Öğrenci & Kurum Verisi Yedekleme Sistemi

Bu sistem, dijital ortamda öğrenci verisi barındıran ve aşağıdaki durumlardan en az birini yaşayan eğitim kurumları için tasarlanmıştır. Veriyi saklayan her kurum onu kaybetme riskiyle karşı karşıyadır; bu risk küçük kurumlar için büyük kurumlardan daha az değil, aksine daha fazladır:

• Yalnızca yerel sunucu veya tek bilgisayar kullananlar: Öğrenci kayıtları ve ödeme geçmişi bir bilgisayarda tutuluyor ve o bilgisayar bozulduğunda verinin tamamı gidiyorsa bu durum kritik bir risk oluşturmaktadır. Mekanik disk ömrü sınırlıdır; ortalama üç ila beş yılda bir arıza beklenir. Arıza hiçbir zaman müsait bir anda gelmez; en kritik dönemlerde, en beklenmedik saatte gerçekleşir.
• Manuel yedek alanlar: Yedek almayı hatırlayan birinin almadığında veri güncel değildir; haftalık veya aylık yedek alınan sistemlerde son günlerin verisi her zaman risk altındadır. İzin dönemleri, hastalık veya iş yoğunluğu manuel yedeklemenin aksatılmasına yol açar; bu boşluk tam da en kritik anda ortaya çıkabilir.
• Yedeklerini hiç test etmeyenler: Alınan yedeklerin gerçekten geri yüklenip yüklenmediği test edilmemiş olabilir. Bozuk yedek yedeksizle aynı sonucu verir; felaket anında geri yükleme denemesi başarısız olduğunda zaman kaybı ve veri kaybı birleşir. Yıllık tatbikat, bu boşluğu erken keşfetmenin tek yoludur.
• Yönetim yazılımı kullananlar: Ticari okul yönetim yazılımları çoğunlukla dahili yedek özelliği sunar; ancak bu yedeklerin kendi sunucuları dışına kopyalanması kurumun sorumluluğundadır. Yazılım sağlayıcısının sunucusu kapanırsa veya hizmet sözleşmesi sona ererse veriye erişim kaybedilebilir.
• Büyüme planı olan kurumlar: Öğrenci sayısı arttıkça verinin değeri de artar. Şimdi kurulan yedekleme altyapısı ilerleyen yıllarda doğrusal maliyetle ölçeklenebilir; kurumun büyümesiyle birlikte geriye dönük tüm veri de güvende kalır.

Devlet okulları ve üniversiteler kendi BT altyapılarıyla bu ihtiyacı karşıladığından paket özel eğitim kurumlarına odaklanmaktadır. Öğrenci sayısından bağımsız olarak tek bir öğrencinin kaydını bile dijital tutuyorsanız yedekleme yükümlülüğünüz doğmuş demektir. KVKK kapsamında veri güvenliğini tehdit eden önlenebilir riskleri görmezden gelmek de kurumun hukuki sorumluluğunu doğurabilir; bu sistem aynı zamanda bir uyum belgesi niteliği taşır.

Eğitim kurumlarının veri kaybı yaşamasına yol açan başlıca senaryolar ve her birinin kuruma maliyeti şunlardır:

