Veri merkeziniz gerçekten güvenli mi? Bu istatistikleri kontrol edin.

Bir veri merkezi içeride ciddi riskler barındırırken dışarıdan güvenli görünebilir. Bir elektrik kesintisi, soğutma arızası, erişim hatası veya zayıf hesap şifresi hizmetleri kesintiye uğratabilir ve müşterileri etkileyebilir. Veri merkezi güvenliğini incelerken tek bir alarma veya tek bir güvenlik kamerasına bakmıyorum. Fiziksel korumanın, ağ güvenliğinin, güç sistemlerinin, personel prosedürlerinin ve kurtarma planlarının birlikte nasıl çalıştığını kontrol ediyorum. Yararlı bir veri merkezi güvenlik incelemesi bu alanlarla başlayabilir. 1. Fiziksel erişimi kontrol edin Giriş noktalarıyla başlıyorum. Tesis aşağıdakilere erişimi kontrol etmelidir: - Ana kapılar - Sunucu odaları - Ağ dolapları - Güç odaları - Soğutma ekipmanı alanları - Yedek depolama konumları Erişim kartları her çalışanın rolüne uygun olmalıdır. Yalnızca bir ağ odasına girmesi gereken bir teknisyenin güç kontrol alanına erişmesi gerekmeyebilir. Ayrıca işletmenin erişim kayıtlarını inceleyip incelemediğini de kontrol ediyorum. Çalışan ayrıldıktan sonra aktif kalan bir kart önlenebilir bir risk oluşturabilir. Ziyaretçi erişimi kaydedilmeli, onaylanmış alanlarla sınırlı olmalı ve atanmış bir sunucuya bağlanmalıdır. Kameralar erişim kontrol sistemini destekleyebilir ancak kameralar tek başına girişi engellemez. Yararlı soru basit: Kim girebilir, nereye gidebilir ve erişimleri ne kadar süre aktif kalabilir? 2. Güç korumasını gözden geçirin Güç sorunları ekipmanı saniyeler içinde durdurabilir. Bir veri merkezi güvenlik kontrol listesi şunları kapsamalıdır: - Şebeke gücü - UPS üniteleri - Yedek jeneratörler - Akü durumu - Güç dağıtım üniteleri - Transfer anahtarları - Yakıt beslemesi - Ekipman yük seviyeleri Bir UPS, aküleri kapasite kaybetmişken normal durum gösterebilir. Düzenli testler, bir güç olayı meydana gelmeden önce bu boşluğu ortaya çıkarabilir. Ayrıca beklenen yükü mevcut kapasiteyle karşılaştırırım. Sunucular, depolama aygıtları ve soğutma sistemleri saha sınırına yakın çalışıyorsa talepteki küçük bir artış daha büyük bir sorun yaratabilir. Yedek jeneratör planlanmış bir prosedür kapsamında test edilmelidir. Personel, motoru kimin çalıştırdığını, yakıt seviyelerini kimin kontrol ettiğini ve güç sağlayıcıyla kimin iletişime geçtiğini bilmelidir. Yazılı bir planı takip etmek, yalnızca bir çalışanın hafızasında var olan bir süreci takip etmekten daha kolaydır. 3. Soğutmayı ve çevre koşullarını koruyun Sunucular istikrarlı bir ortama ihtiyaç duyar. Yüksek sıcaklık, nem, toz ve su sızıntıları ekipmana zarar verebilir veya servis ömrünü kısaltabilir. Aşağıdakileri takip eden sensörler arıyorum: - Sıcaklık - Nem - Su sızıntısı - Duman - Hava akışı - Soğutma sistemi durumu Uyarılar, yanıt verebilecek kişilere ulaşmalıdır. Kullanılmayan bir posta kutusuna gönderilen alarm pek fazla koruma sağlamaz. Ekip aynı zamanda bir soğutma ünitesi durduğunda ne olacağını da bilmelidir. Başka bir ünite odayı destekleyebilir mi? Kritik cihazlar sabit hava akışına sahip alanlara mı yerleştirildi? Ekipman güvenli olmayan bir seviyeye ulaşmadan önce izleme sistemi kademeli bir sıcaklık artışı gösteriyor mu? 2021'de Strazburg'daki OVHcloud veri merkezinde çıkan yangın müşteri hizmetlerini etkiledi ve yedekleme konumları ve kurtarma planlarıyla ilgili soruları gündeme getirdi. Etkinlik, ekipman koruması ve hizmet kurtarmanın neden birlikte incelenmesi gerektiğini gösterdi. 4. Ağ ve hesap güvenliğini güçlendirin Fiziksel koruma, zayıf bir parolayı veya açıkta kalan bir yönetim bağlantı noktasını kapsayamaz. Şunları gözden geçiriyorum: - Çok faktörlü kimlik doğrulama - Yönetici hesabı izinleri - Uzaktan erişim kontrolleri - Güvenlik duvarı kuralları - Ağ ayırma - Güvenlik güncellemeleri - Yedek hesap koruması - Günlük toplama Ağ ayırma, bir güvenlik olayının yayılmasını sınırlayabilir. Örneğin yönetim sistemleri, müşteri sunucuları, izleme araçları ve yedekleme depolamanın tümü tek bir açık ağ yoluna bağlı olmamalıdır. Her yönetici hesabının net bir sahibi olmalıdır. Paylaşılan hesaplar, bir ayarı kimin değiştirdiğini anlamayı zorlaştırır. Mümkün olduğunda adlandırılmış hesapları kullanın ve ayrıcalıklı eylemlerin kayıtlarını tutun. Güvenlik güncellemeleri planlı bir süreci takip etmelidir. Ekip, güncellemeleri üretim sistemlerine uygulamadan önce kontrollü bir ortamda test edebilir. Bu, bilinen zayıflıkların uzun süre açık kalmasını önlerken hizmet kesintilerini azaltır. 5. Yedekleme ve kurtarma planlarını test edin Yedekleme yalnızca ekibin verileri geri yükleyebildiği durumlarda faydalıdır. Şu soruları soruyorum: - Hangi veriler yedekleniyor? - Yedekleme ne sıklıkla çalışıyor? - Yedekleme nerede saklanıyor? - Bir kopyası ana siteden uzakta tutuluyor mu? - Yedeklemeyi kim silebilir veya değiştirebilir? - Restorasyon ne kadar sürer? - Son toparlanma testi ne zamandı? Bir işletme, uyarıyı kimsenin incelememesi nedeniyle bir yedekleme işinin haftalarca başarısız olduğunu keşfedebilir. Kurtarma testi, dosyaların tamamlanıp tamamlanmadığını, sistemlerin doğru şekilde başlatılıp başlatılmadığını ve personelin rollerini anlayıp anlamadığını gösterebilir. Küçük bir şirket için kurtarma testi, seçilen dosyaların ve bir uygulamanın geri yüklenmesini içerebilir. Daha büyük bir operasyon için test, tam hizmet ortamını kapsayabilir. Kapsam iş ihtiyacını karşılayabilir. 