Verimizi buluta taşımak güvenli mi, yoksa kendi sunucumuzda mı tutmalıyız?

Yeni bir yazılım, müşteri asistanı ya da randevu sistemi konuşulurken sık gelen bir soru var: "Verimiz nerede duracak, bulutta mı? Bulut güvenli mi?" Soru yerinde bir soru. Ama çoğu zaman yanlış yere odaklanır: verinin fiziksel olarak hangi binada durduğuna. Oysa bir verinin güvende olup olmadığını belirleyen şey konumundan çok, onu kimin koruduğu, kimin açabildiği ve kaybolursa nasıl geri geldiğidir.

Kendi sunucu ile bulut: gerçek fark nerede?

"Kendi sunucumuz" denince çoğu zaman ofisin bir köşesindeki bir bilgisayar ya da bir barındırma firmasından kiralanmış bir sunucu kastedilir. "Bulut" ise büyük bir altyapı sağlayıcısının veri merkezinde çalışan sunuculardır. İkisinin farkı şuralarda ortaya çıkar:

• Fiziksel koruma. Ofisteki sunucu yangına, su baskınına, elektrik kesintisine ve hırsızlığa açıktır. Veri merkezlerinde bu riskler için ayrı önlemler vardır.
• Güncelleme ve bakım. Kendi sunucunuzda işletim sistemi ve yazılım güncellemelerini birinin düzenli olarak yapması gerekir. Yapılmayan güncelleme, bilinen bir açığın kapıda beklemesi demektir.
• Kontrol. Kendi sunucunuzda her şey sizin elinizdedir; bu hem avantaj hem yüktür. Bulutta altyapının bir kısmını sağlayıcı yönetir, siz kendi payınıza düşeni yönetirsiniz.

Kısacası kendi sunucu "kendimiz koruyoruz" demektir; ama bunu gerçekten yapan biri yoksa, veri sanıldığı kadar korunmuyor olabilir.

Kim neyi korur? Paylaşılan sorumluluk

Bulutta güvenlik iki tarafa bölünür. Sağlayıcı binayı, donanımı ve temel altyapıyı korur. Hesabı, şifreleri, kimin hangi dosyayı görebileceğini, uygulamanın kendisini ve yedeklerin kontrolünü ise çoğu zaman müşteri ya da onun adına çalışan yazılım firması yönetir. Veri sızıntılarının önemli bir kısmı altyapının kırılmasından değil, yanlış ayarlanmış bir paylaşım bağlantısından, zayıf ya da ortak kullanılan bir şifreden, işten ayrılan birinin kapatılmayan hesabından çıkar. Bu hatalar bulutta da kendi sunucuda da aynı şekilde yapılabilir.

Yedek: güvenliğin en çok unutulan yarısı

Güvenlik yalnız kötü niyetli birinin veriye ulaşmasını önlemek değildir; verinin kaybolmamasıdır da. Bir disk bozulabilir, bir çalışan yanlışlıkla bir klasörü silebilir, bir fidye yazılımı dosyaları kilitleyebilir. Bu durumlarda tek kurtarıcı düzenli ve ayrı bir yerde tutulan yedektir. Sorulması gereken sorular şunlardır:

• Yedek ne sıklıkla alınıyor?
• Yedek, asıl verinin durduğu yerden ayrı mı tutuluyor?
• Yedekler ne kadar süre saklanıyor?
• Yedekten geri dönüş en son ne zaman denendi?

Son soru özellikle önemlidir: hiç denenmemiş bir yedek, çalıştığı kanıtlanmamış bir yedektir. URİKEM ürünlerinde müşteri, randevu ve asistan kayıtlarının nerede tutulduğunu, ne sıklıkla yedeklendiğini ve ne kadar saklandığını veri güvenliği bölümünde açıkça yazdık.

Erişim: veriyi kim görebiliyor?

Verinin nerede durduğu kadar kimin açabildiği de önemlidir. Herkesin aynı kullanıcı adıyla girdiği bir sistemde kimin neyi değiştirdiği bilinmez. İyi bir düzende her kişinin kendi hesabı vardır, herkes yalnız işi için gereken veriyi görür, işten ayrılan kişinin erişimi aynı gün kapatılır ve mümkünse girişte ikinci bir doğrulama adımı istenir. Web sitesi ve yönetim panelleri için de aynı mantık geçerlidir; sitenin güncel tutulması, izlenmesi ve yedeklenmesi bu işin parçasıdır. Bunu site bakım ve güvenlik ürünümüzde nasıl yürüttüğümüzü anlattık.

Yapay zekâ işin içine girince

Yapay zekâ ile çalışan bir araçta ek bir soru doğar: metin yapay zekâ servisine gönderildiğinde ne olur? Bu konuyu ayrıca yapay zekâ verinizi öğrenir mi yazısında ele aldık. Kısaca: gönderilen veri en aza indirilmeli, servis sağlayıcının veriyi model eğitiminde kullanıp kullanmadığı sözleşmede yazmalı ve veri yurt dışına aktarılıyorsa bu, kişisel veriler açısından ayrıca bilgilendirme ve onay gerektirir.

Karar vermeden önce sorulacak sorular

• Veri hangi ülkede, hangi sağlayıcının altyapısında duruyor?
• Altyapıyı kim, uygulamayı ve hesapları kim yönetiyor?
• Yedek ne sıklıkla, nereye alınıyor ve ne kadar saklanıyor?
• Kimler erişebiliyor, erişim nasıl kapatılıyor?
• Hizmet sona ererse veriyi hangi biçimde geri alırız?

Dikkat edilmesi gerekenler

"Bulut güvenlidir" ya da "kendi sunucumuz daha güvenlidir" gibi genel cümlelere dayanarak karar vermeyin. Her iki seçenek de doğru yönetildiğinde güvenli, ihmal edildiğinde risklidir. Kişisel veri işliyorsanız verinin nerede tutulduğu ve yurt dışına aktarılıp aktarılmadığı KVKK açısından da önemlidir; bu konuda kendi hukuk danışmanınızın görüşünü alın. Çalıştığınız yazılım firmasından yukarıdaki soruların cevaplarını yazılı olarak isteyin; cevap veremeyen bir firma, verinizi nasıl koruduğunu da bilmiyor olabilir.

Sık sorulan sorular

Bulut, kendi sunucumuzdan daha mı güvenli?

Kendiliğinden değil. Bulut sağlayıcısı fiziksel altyapıyı korur; hesaplar, şifreler, erişim yetkileri ve yedeklerin kontrolü yine sizin ya da yazılım firmanızın sorumluluğundadır. Doğru yönetilen her iki seçenek de güvenli olabilir.

Verimizi yedeklemek için ne yapmalıyız?

Yedeğin düzenli alındığından, asıl veriden ayrı bir yerde tutulduğundan ve belirli bir süre saklandığından emin olun. En önemlisi, yedekten geri dönüşün arada bir gerçekten denenmesidir.

Hizmeti bırakırsak verimizi geri alabilir miyiz?

Bu, sözleşmede baştan yazılması gereken bir konudur. Hizmet sona erdiğinde verinin hangi biçimde (örneğin Excel ya da CSV) teslim edileceğini ve sonra nasıl silineceğini işe başlamadan sorun.