Güvenlik ve Süreklilik İzleme

İzlemenin değeri iş sonucuyla kurduğu bağdan gelir. Müşteri yolculuklarını, gelir akışlarını, mevzuata tabi süreçleri, kimlikleri, veriyi ve kaybı hâlinde kurumu ciddi biçimde etkileyecek operasyonları belirleriz. Ardından her kritik iş hizmetini uygulamalar, sunucular, bulut hesapları, ağlar, alan adları, sertifikalar, posta akışları, yedek setleri, çalışanlar ve dış sağlayıcılarla eşleriz. Böylece bir sunucunun çalışıyor görünmesi, bütün hizmetin sağlıklı olduğu yanılgısına dönüşmez.

İzleme sözleşmesi kapsamda olanı, başka bir sağlayıcı tarafından gözlenen unsuru ve henüz doğrulanmamış alanı ayrı ayrı gösterir. Ortamlar, lokasyonlar, hesaplar, çalışma saatleri, bakım pencereleri, veri işleme sınırları, saklama süresi, bildirim kanalları ve kesintiye yol açabilecek kararlara onay verecek kişiler yazılı hâle gelir. Sinyal yolu, sahibi, beklenen davranış ve arıza koşulu doğrulanmadan bir varlığı ‘izleniyor’ diye göstermeyiz.

Önceliği ürünün ürettiği alarm sayısı değil, iş etkisi ve makul tehdit senaryosu belirler. Halka açık bir site için erişilebilirlik, sertifika, yayın bütünlüğü ve ayrıcalıklı erişim sinyalleri önem taşıyabilir. Finans süreci ise kimlik, e-posta, veri aktarımı ve tedarikçi erişilebilirliğine bağlı olabilir. İzlenen sınır ve gözden geçirme sıklığı sözleşmede sabitlenir; yeni satın alınan sistemler, ek lokasyonlar ve sağlayıcı değişiklikleri kendiliğinden sınırsız hizmet kapsamına girmez.

Her önemli göstergenin bir kaynağı, gerekçesi ve sorumlusu olmalıdır. Yazılı kapsama göre kimlik, uç nokta, güvenlik duvarı, DNS, e-posta, bulut yönetim katmanı, uygulama, veritabanı, sertifika, zafiyet süreci, yayın sistemi, erişilebilirlik ölçümü, yedekleme işi ve geri yükleme kayıtlarından yararlanabiliriz. Her kaynağın hangi varlıkları kapsadığı, kayıtların nasıl geldiği, hangi alanların gerekli olduğu, saatlerin nasıl eşlendiği ve verinin ne kadar süre erişilebilir kaldığı belgelenir.

Sessiz kalan bir bağlayıcı, görünürlüğün kaybolduğu sırada panoyu sakin gösterebilir. Bu nedenle kaynak sağlığı kontrolleri; eksik ya da geç gelen kayıtları, kapanan loglamayı, bozulan toplayıcıyı, saat sapmasını, süresi dolan yetkiyi, olağandışı hacmi, ayrıştırma hatasını, saklama kaybını ve yetkisiz ayar değişikliğini de izler. Erişilebilirlik ölçümleri yalnızca kolay bir uç noktaya değil, kullanıcı yoluna ve önemli bağımlılıklara yerleştirilir. ‘Başarılı’ yedekleme mesajı ise depo, bütünlük ve geri yükleme kanıtıyla desteklenmesi gereken bir işletim iddiasıdır.

Alarm tasarımı, müşterinin verebileceği bir karardan başlar. Eşikler, korelasyon, bağlam ekleme, bastırma ve gruplama; planlı bakım, gürültülü sapma ve ciddi riski ayıracak biçimde ayarlanır. Bir alarmın neden oluştuğunu ve nasıl kapatıldığını açıklayacak ham kanıt korunur. Yetki verilirse makine öğrenmesi veya yapay zekâ sınıflandırma ve özetlemeye yardımcı olabilir; ancak kaynak kalitesinin, insan incelemesinin ve hesap verebilir kararın yerini alamaz.

İşletim yolu olay, alarm, vaka ve güvenlik olayını birbirinden ayırır. Olay kayda geçen koşuldur; alarm, üzerinde anlaşılan kuralı karşılar; vaka, insan ya da yetkilendirilmiş otomasyon tarafından değerlendirilir; güvenlik olayı ise müşterinin isimlendirilmiş yetkilisi tarafından belirlenmiş ölçütlerle ilan edilir. Bu dil, bir ürünün renk kodunun iş ciddiyetini belirlemesini ve doğrulanmamış sapmanın ‘ihlal’ diye sunulmasını önler.

