Kurumsal Felaket Kurtarma Stratejisi: Zerto, Veeam ve RPO/RTO Kararı

Kısa cevap: Kritik iş yükleriniz için saniyelerle ölçülen bir RPO ve dakikalar içinde devreye alma gerekiyorsa Zerto kullanın. Önceliğiniz değiştirilemez (immutable) yedek, uzun süreli saklama ve geniş bir ortamı uygun maliyetle korumaksa Veeam kullanın. Çoğu kurum ikisini birlikte çalıştırmalıdır: her şey için temel yedekleme katmanı olarak Veeam, dakikalarca veri kaybının kabul edilemez olduğu sınırlı sistem grubu için sürekli replikasyon katmanı olarak Zerto.

Bu rehber, kararı üretici iddiaları yerine sayılarla nasıl vereceğinizi ve KVKK gibi düzenleyici gerekliliklerin seçimi nasıl değiştirdiğini anlatır.

Başlarken iki referans sayı: PagerDuty'nin 2026 verilerinde kesintinin ortalama dakika maliyeti 4.537 dolar; Veeam'in 2025 fidye yazılımı araştırmasında ise saldırıya uğrayan kurumlarda gerçekleşen ortalama kurtarma süresi 24,6 gün. Aradaki uçurum, bu yazının konusu.

RPO ve RTO gerçekte ne anlama gelir

Her felaket kurtarma tasarımını iki rakam belirler.

RPO (Recovery Point Objective, Kurtarma Noktası Hedefi) ne kadar veri kaybını göze alabildiğinizdir, zaman cinsinden ölçülür. 15 dakikalık RPO, olaydan sonra son 15 dakikalık işlemleri kaybetmeyi kabul ettiğiniz anlamına gelir.RTO (Recovery Time Objective, Kurtarma Süresi Hedefi) iş biriminin, etki kabul edilemez hale gelmeden önce sistemin erişilemez kalmasına ne kadar tahammül edebildiğidir.

Bunlar teknik değil, iş kararlarıdır. En sık yapılan hata her sistem için ikisini de sıfıra yakın belirlemektir; bu, kimsenin bütçesinin kaldıramayacağı bir mimari üretir. Doğru yaklaşım iş yüklerini katmanlara ayırmak ve her katmana farklı hedefler atamaktır. Hedefleri iş maliyetinden türetme yöntemini RPO ve RTO nasıl hesaplanır yazısında dört adımda verdik.

Uygulanabilir iş yükü katmanlama modeli

Katman 1, kritik. Ödeme işleme, çekirdek bankacılık, e-ticaret ödeme adımı, üretim veritabanları. Hedef RPO saniyeler, RTO 15 dakikanın altı. Sürekli replikasyonu hak eden katman budur.

Katman 2, iş açısından önemli. ERP, CRM, kuruma özel iş uygulamaları. Hedef RPO 1 ila 4 saat, RTO 4 ila 8 saat. Snapshot tabanlı replikasyon genellikle yeterlidir.

Katman 3, standart. Dosya sunucuları, geliştirme ortamları, iç araçlar. Hedef RPO 24 saat, RTO 24 ila 48 saat. Gecelik yedekleme uygundur.

Katmanlama önemlidir çünkü maliyet eğrisi diktir. Bir iş yükünü 24 saatlik RPO'dan bir dakikanın altındaki RPO'ya taşımak; bant genişliği, kurtarma merkezindeki depolama ve lisanslama nedeniyle koruma maliyetini birkaç katına çıkarabilir.

Zerto ile Veeam karşılaştırması

İkisini ürün ürün karşılaştırdığımız ayrı bir yazı var: Zerto ve Veeam karşılaştırması. Aşağıdaki özet, katman kararı için gereken kadarını içeriyor.

Her ikisi de güçlü ürünlerdir ve kısmen örtüşen ama farklı problemleri çözerler.

