Yönetilen Hizmetler (Managed Services) Nedir?

Çoğu kurumsal BT ekibinin günü şöyle geçiyor: Sabah, dün gece oluşan alarm bildirimleri inceleniyor. Öğleden önce, bir sunucunun depolama alanı dolmak üzere olduğu anlaşılıyor. Öğlen, firewall kural güncellemesi için destek talebi geliyor. Öğleden sonra, üç hafta önce başlatılan güvenlik açığı taramasının çıktıları okunuyor. Akşam, yarın sabah yapılacak yamalama çalışması için bakım penceresi planlanıyor.

Peki bu ekip, aynı zamanda şirketin dijital dönüşüm stratejisini, yeni uygulama altyapısını, yapay zekâ entegrasyonunu ve rakiplerle rekabeti mümkün kılan teknik kapasiteleri geliştirmeli. Bunu yapabilecek vakti var mı?

Temel Gerilim: Operasyon vs. İnovasyon

BT ekiplerinin zamanı; rutin operasyonel görevler (“Keep the lights on”) ile stratejik değer yaratan projeler arasında bölünür. Yönetilen Hizmetler modeli, operasyonel yükü devrederek BT’nin stratejik işlere odaklanmasını mümkün kılar.

Yönetilen Hizmetler (Managed Services); bir kurumun BT altyapısının tamamının ya da belirli bileşenlerinin, üçüncü taraf bir sağlayıcı (MSP – Managed Service Provider) tarafından önceden tanımlanmış SLA’lar (Service Level Agreement) çerçevesinde uzaktan ve/veya yerinde olarak yönetilmesi modelidir.

Bu yazıda; yönetilen hizmetlerin ne olduğunu, neleri kapsadığını, hangi kurumlara ne zaman uygun olduğunu, MSP seçiminde nelere dikkat edilmesi gerektiğini ve iç BT ile MSP modellerini nasıl karşılaştırabileceğinizi adım adım ele alıyoruz.

Bölüm 1 — Yönetilen Hizmetler Nedir? Temel Kavramlar

Yönetilen Hizmetler (Managed Services); bir kurumun BT altyapısının tamamının ya da belirli bileşenlerinin, üçüncü taraf bir sağlayıcı (MSP – Managed Service Provider) tarafından SLA’lar çerçevesinde yönetilmesi modelidir. Geleneksel “break-fix” yaklaşımından temel farkı şudur: Reaktif değil, proaktiftir.

Break-Fix vs. Yönetilen Hizmetler (MSP) — Pratik Farklar

Break-Fix Model

• Müdahale: Sorun oluştuktan sonra
• Maliyet: Değişken (arıza başına)
• SLA: Genellikle yok
• İzleme: Manuel veya sınırlı, reaktif
• Strateji/Yol haritası: Genellikle yok
• Ölçeklenebilirlik: Zor ve gecikmeli

Yönetilen Hizmetler (MSP)

• Müdahale: Sorun oluşmadan önce (proaktif)
• Maliyet: Sabit aylık/yıllık (paket/abonelik)
• SLA: Sözleşmede tanımlı ve ölçülebilir
• İzleme: 7/24 otomatik izleme + alarm yönetimi
• Strateji/Yol haritası: Danışmanlık ve iyileştirme önerileri dahil edilebilir
• Ölçeklenebilirlik: Esnek, hızlı

1.1 MSP ile Klasik Outsourcing Arasındaki Fark

Outsourcing genellikle belirli bir işin/sürecin dışarıya devridir. MSP ise operasyonu “servis” olarak yönetir: sorumluluklar, ölçütler, raporlama ve performans KPI’ları sözleşmeyle güvence altına alınmıştır.

İyi bir MSP yalnızca sunucu açık-kapalı durumunu izlemez; kapasite ihtiyaçlarını, güvenlik olgunluğunu ve sürdürülebilirliği düzenli olarak yönetir.

1.2 MSP, MSSP ve MDR: Hangisi Ne Anlama Gelir?

• MSP (Managed Service Provider): Genel BT altyapısı yönetimi — sunucu, ağ, yedekleme, uygulama katmanları
• MSSP (Managed Security Service Provider): Güvenlik odaklı yönetilen hizmetler — SIEM, log, zafiyet, olay müdahalesi
• MDR (Managed Detection & Response): Tehdit tespiti ve aktif müdahaleye odaklı güvenlik hizmeti
• MITS (Managed IT Services): MSP ile eş anlamlı kullanılan daha geniş bir terim

Ixpanse gibi entegre sağlayıcılar; altyapı yönetimi ile güvenlik kapasitesini tek çatı altında sunarak hibrit yapılarda koordinasyonu kolaylaştırır.

