İçeriğe atla
Bilgi Merkezi/Makale
Makale

İş Sürekliliği Nedir? İş Sürekliliği Yönetimi ve ISO 22301

İş sürekliliği, kesinti sırasında kritik iş süreçlerini sürdürebilmektir. İş etki analizini, MTPD'yi, ISO 22301'i ve felaket kurtarmadan farkını anlattık.

Oğuzhan Gerçek··7 dk okuma
İş Sürekliliği Nedir? İş Sürekliliği Yönetimi ve ISO 22301

Kısa cevap: İş sürekliliği, bir kurumun kritik iş süreçlerini bir kesinti sırasında ve sonrasında sürdürebilmesidir. Felaket kurtarma bu işin BT sistemlerini geri getiren parçasıdır; iş sürekliliği ise insanları, tedarikçileri ve iletişimi de kapsar. Yönetimi iş etki analiziyle başlar: her sürecin en fazla ne kadar kesintiye dayanabileceği (MTPD) belirlenir, kurtarma hedefleri bu sürenin altında seçilir. Uluslararası çerçeveyi ISO 22301 çiziyor; plan tatbikatla sınanır ve bulgulara göre sürekli iyileştirilir.

İş sürekliliği nedir?

ABD Ulusal Standartlar ve Teknoloji Enstitüsünün (NIST) beklenmedik durum planlama rehberi SP 800-34 Rev. 1, iş sürekliliği planının (business continuity plan, BCP) odağını kurumun iş süreçlerini bir kesinti sırasında ve sonrasında sürdürmek olarak tarif ediyor. Rehbere göre plan yalnızca öncelikli işlevleri kapsayacak biçimde de yazılabilir. Kısa tanımı sözlüğümüzde bulabilirsiniz.

İş sürekliliği yönetimi (business continuity management, BCM) bu işi tek seferlik bir belge olmaktan çıkarır. ISO'nun tanıtımıyla ISO 22301, iş sürekliliği yönetim sistemleri (BCMS) için uluslararası standart. Kesintilere karşı korunmak, olasılıklarını azaltmak ve kesintiden sonra toparlanmayı güvenceye almak için belgelenmiş bir yönetim sistemini planlama, kurma, uygulama, işletme, izleme, gözden geçirme, sürdürme ve sürekli iyileştirme çerçevesi sunuyor.

İş sürekliliği ile felaket kurtarma arasındaki fark

NIST iki planı kapsamla ayırıyor. Felaket kurtarma planı (DRP), birincil tesise uzun süre erişilemeyen ve çoğunlukla fiziksel olan büyük kesintiler içindir ve yalnızca başka bir lokasyona taşınmayı gerektiren bilgi sistemi kesintilerini ele alır. İş sürekliliği planı ise iş süreçlerine bakar; rehbere göre iş sürekliliği planlamacısı bilgi sistemi sahipleriyle eşgüdüm kurmak zorundadır.

AWS ilişkiyi tek cümleyle kuruyor: DR planı ayrı bir belge değil, iş sürekliliği planının alt kümesi olmalı. Gerekçesi de açık: iş yükü dışındaki unsurlar felaketten etkilendiği için işin hedefleri tutturulamıyorsa, iddialı DR hedefleri korumanın anlamı yok. Örneğin sistemler iki saatte dönse bile çağrı merkezi ekibinin çalışacak yeri yoksa müşteri hizmeti durur.

ISO de iki alanı ayrı standartlarla bağlıyor. ISO/IEC 27031:2025, bilgi ve iletişim teknolojilerinin iş sürekliliğine hazırlığını ele alıyor ve ISO'ya göre bu hazırlığı daha geniş iş sürekliliği hedefleriyle hizalayarak ISO 22301'i destekliyor. BT tarafını, yani RTO'yu, RPO'yu, yedek merkezleri ve DR planını felaket kurtarma yazımızda anlattık.