Zerto özellikle felaket kurtarma için tasarlandı. Sürekli veri koruma (CDP) kullanır; yazma işlemlerini hypervisor katmanında yakalar ve gerçekleştikleri anda replike eder. Zerto saniyelerle ölçülen RPO ve dakikalarla ölçülen devreye alma süreleri sunar, çünkü veri kurtarma merkezinde zaten kendi doğal biçiminde hazır bekler ve yeniden yapılandırma adımı gerekmez. Journal tabanlı mimarisi ayrıca fidye yazılımının çalışmasından saniyeler öncesine geri sarmayı mümkün kılar; modern saldırı senaryosunda en değerli özellik budur.

Bedelleri de gerçektir. Zerto, replikasyon hiç durmadığı için lokasyonlar arasında sürekli bant genişliği ister. Sanal makine başına lisanslama modeli, yedekleme odaklı araçlara göre daha yüksek birim maliyet taşır ve tasarım işi daha zahmetlidir.

Veeam öncelikle bir yedekleme ve kurtarma platformudur; uzun süreli saklama, değiştirilemezlik ve kapsam genişliği açısından daha güçlü seçimdir. Son sürümler varsayılan olarak değiştirilemez yedekleri ve genişletilmiş sürekli veri koruma yeteneklerini öne çıkararak bazı senaryolarda aradaki farkı daralttı. Veeam küresel veri koruma pazarının yaklaşık yüzde 13,6'sını elinde tutuyor; bu aynı zamanda geniş bir uzman havuzu ve olgun araç seti demek.

Nasıl seçmeli. Soru "veriyi nasıl kaybetmem" ise Veeam ile başlayın. Soru "kesinti sırasında işimi nasıl sürdürürüm" ise ilgili iş yükleri için Zerto veya eşdeğer bir sürekli replikasyon katmanına ihtiyacınız var. Pratikte bunlar rakip değil, birbirini tamamlayan yatırımlardır.

FKM mi DRaaS mı: mimari sorusu

Türkiye pazarında seçim genellikle FKM (Felaket Kurtarma Merkezi) ile DRaaS (Hizmet Olarak Felaket Kurtarma) arasında kurgulanır.

Geleneksel FKM, kontrolünüzdeki ikinci bir tesiste, sahibi olduğunuz donanım ve yazılım demektir. Azami kontrol sağlar ve bazı düzenlemeye tabi durumlarda zorunlu olabilir; ancak atıl bekleyen kapasitenin bedelini ödersiniz ve ikincil lokasyonu güncel tutmanın operasyonel yükü sizde kalır.

DRaaS, kurtarma ortamının bir sağlayıcı tarafından barındırılıp işletilmesi ve hizmet olarak tüketilmesidir. Yatırım harcaması işletme giderine dönüşür ve hedef ortamı hazır tutma sorumluluğunu sağlayıcı üstlenir.

Hibrit yaklaşım giderek yaygınlaşıyor: Katman 1 iş yükleri sağlayıcı tarafından işletilen bir DRaaS platformuna replike edilirken, doğrudan kontrol altında kalması gereken düzenlemeye tabi veri kümeleri özel bir FKM'de tutulur.

KVKK kapsamındaki kurumlar için belirleyici soru veri yerleşimi ve veri işleyen sorumluluğudur. Replike edilen verinin fiziksel olarak nerede durduğunu, yönetimsel erişimin kimde olduğunu ve denetimde bunun nasıl belgeleneceğini teknoloji seçiminden önce netleştirin; çünkü bu, seçenekleri baştan sınırlar.

Test edilmemiş planlar neden başarısız olur?

Hiç çalıştırılmamış bir felaket kurtarma planı bir yetkinlik değil, bir varsayımdır. Gerçek olay anındaki başarısızlıkların en yaygın nedenleri sıradandır:

Kurtarma prosedürleri artık var olmayan sistemlere, IP aralıklarına veya kişilere atıf yapar.Uygulama bağımlılıkları eksik haritalandığı için veritabanı devreye alınır ama ona bağlı servis alınmaz.Mesai dışında felaket ilan etme yetkisi kimsede net değildir, ilk saat onay aramakla geçer.Yedekler "tamamlandı" diye doğrulanmış ama hiç geri yükleme denenmemiştir.

