Kritik Tedarikçilerde İş Sürekliliği: Bağımlılık ve Güvence

Alternatif bir düzenleme kurmadıysanız kurtarma kapasiteniz, en zayıf kritik tedarikçinizin kurtarma kapasitesi kadardır. Kendi veri merkeziniz çift beslemeli ve yedekli olabilir; ERP’yi barındıran bulut sağlayıcı, tek internet operatörünüz veya tek kaynaktan aldığınız hammadde durduğunda iş yine durur. Aşağıda kritik tedarikçilerin iş etki analizinden nasıl çıkarılacağını, tedarikçinin süreklilik kapasitesinin kanıtla nasıl sorgulanacağını, sözleşmeye girecek maddeleri ve tek kaynak bağımlılığına karşı stratejileri anlatıyoruz. Tedarikçi riskinin bilgi güvenliği boyutu ayrı bir konudur; buradaki odak, tedarikçinin hizmeti kesintisiz sürdürebilmesidir.

Kritik tedarikçi nasıl belirlenir?

Kritik tedarikçi listesi satın almanın harcama raporundan çıkmaz, iş etki analizinden (BIA) çıkar. Yıllık cirosu küçük bir bakım firması, cirosu büyük bir kırtasiye tedarikçisinden çok daha kritik olabilir. BIA’da her kritik süreç için bağımlılıklar kaydedilir: kişiler, sistemler, tesisler ve tedarikçiler. Bir tedarikçi şu durumlarda kritiktir:

• Desteklediği süreç BIA’da kritik işaretliyse ve tedarikçinin kesintisi bu sürecin RTO’sunu aşan bir aksama yaratıyorsa,
• Yerine kısa sürede başka bir kaynak devreye alınamıyorsa,
• Tedarikçi, sizin kendi kurtarma stratejinizin parçasıysa (yedekleme hizmeti, DR sahası, alternatif ofis sağlayıcısı, donanım bakım firması).

Son madde sıklıkla atlanır. Kurtarma için güvendiğiniz tedarikçi, bölgesel bir olayda aynı bölgedeki birçok müşterisine aynı anda yetişmeye çalışır. Sözleşmede dört saatte yerinde müdahale yazabilir; aynı gün yirmi müşterisinin depolama ünitesi su altındaysa o dört saat kâğıtta kalır. BIA veri toplama yöntemi için iş etki analizi nasıl yapılır rehberine bakabilirsiniz.

Sınıflandırma için iki eksen yeterli: iş etkisi (kesintisi hangi süreçleri, ne kadar sürede durdurur) ve ikame edilebilirlik (alternatif kaynağa geçiş ne kadar sürer). Yüksek etki ile düşük ikame edilebilirliğin kesiştiği tedarikçiler, aşağıdaki güvence adımlarının tamamından geçer.

Tek kaynak ve yoğunlaşma riski

Tek kaynak (single source) bağımlılığı, bir girdinin yalnız bir tedarikçiden alınabilmesidir. Yoğunlaşma riski ise farklı görünen tedarikçilerin aslında aynı altyapıya dayanmasıdır. İkincisi daha sinsidir; kâğıt üzerinde iki kaynak görünür, sahada tek arıza noktası vardır:

• İki farklı internet operatöründen alınan hatların aynı kablo güzergahından, aynı binaya giren aynı boru hattından veya aynı santralden geçmesi,
• Farklı yazılım sağlayıcılarının aynı bulut bölgesinde barındırılması,
• Ana ve yedek lojistik firmalarının aynı depoyu kullanması,
• Bakım sözleşmesi olan iki firmanın aynı distribütörden parça temin etmesi.

Hat çeşitliliğinde sahada en sık gördüğümüz durum şu: iki operatörden alınan devreler, binanın önündeki aynı kazı çalışmasında birlikte kopar. Operatörden güzergah çeşitliliği (path diversity) bilgisini yazılı istemeden “iki hat” yedeklilik sayılmaz. Yoğunlaşmayı görmek için kritik tedarikçilere kendi kritik alt yüklenicilerini sorun. Tedarik zinciri sürekliliği için ISO/TS 22318 (ISO 22301’i destekleyen rehber doküman) yol gösterir; ama asıl iş, tedarikçinin cevaplarını kendi bağımlılık haritanızın üzerine koymaktır.

Tedarikçinin süreklilik kapasitesi nasıl sorgulanır?

Tedarikçiye “İş sürekliliği planınız var mı?” diye sormak, “evet” dışında bilgi üretmez. Soru listesi kanıt istemeli ve cevaplar sizin hedeflerinizle karşılaştırılabilir olmalıdır. Aşağıdaki tablo örnek bir soru seti.

