Yapılmayan FKM tatbikatı, olmayan FKM demektir
Felaket kurtarma yatırımı yapan kurumların önemli bir kısmı senaryosunu hiç test etmiyor. Test edilmemiş bir plan, plan değildir.
Felaket kurtarma merkezi kurmak bir yatırım kararıdır. Ancak sahada gördüğümüz tablo şu: yatırım yapılıyor, replikasyon kuruluyor, sonra yıllarca hiç test edilmiyor.
Neden test edilmiyor? Çünkü tatbikat, canlı sistemi riske atmak gibi görünür. Oysa gerçek risk, ilk gerçek kesintide senaryonun çalışmadığını öğrenmektir.
Test edilmemiş planlarda en sık karşılaştığımız sorunlar:
Replikasyon aylardır sessizce durmuş oluyor. İzleme kurulmadıysa kimse fark etmiyor.
Uygulama sunucusu ayağa kalkıyor ama veri tabanına bağlanamıyor, çünkü ikincil merkezdeki IP planı ve DNS kayıtları güncellenmemiş.
Lisans sunucusu FKM kapsamına alınmamış; uygulamalar açılıyor ama lisans doğrulaması yapılamadığı için çalışmıyor.
Sistemler geliyor fakat kullanıcıların ikincil merkeze erişimi için gereken VPN ve firewall kuralları hiç tanımlanmamış.
Geri dönüş (failback) senaryosu hiç düşünülmemiş. Ana merkez toparlandığında sistemin nasıl geri alınacağı bilinmiyor.
Tatbikat nasıl yapılmalı? Yılda en az bir kez, önceden ilan edilmiş bir tarihte, adım adım yazılı senaryo üzerinden. Her adımın süresi ölçülmeli ve RTO hedefiyle karşılaştırılmalı. Çıkan farklar bir sonraki tatbikata kadar kapatılacak aksiyon listesi haline getirilmeli.
Birçok sektörel regülasyon zaten düzenli tatbikat ve raporlama zorunluluğu getiriyor. Ancak asıl gerekçe denetim değil: test edilmemiş bir felaket kurtarma planı, kâğıt üzerinde var olan ama gerektiğinde çalışmayan bir sigortadır.