Giriş: Kriz Anında Ayakta Kalmanın Güvencesi
Doğal afetler, siber saldırılar, elektrik veya internet omurga kesintileri, yangın veya küresel salgınlar; hazırlıksız kurumların operasyonlarını günlerce durdurabilir. Bankacılık, finans, enerji, telekomünikasyon, lojistik ve sağlık gibi sektörlerde meydana gelen uzun süreli kesintiler yalnızca finansal kayba değil, yasal lisansların iptaline ve telafisi imkânsız itibar erozyonuna yol açar.
ISO 22301 İş Sürekliliği Yönetim Sistemi (İSYS), olası bir kriz ve kesinti anında kurumun önceden belirlenen kabul edilebilir bir düzeyde operasyonlarını sürdürebilmesini güvence altına alan uluslararası standarttır.
Sektörel Düzenlemeler ve Yasal İtici Güçler
Türkiye’de ISO 22301 belgesi birçok stratejik sektör için bir tercih olmaktan çıkıp yasal zorunluluk haline gelmiştir:
- Bankacılık ve Finans (BDDK & TCMB): Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Yönetmeliği uyarınca bankalar ve ödeme kuruluşları felaket kurtarma ve iş sürekliliği mekanizmalarını kurmakla yükümlüdür.
- Telekomünikasyon (BTK): Elektronik haberleşme işletmecileri şebeke sürekliliği ve felaket senaryolarına yönelik ISO 22301 standartlarına uymak zorundadır.
- Enerji Sektörü (EPDK): Elektrik ve doğal gaz dağıtım/iletim şirketleri için kritik kontrol sistemlerinin (SCADA) sürekliliği şart koşulmuştur.
ISO 22301:2019 Standardının Çekirdek Gereksinimleri
Denetçilerin belgelendirme sürecinde aradığı üç vazgeçilmez temel yapı taşı şunlardır:
1. İş Etki Analizi (BIA) ve Risk Değerlendirmesi (Madde 8.2)
Kurumun hangi süreçlerinin durmaya tahammülü olmadığını belirleyen bilimsel analizdir:
- MTPD (Maximum Tolerable Period of Disruption): Bir faaliyetin durması halinde kurumun varlığını tehdit etmeye başlayacağı azami süre.
- RTO (Recovery Time Objective): Kesintiden sonra ilgili sürecin veya BT sisteminin yeniden ayağa kaldırılması hedeflenen süre (RTO her zaman MTPD’den kısa olmalıdır).
- RPO (Recovery Point Objective): Kesinti anında kabul edilebilir azami veri kaybı süresi (örneğin son 15 dakikalık verinin yedeği).
2. İş Sürekliliği Stratejileri ve Planları (Madde 8.3 & 8.4)
- Alternatif çalışma sahaları (hot site, warm site, cold site), uzaktan çalışma protokolleri.
- Yedekli sunucu altyapıları, bulut replikasyonları ve acil durum tedarikçi anlaşmaları.
- Kriz Yönetim Planı, Olay Müdahale Planı ve Olağanüstü Durum Merkezi (ODM / FKM) prosedürleri.
3. Tatbikat ve Test Programı (Madde 8.5)
İş sürekliliği planları rafta duran belgeler olamaz:
- Masa Başı Tatbikatları (Tabletop): Yönetim kadrosuyla kurgusal kriz senaryolarının tartışılması.
- Fonksiyonel Testler: Sunucuların FKM ortamına taşınması veya yedekten geri dönme (restore) testleri.
- Tam Kapsamlı Tatbikat: Canlı sistemlerin yedek merkeze devredilerek operasyonun sahadan yürütülmesi.
Akredite Belgelendirme Denetimi Aşamaları
ISO 22301 belgelendirmesi ISO/IEC 17021-1 standardına göre akredite edilmiş bağımsız kuruluşlar tarafından yürütülür:
+-------------------------------------------------------------+
| ISO 22301 BELGELENDİRME SÜRECİ |
| |
| AŞAMA 1 (Doküman ve Hazırlık Tetkiki): |
| - BIA metodolojisi, RTO/RPO tabloları, İSY politikası |
| - İç tetkik raporu ve YGG toplantı tutanağı |
| |
| AŞAMA 2 (Saha ve Kanıt Denetimi): |
| - Gerçekleştirilmiş tatbikatların raporları ve kayıtları |
| - Süreç sahipleri ve kriz ekibi ile mülakatlar |
| - FKM veri replikasyonlarının ve yedeklerin kontrolü |
+-------------------------------------------------------------+Başarılı denetim neticesinde düzenlenen sertifika 3 yıl geçerlidir ve her yıl gözetim denetimine tabidir.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: İş Sürekliliği Danışmanlığı
- Standart Rehberi: ISO 22301 Nedir?
- BT Hizmet Yönetimi: ISO 20000 Belgesi Nasıl Alınır?
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO 22301:2019: Security and resilience — Business continuity management systems — Requirements.
- ISO 22313:2020: Security and resilience — Business continuity management systems — Guidance on the use of ISO 22301.
- BDDK: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik.
- TÜRKAK: ISO 22301 Akreditasyon Rehberi.