriz ✨.