1. Sunucu veya hard disk arızası: Mekanik disk arızaları genellikle önceden haber vermez. Tüm öğrenci kaydı, sınav notu ve tahsilat geçmişi birkaç saniyede erişilmez hâle gelir. Yedek yoksa veri kurtarma şirketi faturası onlarca bin liraya ulaşabilir ve başarı garantisi yoktur. Kurtarma girişimi sırasında tüm idari işler durur; öğrencilere ve velilere nasıl yanıt verileceği bilinmez.
2. Fidye yazılımı saldırısı: Bir öğretmen ya da personelin açtığı zararlı e-posta eki tüm ağı şifreleyebilir. Saldırganlar veriler için fidye ister; fidye ödense bile veriler geri gelmeyebilir. Güvenli ve ayrı bir yedek olmadan kurum tamamen çaresiz kalır. Fidye ödemesi hem mali kayıp hem de saldırganı cesaretlendiren bir sinyal olduğundan tavsiye edilmez; temiz yedek tek gerçek çözümdür.
3. Yanlışlıkla silme ve yazılım hatası: Personel değişikliği sırasında yanlışlıkla silinen öğrenci kayıtları ya da yazılım güncellemesi sonrası bozulan veritabanı geri dönüşü olmayan kayıplara yol açabilir. Silme işlemi fark edildiğinde genellikle saatler veya günler geçmiştir; günlük yedek bu pencereyi minimuma indirir.
4. Hizmet sağlayıcı kaynaklı kesinti: Barındırma firması kapanırsa, ödeme gecikmesi nedeniyle hesap askıya alınırsa veya bulut sağlayıcısı politikasını değiştirirse veriye erişim aniden kaybedilebilir. Bağımsız yedek bu tür dış risklere karşı tampon görevi görür.

Bu sistem üç katmanlı koruma kurar: yerel yedek (hızlı geri yükleme ve günlük ihtiyaçlar), bulut yedek (felaket senaryoları için coğrafi çoğaltma ve yangın, su baskını gibi fiziksel risklere karşı güvence) ve bütünlük testi (yedeklerin gerçekten çalıştığının düzenli doğrulanması). KVKK kapsamında veri güvenliğini tehdit eden güvenlik açığını gidermek kurumun yasal yükümlülüğüdür; bu sistem aynı zamanda bir uyum aracıdır ve denetim durumunda kanıtlanabilir güvenlik önlemi belgesi sağlar.

Veri kaybı yalnızca teknik bir sorun değil, kurumun sürdürülebilirliğini tehdit eden hukuki ve itibar riskidir. KVKK kapsamında bir veri ihlali veya kayıp yaşandığında Kişisel Verileri Koruma Kurumu'na bildirim zorunluluğu doğar; bu süreç hem operasyonel hem de hukuki yük getirir. Zamanında alınan önlem bu senaryonun tamamını devre dışı bırakır.

1. Envanter ve risk değerlendirmesi (1. hafta): Kurumun sahip olduğu tüm veri kaynakları (öğrenci yönetim yazılımı veritabanı, dosya sunucusu, e-posta arşivi, muhasebe sistemi, sınav sonuç veritabanı) ayrıntılı biçimde listelenir. Her veri kaynağı için kurtarma süresi hedefi ve kurtarma noktası hedefi belirlenir; hangi verinin kaybedilmesinin ne kadar süre tolere edilebileceği netleştirilir. Mevcut yedekleme alışkanlıkları ve donanım durumu da bu aşamada değerlendirilir.
2. Altyapı tasarımı ve kurulum (2. hafta): Kurumun mevcut sunucu veya barındırma altyapısına uygun üç katmanlı yedekleme mimarisi tasarlanır ve kurulur. Şifreli iletim ve şifreli depolama yapılandırılır. Bulut depolama hesabı kurumun adına açılır; KVKK gereksinimleri gözetilerek Türkiye'deki veri merkezi seçimi önceliklendirilir.
3. Otomasyon ve izleme (3. hafta): Günlük otomatik yedek zamanlaması, başarısız yedek durumunda e-posta ve SMS uyarısı, haftalık bütünlük testi otomasyonu devreye alınır. Yedek panosu kurularak son yedek zamanı, depolama doluluk oranı ve bütünlük test sonuçları gerçek zamanlı izlenir.
4. Felaket kurtarma tatbikatı ve belgeleme (4. hafta): Canlı ortamdan izole edilmiş test ortamında tam geri yükleme tatbikatı yapılır; gerçek süre ölçülür ve belgelenir. Tatbikat raporu kuruma teslim edilir. Kurumun teknik personeline geri yükleme prosedürü uygulamalı eğitimi verilir; teknik bilgisi olmayan personelin de uygulayabileceği adım adım kılavuz hazırlanır.