6. Personeli gerçek olaylara hazırlayın Teknoloji, net eylemin yerini almaz. Personel aşağıdaki durumlarda ne yapacağını bilmelidir: - Elektrik kesintisi - Soğutma alarmı - Şüpheli izinsiz giriş - Yangın uyarısı - Ağ saldırısı - Başarısız yedekleme - Saha erişimi kaybı Müdahale planı iletişim ayrıntılarını, karar noktalarını, yükseltme adımlarını ve onaylı iletişim yöntemlerini içermelidir. Ana sistemler kullanılamadığında belgeyi hazır bulundurun. Eğitim sade bir dil kullanmalıdır. Bir teknisyenin teknik talimatlara ihtiyacı olabilirken, bir yöneticinin hizmet güncellemeleri ve müşteri iletişimi konusunda rehberliğe ihtiyacı olabilir. Bir olay meydana gelmeden önce herkes kendi rolünü anlamalıdır. Ayrıca kısa pratik seansları da öneririm. Yalnızca bir planı okumuş bir ekip, birden fazla alarmın aynı anda ortaya çıkması durumunda tereddüt edebilir. Küçük bir alıştırma, gerçek bir kesintiyi beklemeden, belirsiz mülkiyeti ve eksik iletişim bilgilerini ortaya çıkarabilir. 7. Güvenlik programını ölçün Bir veri merkezi güvenlik programının düzenli olarak gözden geçirilmesi gerekir. Yararlı kontroller şunları içerir: - Açık erişim kartları - Çözülmemiş alarmlar - Başarısız yedekleme işleri - Yama uygulanmamış sistemler - Jeneratör test sonuçları - Soğutma olayları - Kurtarma test süreleri - Personel eğitim kayıtları Amaç, görüntülenecek sayıları toplamak değildir. Amaç zayıf noktaları bulmak ve net eylemler atamaktır. Örneğin, yedeklemenin geri yüklenmesi işletmenin kabul edebileceğinden daha uzun sürerse ekip, depolama kapasitesini, ağ hızını, personeli ve kurtarma talimatlarını inceleyebilir. Erişim incelemeleri sıklıkla gecikiyorsa şirket bir sahip atayabilir ve sabit bir inceleme planı belirleyebilir. Pratik bir inceleme basit bir risk tablosuyla başlayabilir: | Risk | Olası etki | Akım kontrolü | Sonraki eylem | |---|---|---|---| | UPS akü arızası | Hizmet kesintisi | UPS izleme | Kapasite testini programlayın | | Yetkisiz giriş | Ekipman veya verilerin açığa çıkması | Erişim kartları ve kameralar | Erişim listesini inceleyin | | Soğutma kaybı | Yüksek sunucu sıcaklığı | HVAC uyarıları | Yedek soğutmayı test edin | | Yedekleme hatası | Gecikmiş kurtarma | Günlük yedekleme işi | Geri yükleme testi gerçekleştirin | Bir veri merkezini modern ekipmanlara sahip olduğu veya büyük bir güvenlik bütçesi olduğu için güvenli olarak değerlendirmiyorum. Güvenlik, çalışma kontrollerinden, test edilmiş prosedürlerden, açık erişim kurallarından ve normal operasyonlar değiştiğinde ne yapacağını bilen insanlardan gelir. En yüksek riskli alanlarla başlayın: güç, soğutma, erişim, ağ koruması ve kurtarma. Neyin işe yaradığını kaydedin, nelerin eksik olduğunu belirleyin ve işletmenin en çok bağımlı olduğu parçaları test edin. Bu yaklaşım, veri merkezi güvenlik incelemesine net bir amaç kazandırır ve belirsizliğin pratik eyleme dönüştürülmesine yardımcı olur.

Sayılar genellikle kelimelerden daha güvenilir görünür. Bir satış raporu gelir artışını gösterir, bir web sitesi kontrol paneli daha fazla ziyaretçi bildirir ve bir reklam platformu daha düşük bir tıklama başına maliyet gösterir. Bu rakamlar doğru yönde hareket ettiğinde kendimi güvende hissedebilirim. Bu güven yersiz olabilir. Bir sayı bana yalnızca neyin ölçüldüğünü söyler. Sonucun neden değiştiğini, kimin dahil edildiğini veya raporun dışında nelerin kaldığını her zaman açıklamaz. İş verilerini okuduğumda görünür sonucun ötesine bakıp bunun arkasında hangi hikayenin yattığını sormaya çalışıyorum. Büyüyen bir rakam düşen karı gizleyebilir. Daha düşük bir reklam maliyeti, daha az nitelikli potansiyel müşteri getirebilir. Yüksek bir web sitesi trafik numarası, birkaç saniye içinde ayrılan ziyaretçileri içerebilir. ### Büyük bir sayı, küçük bir sonucu gizleyebilir Birçok işletme, toplamların sunulması kolay olduğundan toplamlara odaklanır. Bir şirket, bir kampanya sırasında 100.000 web sitesi ziyareti bildirebilir. Trafiğin kaynağını kontrol edene kadar bu kulağa güçlü geliyor. Bazı ziyaretler şunlardan gelebilir: - Bir hesabı kontrol eden mevcut müşteriler - Otomatik botlar - Yanlışlıkla yapılan tıklamalar - İşletmenin hizmet vermediği bölgelerden gelen ziyaretçiler - Teklifi okumadan ayrılan kişiler Trafik numarası işe yaramaz değil. Sadece daha fazla bağlama ihtiyacı var. Trafiği, doldurulmuş formlar, nitelikli aramalar, ürün sorguları veya satışlar gibi yararlı eylemlerle karşılaştırmayı tercih ederim. Bu eylemler sabit kalırken ziyaretler artarsa ​​kampanya, iş hedefiyle eşleşmeden dikkat çekiyor olabilir. ### Büyüme her zaman daha iyi performans anlamına gelmez Bir işletme daha az sağlıklı hale gelirken gelir artabilir. Bir ayda %30 brüt kar marjıyla 50.000 dolar kazanan bir perakendeci düşünün. Bir sonraki ay satışlar 70.000$'a