BT Altyapı Denetimi: Envanter, Risk ve Yol Haritası

BT altyapı denetimi, kurumdaki cihazların, sunucuların, ağın ve yazılımların bugünkü durumunun dışarıdan bakan bir gözle çıkarılması, risklerin tespit edilmesi ve nelerin hangi sırayla düzeltileceğinin yazılı hâle getirilmesidir. Çıktısı bir kurulum değil, karar verebileceğiniz bir rapordur.

Biz bu işi uçtan uca üstleniyoruz. Envanteri ve topolojiyi çıkarıyor, riskleri ve eksikleri isim isim yazıyor, bulguları aciliyete göre sıralıyor ve sonucu yönetimin okuyabileceği bir dille sunuyoruz. Bu sayfa BT danışmanlık hizmetimizin denetim kolu.

Bu bakışı nasıl kurduğumuzu görmek isterseniz önce tek nokta arızası yazımızı okuyabilirsiniz. Bir altyapıda riskin neden yıllarca fark edilmediğini, cihazdan çok insanda biriktiğini ve nasıl ölçüldüğünü orada yazdık.

Bir ev alırken eksper çağırırsınız. Eksper evi satmaz, size ev tavsiye etmez; gezer, tapu ve proje kaydına bakar, duvardaki çatlağın taşıyıcıda mı sıvada mı olduğunu ayırır ve raporunda önce nemin, sonra boyanın yapılması gerektiğini yazar. Elinizdeki o rapor pazarlık masasına da girer. BT altyapı denetimi de aynı işi görür:

• Tapu ve proje kaydı cihaz, sunucu ve lisans envanteridir.
• Binayı gezmek yapılandırmaların ve ayarların yerinde kontrolüdür.
• Çatlağın taşıyıcıda mı olduğu riskin kritik mi kozmetik mi olduğunun ayrımıdır.
• Önce nem, sonra boya önceliklendirilmiş yol haritasıdır.
• Alıcıya verilen rapor yönetime sunulan özettir.

BT Altyapı Denetiminde Ne Yapıyoruz, Ne Yapmıyoruz?

Denetimde asıl değer, listeyi uzatmakta değil neyin gerçekten risk olduğunu ayırmakta. O yüzden kapsamı da sınırı da kalem kalem yazıyoruz.

Yaptıklarımız:

• Envanter ve topoloji çıkarımı. Hangi cihazın nerede durduğunu, hangi sunucunun ne iş yaptığını, ağın nasıl bağlandığını ve lisansların durumunu çıkarıyoruz.
• Risk ve eksik tespiti. Yedeklilik, yedekleme, güncelleme, erişim yetkileri ve destek dışı kalmış sürümler gibi başlıklarda açıkları isim isim yazıyoruz.
• Önceliklendirilmiş yol haritası. Bulguları aciliyet ve maliyetle sıralıyor, hangi işin önce yapılması gerektiğini gerekçesiyle söylüyoruz.
• Yönetime raporlama. Teknik olmayan bir yöneticinin okuyup bütçe kararı verebileceği bir özet hazırlıyoruz.
• Ürün ve çözüm tespiti. İhtiyaç varsa hangi tür ürünün gerektiğini de raporda belirtiyoruz; bu tespit markadan önce ihtiyacı adlandırır.

Bu işin bittiği yer:

• Denetim uygulama değildir. Bulguların kapatılması ayrı bir iştir ve ayrı planlanır; raporu alıp işi kendi ekibinizle de yürütebilirsiniz.
• Hukuki uyum ayrı bir başlıktır. Kişisel veri tarafındaki teknik tedbirler KVKK teknik tedbirler sayfasının, belgelendirme ise ISO 27001 danışmanlığının konusudur.
• Saldırı denemesi yapmıyoruz. Sistemlere kontrollü saldırarak zafiyet doğrulamak sızma testinin işidir; denetim yapılandırmayı okur, kapıyı zorlamaz.

BT Altyapı Denetimi Kime Gerekir?

Denetim talebi çoğunlukla bir belirsizlik anında geliyor. En sık karşılaştığımız durumlar şunlar:

• Altyapı devralındı. Yeni bir BT sorumlusu ya da yeni bir yönetim var, ama sistemlerin bugünkü durumu yazılı hiçbir yerde durmuyor.
• Bütçe hazırlanıyor. Gelecek yıl neye yatırım yapılacağı soruluyor ve cevap tahmine dayanıyor.
• Arızalar tekrar ediyor. Aynı sorun farklı adlarla geri geliyor, kök neden aranmadan her seferinde çözülüyor.
• Dışarıdan bir talep geldi. Müşteri, denetçi ya da sigorta tarafı altyapının durumunu soruyor.

