Veri Merkezleri Nasıl Korunur?

Veri Merkezi Güvenliği Nedir?

Veri merkezi güvenliği, bir kurumun sunucularını, ağ altyapısını ve depolama sistemlerini barındıran tesisin hem fiziksel hem dijital tehditlere karşı korunmasıdır. Kısaca “verinin evini güvende tutmak” olarak da anlatılabilir.

Ancak bu iş sadece kilit ve şifre meselesi değil. Aslında bir veri merkezinin güvenliği, birbiriyle konuşan birçok sistemin uyumlu çalışmasına bağlıdır. Örneğin bir yangın alarm sistemi tetiklendiğinde soğutma cihazının davranışı bile önemli hale gelir. Böylece küçük bir aksama zincirleme büyük bir soruna dönüşür.

Uluslararası standartlar bu alanı çok ciddiye alır. Öte yandan ISO 27001, TIA-942 gibi belgeler veri merkezi güvenliği için ayrıntılı kontroller belirler. Yani bir kurum, veri merkezini “sadece kilitli tuttuğu için” güvenli sayamaz. Sertifikasyonlar kağıt üzerinde değil sahada ne yaptığını da ölçer.

Neden Kurumlar İçin Kritik Bir Yatırım?

Modern iş dünyasında verinin kesintisiz erişilebilir olması artık bir tercih değil zorunluluk. Örneğin bir e-ticaret sitesinin 10 dakikalık kesintisi milyonlarca liralık ciro kaybına dönüşebilir. Ancak asıl sorun kayıp değildir; güven kaybıdır.

Bir bankacılık uygulamasının çökmesi anında müşteri rakip bankaya bakmaya başlar. Aynı zamanda regülatif kurumlar da harekete geçer. Aslında BDDK ve KVKK gibi düzenleyiciler veri merkezlerinin belirli standartlarda çalışmasını zorunlu kılar. Örneğin BDDK denetiminde bir banka veri merkezinin fiziksel güvenlik denetimlerinden geçtiğini kanıtlamak zorunda.

Ayrıca veri merkezleri günümüzde saldırganların en gözde hedeflerinden biri. Çünkü bir tek merkeze girmek bin ayrı sisteme sızmak anlamına gelir. Dolayısıyla bir kurumun veri merkezine yaptığı güvenlik yatırımı; itibar, gelir ve regülasyon açısından çok boyutlu bir sigortadır.

Fiziksel Katmanda Alınan Önlemler

Bir veri merkezinin fiziksel güvenliği katmanlı bir mimariyle sağlanır. Örneğin en dışta perimetre denetim var. Yani binaya girmeden önce çit, aydınlatma, güvenlik personeli ve çevre kameralarıyla ilk kontrol yapılır.

Sonraki katman giriş kontrolü. Ardından ana kapıda kartlı geçiş sistemi, biyometrik doğrulama ve ziyaretçi kaydı devreye girer. Öte yandan iç bölgede sunucu odalarına giriş çift faktörlü kimlik doğrulama ister. Örneğin kart artı parmak izi, bazı kritik tesislerde ise kart artı retina taraması kullanılır.

Ayrıca kritik varlıkların bulunduğu koridorlar 7/24 kayıt yapan yüksek çözünürlüklü kameralarla izlenir. Aslında bu kameraların kayıtları en az 30 gün saklanmalıdır; bazı sektörlerde bu süre 1 yıla kadar uzar.

Son olarak çevresel kontrol sistemleri de fiziksel katmanın bir parçası. Örneğin sıcaklık ve nem sensörleri, yangın algılama ve söndürme sistemleri, su baskını sensörleri, kesintisiz güç kaynağı ve yedek jeneratörler; hepsi kritik bir görev üstlenir. Böylece küçük bir sensörün geç uyarısı bile büyük bir felakete zemin hazırlayabilir.

Dijital Katmanda Çalışan Güvenlik Sistemleri

Fiziksel katman ne kadar güçlü olursa olsun dijital güvenlik olmadan yetmez. Öncelikle ağ segmentasyonu geliyor. Yani veri merkezinin farklı bölgeleri birbirinden yalıtılır; bir bölgede yaşanan zafiyet komşu bölgeye kolayca yayılmaz.

Ayrıca güvenlik duvarları ve saldırı önleme sistemleri her giren ve çıkan paketi izler. Örneğin şüpheli bir trafik deseni fark edilirse anında engellenir. Aslında modern veri merkezleri geleneksel imza tabanlı sistemlere ek olarak makine öğrenmesi destekli davranış analizi de kullanır.

Öte yandan sunucu ve uygulama seviyesinde şifreleme kritik bir katman. Örneğin veriler hem depoda hem taşıma sırasında şifrelenir. Dolayısıyla bir saldırgan diske fiziksel olarak erişse bile veriye ulaşamaz.

Log yönetimi ve SIEM (güvenlik olay yönetim sistemi) de bu katmanın bel kemiği. Çünkü bir saldırıyı fark etmek kadar sonradan izini sürebilmek de önemli. Ayrıca düzenli sızma testleri ile dijital savunmanın gerçekten çalışıp çalışmadığı doğrulanır.