Alan	Soru	Beklenen kanıt
Yönetim sistemi	Süreklilik yönetiminiz hangi kapsamda ve belgeli mi?	Kapsam ifadesi, varsa ISO 22301 sertifikası
Hedefler	Bize verdiğiniz hizmet için RTO ve RPO nedir?	Hizmete özgü yazılı hedef
Test	Son kurtarma testi ne zaman yapıldı, sonucu ne oldu?	Test özeti, açık aksiyonlar
Lokasyon	Hizmet hangi tesislerden verilir, alternatif yer var mı?	Tesis listesi, alternatif yer planı
Alt yükleniciler	Hizmet için kritik alt yükleniciler kimler?	Alt yüklenici listesi
Bildirim	Kesintiyi bize ne zaman ve hangi kanaldan bildirirsiniz?	Bildirim prosedürü, iletişim noktası
Önceliklendirme	Bölgesel krizde müşterileri nasıl önceliklendirirsiniz?	Önceliklendirme kuralı

Cevapları değerlendirirken üç noktaya bakın. Birincisi sertifika kapsamı: bir ISO 22301 sertifikası, size hizmet veren lokasyonu veya hizmeti kapsamıyor olabilir; sertifikanın kapsam ifadesini mutlaka okuyun. İkincisi hedef uyumu: tedarikçinin RTO’su sizin sürecinizin RTO’sundan uzunsa aradaki farkı sizin ek önleminiz kapatmak zorundadır. Üçüncüsü test kanıtı. Test edilmemiş plan, niyet beyanıdır.

Sözleşmede süreklilik maddeleri

Sorgulama bir kez yapılır ve zamanla eskir; sözleşme maddesi ise yükümlülüğü kalıcı kılar. ISO/IEC 27001:2022 Ek A’daki tedarikçi ilişkileri kontrolleri (5.19–5.22) ve bulut hizmetleri kontrolü (5.23) de tedarikçi anlaşmalarında gerekliliklerin tanımlanmasını ve izlenmesini bekler. Kritik tedarikçi sözleşmelerine şu maddeleri ekleyin:

1. Süreklilik planı yükümlülüğü: Tedarikçinin sözleşme konusu hizmet için bir süreklilik planı sürdürmesi ve yılda en az bir kez test etmesi.
2. Hizmete özgü kurtarma hedefleri: Hizmet için RTO/RPO veya eşdeğer teslim süresi taahhüdü.
3. Kesinti bildirimi: Hizmeti etkileyen olayın belirli bir süre içinde, belirlenen kanaldan bildirilmesi ve düzenli durum güncellemesi verilmesi.
4. Test sonuçlarının paylaşımı: Test raporlarının talep üzerine paylaşılması ve ortak tatbikata katılım.
5. Alt yüklenici değişikliği: Kritik alt yüklenici veya hizmet lokasyonu değişikliğinin önceden bildirilmesi.
6. Veri iadesi ve çıkış: Sözleşme sona erdiğinde veya tedarikçi hizmet veremez hale geldiğinde verinin hangi formatta ve ne sürede iade edileceği; geçiş desteği.
7. Kaynak kod emaneti (escrow): Özel yazılımlarda, tedarikçinin faaliyetini durdurması halinde kaynak koda erişim sağlayan emanet düzenlemesi.
8. Denetim hakkı: Süreklilik düzenlemelerinin yerinde veya belge üzerinden doğrulanabilmesi.

Mücbir sebep maddesini ayrıca okuyun. Geniş tanımlanmış bir mücbir sebep maddesi, tedarikçiyi tam da süreklilik planının devreye girmesi gereken olaylarda yükümlülükten kurtarır. Deprem, siber saldırı, enerji kesintisi bu listede “mücbir” sayılıyorsa süreklilik maddesinin pratikte karşılığı kalmaz. Maddelerin hukuki dilini hukuk biriminizle birlikte belirleyin.

Alternatif tedarik stratejileri

Sözleşme tedarikçinin hazırlığını güçlendirir; tedarikçinin durmayacağını garanti etmez. Kritik bağımlılıklar için kendi tarafınızda bir strateji seçmeniz gerekir. Seçenekler:

Strateji	Ne zaman uygun?	Sınırlaması
Çoklu kaynak (aktif)	Hacmin iki tedarikçiye bölünebildiği girdiler, internet hatları	Maliyet, kalite ve yönetim yükü artar
Onaylı yedek tedarikçi (pasif)	Geçişin günler içinde yapılabildiği ürün ve hizmetler	Kullanılmayan tedarikçinin hazır olup olmadığı belirsiz kalır
Stok / tampon	Raf ömrü olan, depolanabilir girdiler, yedek parça	Sermaye bağlar, eskime riski
İçeride geçici üretim	Basit hizmetler, manuel ikame edilebilen süreçler	Ölçeklenmez, yetkin personel gerekir
Tedarikçinin coğrafi yedekliliği	Bulut ve barındırma hizmetleri	Aynı sağlayıcı riski devam eder
Riskin kabulü	Etkinin yönetimce tolere edilebildiği durumlar	Yazılı ve onaylı olmalı

BT hizmetlerinde pasif yedek tedarikçi, sanıldığı kadar hızlı çalışmaz. Veri taşıma, entegrasyonların yeniden kurulması, lisanslama, kullanıcı erişimi ve DNS/MX değişiklikleri haftalar alabilir. SaaS gibi hizmetlerde gerçekçi strateji, verinin düzenli dışa aktarımı ve kesinti süresince manuel çalışma yöntemlerinin tanımlanmasıdır. Dışa aktarımı da test edin. Hiç açılmamış bir yedek dosya, yedek değildir.