Bölüm 2 — Yönetilen Hizmetler Neler Kapsar?

Yönetilen hizmetler kapsamı sağlayıcıdan sağlayıcıya değişir. Kurumsal düzeyde bir MSP’den beklenen temel başlıklar şunlardır:

2.1 Altyapı ve Sunucu Yönetimi

• Fiziksel ve sanal sunucu yönetimi (on-prem, colocation, özel bulut)
• İşletim sistemi yama yönetimi ve güncelleme otomasyonu
• Kapasite planlaması: Disk/CPU/bellek trendlerinin izlenmesi
• Donanım yaşam döngüsü yönetimi
• Konfigürasyon yönetimi ve baseline uyumluluğu

2.2 Ağ Yönetimi

• Router/switch/firewall konfigürasyon ve izleme
• Bant genişliği izleme ve kapasite planlaması
• VPN yönetimi ve uzak erişim güvenliği
• Ağ performans analizi ve optimizasyon
• ISP çeşitliliği ve bağlantı sürekliliği yönetimi

2.3 Güvenlik Hizmetleri

• Endpoint Detection & Response (EDR) yönetimi
• Firewall kural yönetimi ve güncelleme
• Merkezi log toplama ve SIEM operasyonu
• Güvenlik açığı tarama ve yama önceliklendirmesi
• 7/24 güvenlik izleme ve alarm yönetimi

2.4 Yedekleme ve Felaket Kurtarma

• Otomatik yedekleme zamanlaması ve izleme
• Yedekleme bütünlük testleri (restore tatbikatları)
• RPO/RTO hedeflerine uygunluk raporlaması
• DR replikasyonu: Birincil ve ikincil lokasyon senkronizasyonu
• Felaket kurtarma planı (DRP) güncellemesi ve tatbikat yönetimi

2.5 Hizmet Masası ve Destek

• 7/24 teknik destek (telefon, e-posta, portal)
• L1/L2 destek ve triage
• Uzaktan sorun giderme
• Yerinde müdahale (gerektiğinde)
• Olay yönetimi: ITIL benzeri süreçlerde ticket takibi

2.6 Bulut Yönetimi

• Özel bulut altyapı yönetimi
• Hibrit bulut maliyet optimizasyonu
• Bulut güvenlik konfigürasyonu ve izleme (CSPM)
• Konteyner/Kubernetes ortamı yönetimi

2.7 Raporlama ve Danışmanlık

• Aylık operasyonel sağlık raporları (uptime, olay, kapasite)
• Güvenlik durum raporları
• Yıllık teknoloji yol haritası önerileri
• 3 yıllık altyapı projeksiyon ve bütçe görünümü

Önemli Not: Kapsam mutlaka sözleşmede (SoW) netleştirilmelidir. “Dahil” zannettiğiniz bir başlığın kapsam dışı olması, kriz anında en büyük risktir.

Bölüm 3 — Hangi Kurum Ne Zaman MSP Düşünmeli?

Yönetilen hizmetler “herkese uyan” bir model değildir. Doğru karar için kurumun ihtiyacı, kritik servisleri ve risk iştahı analiz edilmelidir.

MSP’nin Güçlü Olduğu Senaryolar

Senaryo 1: Küçük-Orta Ölçekli Kurum, Sınırlı BT Ekibi
5-10 kişilik bir ekip; sunucu, ağ, güvenlik, yedekleme, kullanıcı desteği ve stratejik projeleri eş zamanlı yönetmekte zorlanır. MSP; kapasite ve uzmanlık açığını kapatır.

Senaryo 2: Güvenlik Uzmanlığı Gerektiren, Bütçesi Kısıtlı Kurum
Tam zamanlı bir güvenlik ekibi kurmanın maliyeti yüksektir. MSSP/MDR yaklaşımları, uzmanlığa paylaşımlı erişim sağlar.

Senaryo 3: 7/24 İzleme Gerektiren Kritik Altyapı
Finans, sağlık, e-ticaret gibi alanlarda gecenin ortasındaki kesinti doğrudan gelir kaybıdır. 7/24 izleme ve müdahale kapasitesi için MSP maliyet etkindir.

Senaryo 4: Hızlı Büyüyen veya Değişken Ölçekli İş Modeli
İhtiyaçların hızlı değiştiği dönemlerde, işe alım ile ölçeklemek yavaş kalır. MSP; esneklik ve hızlı kaynak erişimi sunar.