ulaştı ancak yoğun indirimler marjı %12'ye düşürdü. İşletme daha fazla ürün sattı ancak ürün maliyetlerinden sonra kalan para azaldı. Büyümeyi incelediğimde birkaç rakamı bir arada kontrol ediyorum: - Gelir - Brüt kâr - Net kâr - Ortalama sipariş değeri - Geri ödemeler - Müşteri edinme maliyeti - Tekrar satın alma oranı Tek bir büyüme yüzdesi bir işletmenin tam durumunu gösteremez. Gelir bir soruyu yanıtlıyor. Kâr ve müşteri kalitesi başkalarına cevap verir. ### Düşük maliyet kötü sonuç getirebilir Tıklama başına maliyetin düşük olması reklam raporlarında sıklıkla dikkat çeker. Nedenini anlıyorum. Daha düşük maliyetler, bir kampanyanın bütçesini daha dikkatli kullanmasına yardımcı olabilir. Risk, rapor tıklamayla durduğunda ortaya çıkar. Bir kampanya, ürünle çok az bağlantısı olan geniş anahtar kelimelerden tıklama oluşturabilir. Tıklama başına maliyet cazip görünüyor, ancak satış ekibine çok az yararlı soru geliyor. Ekip daha sonra kişileri filtrelemek için zaman harcıyor ve gerçek satın alma maliyeti gösterge tablosunun önerdiğinden daha yüksek oluyor. Gösterimden satışa kadar olan yolu ölçüyorum: 1. Reklamı kaç kişi gördü? 2. Kaç tıklandı? 3. Hedef eylemi kaç kişi tamamladı? 4. Kaç tanesi hizmet alanı ve müşteri profiliyle eşleşti? 5. Kaç tanesi ödeme yapan müşteri oldu? 6. Bu müşterilerden ne kadar gelir elde edildi? Bu zincir, ucuz faaliyetleri yararlı iş sonuçlarından ayırmama yardımcı oluyor. ### Ortalama rakamlar farklı müşteri deneyimlerini gizleyebilir Hızlı bir görünüm için ortalama faydalıdır. Aynı zamanda büyük farklılıkları da gizleyebilir. Bir destek ekibi ortalama iki saatlik bir yanıt süresi bildirebilir. Bazı müşteriler on dakika içinde yanıt alırken, diğerleri sekiz saat bekledi. Ortalama, gecikmeyi kimin yaşadığını göstermez. Aynı sorun teslimat süreleri, sayfa yükleme hızı, ürün derecelendirmeleri ve müşteri harcamalarında da görülüyor. Ürün yelpazesine ve ortalamanın gerisindeki müşteri gruplarına bakıyorum. Bir rapor aşağıdakileri ayırdığında daha yararlı olabilir: - Yeni müşteriler ve geri gelen müşteriler - Küçük siparişler ve büyük siparişler - Mobil kullanıcılar ve masaüstü kullanıcıları - Farklı bölgeler - Farklı ürün kategorileri - Farklı trafik kaynakları Bu ayrıntılar asıl sorunun nerede olduğunu bulmama yardımcı oluyor. ### Yüzdelerin bir temel sayıya ihtiyacı vardır. %50'lik bir artış kulağa büyük gelebilir, ancak başlangıç ​​noktası anlamı değiştirir. Bir şirket iki müşteri adayından üç adaya geçerse büyüme oranı %50 olur ancak işletmenin yine de daha fazla talebe ihtiyacı olabilir. Satışlar 10.000 adetten 15.000 adede çıkarsa aynı yüzde farklı bir ölçeği temsil ediyor. Her zaman orijinal rakamı, güncel rakamı ve karşılaştırılan dönemi soruyorum. Karşılaştırmanın aynı koşulları kullanıp kullanmadığını da kontrol ediyorum. Farkı açıklamadan bir tatil ayını sakin bir ay ile karşılaştırmamak gerekir. ### Veriler doğru olabilir ve yine de kötü bir karara yol açabilir Bir rapor doğru rakamları içerebilir ancak yanlış ölçüm kullanıldığında zayıf bir kararı destekleyebilir. Bir sosyal medya ekibi, sayılması kolay olduğu için beğenileri takip edebilir. Bir satış yöneticisi nitelikli taleplere daha fazla önem verebilir. Her iki sayı da doğru olabilir ancak farklı amaçlara hizmet ederler. Bir metrik seçmeden önce iş sorusunu tanımlarım: - Daha fazla kişiye ulaşmak istiyor muyum? - Daha fazla satış görüşmesi istiyor muyum? - Boşa giden harcamaları azaltmak istiyor muyum? - Müşterilerin geri dönmesini istiyor muyum? - Hizmet kalitesini artırmak istiyor muyum? Cevap ölçüm seçimini yönlendirir. Sabit kâr isteyen bir işletme, her kampanyayı yalnızca erişime göre değerlendirmemelidir. ### İşletme numaralarını okumanın pratik bir yolu Bir rapor aldığımda basit bir inceleme süreci kullanırım. Her metriğin tanımını kontrol ediyorum. "Liderlik", "dönüşüm" ve "aktif kullanıcı" platformlar arasında farklı anlamlara gelebilir. Zaman dilimini kontrol ediyorum. Kısa bir süre, olağan düzeni temsil etmeyen olağandışı faaliyetler içerebilir. Veri kaynağını kontrol ediyorum. Web sitesi analizleri, reklam platformları, ödeme sistemleri ve müşteri kayıtları farklı sayma yöntemleri kullanabilir. Neyin eksik olduğunu kontrol ediyorum. İadeler, iptaller, tekrarlanan siparişler, personel zamanı ve ödenmeyen faturalar sonucun anlamını değiştirebilir. İlgili önlemleri karşılaştırırım. Trafik etkileşim ve satışla bağlantılı olmalıdır. Gelir, marj ve nakit akışıyla bağlantılı olmalıdır. Verilerin desteklemesi gereken kararı yazıyorum. Etkileyici rakamlardan oluşan bir koleksiyon yerine net bir eyleme yol açtığında bir raporun kullanımı daha kolay hale gelir. Sayılar kalıpları görmeme yardımcı oluyor ama yargılamanın yerini almıyorlar. En güvenli okuma neyin sayıldığını, nasıl sayıldığını ve gerçek iş hedefiyle eşleşip eşleşmediğini sormaktır. Bir sayı alışılmadık derecede iyi göründüğünde onu reddetmiyorum. İnceliyorum. Bu küçük duraklama, boşa harcanan bütçeyi, zayıf müşteri kalitesini, gizli maliyetleri veya ilk göründüğünden daha güçlü bir sonucu ortaya çıkarabilir.

