Bulut projelerinde son yıllarda en sık duyduğumuz soru şu: “Verimiz nerede duruyor?” Bu soru basit görünür ama arkasında birbirinden farklı üç kavram yatar ve bunlar karıştırıldığında kurumlar yanlış güven duygusuna kapılabilir. Bu rehberde veri yerelliğinin ne anlama geldiğini, yerli bulut seçerken hangi soruları sormanız gerektiğini ve sık gözden kaçan noktaları anlatıyoruz. Hizmet tarafını merak ediyorsanız yerli bulut çözümleri sayfamızda kapsamı ayrıntılı bulabilirsiniz.
Üç kavram: Lokasyon, yerellik, egemenlik
Veri lokasyonu
Verinin fiziksel olarak hangi veri merkezinde, hangi ülkede saklandığıdır. En somut ve en kolay doğrulanan kavramdır. “Sunucumuz İstanbul’da” cümlesi bir lokasyon beyanıdır.
Veri yerelliği
Verinin belirli bir ülke sınırları içinde tutulması ve işlenmesi gerekliliği ya da tercihidir. Bir düzenlemeden, bir müşteri sözleşmesinden veya kurumun kendi risk politikasından kaynaklanabilir. Yerellik yalnızca ana veritabanını değil, yedekleri, log kayıtlarını, test ortamlarını ve analitik kopyaları da kapsar; asıl zorluk da buradadır.
Veri egemenliği
Verinin hangi ülkenin hukukuna tabi olduğu ve kimlerin, hangi hukuki dayanakla ona erişim talep edebileceğidir. Veri Türkiye’de dursa bile, onu işleten sağlayıcının bağlı olduğu yetki alanı başka bir ülkenin mevzuatını da devreye sokabilir. Bu nedenle düzenlenmiş sektörlerde lokasyon kadar sağlayıcının yapısı ve sözleşmesi de önemlidir.
KVKK açısından genel çerçeve
KVKK, kişisel verilerin yurt dışına aktarılmasını belirli şartlara ve güvencelere bağlar. Yurt dışındaki bir bulut hizmetine kişisel veri yüklemek çoğu durumda bu kapsamda değerlendirilir. Veriyi Türkiye’de tutmak bu değerlendirmeyi sadeleştirir, ama veri işleme faaliyetinin hukuka uygunluğu, aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve saklama-imha süreçleri ayrıca karşılanmalıdır. Kendi durumunuzda hangi şartların uygulanacağını mutlaka bir hukuk danışmanıyla değerlendirin. Biz bu yazıda teknik tarafa odaklanıyoruz.
Gizli veri akışları: Verinin farkında olmadan yurt dışına çıktığı yerler
Bir kurum ana uygulamasını yerli buluta taşıdıktan sonra çoğu zaman “tamam, verimiz Türkiye’de” der. Oysa veri, şu yollarla sessizce sınır dışına çıkabilir:
- Yedekleme hizmetleri: Yedek yazılımının bulut deposu başka bir ülkede olabilir.
- Log ve izleme araçları: Uygulama logları kişisel veri içerebilir ve küresel bir izleme platformuna gönderiliyor olabilir.
- E-posta ve dosya paylaşımı: Raporlar ve dışa aktarılan listeler e-posta ekiyle ya da paylaşım bağlantısıyla dolaşabilir.
- Destek erişimi: Sağlayıcının veya yazılım üreticisinin destek ekibi sisteme yurt dışından uzaktan bağlanıyor olabilir.
- Analitik ve pazarlama etiketleri: Web sitesindeki üçüncü taraf etiketler ziyaretçi verisini başka ülkelere iletebilir.
Bu yüzden yerellik projesi, bir “veri akış haritası” çıkarmakla başlamalıdır: Veri nereden girer, nerede işlenir, nereye kopyalanır, kim erişir?
Yerli bulut sağlayıcısına sorulacak sorular
- Veri merkezleriniz nerede ve kaç tane? Yedek ve felaket kurtarma kopyası için yurt içinde ikinci bir lokasyon var mı?
- Altyapıya yönetim ve destek erişimi kimden ve nereden yapılıyor? Erişimler kayıt altına alınıyor mu?
- Şifreleme anahtarları kimde? Müşteri tarafından yönetilen anahtar seçeneği var mı?
- Hangi bilgi güvenliği belgeleriniz ve denetim raporlarınız var? ISO/IEC 27001 kapsamı veri merkezini ve bulut hizmetini birlikte içeriyor mu?
- Olay bildirimi süreciniz nasıl işliyor? Bir güvenlik olayında ne zaman, hangi kanaldan bilgilendirileceğiz?
- Sözleşme bittiğinde verimizi nasıl ve hangi formatta alırız? Silme işlemi nasıl belgeleniyor?
- Alt yükleniciler kimler? Hizmetin bir parçası yurt dışındaki bir firmadan alınıyor mu?
Mimari tarafta iyi uygulamalar
- Veri sınıflandırması: Tüm veriyi aynı hassasiyette ele almak hem pahalı hem gereksizdir. Kişisel, özel nitelikli, ticari sır ve herkese açık veriyi ayırın.
- Hibrit yaklaşım: Hassas veriyi yerli bulutta, küresel işbirliği araçlarını ayrı tutun; iki ortam arasındaki bağlantıyı şifreli ve kayıtlı hale getirin.