İş etki analizi (BIA)

İş etki analizi (business impact analysis, BIA), bir kesintinin iş süreçlerine etkisini ortaya koyar. AWS'ye göre analiz kesintinin iş etkisini sayıya dökmeli, iş yüklerinin kullanılamamasının iç ve dış müşterilere etkisini göstermeli; iş yükünün ne kadar sürede yeniden kullanılabilir olması gerektiğini ve ne kadar veri kaybına katlanılabileceğini belirlemeye yardım etmeli.

NIST SP 800-34 süreci üç adımda anlatıyor:

  1. İş süreçlerini ve bunların kurtarma kritikliğini belirlemek
  2. Kaynak gereksinimlerini çıkarmak
  3. Sistem kaynaklarının kurtarma önceliğini sıralamak

Analiz risk değerlendirmesiyle birlikte okunur. AWS'ye göre afet türüne ve coğrafi etkiye dair bir risk değerlendirmesi, her afet türü için kesinti olasılığını belirler; kurtarma hedefleri tek başına konmaz, kesinti olasılığı ve kurtarma maliyeti de hesaba girer. ISO'nun ISO/TS 22317:2021 rehberi BIA süreci için yol gösteriyor, ama tek tip bir süreç dayatmıyor. Kritik süreçlerin tedarikçilere ve SaaS hizmetlerine bağımlılığını çıkarmanın yolunu bağımlılık haritası yazımızda anlattık.

Kabul edilebilir en uzun kesinti (MTPD)

MTPD (maximum tolerable period of disruption), İskoçya Hükümetinin iş dayanıklılığı rehberindeki tanımıyla kurumun temel ürün ya da hizmetlerinin, etkisi kabul edilemez sayılmadan önce verilemeyeceği en uzun süre. NIST aynı kavrama MTD (maximum tolerable downtime) diyor ve bir iş sürecinin, kurumun misyonuna ciddi zarar vermeden ne kadar kesintiye uğrayabileceğini anlatıyor.

Bu süre kurtarma hedeflerinin tavanıdır. NIST'e göre RTO, MTD'nin aşılmamasını sağlamak zorunda olduğu için normalde ondan kısa tutulur. Sipariş almanın en fazla 8 saat durabileceği belirlendiyse, siparişi taşıyan sistemlerin RTO'su 8 saatin altında seçilir.

Hedefi kısaltmanın da bir bedeli var. NIST'e göre kesinti uzadıkça kurumun maliyeti artar; RTO kısaldıkça da kurtarma çözümü pahalılaşır. İki eğrinin kesiştiği maliyet denge noktası (cost balance point) her kurumda farklıdır. Bu hesabın yöntemini RPO ve RTO nasıl hesaplanır yazısında verdik.

Strateji, plan ve roller

İş etki analizinden sonra strateji seçilir. ISO'nun ISO/TS 22331 rehberi iş sürekliliği stratejisinin belirlenmesi ve seçimi, ISO/TS 22332 ise planların ve prosedürlerin geliştirilip sürdürülmesi için yazıldı. Plan BT'nin ötesine geçer:

  • İnsanlar: ISO/TS 22330, olaydan etkilenen çalışanların yönetimini hazırlık, müdahale, kurtarma ve normale dönüş aşamalarıyla ele alıyor.
  • Tedarikçiler: ISO/TS 22318, tedarik zinciri sürekliliğinin amacını iş faaliyetlerini tedarik zincirindeki kesintilerden korumak olarak koyuyor.
  • İletişim: NIST, kesinti anında iç ve dış iletişimin standart prosedürlerinin bir kriz iletişimi planında yazılmasını istiyor.

Rol tanımı üç soruya cevap verir: planı kim devreye alır, ekipleri kim yönetir, bu kişilere ulaşılamazsa yerlerine kim geçer. NIST'in rehberinde planı devreye alma yetkisi CIO gibi bir üst yöneticide; her ekibi bir ekip başı yönetir ve onun yerine geçecek bir yedek önceden belirlenir. AWS'ye göre iş sürekliliği yöneticisi, DR planının iş etki analizi sonuçlarıyla uyumlu olmasını sağlar. Karar yetkisi ve risk sahipliği tarafını yönetişim, risk ve uyum hizmetimizde ele alıyoruz.