Veri sızıntısı küçük bir hatayla başlayabilir: yeniden kullanılan bir şifre, eski bir hesap, açığa çıkan bir dosya bağlantısı veya ilk bakışta normal görünen bir mesaj. İstemediğim bir şifre sıfırlama e-postası alana veya tanımadığım bir yerden giriş uyarısı görene kadar olağandışı bir şey fark etmeyebilirim. Kişisel veriler; isimleri, e-posta adreslerini, telefon numaralarını, hesap ayrıntılarını, iş kayıtlarını ve ödeme bilgilerini içerebilir. Risk, neyin açığa çıktığına, kimin eriştiğine ve verinin hâlâ kullanılıp kullanılamayacağına bağlıdır. Temel adımları atmak için bir firmadan uyarı beklememe gerek yok. ### Verilerimin açığa çıkabileceğine dair işaretler Her zamanki faaliyetlerime uymayan değişikliklere dikkat ediyorum: - İstemediğim bir şifre sıfırlama mesajı - Yeni bir cihazdan veya konumdan gelen bir giriş uyarısı - Tanımadığım küçük ücretler - Özel hesaplarımdan ayrıntıları kullanan çağrılar veya e-postalar - Bilgilerimle açılan yeni hesaplar - Bir hizmetten gelen hassas ayrıntıları onaylamamı isteyen mesajlar - Yetkisiz erişim veya bir güvenlik olayıyla ilgili bir şirket bildirimi Bir işaretin basit bir açıklaması olabilir. Birkaç işaret birlikte daha yakından bakmayı hak ediyor. 2023'te MOVEit dosya aktarımı olayı, aynı dosya aktarım yazılımını kullanan kuruluşları etkiledi. Raporlar, olayı farklı kurumların elinde bulunan açığa çıkan bilgilerle ilişkilendirdi. Pek çok kişi riski işverenden, okuldan, sağlık hizmeti sağlayıcısından veya hizmet şirketinden gelen bildirimler yoluyla öğrendi. Bu örnek, verilerin açığa çıkmasının neden her zaman bireyin yaptığı bir hatadan kaynaklanmadığını göstermektedir. ### Bir ihlal bildirimi aldıktan sonra ne yaparım? Bildirimi dikkatlice okurum ve hangi bilgilerin söz konusu olabileceğini kontrol ederim. Bir e-posta adresiyle ilgili bildirim, kimlik belgeleri veya ödeme ayrıntılarını içeren yanıttan farklı bir yanıt gerektirir. Şu adımları takip ediyorum: 1. Kaynağı doğrulayın Adresi kendim yazarak şirketin resmi web sitesini ziyaret ediyorum. Beklenmedik mesajlardaki bağlantıları kullanmaktan kaçınırım. Bir dolandırıcı, şifreleri veya kimlik ayrıntılarını toplamak için gerçek bir ihlal bildiriminin metnini kopyalayabilir. 2. Etkilenen şifreyi değiştirin Başka yerde kullanmadığım yeni bir şifre oluşturuyorum. Eskisinde sonuna sayı eklemek gibi küçük değişiklikler yapmıyorum. Bir şifre yöneticisi, farklı hesaplar için ayrı şifreler oluşturup saklamanıza yardımcı olabilir. 3. Parolanın yeniden kullanımını kontrol edin Açığa çıkan parola başka hizmetlerde kullanılmışsa bu hesapları da değiştiririm. E-posta hesapları, diğer şifreleri sıfırlamak için kullanılabileceğinden özel ilgiyi hak eder. 4. Çok faktörlü kimlik doğrulamayı açın Kimlik doğrulama uygulamasını, güvenlik anahtarını veya hizmet tarafından sunulan başka bir seçeneği kullanıyorum. Bazı hesaplar daha güçlü seçenekler sunsa da, kısa mesajlar yine de faydalı koruma sağlayabilir. 5. Hesap etkinliğini inceleyin Son girişleri, bağlı cihazları, iletim kurallarını, kurtarma e-posta adreslerini ve telefon numaralarını kontrol ediyorum. Tanımadığım cihaz veya uygulamaları kaldırıyorum. 6. Finansal hesapları izleyin Alışılmadık işlemler için banka ve kart etkinliklerini inceliyorum. Bir şeyler ters gittiğinde finans kurumuyla resmi telefon numarası veya uygulaması aracılığıyla iletişime geçiyorum. 7. Takip mesajlarına dikkat edin Bir ihlalden sonra, daha ikna edici kimlik avı girişimleri bekliyorum. Bir mesajda etkilenen şirketten bahsedilebilir ve benden bir hesabı doğrulamam, bir dosya indirmem veya tek kullanımlık bir kod paylaşmam istenebilir. Beklenmeyen bir mesaj yoluyla hassas bilgiler vermiyorum. ### Gelecekteki riski azaltmanın yolları Yazılımı, tarayıcıları ve mobil cihazları güncel tutuyorum. Güvenlik güncellemeleri bilinen zayıflıkları giderebilir, bu nedenle onları uzun süre geciktirmekten kaçınırım. Bir hizmetin her ayrıntıya ihtiyaç duymadığı durumlarda paylaştığım bilgileri sınırlandırıyorum. Çevrimiçi bir form, isteğe bağlı olan verileri isteyebilir. Formu göndermeden önce kontrol ediyorum. Eski hesapları da inceliyorum. Artık bir hizmeti kullanmıyorsam, bu seçenek mevcut olduğunda hesabı silerim ve kayıtlı ödeme ayrıntılarını kaldırırım. Eski hesaplar hâlâ kişisel bilgileri tutabiliyor. Herkese açık Wi-Fi otomatik olarak verilerimin açığa çıkacağı anlamına gelmez, ancak başka bir seçeneğim olduğunda bilinmeyen ağlardaki hassas hizmetlerde oturum açmaktan kaçınırım. Ayrıca hesap ayrıntılarını girmeden önce bir web sitesinin doğru adresi ve güvenli bağlantıyı kullanıp kullanmadığını da kontrol ederim. ### İşletmeler neler yapabilir Müşteri verilerini işleyen bir şirket, erişimi sınırlamalı, kullanılmayan hesapları kaldırmalı, saklanan bilgileri korumalı ve olağandışı etkinlikleri izlemelidir. Personel eğitimi de önemlidir. Pek çok olay güvenilen bir kişiden geliyormuş gibi görünen bir mesajla başlar. Açık bir bildirimde ne olduğu, hangi bilgilerin etkilenebileceği, kişilerin hangi adımları atabileceği ve şirketle nasıl iletişime geçeceği açıklanmalıdır. Belirsiz ifadeler, insanların risk düzeyi konusunda emin olmamalarına neden oluyor. Bilgilerimi saklayan her sistemi kontrol edemem. Ne kadar hızlı yanıt vereceğimi, hesaplarımı nasıl koruyacağımı ve beklenmedik istekleri ne kadar dikkatli ele alacağımı kontrol edebiliyorum. Gerçeklerin sakin bir şekilde kontrol edilmesi, endişe verici bir mesajdaki ilk bağlantıya tıklamaktan daha faydalıdır.