- Şifreleme her yerde: Durağan veri disk ve veritabanı seviyesinde, aktarım halindeki veri güncel protokollerle şifrelenmeli.
- Merkezi log, yurt içinde: Log kayıtlarını da yerli ortamda toplayın; gerekirse kişisel veriyi loglamadan önce maskeleyin.
- Taşınabilirlik: Açık formatlar ve belgelenmiş altyapı, sağlayıcı değiştirmeyi kriz olmaktan çıkarır.
Sektörlere göre kısa notlar
Finans: BDDK ve SPK gibi düzenleyicilerin bilgi sistemleri ve dış hizmet alımına ilişkin kuralları, sağlayıcı seçimini ve sözleşme içeriğini doğrudan etkiler; uyum ekibinizi projeye baştan dahil edin. Sağlık: Sağlık verileri özel nitelikli kişisel veridir; erişim kayıtları ve şifreleme konusunda daha sıkı bir yaklaşım gerekir. Kamu: Kamu bilgi güvenliğine ilişkin rehberler veri sınıflandırması ve lokasyon konusunda belirgin beklentiler içerir; tedarikçi olarak bu beklentileri sözleşme öncesinde netleştirin.
Geçişten önce iç hazırlık
Sağlayıcıya sorulacak soruların yanında, kurumun kendi içinde de netleştirmesi gereken konular vardır. Hazırlığı ne kadar iyi yaparsanız, sağlayıcı seçimi ve sözleşme süreci o kadar hızlı ilerler:
- Veri envanteri: Kişisel veri işleme envanteriniz güncel mi? Hangi sistemde hangi kategoride veri tutulduğu belli mi?
- Sorumluluk dağılımı: Veri sorumlusu ve veri işleyen rolleri sözleşmede nasıl tanımlanacak? Sağlayıcı ile aranızdaki ilişki yazılı hale getirildi mi?
- Erişim politikası: Bulut ortamına kimler, hangi yetkiyle ve hangi cihazlardan erişecek? Yönetici hesaplarında çok faktörlü kimlik doğrulama zorunlu mu?
- Saklama ve imha: Hangi verinin ne kadar süre tutulacağı, sürenin sonunda nasıl ve kim tarafından silineceği belirlendi mi?
- Kurtarma hedefleri: Kritik sistemler için kabul edilebilir veri kaybı (RPO) ve kesinti süresi (RTO) tanımlandı mı?
- Uygulama uyumluluğu: Kullandığınız yazılımlar yerli bulut ortamında üretici tarafından destekleniyor mu, lisans koşulları uygun mu?
Bu listeyi hukuk, bilgi işlem ve iş birimleriyle birlikte doldurmak, “neyi neden yerli bulutta tutuyoruz?” sorusuna kurum içinde ortak bir cevap üretir. Bu ortak cevap, ileride bir denetimde ya da müşteri sorgusunda da en güçlü belgeniz olur.
Sık yapılan yanlışlar
Yerli bulut projelerinde en çok karşılaştığımız yanlış, lokasyonu tek başına bir güvenlik tedbiri saymaktır. İkinci yaygın hata, test ve geliştirme ortamlarında gerçek müşteri verisinin maskelenmeden kullanılması ve bu ortamların farklı, çoğu zaman daha az korunan bir platformda tutulmasıdır. Üçüncüsü ise sözleşmeyi yalnızca fiyat üzerinden değerlendirip çıkış, veri iadesi ve silme koşullarını sonraya bırakmaktır.
Sonuç
Veri yerelliği bir sunucunun hangi şehirde durduğundan çok daha fazlasıdır; yedekten loga, destek erişiminden sözleşmeye kadar uzanan bir bütündür. Doğru sorularla başlayan bir proje, hem düzenleyici beklentileri karşılamayı kolaylaştırır hem de müşterilerinize net bir cevap vermenizi sağlar. Bu süreci teknik olarak nasıl yürüttüğümüzü yerli bulut çözümleri sayfamızda anlattık; yasal tarafı destekleyen çalışmalar için KVKK uyum danışmanlığı sayfamıza da göz atabilirsiniz.
Sık sorulan sorular
Veri yerelliği ile veri egemenliği aynı şey mi?
Hayır. Veri yerelliği verinin belirli bir ülke sınırları içinde tutulmasıdır; veri egemenliği ise verinin hangi ülkenin hukukuna tabi olduğu ve kimin hangi dayanakla erişim talep edebileceğidir. Veri Türkiye’de dursa bile sağlayıcının yetki alanı egemenlik sorusunu etkileyebilir.
Ana sistem yerli buluttaysa veri yurt dışına çıkmış sayılmaz mı?
Her zaman değil. Yedekleme hizmetleri, log ve izleme araçları, destek erişimi ve web sitesindeki üçüncü taraf etiketler veriyi farkında olmadan yurt dışına taşıyabilir. Bir veri akış haritası çıkarmak bu riskleri görünür kılar.
Yerli bulut sağlayıcısından hangi belgeleri istemeliyim?
Bilgi güvenliği belgeleri (ör. ISO/IEC 27001 ve kapsamı), denetim raporları, olay bildirim süreci, alt yüklenici listesi ve sözleşme sonunda verinin iadesi ile silinmesine dair yazılı taahhütler istenmesi gereken başlıca belgelerdir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
