KOBİ ölçeğinde yedekleme sıklıkla "haftada bir USB'ye kopyala" seviyesinde kalır. Oysa tek bir ransomware saldırısı veya disk arızası, yıllarca biriken müşteri ve fatura verisini bir gecede silebilir. 3-2-1 stratejisi uluslararası kabul gören en sade ve güvenli pratiktir.
3-2-1 nedir?
- 3 kopya: orijinal + 2 yedek
- 2 farklı ortam: yerel disk + bulut (veya 2 farklı medya türü)
- 1 kopya tesis dışında (off-site)
Bu kural ABD ulusal arşiv (NARA) ve birçok standart kuruluşu tarafından "minimum güvenli yedekleme" olarak önerilir.
Pratik bir KOBİ senaryosu
Diyelim ki 8 kişilik bir mimarlık ofisi işletiyorsunuz. Veriler:
- Mali müşavir + muhasebe yazılımı (Logo Tiger, Mikro vb.)
- AutoCAD ve proje dosyaları (50-200 GB)
- E-posta arşivi (Outlook PST veya IMAP)
- Sözleşme PDF + KVKK aydınlatma kayıtları
3-2-1 uygulaması
| Kopya | Ortam | Konum | Sıklık |
|---|---|---|---|
| 1 (orijinal) | Çalışan bilgisayar | Ofis | Anlık |
| 2 | NAS veya yerel sunucu | Ofis | Saat başı |
| 3 | Bulut (PratikYedek) | Türkiye sunucusu | 6 saatte bir |
💡 PratikYedek ipucu: Hosted SaaS paketinde otomatik snapshot WAL+PITR ile 5 dakikalık RPO sunar. KOBİ'nin elle planlama yapmasına gerek kalmaz.
RPO ve RTO hedefleri
İki kavramı karıştırmamak gerekir:
- RPO (Recovery Point Objective): Kabul edilebilir veri kaybı süresi. "En son hangi noktaya dönebilirim?"
- RTO (Recovery Time Objective): Sistemin tekrar ayağa kalkma süresi. "Ne kadar sürede çalışır hale gelir?"
KOBİ için makul hedefler:
- RPO: 1-6 saat — Saatlik veya 6 saatlik artımlı yedek
- RTO: 4-24 saat — Yarı günlük restore senaryosu
Bu hedefler PratikYedek hosted paketinde varsayılan olarak karşılanır.
KVKK § 12 ile bağlantı
KVKK § 12 "veri sorumlusu kişisel verilerin güvenliğini sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür" der. Kurumun yayınladığı "Veri Güvenliği Rehberi" yedeklemeyi açıkça teknik tedbir olarak listeler:
"Verilerin yedeklenmesi ve yedek alma sıklığının belirlenmesi, yedeklerin güvenli ortamda saklanması..."
3-2-1 uygulayan bir işletme bu maddeyi kendiliğinden karşılar. Off-site kopya aynı zamanda § 6 özel nitelikli veri (sağlık, hukuk) için ayrı güvenli ortam şartını da çözer.
Yaygın hatalar
- Tek bulut sağlayıcıya bağımlılık — Google Drive tek kopya yetmez. Yerel + bulut zorunlu.
- Şifreleme yokluğu — Off-site kopya şifrelenmemişse, hırsızlık veya sızıntıda KVKK § 12 ihlal sayılır.
- Restore testi yapılmaması — Yedek alındı diye düşünüp, hiç geri yükleme denenmemesi en sık hata. Ayda 1 kez restore drill yapılmalı.
- Versiyon yokluğu — Tek bir "son yedek" varsa ransomware şifrelenmiş halini de yedekler. Snapshot zinciri (7g günlük + 4h haftalık + 12 aylık) zorunlu.
PratikYedek bu standartları nasıl karşılar?
- ✅ Uçtan uca AES-256-GCM şifreleme — sunucu açık veriyi görmez
- ✅ 3-2-1 hazır: Hosted (Türkiye) + BYOS (Google Drive/OneDrive) + yerel desktop kopya
- ✅ WAL+PITR snapshot zinciri, restore drill ayda 1 otomatik
- ✅ KVKK § 12 + § 11 (silme + taşıma) tek panelden
Ücretsiz 30 günlük denemeyi başlat — Kredi kartı istemiyoruz, istediğiniz an iptal.