Veri merkezi güvenliği genellikle çalışma süresi, olay oranları ve kurtarma süresiyle ölçülür. Bu rakamlar önemli ama hikayenin tamamını anlatmıyorlar. Personel elektriksel tehlikelerle, kötü tahliye yollarıyla, zayıf erişim kontrolleriyle veya belirsiz acil durum prosedürleriyle karşı karşıya kalırken bir tesis, kullanılabilirlik hedefine ulaşabilir. Veri merkezi güvenliğine üç soru aracılığıyla bakıyorum: - Bir olay ne sıklıkla meydana gelebilir? - Ne kadar hasara neden olabilir? - İnsanlar ve sistemler ne kadar çabuk iyileşebilir? Cevaplar ekiplerin genel kaygıdan pratik eyleme geçmesine yardımcı olur. Uptime Institute, veri merkezi kesintilerinin yaklaşık %80'inin kişiler, süreçler veya prosedürlerle bağlantılı olduğunu bildirdi. Bu rakam her olayın bir çalışanın hatasından kaynaklandığı anlamına gelmiyor. Zayıf değişiklik kontrolü, belirsiz roller, zayıf eğitim ve düzgün şekilde gözden geçirilmeyen bakım çalışmaları gibi daha geniş sorunlara işaret eder. Bu nedenle güvenlik yalnızca ekipmana bağlı olamaz. Modern bir veri merkezinde yangın algılama sistemleri, yedek güç, kameralar, sensörler ve otomatik kontroller kullanılabilir. Bu araçlar güvenli operasyonları destekler ancak insanlar denetimler, bakım, alarmlar ve sistem değişiklikleri sırasında karar vermeye devam eder. ## Rakamlar neyi gösteriyor Veri merkezi kesintisinin maliyeti yüksek olabilir. Uptime Institute'un kesinti araştırması, birçok ciddi kesintinin 100.000 doların üzerinde kayıplara yol açtığını, daha küçük bir grubun ise 1 milyon doların üzerinde kayıplara neden olduğunu bildirdi. Kesin maliyet; işe, hizmet türüne, kesinti süresine ve müşteri taahhütlerine bağlıdır. Bir kesinti, birkaç kayıp katmanı oluşturabilir: - Uygulamalara ve verilere erişim kaybı - Gecikmiş müşteri hizmetleri - Acil onarım maliyetleri - Sözleşme cezaları - Personelin fazla mesaisi - Veri kurtarma çalışması - Güvenin zedelenmesi Güvenlik olayları aynı zamanda orijinal alanın dışına da yayılabilir. Bir güç arızası soğutmayı etkileyebilir. Bir soğutma sorunu ekipmanın sıcaklığını artırabilir. Bir odanın kapatılması diğer odaya daha fazla yük getirebilir. Ekipler net yükseltme kurallarına sahip olmadığında risk artar. Strazburg'daki bir OVHcloud tesisinde 2021'de yaşanan yangın, fiziksel bir olayın dijital hizmetleri nasıl etkileyebileceğini gösterdi. Bir bina yıkıldı, diğeri hasar gördü ve müşteriler yedekleme ve kurtarma planlarını gözden geçirmek zorunda kaldı. Etkinlik birçok işletmeye pratik bir hatırlatmada bulundu: Aynı sitede saklanan bir yedek yeterli koruma sağlamayabilir. ## Veri merkezi içindeki ana riskler ### Elektrik işleri Elektrik sistemleri en büyük güvenlik sorunlarından biri olmaya devam ediyor. Personel şalt cihazlarının, akü sistemlerinin, jeneratörlerin, güç dağıtım ünitelerinin ve kesintisiz güç kaynaklarının yakınında çalışabilir. Güvenli bir program şunları içermelidir: - Enerjili ekipmana kısıtlı erişim - Paneller ve devre kesiciler üzerindeki net etiketler - Kilitleme ve etiketleme prosedürleri - Onaylanmış koruyucu ekipman - Yazılı anahtarlama planları - Yüksek riskli işler için ikinci şahıs incelemesi - Pillerin ve güç kablolarının düzenli kontrolleri Okunması zor bir etiket, acil müdahaleyi yavaşlatabilir. Güncellenmeyen bir geçiş planı bakım sırasında karışıklık yaratabilir. ### Yangın ve duman Veri merkezleri hızlı algılamaya, açık tahliye yollarına ve uygun söndürme sistemlerine ihtiyaç duyar. Yangından korunma oda, ekipman ve yerel güvenlik gerekliliklerine uygun olmalıdır. Ekipler şunları bilmelidir: - Hangi alarmlar tahliye gerektirir - Acil durum hizmetleriyle kim iletişime geçer - Hangi sistemler otomatik olarak kapanabilir - Tahliye sonrasında personelin nerede toplanacağı - Yüklenicilerin yangın güvenliği talimatlarını nasıl aldığı Temiz bir sunucu odasının hâlâ yangın planlamasına ihtiyacı vardır. Toz, kablo hasarı, pil arızası ve elektrik arızalarının tümü risk oluşturabilir. ### Isıtma ve soğutma arızası Sunucular sabit ısı üretir. Soğutma arızası, özellikle yüksek yoğunluklu alanlarda sıcaklıkları hızlı bir şekilde yükseltebilir. Yararlı kontroller şunları içerir: - Sıcaklık ve nem izleme - Açık yanıt sahipleriyle uyarılar - Soğutma ekipmanının düzenli testi - Hava akışı kontrolleri - Sıcak koridor ve soğuk koridor yönetimi - Yeni ekipman eklemeden önce kapasite incelemeleri Sıcaklık uyarısını basit bir tesis sorunu olarak ele almıyorum. Operasyon ekibi, tesis ekibi ve güvenlik ekibinin birlikte hareket etmesi gerekebilir. ### İnsan hatası İnsanlar baskı altında çalışır. Bir teknisyen acil bir talep alabilir, yanlış rafa girebilir veya eski bir şemayı takip edebilir. İyi güvenlik sistemleri, bir hatanın büyük bir olaya dönüşme olasılığını azaltır. Pratik önlemler şunları içerir: - Planlanan değişiklikler için meslektaş incelemesi - İş görevlerine dayalı erişim izinleri - Açık çalışma izinleri - Kısa görev öncesi brifingler - Güncellenmiş diyagramlar ve varlık kayıtları - İş sonrası kontroller - Gerçek ekipman ve saha koşullarını kullanan eğitim Eğitim, çevrimiçi bir kursla bitmemelidir. Bir teknisyenin alarmın nasıl ses çıkardığını, acil kapatmanın nerede olduğunu ve ramak kala durumunu nasıl bildireceğini anlaması gerekir. ## Basit bir emniyet inceleme süreci Ekiplerin kendi tesislerine uyarlayabilecekleri pratik bir inceleme süreci kullanıyorum. 1. Kritik alanların haritasını çıkarın Elektrik odalarını, jeneratör alanlarını, akü odalarını, sunucu salonlarını, yükleme bölgelerini, çatı erişim noktalarını ve acil çıkışları listeleyin. 2. Olası tehlikeleri kaydedin Elektrik maruziyetini, yangın riskini, ısıyı, su sızıntılarını, kaldırma görevlerini, kapalı alanları, araç hareketini ve yetkisiz erişimi inceleyin. 3. Olası etkiyi derecelendirin İnsanlara, ekipmanlara, hizmetlere ve kurtarma planlarına ne olabileceğini sorun. Düşük frekanslı bir olay, eğer etki şiddetliyse, yine de güçlü kontrollere ihtiyaç duyabilir. 4. Kontrolleri kontrol edin Alarmların, bariyerlerin, prosedürlerin, eğitimin ve acil durum sistemlerinin beklendiği gibi çalıştığını doğrulayın. Yalnızca belgede bulunan bir kontrol fazla koruma sağlamaz. 5. Yanıtı test edin Güç kaybı, yangın alarmı, soğutma arızası, su sızıntısı ve izinsiz girişe karşı tatbikatlar yapın. Egzersizlere odaklanın. Yanıt sürelerini, belirsiz sorumlulukları ve iletişim boşluklarını kaydedin. 6. Her değişiklikten sonra gözden geçirin Yeni raflar, daha yüksek güç yükleri, akü değiştirmeleri, inşaat işleri ve satıcı değişiklikleri yeni riskler yaratabilir. Site değiştiğinde risk incelemesini güncelleyin. ## Yöneticilerin harekete geçmesine yardımcı olan ölçümler Yararlı bir güvenlik kontrol paneli, çalışma süresinden fazlasını içermelidir. Takip: - Ramak kala sayısı - Türe göre güvenlik olayları - Son tarihi geçmiş düzeltici eylemler - Eğitimin tamamlanması - Acil durum tatbikatı yanıt süresi - Alarm yanıt süresi - Yetkisiz erişim girişimleri - Önleyici bakımın tamamlanması - Tekrarlanan arızalar - Yüklenici güvenlik bulguları Ramak kalalar dikkate alınmayı hak eder. Bir alet düşerse ancak kimseye zarar vermezse, olay yine de bir şeyin gözden geçirilmesi gerektiğini gösterir. En iyi ölçüm, bir raporun iyi görünmesini sağlayan ölçüm değildir. Yöneticinin bundan sonra neyi düzelteceğine karar vermesine yardımcı olan şeydir. Veri merkezi güvenliği insanları, ekipmanı, hizmet kullanılabilirliğini ve müşteri güvenini korur. En güçlü sonuçlar, açık prosedürlerden, test edilmiş sistemlerden, doğru kayıtlardan ve sorunları rapor edebilen personelden gelir. Güvenli bir veri merkezinin yalnızca olayların olmamasıyla tanımlanmadığına inanıyorum. Kuruluşun riski ne kadar iyi tanımladığı, aksaklığa hazırlıklı olduğu ve ciddi bir olaya dönüşmeden önce zayıf sinyallerden ders çıkardığı ile tanımlanır.