Tedarikçiyle ortak tatbikat ve izleme

Tedarikçinin planı ile sizin planınız arasındaki devir noktaları ancak birlikte test edildiğinde doğrulanır. Ortak tatbikat çoğu durumda masa başı formatta yapılır: senaryo tedarikçinin kesintisiyle başlar, tedarikçi bildirim ve kurtarma adımlarını anlatır, siz kendi süreçlerinizin bu süre boyunca nasıl yürüyeceğini gösterirsiniz. Bu tatbikatlarda en sık çıkan bulgular üçtür: bildirimin şirketten ayrılmış bir kişinin e-posta adresine gitmesi, tedarikçinin RTO’sunun sizin varsaydığınızdan uzun çıkması ve kesinti sırasında kimin karar verdiğinin belirsiz kalması. Format seçimi için iş sürekliliği tatbikat türleri yazısına bakabilirsiniz.

İzleme için kritik tedarikçi kaydı en az şu alanları taşımalı: desteklenen süreçler, tedarikçinin RTO/RPO taahhüdü, son değerlendirme tarihi, son test kanıtı, sözleşme bitiş tarihi, alternatif strateji ve açık aksiyonlar. Kaydı yılda en az bir kez ve tedarikçide önemli bir değişiklik olduğunda (birleşme, lokasyon değişikliği, büyük olay) güncelleyin.

Kontrol listesi

• Kritik tedarikçi listesi BIA bağımlılıklarından türetildi; kurtarma tedarikçileri de dahil edildi.
• Yoğunlaşma riski için kritik alt yükleniciler soruldu ve haritalandı; hat güzergahları yazılı olarak teyit edildi.
• Tedarikçi RTO/RPO taahhütleri süreç hedefleriyle karşılaştırıldı, boşluklar için önlem tanımlandı.
• Sözleşmelerde bildirim, test, çıkış ve veri iadesi maddeleri var; mücbir sebep tanımı gözden geçirildi.
• Tek kaynak bağımlılıkları için alternatif strateji seçildi veya risk kabulü yönetimce onaylandı.
• En kritik tedarikçilerle ortak tatbikat yapıldı.

Tedarikçinin bilgi güvenliği kontrollerinin değerlendirilmesi ayrı bir süreçtir ve tedarikçi bilgi güvenliği risk değerlendirmesi rehberinde anlatılıyor. İki değerlendirmeyi tek bir tedarikçi yaşam döngüsünde birleştirmek için tedarikçi ve üçüncü taraf risk yönetimi ile BIA ve iş sürekliliği planı çalışmalarını birlikte kurgulayabilirsiniz.

Sık sorulan sorular

Tedarikçinin ISO 22301 sertifikası olması yeterli güvence mi?

Tek başına değil. Sertifikanın size verilen hizmeti ve lokasyonu kapsayıp kapsamadığını kontrol edin, tedarikçinin bu hizmet için taahhüt ettiği kurtarma süresini kendi süreç hedeflerinizle karşılaştırın ve son test sonuçlarını isteyin.

Kritik tedarikçi listesini kim hazırlamalı?

Liste iş sürekliliği sorumlusunun koordinasyonunda, BIA’daki süreç sahiplerinin bildirdiği bağımlılıklardan hazırlanır. Satın alma tedarikçi ve sözleşme bilgisini, BT ise teknoloji tedarikçilerinin hizmet bağımlılıklarını sağlar.

SaaS sağlayıcısı kesintiye uğrarsa ne yapılabilir?

Kısa sürede başka bir SaaS’a geçmek genellikle gerçekçi değildir. Uygulanabilir önlemler: verinin düzenli olarak okunabilir formatta dışa aktarılması, kesinti süresince kullanılacak manuel çalışma yöntemlerinin tanımlanması ve sözleşmede bildirim, veri iadesi ve çıkış maddelerinin bulunması.

Tedarikçi süreklilik değerlendirmesi ne sıklıkla yenilenmeli?

Kritik tedarikçilerde yıllık değerlendirme yaygın uygulamadır. Tedarikçide birleşme, lokasyon veya alt yüklenici değişikliği, büyük bir olay ya da sizin tarafınızda süreç hedeflerinin değişmesi değerlendirmeyi öne çeker.