Çevresel Riskler ve Dayanıklılık Planlaması

Veri merkezleri sadece insan kaynaklı tehditlerle karşı karşıya değil. Aslında doğal afetler, elektrik kesintileri ve iklim değişikliği de ciddi risk taşır. Örneğin Türkiye deprem kuşağında bulunduğu için birçok veri merkezinin sismik izolatörlerle inşa edilmesi bir zorunluluktur.

Ayrıca elektrik kesintisi kritik bir tehdit. Örneğin İstanbul’daki bir iş merkezinde yaşanan kısa süreli bir kesinti bile onlarca kurumun operasyonunu durdurabilir. Bu yüzden veri merkezleri iki farklı sağlayıcıdan enerji alır ve UPS artı jeneratör kombinasyonuyla çalışır. Böylece bir kaynak devre dışı kalırsa diğer devreye girer.

Öte yandan aşırı sıcaklık da ciddi bir sorun. Çünkü sunucular belirli bir sıcaklık aralığında çalışmak zorunda. Aslında büyük veri merkezlerinde iklimlendirme masrafı toplam enerji tüketiminin yüzde 40’ına ulaşabilir.

Su baskını, yangın ve hatta böcek istilası bile bazen gündeme gelir. Dolayısıyla iyi bir veri merkezi çevresel risk envanteri çıkarır ve her risk için ayrı bir plan hazırlar. Böylece felaket geldiğinde ne yapacağı önceden bellidir.

Veri Merkezi Güvenliğinde Sık Yapılan Hatalar

Kurumların çoğu veri merkezine yatırım yaparken belirli klasik hatalara düşer. Örneğin en yaygın olanı: fiziksel güvenlik ile dijital güvenliği ayrı ekiplerin yönetmesi. Yani bir taraf kart sistemine bakarken diğer taraf firewall’a bakar. Ancak ikisi arasında iletişim olmayınca bir sızma yaşandığında kimse tam resmi göremez.

Ayrıca yedeklilik testlerinin ihmal edilmesi başka bir yaygın sorun. Örneğin jeneratör aylardır çalıştırılmamışsa gerçek bir kesintide çalışmayabilir. Aslında düzenli test yapmak kurumsal disiplinin bir parçası olmalı.

Öte yandan giriş kart yönetimi başka bir tuzak. Örneğin işten ayrılan çalışanların kartı haftalarca aktif kalabilir. Bir güvenlik denetimi sırasında bu bulgu kritik risk olarak raporlanır. Ayrıca ziyaretçi kartlarının geri toplanmaması da benzer bir problem.

Son olarak dokümantasyon eksikliği. Yani bir kurum güvenlik prosedürünü hazırlar ama sonrasında güncellemez. Böylece prosedürler kağıt üstünde kalır, sahada başka bir gerçeklik yaşanır. Dolayısıyla düzenli denetim ve dokümantasyon güncellemesi olmadan hiçbir güvenlik yapısı kalıcı olamaz.

Sertifikasyon Standartları ve Uyum

Uluslararası bir veri merkezinin güvenliğini kanıtlamanın en somut yolu sertifikasyondur. Örneğin Uptime Institute’un TIER sınıflandırması dünyada en çok kabul gören ölçüttür. Ayrıca ISO 27001 bilgi güvenliği, ISO 22301 iş sürekliliği ve TIA-942 telekomünikasyon altyapısı gibi standartlar veri merkezlerinin farklı yönlerini denetler.

Öte yandan Türkiye’de KVKK, veri merkezlerinin veri işleyen bileşenlerine özel yükümlülükler yükler. Örneğin verinin ne kadar süre saklanacağı, kimin erişebileceği ve nasıl silineceği belgelenmiş olmalı. Aynı zamanda bankacılık ve finans sektörü için BDDK, sağlık için Sağlık Bakanlığı düzenlemeleri devreye girer.

Ayrıca uluslararası çalışan kurumlar için GDPR uyum da kritik. Örneğin Avrupa müşterileri olan bir Türk şirketi hem KVKK hem GDPR standartlarını karşılamak zorunda. Dolayısıyla veri merkezi seçimi sadece maliyet değil aynı zamanda uyum meselesidir.

Sibertim ile Kurumsal Yaklaşım

Sibertim veri merkezi güvenliği alanında hem fiziksel hem dijital katmanları uçtan uca değerlendiren profesyonel hizmetler sunar. Örneğin sızma testlerinden fiziksel güvenlik denetimlerine, iş sürekliliği planlamasından farkındalık eğitimlerine kadar geniş bir yelpazede kurumların yanında yer alır.

Aslında uzman ekibimiz bir veri merkezini ziyaret ettiğinde standart kontrol listelerinin ötesine geçer. Örneğin ekipler kartlı geçiş sistemini yalnızca test etmez; aynı zamanda kayıt loglarını inceler, yangın söndürme senaryosunu simüle eder ve iş sürekliliği prosedürlerinin gerçek koşullarda çalışıp çalışmadığını kontrol eder. Böylece kurum kağıt üstündeki güvenlikle sahadaki güvenlik arasındaki farkı somut olarak görür.

Kurumunuzun veri merkezi güvenliğini profesyonel bir bakış açısıyla değerlendirmek için Sibertim ekibiyle iletişime geçebilirsiniz.

Sık Sorulan Sorular