Bir sunucu odası, ciddi riskler taşımasına rağmen güvenli görünebilir. Kilitli bir kapı yetkisiz bir ziyaretçiyi, su sızıntısını, elektrik arızasını veya arızalı bir soğutma ünitesini durdurmaz. Sunucu odası güvenliğini, fiziksel koruma, sistem kontrolü, günlük kontroller ve net yanıt planlarının bir karışımı olarak ele alıyorum. OVHcloud'un Strasbourg veri merkezinde 2021'de yaşanan yangın, bir tesis olayının web sitelerini, uygulamaları ve depolanan verileri nasıl etkileyebileceğini gösterdi. Güvenli bir sunucu odası güçlü şifrelerden daha fazlasına ihtiyaç duyar. Birbirini destekleyen katmanlara ihtiyaç duyar. Fiziksel erişimle başlıyorum. - Odayı ortak alanlardan, mutfaklardan, banyolardan ve depolama alanlarından uzak tutun. - Erişim kartlarını veya izlenebilir başka bir giriş yöntemini kullanın. - Yalnızca işleri için erişime ihtiyaç duyan personele erişim verin. - Bir kişi rol değiştirdiğinde veya şirketten ayrıldığında erişimi kaldırın. - Ziyaretçi günlüğü tutun ve bir çalışanın refakatçisini isteyin. - Erişim kayıtlarını düzenli aralıklarla inceleyin. - Paylaşılan anahtarlardan ve paylaşılan erişim kartlarından kaçının. Bir kamera bir erişim sistemini destekleyebilir ancak birinin yerini almamalıdır. Kamera, hassas ekran içeriğini açığa çıkarmadan girişi, ekipman alanını ve yakındaki yaklaşımı kapsamalıdır. Kapı ve duvarların da dikkat edilmesi gerekiyor. İçi boş bir ofis kapısı yeterli koruma sağlamayabilir. Odanın uygun bir kilidi, güçlü menteşeleri ve sınırlı pencereleri olmalıdır. Pencereler varsa fiziksel koruma kullanın ve ekipmanı doğrudan güneş ışığından uzak tutun. Ayrıca odanın ortamını da kontrol ediyorum. Sıcaklık ve nem donanım performansını etkileyebilir. Bir soğutma ünitesinde arıza uyarısı bulunmalıdır; ikinci bir soğutma seçeneği ise tek bir arızanın etkisini azaltabilir. Sensörler sıcaklığı, nemi, dumanı, suyu ve güç koşullarını izleyebilir. Su özel bakımı hak ediyor. Sunucuları boruların, su depolarının veya klima drenaj hatlarının altına yerleştirmeyin. Zemine yakın bir su sensörü, küçük bir sızıntı ekipmana ulaşmadan önce ekibi uyarabilir. Yangından korunma, odanın içindeki ekipmanla eşleşmelidir. Sıradan sprinklerler başka türde hasarlar yaratabilir, bu nedenle kalifiye bir yangın güvenliği sağlayıcısından sahayı ve yerel gereklilikleri incelemesini rica ediyorum. Taşınabilir yangın söndürücüleri erişilebilir tutun, inceleyin ve personelin nasıl müdahale edeceğini bildiğinden emin olun. Güç koruması da aynı derecede önemlidir. UPS, kesinti sırasında kısa süreli destek sağlayabilir ve personele sistemleri güvenli bir şekilde kapatması için zaman tanıyabilir. Kritik ekipmanın ayrı güç yollarına, test edilmiş yedekleme oluşturmaya ve belgelenmiş kapatma adımlarına ihtiyacı olabilir. Pillerin ayrıca incelemeye ve değiştirme planlamasına ihtiyacı vardır. Ağ güvenliği göz ardı edilmemelidir. Uygun ağ kontrolleri ile sunucu trafiğini ofis cihazlarından ve misafir ağlarından ayırıyorum. Yönetim arayüzleri doğrudan genel internete açık olmamalıdır. Yönetici erişiminde güçlü kimlik doğrulama, bireysel hesaplar ve kayıtlı etkinlik kullanılmalıdır. Yedeklemelerin ayrı bir konuma veya hizmete ihtiyacı vardır. Orijinal sunucunun yanında saklanan bir yedek de aynı yangın, su baskını veya hırsızlık nedeniyle kaybolabilir. Başarılı bir yedekleme mesajının verilerin geri yüklenebileceği anlamına geldiğini varsaymak yerine dosya kurtarmayı ve sistem kurtarmayı test ediyorum. Basit bir inceleme süreci zayıf noktaların ortaya çıkarılmasına yardımcı olur: 1. Odaya erişimi olan her kişiyi, satıcıyı ve cihazı listeleyin. 2. Her sunucunun ve ağ cihazının konumunu ve amacını kaydedin. 3. Kilitleri, kameraları, sensörleri, soğutmayı, UPS ünitelerini ve yangın ekipmanını kontrol edin. 4. Uyarıları ve bakım kayıtlarını inceleyin. 5. Yedekleme geri yüklemesini test edin. 6. Güç kaybı, su girişi ve izinsiz erişime karşı kısa müdahale tatbikatı yapın. 7. Sonucu belgeleyin ve her onarım görevi için bir kişiyi görevlendirin. Bir keresinde küçük bir ofisin sunucu odasını depolama alanı olarak kullandığını gördüm. Temizlik malzemeleri ağ ekipmanının yanında duruyordu, yedek kablolar zemini kaplıyordu ve bir personel odayı kutuları depolamak için kullanıyordu. Kurulum ilk bakışta tehlikeli görünmese de yangın, takılma, hava akışı ve erişim sorunları yaratıyordu. Kutuları kaldırmak ve net oda kuralları belirlemek, sunucuları değiştirmeden birçok riski çözdü. Benim görüşüm basit: Sunucu odası güvenliği, odanın sıradan bir hatayı ve beklenmedik bir olayı ne kadar iyi idare ettiğiyle ölçülmelidir. Kilitli bir kapı yararlı bir başlangıçtır. Erişim kayıtları, çevresel uyarılar, güç planlaması, test edilmiş yedeklemeler ve eğitimli personel, korumayı daha güçlü hale getirir. Düzenli kontroller, planın işletmenin gerçekte çalışma şekliyle bağlantılı olmasını sağlar.