Bunun ne kadar yaygın olduğunu rakam gösteriyor: aynı Veeam araştırmasında saldırıya uğrayanların yalnızca %10'u verisinin %90'ından fazlasını geri alabildi, %57'si yarısından azını kurtardı. Neredeyse hepsinin yedeği vardı.

Düzeltici uygulama, iş birimlerinin de katıldığı, yılda en az iki kez yapılan ve sonuçları belgelenen planlı devreye alma testleridir; prosedürü bir şey kanıtlayan felaket kurtarma testi yazısında adım adım verdik. Fidye yazılımı bunu daha acil hale getirir: kurtarma ancak şifrelemenin başlamasından önceki bir noktaya dönebiliyorsanız anlamlıdır, bu da hem yeterince ayrıntılı bir journal hem de o noktanın hangisi olduğuna dair güven gerektirir. Saldırganın ortamda ortalama 14 gün beklediği düşünülürse, o noktayı bulmak sanıldığı kadar kolay değil; ayrıntısı fidye yazılımı kurtarma planı yazısında.

Sık sorulan sorular

Zerto, Veeam'den daha mı iyi? Farklı problemleri çözerler. Zerto, kritik iş yüklerinin sıfıra yakın RPO ile devreye alınmasında daha güçlüdür. Veeam, değiştirilemez yedekleme, uzun süreli saklama ve daha düşük birim maliyetle geniş kapsam sağlamada daha güçlüdür. Bu işi oturtmuş kurumların çoğu ikisini birlikte kullanıyor.

Sürekli replikasyon olmadan gerçekçi RPO nedir? Snapshot tabanlı replikasyon, değişim hızına ve bant genişliğine bağlı olarak tipik olarak 15 dakika ile birkaç saat arasında bir RPO veriyor. Bir dakikanın altındaki RPO fiilen sürekli veri koruma gerektirir.

Felaket kurtarma fidye yazılımına karşı korur mu? Yalnızca tasarım bunu hesaba katıyorsa. Tek başına replikasyon, şifrelenmiş veriyi kurtarma merkezine de taşıyabilir. Koruma için değiştirilemez yedek kopyalar ve saldırı öncesi bir noktaya geri sarmaya yetecek ayrıntıda bir journal gerekir.

FKM planı ne sıklıkla test edilmeli? Katman 1 sistemler için yılda en az iki kez, masa başı tatbikat yerine gerçek devreye alma yaparak ve iş birimleri kurtarılan servisin gerçekten kullanılabilir olduğunu doğrulayarak.

DRaaS maliyeti kendi FKM'ni kurmakla nasıl kıyaslanır? DRaaS, yatırım harcamasını yinelenen işletme giderine dönüştürür ve savunulabilir bir kurtarma yetkinliğine tipik olarak daha hızlı ulaştırır. Kendi kurduğunuz FKM, büyük ölçekte veya tesisin doğrudan kontrolünün mevzuatça zorunlu kılındığı durumlarda daha ekonomik olabilir.

Eclit bu işe nasıl yaklaşıyor?

Eclit, Türkiye'de finans, sağlık, perakende ve enerji dahil olmak üzere düzenlemeye tabi ve yüksek işlem hacimli ortamlarda felaket kurtarma işletiyor. Yöntemimiz, iş yükü katmanlaması ve bağımlılık haritasıyla başlamak, her katman için RPO ve RTO'yu iş birimiyle mutabık kalmak, sonra bir ürüne göre değil bu hedeflere göre tasarlamaktır. Hem Veeam hem Zerto işletiyor, devreye alma testlerini biz yapıyor ve sonuçlarını raporluyoruz.

Mevcut kurtarma durumunuzun bu ölçütlere göre değerlendirilmesini isterseniz, mimarlarımız katmanlama modeli, eksik listesi ve maliyetlendirilmiş iyileştirme planı üreten bir felaket kurtarma hazırlık incelemesi yapıyor.

Kaynaklar

PagerDuty 2026 MTTR verileri: kesinti dakika maliyetiVeeam 2025 Ransomware Trends: gerçekleşen kurtarma oranları ve süreleriBu katmanı nasıl kurduğumuz: felaket kurtarma mühendisliği