Senaryo 5: Regülasyon Uyumluluğu Baskısı
KVKK/ISO 27001 gibi gereksinimler; kontrol, izleme ve kayıt disiplinini zorunlu kılar. MSP; bu operasyonu sürdürülebilir hale getirir.

MSP’nin Daha Az Uygun Olduğu Senaryolar

• Çok olgun ve uzmanlıkları tam iç BT ekibi olan kurumlar (yalnızca niş destek aranıyorsa)
• Veri aktarımı/egemenliği nedeniyle operasyonun sıkı biçimde yerelde tutulması gereken yapılar
• Standart prosedürlere uymayan, aşırı özelleştirilmiş altyapılar

Operasyonel sürekliliği “saldırı olsa bile ayakta kalma” perspektifiyle ele almak isteyen kurumlar, Siber Dayanıklılık yaklaşımını MSP değerlendirmesiyle paralel ele almalıdır.

Bölüm 4 — İç BT Ekibi vs. MSP: Maliyet Gerçeği

En sık sorulan soru: “Kendi BT ekibimiz daha ucuza gelmez mi?” Yanıt, “eşdeğer kapasite” ile kıyaslandığında netleşir. 3 kişilik genelci ekip ile 7/24 uzman havuzunu aynı kefeye koymak doğru değildir.

İç BT Ekibi (Yıllık) — Görünmeyen Kalemler

• Brüt maaş + yan haklar + işe alım maliyeti
• Eğitim ve sertifikasyon bütçesi
• İzin/hastalık/işten ayrılma riski (süreklilik riski)
• Lisans ve araç maliyetleri (SIEM, EDR, yedekleme vb.)
• 7/24 izleme için nöbet/ek personel ihtiyacı
• Uzmanlık derinliği kısıtı (ağ + güvenlik + bulut aynı kişide toplanır)

MSP Modeli (Yıllık) — Tipik Avantajlar

• Sabit paket/abonelik maliyeti
• Servis sürekliliği: kişi bağımlılığı azalır
• Uzman ekip havuzu (ağ, sistem, güvenlik, bulut)
• 7/24 izleme ve SLA ile güvence
• Raporlama ve iyileştirme önerileri
• Ölçeklenebilirlik: sözleşmeye bağlı esneklik

Örnek Perspektif: 50-100 Kişilik Bir Şirket

Tek bir sistem/ağ/güvenlik uzmanı; tatilde, hastalıkta veya işten ayrıldığında servis sürekliliğini garanti etmez. Eşdeğer 7/24 kapasite için birden fazla rol gerekir. MSP yaklaşımı, bu kapasiteyi “paylaşımlı uzmanlık” ile sağlar.

Bölüm 5 — SLA: Sözleşmenin Kalbi

Yönetilen hizmetlerin kalitesini belirleyen en kritik belge SLA’dır. “7/24 destek” vaadi yapan her sağlayıcının SLA’sı aynı değildir. SLA’yı doğru okumak, müşterinin en değerli yetkinliğidir.

SLA’da Mutlaka Bulunması Gereken Başlıklar

Yanıt Süresi (Response) vs. Çözüm Süresi (Resolution)
Yanıt süresi, olayın ele alındığını gösterir. Çözüm süresi ise sorunun fiilen giderildiği zamandır. İkisi ayrı KPI’dır.

Öncelik Seviyeleri (P1–P4) — Örnek Çerçeve

• P1 – Kritik: Üretim sistemi tamamen durmuş. (Yanıt: <15 dk | Çözüm: <4 saat)
• P2 – Yüksek: Önemli servis degradasyonu. (Yanıt: <1 saat | Çözüm: <8 saat)
• P3 – Orta: Belirli kullanıcı/işlev etkilenmiş. (Yanıt: <4 saat | Çözüm: <24 saat)
• P4 – Düşük: Bilgi talebi / küçük iyileştirme. (Yanıt: <8 saat | Çözüm: <72 saat)

Uptime Garantisi — Ne Anlama Gelir?

• %99.9 uptime: Yılda yaklaşık 8.7 saat kesinti toleransı
• %99.99 uptime: Yılda yaklaşık 52 dakika kesinti toleransı
• %99.999 uptime: Yılda yaklaşık 5 dakika kesinti toleransı

Kritik servisleriniz için hedefi belirlerken RPO/RTO ihtiyaçlarınızı netleştirmeniz gerekir. Bunun için RPO ve RTO yaklaşımını temel alabilirsiniz.