Veri merkezi güvenliği genellikle kameralar, korumalar, güvenlik duvarları ve erişim kartları aracılığıyla tanımlanır. Bu araçlar önemlidir ancak hikayenin tamamını anlatmazlar. Bir veri merkezi güvenlik planını incelerken girişin ötesine bakarım. Elektrik kesintisi sırasında tesisin verileri nasıl koruduğunu, personelin olağandışı erişime nasıl tepki verdiğini, yedeklerin nerede saklandığını ve bir müşterinin bir olaydan sonra ne kadar çabuk iyileşebileceğini bilmek istiyorum. Güvenli bir veri merkezi tek bir kilitli bina değildir. Sistemleri, insanları, verileri ve iş operasyonlarını koruyan bir dizi bağlantılı kontrolden oluşur. ### Fiziksel güvenlik yalnızca bir katmandır Bir veri merkezinde çitler, güvenlik personeli, ziyaretçi kayıtları, biyometrik kontroller, kilitli sunucu odaları ve CCTV izleme kullanılabilir. Bu kontroller yetkisiz fiziksel erişim olasılığını azaltır. Her riski durdurmazlar. Çalınan bir çalışan şifresi, saldırganın binaya girmeden uzaktan erişmesine olanak sağlayabilir. Yanlış yapılandırılmış bir depolama grubu, sunucular fiziksel olarak korunurken verilerin açığa çıkmasına neden olabilir. Arızalı bir soğutma sistemi, tüm erişim kapıları güvenli olsa bile hizmeti kesintiye uğratabilir. Fiziksel korumayı temel katman olarak ele alıyorum, tam yanıt değil. Güçlü bir site genellikle ortak alanları, personel alanlarını, ekipman odalarını, yükleme bölgelerini ve ağ operasyon alanlarını ayırır. Erişim iş ihtiyaçlarını takip etmelidir. Soğutma ekipmanını tamir eden bir yüklenicinin müşteri sunucu raflarına erişmesi gerekmeyebilir. Erişim kayıtlarının da düzenli olarak incelenmesi gerekir. Eski çalışan hesapları, paylaşılan rozetler ve kullanılmayan tedarikçi izinleri önlenebilir boşluklar yaratabilir. ### Siber güvenlik açık kontrol gerektirir Veri merkezi ağları genellikle birçok sistemi içerir: - Müşteri sunucuları - Yönetim arayüzleri - Depolama platformları - Yedekleme sistemleri - İzleme araçları - Bina kontrol sistemleri - Personel cihazları - Satıcı bağlantıları Her bağlantı daha geniş bir ortamı etkileyebilir. Ağ segmentasyonu, güvenliği ihlal edilmiş bir hesabın veya cihazın etkisinin sınırlandırılmasına yardımcı olur. Çok faktörlü kimlik doğrulama, birisi oturum açtığında başka bir kontrol ekler. Şifreleme, verilerin ağlar arasında taşınırken ve depolama sistemlerinde kalırken korunmasına yardımcı olur. Bu kontroller, ekipler bunları günlük operasyonların bir parçası olarak yönettiğinde en iyi şekilde çalışır. Bir şirket güçlü bir güvenlik duvarı satın alabilir ve kurallar gözden geçirilmezse yine de riskle karşı karşıya kalabilir. Bir yedekleme sistemi mevcut olabilir ancak kimse onu test etmediği için kurtarma sırasında başarısız olabilir. Bir güvenlik aracı, kimsenin incelemeye vakti olmadığı konusunda uyarılar gönderebilir. Basit bir soruyu tercih ediyorum: Uyarıyı kim alıyor, bundan sonra ne yapacaklar ve bu eylem ne kadar sürecek? ### İnsanlar sistemleri koruyabilir veya boşluklar yaratabilir Güvenlik eğitimi genellikle kısa bir çevrimiçi kurs olarak değerlendirilir. Bu, birçok veri merkezi rolü için yeterli değildir. Personel; erişim kartları, destek biletleri, bakım talepleri, şifre sıfırlamalar ve olağandışı müşteri talepleri ile ilgilenir. Sosyal mühendislik bu adımlardan herhangi birini hedefleyebilir. Saldırgan, acil erişime ihtiyacı olan bir müşteri, tedarikçi veya üst düzey yönetici gibi davranabilir. Yararlı eğitim, insanların yaptığı işle eşleşmelidir. Personel, kimliğin nasıl doğrulanacağı, şüpheli etkinliğin nasıl rapor edileceği, çıkarılabilir medyanın nasıl yönetileceği ve kaybolan kimlik bilgilerine nasıl yanıt verileceği konusunda pratik yapabilir. Açık prosedürler tereddütleri azaltır. Çalışanlar kiminle iletişime geçeceklerini ve hangi bilgileri kaydedeceklerini bilirlerse, bir sorunu erken bildirme olasılıkları daha yüksek olur. ### Çalışma süresi güvenlik anlamına gelmez Bir hizmet, veriler açığa çıkarken çevrimiçi kalabilir. Aşırı izinlere sahip bir hesap etkin kalırken bir tesis çalışma süresi hedefini geçebilir. Kullanılabilirlik, gizlilik ve veri bütünlüğü ayrı kontrollere ihtiyaç duyar. Güç sistemleri, jeneratörler, soğutma ekipmanları, yangından korunma ve ağ bağlantıları kullanılabilirliği destekler. Şifreleme, kimlik kontrolleri ve izleme gizliliği destekler. Değişiklik yönetimi, erişim günlükleri, dosya kontrolleri ve kurtarma testleri veri bütünlüğünü destekler. Bu hedefler çatışabilir. Bir ekip, hizmet kesintisinden korktuğu için güvenlik yamasını geciktirebilir. Aceleye getirilmiş bir değişiklik bir sorunu korurken başka bir sorun yaratabilir. Test, onay, geri alma adımları ve müşteri iletişimini içeren planlı bir bakım süreci arıyorum. Güvenlik çalışmaları son dakika kararlarına bağlı olmamalıdır. ### Yedeklemeler güvenlik planının bir parçasıdır Birçok işletme yedeklerinin olduğunu söylüyor. Dört soru daha soruyorum: - Yedeklemeler ana ortamdan ayrı mı? - Yetkisiz silinmeye karşı korunuyorlar mı? - Ekip ne sıklıkla iyileşmeyi test ediyor? - Sistemler onarılırken işletme çalışabilir mi? Aynı konumda depolanan bir yedek, birincil sistemle aynı yangın, su baskını, elektrik olayı veya fidye yazılımı saldırısından etkilenebilir. 