Tatbikat ve test

Plan ancak sınandığında güvenilir hâle gelir. ISO 22398, bir kurumun tatbikat projelerini planlaması, yürütmesi ve iyileştirmesi için iyi uygulamaları anlatıyor. NIST'in rehberi eğitimi ve iki tatbikat türünü birbirinden ayırıyor:

  • Eğitim: Personele plandaki rolünü öğretir; NIST'e göre en az yılda bir verilmeli.
  • Masa başı tatbikat (tabletop): Katılımcılar bir araya gelir, belirli bir acil durumdaki rollerini ve tepkilerini tartışır; ekipman kullanılmaz.
  • İşlevsel tatbikat (functional): Personel görevlerini simüle edilmiş bir operasyon koşulunda yerine getirerek hazır olup olmadığını doğrular.

NIST'e göre her etkinliğin sonucu bir değerlendirme raporuna (after-action report) yazılır ve çıkarılan derslerle plan güncellenir. Senaryolar yalnızca veri merkezi kaybını değil, kritik bir tedarikçinin uzun süre erişilemez olmasını da içermeli; örneklerini SaaS kesintileri yazımızda topladık. Teknik failover testinin adımları felaket kurtarma testi yazısında.

ISO 22301 ve sürekli iyileştirme

ISO 22301'in güncel sürümü, Ekim 2019'da yayımlanan ikinci baskı; ilk baskı 2012 tarihli. Şubat 2024'te iklim eylemiyle ilgili değişiklikleri getiren bir ek (Amd 1:2024) çıktı. ISO, Aralık 2025'te standardı revize etme kararı aldı; yeni sürüm ISO/CD 22301 adıyla hazırlanıyor. ISO'nun 2019 duyurusuna göre güncel sürüm öteki ISO yönetim sistemi standartlarıyla uyumlu hâle getirildi; standart sayfası da ISO 22301'in bu standartlarla bütünleştirilebildiğini yazıyor. Yönetim sistemi belgesinin nasıl alınıp sürdürüldüğünü ISO 27001 yazımızda, standartlara hazırlığı ISO standartları sayfamızda anlattık.

Sürekli iyileştirmenin pratikteki karşılığı düzenli gözden geçirme. NIST planın kurumun belirlediği sıklıkta ve planın herhangi bir unsurunda önemli bir değişiklik olduğunda gözden geçirilmesini istiyor; böyle bir değişiklikte iş etki analizi de güncellenir. NIST'in gözden geçirme listesinde ekip üyelerinin ve tedarikçilerin iletişim bilgileri de var.

Türkiye'de bankalar için bu kavramlar mevzuatta da geçiyor: BDDK'nın bilgi sistemleri yönetmeliği, iş etki analizini, bilgi sistemleri süreklilik planını ve ikincil merkezi tanımlar arasında sayıyor. Bankalardaki süreklilik şartlarını BDDK yazımızda ele aldık.

Sık sorulan sorular

İş sürekliliği ne demek? Bir kurumun kritik iş süreçlerini bir kesinti sırasında ve sonrasında sürdürebilmesi demek. İngilizcesi business continuity.

İş sürekliliği yönetimi nedir? İş sürekliliğini analiz, strateji, plan, tatbikat ve iyileştirme döngüsüyle işletilen bir yönetim sistemi olarak ele almaktır. Uluslararası standardı ISO 22301.

İş sürekliliği planı ile felaket kurtarma planı arasındaki fark nedir? İş sürekliliği planı, iş süreçlerinin kesinti sırasında nasıl süreceğini anlatır. Felaket kurtarma planı BT sistemlerinin geri getirilmesine odaklanır ve iş sürekliliği planının bir parçasıdır.

İş etki analizi nedir? Bir kesintinin iş süreçlerine etkisini ölçen analizdir. Hangi sürecin ne kadar sürede geri gelmesi gerektiğini ve ne kadar veri kaybına katlanılabileceğini ortaya koyar.

ISO 22301 nedir? İş sürekliliği yönetim sistemleri için uluslararası standarttır. Güncel sürümü 2019 tarihli; ISO yeni sürüm üzerinde çalışıyor.

Kaynaklar