Kapsam Dışı Durumlar (Exclusions)

• Müşteri taraflı hatalı konfigürasyonlar
• Üçüncü taraf yazılım kaynaklı sorunlar
• Force majeure (doğal afet vb.)
• SLA kapsamı dışında bırakılan sistemler (scope belirsizliği riski)

Cezai Hükümler (Service Credits)

SLA ihlalinde hizmet kredisi/ücret iadesi gibi mekanizmalar; sağlayıcının taahhütlerine güvenini ve disiplinini gösterir.

Bölüm 6 — MSP Seçim Kriterleri: 10 Soru

MSP seçimi uzun vadeli bir ortaklık kararıdır. Aşağıdaki sorular, değerlendirmeyi sistematik hale getirir:

1. Altyapınız nerede konumlanıyor? Yerellik, gecikme ve KVKK uyumu açısından kritik.
2. Sertifikasyonları neler? ISO 27001, ISO 22301 vb. süreç olgunluğunu doğrular.
3. Referanslarınız sektör/ölçek olarak benzer mi? Görüşme yapılabiliyor mu?
4. P1 olayında süreç nasıl işliyor? Gece 02:00’de gerçek müdahale kapasitesi var mı?
5. Ekip sertifikasyonları? (CISSP, VCP, CCNP vb.)
6. Hangi araçlar kullanılıyor? RMM/PSA/SIEM/yedekleme araçları ve lisans modeli.
7. Sözleşme koşulları? Taahhüt, fesih, fiyat güncelleme ve lock-in riski.
8. Scope genişleme nasıl yönetiliyor? Ek taleplerin süreç ve fiyatlandırması net mi?
9. Raporlama standardı? Aylık rapor, dashboard, yönetici sunumu var mı?
10. Onboarding/Offboarding? Dokümantasyon ve veri erişimi garantisi nasıl?

Bölüm 7 — MSP Geçiş Süreci: Neler Beklenmeli?

Geçiş (onboarding) süreci, MSP deneyimini belirleyen ilk kritik aşamadır. İyi bir plan; kesintisiz devri hedefler.

Faz 1: Keşif ve Envanter (1-2. Hafta)

• Sunucu, ağ cihazı ve uç noktaların envanteri
• Konfigürasyonlar ve network diyagramlarının belgelenmesi
• Mevcut zafiyet/teknik borçların çıkarımı
• Erişim süreçlerinin güvenli devri
• İş kritikliğine göre sistem sınıflandırması

Faz 2: İzleme Kurulumu ve Normalizasyon (2-4. Hafta)

İzleme ve alarm eşikleri kalibre edilir, log akışları düzenlenir, ilk operasyonel raporlar üretilmeye başlanır.

Faz 3: Olgunlaşma (1-3. Ay)

• Aylık operasyonel rapor rutini
• P1 tatbikatı (simülasyon)
• Yedekleme/kurtarma testi
• İyileştirme yol haritası önerileri

Geçişte Sık Yapılan Hatalar

• Yetersiz dokümantasyon
• Beklenti yönetimi eksikliği
• İç iletişimin atlanması
• Scope belirsizliği

İş sürekliliği ve kurtarma planlarını yapılandırmak için Felaket Kurtarma perspektifini geçiş planına erken dahil etmeniz önerilir.

Bölüm 8 — MSP Başarısını Nasıl Ölçersiniz?

MSP ile çalışmaya başlamadan önce başarının nasıl ölçüleceği mutabık kalınmalıdır. Aşağıdaki metrikler nesnel performans takibi sağlar:

Operasyonel Metrikler

• Uptime oranı (SLA hedeflerine uyum)
• Öncelik bazında yanıt/çözüm süreleri
• Açık bilet yaşlandırma (kapatılmamış taleplerin süresi)
• Birinci temas çözüm oranı (FCR)

Güvenlik Metrikleri

• Kritik yamaların kapatma süresi (örn. <7 gün hedefi)
• MTTD / MTTR (tespit ve müdahale süreleri)
• Alarm doğruluk oranı (false positive azaltımı)

İş Değeri Metrikleri

• Kullanıcı başına BT maliyeti
• Stratejik proje teslim oranı (MSP devralınca iç ekip ne kadar hızlandı?)
• Kullanıcı memnuniyeti (CSAT)

Sonuç — Doğru Partner, Doğru Kapsam, Doğru SLA

Yönetilen hizmetler; doğru sağlayıcı, doğru kapsam ve doğru sözleşme koşullarıyla birleştiğinde, kurumun BT operasyonlarını dönüştüren stratejik bir karardır. Yanlış seçildiğinde ise maliyetli bir hayal kırıklığına dönüşebilir.