2021'de OVHcloud'un Strasbourg tesisinde çıkan yangın bazı müşterilerin hizmetlerini kesintiye uğrattı. Yedeklemeleri ayrı konumlarda tutulan müşterilerin, tek bir siteye güvenen müşterilere göre daha fazla kurtarma seçeneği vardı. Etkinlik, yedekleme konumu ve kurtarma testinin neden sunucu korumasıyla aynı ilgiyi hak ettiğini gösterdi. Pratik bir yedekleme planı, ayrı coğrafi konumları, kısıtlı yedekleme izinlerini, şifrelemeyi, kurtarma süresi hedeflerini ve düzenli geri yükleme testlerini içerebilir. Hiçbir zaman geri yüklenmemiş bir yedekleme yalnızca bir depolama talebidir. Test etmek onu bir kurtarma kaynağına dönüştürür. ### Satıcılar müşteri güvenliğini etkileyebilir Veri merkezi operatörleri genellikle donanım, yazılım, ağ hizmetleri, temizlik, bakım, güvenlik personeli ve bina sistemleri için tedarikçilere güvenir. Her tedarikçi inceleme için bir bağlantı oluşturur. Bir satıcıyla çalışmaya başlamadan önce şunları kontrol ederim: - Satıcı hangi verilere erişebilir? - Sahaya hangi çalışanlar veya taşeronlar girebilir? - Satıcı hesapları nasıl koruyor? - Satıcının bir olayı ne kadar hızlı bildirmesi gerekiyor? - Sözleşme sona erdiğinde ne olur? - Firma güvenlik kayıtlarını inceleyebilir mi? Satıcı erişiminin açık bir amacı, sınırlı bir süresi ve adlandırılmış bir sahibi olmalıdır. Paylaşılan hesaplar araştırmayı zorlaştırdığından bireysel hesaplar ve etkinlik günlükleri tercih edilir. Bir tedarikçi kendi güvenlik standardını karşılarken müşterinin ihtiyaçlarını karşılamada başarısız olabilir. Sözleşmeler geniş vaatlere dayanmak yerine gerçek kontrolleri tanımlamalıdır. ### Uyumluluk raporları her soruyu yanıtlamıyor Sertifikalar ve denetim raporları sağlayıcıların karşılaştırılmasına yardımcı olabilir. Bir şirketin kontrolleri belgelendirdiğini ve bağımsız incelemeye izin verdiğini gösterebilirler. Müşteri sorularına olan ihtiyacı ortadan kaldırmazlar. Bir rapor belirli bir hizmeti, konumu ve zaman dilimini kapsayabilir. Her alt yükleniciyi, her bölgeyi veya her müşteri konfigürasyonunu kapsamayabilir. Müşterinin hâlâ sağlayıcının erişimi, yedeklemeleri, olay bildirimlerini, veri silmeyi ve hizmet değişikliklerini nasıl ele aldığını anlaması gerekiyor. Uyumluluk belgelerini durum tespiti yerine kanıt olarak kullanıyorum. ### Olaya müdahale, olaydan önce test edilmelidir Bir güvenlik planı, bir iletişim listesinden daha fazlasına ihtiyaç duyar. Ekipler bir olayı nasıl tanımlayacaklarını, yayılmasını nasıl sınırlandıracaklarını, kanıtları nasıl koruyacaklarını, etkilenen müşterilerle nasıl iletişim kuracaklarını ve hizmetleri nasıl geri yükleyeceklerini bilmelidir. Yararlı bir alıştırma basit bir senaryoyla başlayabilir: Bir çalışan hesabı, alışılmadık bir konumdan yönetim konsoluna erişmek için kullanılır. Hesap, depolama izinlerini değiştirmeye başlar. İzleme bir uyarı gönderir. Ekip aşağıdakilere karar vermelidir: 1. Uyarıyı kim doğruluyor? 2. Hesabı kim devre dışı bırakır veya sınırlandırır? 3. Hangi sistemler etkilenebilir? 4. Müşteriyle kim iletişime geçiyor? 5. Hangi günlükler ve kayıtlar saklanmalıdır? 6. İyileşme ne zaman başlar? 7. Hangi bilgiler kamuya açık olarak paylaşılabilir? Kısa bir alıştırma genellikle eksik izinleri, eski telefon numaralarını, net olmayan mülkiyeti veya yavaş onay adımlarını ortaya çıkarır. Amaç korku yaratmak değil. Amaç, normal prosedürlerin artık işe yaramadığı durumlarda kafa karışıklığını azaltmaktır. ### Müşterilerin bir sağlayıcı seçmeden önce sormaları gerekenler Bir veri merkezini veya bulut sağlayıcısını değerlendirirken, pratik sorulara basit yanıtlar isterim: - Verilerim nerede saklanacak? - Bölge veya tesisi seçebilir miyim? - Fiziksel erişim nasıl kontrol ediliyor? - Çok faktörlü kimlik doğrulama mevcut mu? - Yönetici eylemleri nasıl kaydedilir? - Müşteri ortamları ayrılmış mı? - Yedeklemeler nasıl korunuyor ve test ediliyor? - Olay bildirim süreci nedir? - Günlükler ne kadar süreyle saklanır? - Sözleşmenin feshinden sonra veriler nasıl kaldırılır? - Hangi güvenlik sorumlulukları bana ait? - İlgili denetim bilgilerini inceleyebilir miyim? Cevaplar servis sözleşmesi ve teknik belgelerle eşleşmelidir. Açıklama belirsizse müşterinin hassas iş yüklerini taşımadan önce daha fazla ayrıntıya ihtiyacı olabilir. Veri merkezi güvenliği paylaşılan bir görevdir. Sağlayıcı tesisi, temel altyapıyı ve birçok operasyonel kontrolü yönetir. Müşteri, kullanıcı hesaplarını, uygulama ayarlarını, izinleri, şifreleri, veri sınıflandırmasını ve yedekleme seçeneklerini yönetmeye devam eder. Kilitli bir bina, açık bir yönetici hesabını düzeltemez. Güçlü bir bulut platformu, kurtarma planlamasının yerini alamaz. Uyumluluk rozeti bir ekibin gece saat 2'de nasıl yanıt vereceğini açıklayamaz En kullanışlı güvenlik planı, fiziksel korumayı, siber kontrolleri, eğitimli personeli, tedarikçi gözetimini, test edilmiş yedeklemeleri ve net bir yanıt sürecini birbirine bağlar. Bu parçaları bir arada incelediğimde, riske ilişkin daha dürüst bir tablo elde ediyorum ve önemli sistemlerin nerede çalışması gerektiğini seçmek için daha iyi bir temel elde ediyorum. Endüstri Alanında geniş deneyime sahibiz. Profesyonel tavsiye için bizimle iletişime geçin: Yonglin Wang: 13382583527@gmail.com/WhatsApp +8613382583527.

1. Uptime Institute — 2023 — Yıllık Kesinti Analizi 2023 2. Ulusal Standartlar ve Teknoloji Enstitüsü — 2018 — Kritik Altyapı Siber Güvenliğini İyileştirme Çerçevesi 3. Siber Güvenlik ve Altyapı Güvenliği Ajansı — 2023 — Siber Güvenlik Performans Hedefleri 4. Uluslararası Standardizasyon Örgütü — 2022 — ISO 27001 Bilgi Güvenliği Yönetim Sistemi Gereksinimleri 5. Bulut Güvenliği İttifakı — 2021 — Güvenlik Bulut Bilişimin Kritik Alanlarına Yönelik Rehberlik 6. Avrupa Birliği Siber Güvenlik Ajansı — 2023 — ENISA Tehdit Ortamı 2023