Bir şirketin verisi bulutta, SaaS platformunda veya harici bir veri merkezinde saklandığında yalnızca teknik bir altyapı kararı verilmiş olmaz. Aynı zamanda verinin hangi ülkenin hukukuna tabi olabileceği, hangi kamu otoritelerinin erişim talebinde bulunabileceği, hangi alt hizmet sağlayıcıların veriyi işleyebileceği ve verinin gerektiğinde nasıl geri alınacağı da belirlenmiş olur. Çoğu şirket bu soruları ancak denetim, kişisel veri ihlali, yurt dışı aktarım incelemesi, sağlayıcı değişikliği veya hukuki bir veri talebi sırasında gündeme getirir. Oysa verinin nerede tutulduğu, kim tarafından yönetildiği ve hangi yargı alanlarına tabi olduğu altyapı tasarımının en başında değerlendirilmelidir.

Microsoft 365, şirketlerin e-posta, dosya paylaşımı, iş birliği, toplantı ve iletişim süreçlerini taşıyan güvenilir bir SaaS platformudur. Exchange Online, OneDrive, SharePoint ve Microsoft Teams gibi hizmetler yüksek erişilebilirlik, coğrafi yedeklilik, sürüm geçmişi, geri dönüşüm kutusu ve retention politikaları gibi güçlü yerleşik koruma özellikleri sunar.

Ancak platformun çalışır durumda kalması ile bir şirketin verisini istediği tarih aralığında, istediği ayrıntı seviyesinde ve kabul edilebilir sürede geri getirebilmesi aynı şey değildir.

Felaket kurtarma stratejisinin gerekli olup olmadığı artık tartışılmıyor. Kurumların yanıtlaması gereken asıl soru, kritik sistemlerin bir kesinti, siber saldırı veya fiziksel felaket sonrasında ne kadar veri kaybıyla ve ne kadar sürede yeniden çalışır hale getirilebileceğidir.

Geleneksel felaket kurtarma modeli genellikle ikinci bir lokasyonda sunucu, depolama, ağ ve lisans altyapısı kurulmasına dayanır. Bu altyapının üretim ortamıyla senkronize tutulması, sürekli güncellenmesi, kapasitesinin planlanması ve düzenli olarak test edilmesi gerekir.

Zero Trust yaklaşımı kurumsal güvenlik mimarisine ağırlıklı olarak kimlik, cihaz ve ağ katmanları üzerinden girdi. “Asla varsayılan olarak güvenme, her erişimi doğrula” ilkesi; çok faktörlü kimlik doğrulama, en az yetki, mikro segmentasyon ve bağlama dayalı erişim politikalarıyla hayata geçirildi. Ancak birçok kurumda Zero Trust mimarisinin dışında kalan kritik bir alan bulunuyor: verinin kendisi ve özellikle kurumun son kurtarma güvencesini oluşturan yedekleme altyapısı.

“Yedekleme sistemimiz var” cümlesi, birçok kurumda veri kaybı riskine karşı yeterli bir güvence gibi algılanır. Oysa veri kaybının gerçek maliyeti, yalnızca kaybolan dosyaların, silinen kayıtların veya erişilemeyen sistemlerin teknik değeriyle sınırlı değildir. Veri kaybı yaşandığında asıl fatura; operasyonel kesinti, müşteri kaybı, yasal yaptırımlar, itibar hasarı, veri kurtarma maliyeti, çalışan verimliliği kaybı, sigorta primleri ve kriz yönetimi harcamalarının birleşimiyle ortaya çıkar.