Kurulum sonrası üç aylık garanti kapsamında otomasyonun sorunsuz çalıştığı doğrulanır. İsteğe bağlı yıllık bakım paketiyle depolama kapasitesi genişletme, yazılım güncellemesi sonrası uyumluluk kontrolü ve yıllık felaket kurtarma tatbikatı sürdürülür.

Kurulum tamamlandıktan sonra ilk 30 gün boyunca otomasyon izleme raporları haftalık e-posta ile kuruma iletilir. Herhangi bir yedek başarısızlığı tespit edilirse 24 saat içinde bildirim yapılır ve neden analizi paylaşılır. Kurumun teknik sorumlusu değiştiğinde kısa tekrar eğitimi çevrimiçi olarak verilir; prosedür kılavuzu güncel tutulur. Bulut depolama kapasitesi doldukça önceden uyarı gönderilir; alan açma işlemi koordineli biçimde gerçekleştirilir.

Yedekleme altyapısı devreye alındıktan sonra kurum teknik sorumlusu sistemi bağımsız olarak yönetebilecek düzeye gelir; kurumun yazılım sağlayıcısına bağımlılığı ortadan kalkar ve veri güvenliği tamamen kurumun kontrolüne geçer.

Prosedür her güncellemede yeniden onaylanır.

Yedekleme sistemi, barındırdığı verinin hassasiyeti nedeniyle güvenlik en üst öncelik olarak tasarlanır. Yedek dosyaları, kaynak veritabanıyla aynı güvenlik düzeyinde korunmak zorundadır; aksi takdirde yedeğin kendisi bir saldırı hedefine dönüşebilir.

• Uçtan uca şifreleme: Tüm yedekler transfer sırasında TLS, depolamada AES-256 ile şifrelenir. Şifreleme anahtarı yalnızca kurumun kontrolündedir; bulut sağlayıcısı dahil hiç kimse şifresiz veriye erişemez. Anahtar yönetimi ayrı ve güvenli biçimde belgelenir.
• Erişim denetimi ve iki faktörlü kimlik doğrulama: Yedekleme yönetim paneline erişim yetkisi en az iki kademeli kimlik doğrulama ile korunur. Kimin hangi yedeğe ne zaman eriştiği kayıt altına alınır; yetkisiz erişim girişimleri otomatik uyarı üretir.
• Coğrafi çoğaltma ve tek nokta başarısızlığı önleme: Birincil yedek Türkiye'deki veri merkezinde, ikincil yedek farklı coğrafi bölgede tutularak tek nokta başarısızlığı riski ortadan kaldırılır. Yangın, su baskını veya deprem gibi fiziksel felaketlerde ikincil yedek devreye girer.
• KVKK uyumu ve veri saklama politikası: Yedek depolama politikası, kurumun KVKK kapsamındaki veri saklama takvimi ile uyumlu biçimde yapılandırılır; saklama süresi dolan veriler otomatik olarak güvenli ve kalıcı biçimde imha edilir. Bu imha işlemi audit log'a kaydedilir ve denetim belgesi olarak saklanır.
• Veri minimizasyonu ve ayrıştırma: Yedek kapsamı, hizmet gereklilikleriyle orantılıdır; kişisel veriler içeren yedek dosyaları teknik log ve sistem yedeklerinden ayrı depolama alanında tutulur. Yedek ortamına erişim yetkisi en az sayıda kişiyle sınırlı tutulur.

Yedekleme altyapısının güvenlik yapılandırması, ilk kurulumda belgelenir ve kurum teknik sorumlusuna aktarılır. Şifreleme anahtarlarının rotasyonu ve erişim yetkisi güncellemesi için net prosedür yazılı kılavuzda yer alır; insan hatasından kaynaklanan güvenlik açığı riski minimize edilir.