Her alarm sınıfı için kuyruk, kapsama saatleri, ilk kabul hedefi, sorulacak sorular, toplanacak kanıt, önem yolu, yedek sorumlular ve eskalasyon süresi tanımlanır. Bildirimler sınanmış birincil ve alternatif kanallardan gider. Kayıt; gerçeği, yorumu, bilinmeyeni, kararı ve eylemi ayrı tutar. İzleme penceresi kapalıysa mesai dışı bir kanalın bulunup bulunmadığı, bildirimi kimin aldığı ve hangi tepkinin satın alındığı teklifte açıkça yazılır.

Bir durumu görmek; cihazı ağdan ayırma, hesabı kapatma, trafiği engelleme, anahtarı değiştirme, yedek ortama geçme ya da tedarikçiyle müşteri adına işlem yapma yetkisi vermez. Müdahale sınıf bazında önceden yetkilendirilir veya karar sahibine taşınır. NobleJackal’ın uygulamalı düzeltme, sağlayıcı koordinasyonu ya da olay desteği vermesi; kapsam, erişim, güvenlik kontrolleri ve sorumluluk yazılıysa mümkündür. İzleme, müşterinin ortamını sınırsız değiştirme hakkı doğurmaz.

Süreklilik göstergeleri hizmetin gerçek kurtarma yolundan seçilir. Yedekleme tamamlanması, korunan kopyanın yaşı, değişmezlik ve saklama durumu, çoğaltma gecikmesi, depo kapasitesi, kimlik ve anahtar erişimi, sertifika süresi, kurtarma ortamının sağlığı, bağımlılıkların erişilebilirliği, runbook ve iletişim kayıtlarının güncelliği bunlara dâhil olabilir. Aynı ölçüm müşteri portalı, kimlik altyapısı ve iç arşiv için farklı anlam taşır; eşikler yazılı etki toleransını, RPO ve RTO varsayımlarını izler.

Bir işin ‘başarılı’ görünmesi, verinin eksiksiz, okunabilir ya da uygulama tarafından kullanılabilir olduğunu kanıtlamaz. Planlı kanıt kontrolleri; envanter ve boyut mutabakatı, bütünlük incelemesi, örnek geri yükleme, uygulama düzeyinde doğrulama, kimlik ve anahtar erişimi, bağımlılık sırası ve iş sahibi kabulünü içerebilir. Testler onaylanmış güvenlik koşullarıyla sınırlıdır. Tam felaket kurtarma tatbikatı, temiz ortamda kurtarma veya canlı üretim geçişi, teklifte açıkça yer almıyorsa ayrı planlanır.

Dış bağımlılıkları da aynı kuşkucu yaklaşımla izleriz. Sağlayıcı durum sayfaları, destek bildirimleri ve sözleşmedeki hedefler yararlı girdilerdir; müşterinin kendi hizmetinin sağlıklı olduğuna dair bağımsız kanıt değildir. Müşteriye özgü belirtiyi, alternatif yolu, eskalasyon kişisini, talep için gerekli kanıtı ve geçici çözüm ya da kurtarma karar noktasını tanımlarız. Tedarikçi değişiklikleri ve süresi dolan destekler, acile dönüşmeden önce risk ve değişiklik kaydına girer.

Raporlama sıklığını karar ihtiyacı belirler. Operasyon kaydı; kaynak sağlığını, önemli alarmları, ilk kabul ve eskalasyonu, kapanmamış vakaları, kapsam değişikliklerini ve süreklilik sapmalarını gösterir. Yönetim raporu bunları kritik hizmetler, yinelenen risk, geciken kararlar, tedarikçi bağımlılıkları ve planlanan iyileştirmelerle ilişkilendirir. Erişilebilirlik, güvenlik ve kurtarmayı tek bir gösterişli yüzdeye sıkıştırıp farklı risk türlerini gizlemeyiz.

Hizmetler, tehditler ve normal davranış değiştikçe izleme düzeni de ayarlanır. Kural, eşik ve bastırma değişiklikleri; yeni kaynaklar ve kaldırılan kontroller, kayıtlı inceleme, test ve geri dönüş sürecinden geçer. Temsilî sinyal testleri, kanıtın doğru kuyruğa ve doğru sorumluya ulaştığını doğrular; süreklilik kontrolleri kurtarma kanıtının hâlâ kullanılabildiğini gösterir. Masa başı veya kontrollü teknik tatbikatlar, tespitten karara ve kurtarmaya geçişi sınayabilir; sonuç yalnızca gerçekten tatbik edilen koşulları kanıtlar.

Hizmet kaydı; kapsamı, kaynak ve kural sahiplerini, alarm geçmişini, kararları, runbook’ları, test sonuçlarını, bilinen sınırları, kalan riskleri ve açık işleri korur. Yenileme veya çıkışta kararlaştırılan kayıtlar ve erişimler güvenli yoldan müşteriye devredilir; lisanslar ve sağlayıcı verileri kendi sözleşmelerine tabidir. İzleme, tespit gecikmesini azaltabilir ve bozulan kontrolleri açığa çıkarabilir; her olayın bulunacağını, her kesintinin önleneceğini veya her kurtarmanın hedefini tutturacağını garanti etmez.