Alt sınırı da açıkça çizelim. Tek lokasyonlu, birkaç cihazlı bir ofiste yazılı rapor çoğu zaman gereğinden ağır kalır; orada ilk görüşme yeterli olabilir. Denetim, birden fazla sistemin birbirine bağlandığı ve kimsenin tamamını aklında tutamadığı ölçekte anlam kazanır.

Denetimde Asıl İş: Listeyi Değil Sırayı Üretmek

Bulgu listesi çıkarmak işin kolay yarısıdır. Raporu değerli kılan şey, o listenin hangi sırayla ele alınacağını söylemesidir.

Envanter: Neyin Var Olduğunu Bilmeden Risk Konuşulamaz

Eksper önce tapuya ve projeye bakar, çünkü olmayan bir katın çatlağı tartışılmaz. Denetimde de ilk iş envanterdir: cihazlar, sunucular, ağ bağlantıları, lisanslar ve bunların kimde olduğu.

Envanterin elle tutulduğu ortamlarda liste her zaman gerçeğin gerisinde kalır. Bunu kalıcı biçimde çözmek isterseniz BT envanter yönetimi sayfamız otomatik toplanan envanteri anlatıyor; denetim ise o listeyi bir kez çıkarıp fotoğrafı çeker.

Risk Tespiti: Çatlağın Taşıyıcıda mı Olduğu

Her eksik aynı ağırlıkta değildir. Denetimde bulguları üç soruyla ayırıyoruz:

1. İkincisi var mı? Bu cihaz ya da hat durduğunda iş duruyor mu?
2. Geri dönüşü var mı? Veri kaybında ya da hatalı değişiklikte geri alınabilir bir nokta duruyor mu?
3. Bilen tek kişi mi var? Bir sistemi yalnız bir kişi biliyorsa o kişi de bir tek nokta arızasıdır.

Üçüncü soru çoğu raporda atlanır ve en pahalıya patlayan da odur; ayrıntısını tek nokta arızası yazımızın insan bölümünde yazdık.

Yol Haritası: Önce Nem, Sonra Boya

Boyacı gelmeden önce nemin nereden geldiği bulunur. Kaynak kurutulmadan atılan boya birkaç ay içinde kabarır ve iş baştan yapılır. Rapordaki sıralama da bu mantıkla kurulur: önce sorunun sebebini ortadan kaldıran işler, sonra görünen belirtiyi düzelten işler.

Benzetmenin koptuğu yer de burası. Evde nem bir kez kurutulup duvar boyandığında o iş kapanır. BT altyapısında ise kapatılan bulgu zamanla yeniden açılır: cihaz eskir, personel değişir, yeni sistemler eklenir ve yetkiler genişler. Bu yüzden yol haritası bir kerelik iş listesi değil, tekrarlanan bir bakım düzenidir.

Sıralamayı iki eksende yapıyoruz: bulgunun işi durdurma ihtimali ve kapatma maliyeti. Bir günde kapanan yüksek riskli bulgular en üste, uzun soluklu yatırımlar bütçe dönemine yazılır.

Rapor: Yönetimin Okuyacağı Dil

Teknik bulgu listesi tek başına bütçe çıkarmaz. Rapor iki katmanlı yazılır: teknik ekip için bulgu ve gerekçe, yönetim için ne olursa ne kaybedilir sorusunun cevabı. Raporun kurum içinde kalıcı olması için bulguları ve kararları BT dokümantasyonuna işlemek gerekir; aksi hâlde aynı tespit iki yıl sonra yeniden yapılır.

Denetimde En Sık Çıkan Bulgular

Her kurum kendine özgü görünür, ama bulgular şaşırtıcı biçimde tekrar eder. Sahada en sık karşılaştığımız beş başlık şunlar:

1. Yedek alınıyor ama geri dönüş denenmemiş. Yedekleme yazılımı yeşil rapor verir, geri yükleme hiç sınanmamıştır; bunun nasıl kurulduğunu veri yedekleme ve felaket kurtarma sayfamızda yazdık.
2. Yetkiler kişilere verilmiş. Grup yerine tek tek verilen izinler yıllar içinde birikir ve kimsenin çıkaramadığı bir yığına döner.
3. Destek dışı sürümler duruyor. Güncelleme almayan bir sunucu ya da cihaz çalışmaya devam ettiği için gündeme hiç gelmez.
4. Tek nokta arızaları kabullenilmiş. Yedeği olmayan bir hat, bir switch ya da bir sunucu yıllardır sorunsuz çalıştığı için risk sayılmaz olmuştur.
5. Yazılı hiçbir şey yok. Yapılandırma kararlarının gerekçesi yalnız birkaç kişinin aklındadır.

Bu bulguların ortak yanı, hiçbirinin bugün arıza üretmemesidir. Denetimin işi de tam olarak budur: bugün görünmeyeni, görünür hâle geldiğinde ödenecek bedelden önce yazmak.

BT Altyapı Denetimini Nasıl Yapıyoruz?

Sıra, sizin en az emek harcayacağınız yerden başlar.

1. Uzaktan ön görüşme, ilk yarım saat ücretsiz. Kaç lokasyonunuz, kaç sistem odanız ve yaklaşık kaç cihazınız olduğunu konuşuyoruz. Görüşmenin sonunda işin gerçekten kaç günlük olduğunu birlikte görüyoruz.
2. Erişim ve kapsam. Hangi sistemlere okuma erişimi verileceğini ve kimlerle görüşüleceğini yazılı hâle getiriyoruz.
3. Envanter çıkarımı. Cihaz, sunucu, ağ ve lisans envanterini topluyoruz.
4. Yapılandırma incelemesi. Ayarları, yetkileri, yedekleme ve güncelleme düzenini yerinde kontrol ediyoruz.
5. Personel görüşmeleri. Sistemleri kullanan ve yöneten kişilerle konuşuyoruz; belgeye girmeyen bilgi çoğunlukla buradan çıkar.
6. Bulgu ve önceliklendirme. Riskleri sıralıyor, hangi işin önce yapılacağını gerekçesiyle yazıyoruz.
7. Raporlu teslim ve sunum. Raporu teslim ediyor, gerekiyorsa yönetime sunumunu da yapıyoruz.

Raporun içinde şunlar var:

• Envanter tablosu. Cihazları, sunucuları, ağ bağlantılarını ve lisansları listeler.
• Topoloji şeması. Sistemlerin birbirine nasıl bağlandığını gösterir.
• Bulgu listesi. Her bulguyu gerekçesi ve etkisiyle birlikte yazar.
• Öncelik tablosu. Bulguları aciliyet ve maliyetle sıralar.
• Yol haritası. Hangi işin hangi dönemde yapılacağını önerir.
• Yönetim özeti. Teknik olmayan okuyucu için riski ve bütçe gerekçesini anlatır.

Sahada Ne Yaptık?

Denetimin ilk adımı olan envanter, sahada en çok aksayan yerdir. Elle tutulan bir cihaz listesini otomatik toplanan bir envantere taşıdığımız işin nasıl yürüdüğü GLPI envanter sistemi vakamızda duruyor; orada listenin kendisi değil, listenin güncel kalması çözüldü.

Bir altyapının durumunu görmek için ikinci kaynak izleme sistemidir. Kurumun ağını ve sistemlerini izlemeye aldığımız iş Cacti, Zabbix ve Grafana izleme vakamızda anlatılıyor; denetimde bu tür bir sistemin varlığı, geçmişe dönük soruları cevaplanabilir kılar.

Yazılı olmayan bilginin kurumda nasıl biriktiğini ve bunun neden bir risk olduğunu ise BT dokümantasyon sistemi vakamızda anlattık.

BT Altyapı Denetimi Fiyatını Ne Belirler?

İlk yarım saat ücretsizdir; yazılı rapor istendiğinde bedeli kapsam belirler. Teklifleri karşılaştırırken bakacağınız kalemler şunlar:

• Lokasyon sayısı. Her lokasyon ayrı bir ağ, ayrı bir cihaz seti ve çoğu zaman ayrı bir ziyaret demektir.
• Sistem odası sayısı. Fiziksel kontrol, kabinet ve enerji tarafını da kapsar; odanın kendi kurgusu sistem odası kurulumu hizmetimizin konusudur.
• Cihaz sayısı ve kontrol derinliği. Ayarların tek tek okunması, yüzeysel bir envanter çıkarımından farklı bir emektir.
• Personel görüşmeleri. Kaç kişiyle konuşulacağı raporun kalitesini de süresini de değiştirir.
• Sunum ihtiyacı. Yönetime yapılacak sunum ayrı bir hazırlık kalemidir.

Teklif toplarken tek bir soru çoğu şeyi ayırır: teklifte bulguların önceliklendirilmesi var mı? Yoksa elinize bulgu listesi geçer, karar yine sizde kalır.

Sonuç: Rapor Satın Almak Değil, Sıra Satın Almak

Bir denetimin ne kadar işe yaradığı, kaç bulgu çıkardığından değil üç sorunun cevabından anlaşılır: neyin var olduğu yazılı mı, hangi bulgunun işi durdurabileceği belli mi ve hangi işin önce yapılacağı gerekçesiyle sıralanmış mı? Üçünün cevabı da raporun içinde durur.

Denetim bittikten sonra asıl iş bulguların kapatılmasıdır. Bunu teslim ettiğimiz raporla kendi ekibiniz yürütebilir; bize bırakmak isterseniz kurumsal bakım anlaşmasıyla denetimi yapan ekip uygulamayı da üstlenir ve denetim periyodik olarak tekrarlanır.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn