ISO 22301 nedir, PUKÖ döngüsüyle nasıl kurulur? Standardın temel maddeleri, ISO 27001'den farkı ve KOBİ'ler için denetime hazırlık kontrol listesi. İnceleyin.
Hızlı Özet (TL;DR)
ISO 22301 (Toplumsal Güvenlik ve İş Sürekliliği Yönetim Sistemleri), bir kurumun beklenmedik ve yıkıcı bir kesinti (deprem, fabrika yangını, fidye yazılımı saldırısı, kritik tedarik zinciri çöküşü, uzun süreli enerji kesintisi veya altyapı arızası) sonrasında kritik ürün ve hizmetlerini önceden belirlenen kabul edilebilir kapasitede ve sürede sürdürme yeteneğini tescilleyen uluslararası standarttır. Özellikle otomotiv yan sanayii (TISAX), savunma ve havacılık sanayii, finans kuruluşları ve ihracat odaklı üretim tesislerinde ana sanayi (OEM) firmaları, tedarikçilerinin kriz anında üretimi durdurmayacağından emin olmak için ISO 22301 uyumunu ve düzenli felaket kurtarma tatbikatlarını şart koşmaktadır.
ISO 22301 İş Sürekliliği Yönetim Sistemi (İSYS) Nedir?
Geleneksel kriz yönetimi yaklaşımları genellikle felaket başa geldikten sonra doğaçlama kararlarla hasarı toparlamaya çalışır. Oysa modern sanayi ve bilişim ekosisteminde saatlik duruş maliyetleri on binlerce doları bulmakta, birkaç günlük kesinti ise tedarik sözleşmelerinin feshine ve ağır cezai şartlara yol açmaktadır. ISO 22301 İş Sürekliliği Yönetim Sistemi (BCMS - Business Continuity Management System), kriz daha yaşanmadan önce tüm operasyonel darboğazları matematiksel olarak analiz eden, alternatif üretim ve bilişim senaryolarını hazırda tutan proaktif bir kurumsal zırhtır.
ISO 22301 standardı yalnızca bilgi işlem (IT) departmanının sunucu yedeklemesiyle sınırlı değildir. Hammadde tedarikinden CNC üretim hatlarına, lojistik sevkiyat rampalarından kilit personelin yedeklenmesine, acil durum kriz iletişiminden fason üretici anlaşmalarına kadar şirketin tüm değer zincirini kapsar.
PUKÖ Döngüsü ile ISO 22301 Kurulum Metodolojisi
ISO’nun Yüksek Seviyeli Yapı (High-Level Structure - HLS) mimarisine sahip olan ISO 22301 standardı, sürekli iyileştirmeyi garanti altına alan PUKÖ (Planla - Uygula - Kontrol Et - Önlem Al / PDCA) döngüsü üzerine inşa edilmiştir. Kurulum sürecinde her fazın somut mühendislik ve yönetim çıktıları vardır:
1. Planla (Plan) — Madde 4, 5, 6 ve 7
Kuruluşun iç ve dış bağlamının analiz edildiği, iş sürekliliği kapsamının çizildiği, üst yönetim liderliğinin belirlendiği ve risklerin tanımlandığı temel hazırlık evresidir. Hangi fabrikanın, hangi üretim hattının ve hangi kurumsal yazılım sistemlerinin kapsam dahilinde olduğu bu aşamada kesinleştirilir. Kriz yönetim ekibi (KYE) atanır ve bütçe/kaynak planlaması tamamlanır.
2. Uygula (Do) — Madde 8 (Operasyon)
Standardın kalbini oluşturan teknik ve operasyonel fazdır. İş Etki Analizi (BIA) ve Risk Değerlendirmesi çalışmaları yürütülür. Her departman ve makine grubu için maksimum kabul edilebilir kesinti süresi (MTPD), kurtarma süresi hedefi (RTO) ve kurtarma noktası hedefi (RPO) hesaplanır. Ardından bu hedefleri sağlayacak yedekli sunucu mimarileri, felaket kurtarma merkezi (DRC), jeneratör/UPS altyapısı ve alternatif tedarikçi protokolleri devreye alınarak yazılı İş Sürekliliği Planları (BCP) hazırlanır.
3. Kontrol Et (Check) — Madde 9 (Performans Değerlendirme)
Kağıt üzerinde kusursuz görünen planların gerçek kriz anında çalışıp çalışmadığının sınandığı aşamadır. Masa başı senaryoları, habersiz yedekten geri dönüş (Restore) testleri, canlı sistem devretme (Failover) tatbikatları, iç tetkikler ve yönetimin gözden geçirmesi (YGG) toplantıları ile sistemin performansı ölçülür. Örneğin “ERP sunucusunu 30 dakikada ayağa kaldıracağız” hedefi konulmuşsa, kronometre tutularak sanal makinenin gerçekten kaç dakikada açıldığı kayıt altına alınır.
4. Önlem Al (Act) — Madde 10 (İyileştirme)
Tatbikatlarda, iç denetimlerde veya yaşanan gerçek kesintilerde tespit edilen aksaklıklar (örneğin bozuk çıkan bir yedek dosyası, ulaşılamayan bir kriz sorumlusu veya yetersiz kalan VPN kapasitesi) için kök neden analizi yapılır. Düzeltici faaliyetler (DÖF) uygulanarak iş sürekliliği mimarisi bir üst olgunluk seviyesine taşınır.
ISO 22301 Standardının Temel Maddeleri (Madde 4–10) ve Denetim Kanıtları
Belgelendirme denetimlerinde başdenetçilerin incelediği standart maddeleri, kapsamları ve talep edilen somut kanıtlar aşağıdaki tabloda detaylandırılmıştır:
| Standart Maddesi | Odak Alanı ve Kapsam | Teknik ve Operasyonel Gereksinim | Denetimde İstenen Somut Kanıt |
|---|---|---|---|
| Madde 4: Kuruluşun Bağlamı | İç/dış hususlar, paydaş beklentileri ve İSYS kapsamı | Ana sanayi sözleşmeleri, yasal mevzuat (KVKK, 5651) ve kritik ürün gruplarının tespiti | Kapsam Dokümanı, Paydaş Analizi ve Süreç Etkileşim Haritası |
| Madde 5: Liderlik | Üst yönetim taahhüdü, politika ve roller | Kriz anında karar alma yetkisine sahip asil ve vekil liderlerin atanması | Yönetim onaylı İş Sürekliliği Politikası ve Kriz Organizasyon Şeması |
| Madde 6: Planlama | Risk/fırsatlar ve iş sürekliliği hedefleri | Ölçülebilir süreklilik hedeflerinin (%99,9 çalışma süresi vb.) ve yatırım planlarının belirlenmesi | Yıllık İSYS Hedef İzleme Tablosu ve Risk İşleme Planı |
| Madde 7: Destek | Kaynaklar, yetkinlik, farkındalık ve iletişim | Personel eğitimleri, kriz iletişim rehberi ve doküman versiyon kontrolü | Eğitim Katılım Tutanakları, Acil Durum İletişim Matrisi |
| Madde 8.2: BIA ve Risk Analizi | İş Etki Analizi ve kesinti senaryoları | Süreç bazlı finansal/operasyonel kayıp hesabı, RTO, RPO ve MTPD metriklerinin tayini | Onaylı BIA Raporu, Kritiklik Matrisi ve Tek Nokta Arıza (SPOF) Analizi |
| Madde 8.3: Süreklilik Stratejileri | Kurtarma mimarisinin ve kaynakların seçimi | HA güvenlik duvarı, ZFS immutable yedekleme, ikincil lokasyon ve stok tamponlarının kurulması | Sistem Mimari Topolojisi, SLA Sözleşmeleri ve Donanım Envanteri |
| Madde 8.4: Plan ve Prosedürler | Olay müdahale ve iş kurtarma kılavuzları | Adım adım acil müdahale, kriz iletişimi, BT felaket kurtarma (DRP) ve normale dönüş rehberleri | Felaket Kurtarma Planı (DRP), Olay Müdahale Playbook’ları |
| Madde 8.5: Egzersiz ve TestProgramı | Planların uygulamalı olarak doğrulanması | Yılda en az bir kez gerçekçi kesinti senaryosuyla sistem ve operasyon kurtarma tatbikatı | Tatbikat Senaryosu, Ekran Görüntülü Zaman Ölçüm Tutanağı ve Sonuç Raporu |
| Madde 9: Performans Değerlendirme | İzleme, ölçme, iç tetkik ve YGG | Sistemin etkinliğinin bağımsız iç denetçiler ve üst yönetim tarafından denetlenmesi | İç Tetkik Raporları, YGG Toplantı Kararları ve Kapasite Logları |
| Madde 10: İyileştirme | Uygunsuzluk yönetimi ve sürekli iyileştirme | Tatbikat veya denetim bulgularının kök neden analizleriyle kalıcı olarak kapatılması | Düzeltici Faaliyet (DÖF) Kayıtları ve Güncellenmiş Plan Revizyonları |
ISO 27001 ve ISO 22301 Arasındaki Fark ve Entegrasyon Sinerjisi
Sanayi işletmelerinde en sık karıştırılan konulardan biri, ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) belgesi varken neden ayrıca ISO 22301’e ihtiyaç duyulduğudur. İki standart birbirinin alternatifi değil, birbirini tamamlayan iki stratejik halkadır:
- ISO 27001 (Bilgi Güvenliği Odaklı): Kurumsal verinin ve bilgi varlıklarının Gizlilik (Confidentiality), Bütünlük (Integrity) ve Erişilebilirlik (Availability) ilkeleri çerçevesinde korunmasına odaklanır. Temel amacı verinin çalınmasını, yetkisiz kişilerce değiştirilmesini veya siber saldırılarla şifrelenmesini önlemektir. ISO 27001 Ek-A 5.29 ve 5.30 maddeleri iş sürekliliğine yalnızca “kesinti sırasında bilgi güvenliğinin korunması ve BİT hazırlığı” penceresinden değinir.
- ISO 22301 (Operasyonel Hayatta Kalma Odaklı): Bilgi teknolojilerinin çok ötesine geçerek tüm şirketin ve fiziksel üretimin hayatta kalmasını hedefler. Örneğin; fabrikanın trafo merkezi yandığında, ana hammadde tedarikçisi iflas ettiğinde, salgın/doğal afet nedeniyle operatörler fabrikaya gelemediğinde veya üretim holünü su bastığında siparişlerin fason ortaklarla nasıl üretileceğini, lojistiğin hangi alternatif depodan çıkacağını ve nakit akışının nasıl korunacağını kurgular.
İki Standardın Ortak Entegrasyon Noktaları
Her iki standart da ISO’nun HLS (Yüksek Seviyeli Yapı) şablonunu kullandığı için Entegre Yönetim Sistemi (EYS) olarak tek bir dokümantasyon ve denetim çatısı altında birleştirilebilir. Özellikle siber saldırı (Ransomware) kaynaklı iş kesintilerinde ISO 27001’in olay müdahale prosedürleri ile ISO 22301’in felaket kurtarma (DRP) ve ZFS anlık görüntüden (Snapshot) geri dönüş adımları tek bir entegre eylem planı olarak çalışır. Fabrikanızdaki üretim verilerinin ve ERP/MES altyapısının kesintisizliği için Üretim Takip Yazılımı (MES) ve Savunma Sanayii ve İmalat Ağ Güvenliği çözümlerimiz bu entegre mimariyi doğrudan destekler.
KOBİ’ler İçin ISO 22301 Denetime Hazırlık Kontrol Listesi
Belgelendirme denetimine veya ana sanayi (TISAX / AS9100 / Müşteri) tedarikçi denetimine girmeden önce aşağıdaki teknik ve idari adımların tamamlandığından emin olunmalıdır:
- Yönetim kurulu veya genel müdür onaylı resmi bir İş Sürekliliği Politikası yayınlandı ve tüm personele duyuruldu mu?
- Üretim, planlama, lojistik, satın alma ve BT departman yöneticileriyle yüz yüze mülakat yapılarak İş Etki Analizi (BIA) tamamlandı mı?
- Kritik BT sistemleri (ERP, MES, CAD/CAM Arşivi, Dosya Sunucusu, Firewall) için gerçekçi RTO ve RPO hedefleri belirlendi mi?
- Yedekleme mimarisi 3-2-1-1-0 kuralına uygun hale getirildi ve fidye yazılımlarına karşı değiştirilemez (Immutable / ZFS Snapshot) yedekler alındı mı?
- Güvenlik duvarı ve internet hatları yedekli (Redundant WAN ve High Availability) yapıya kavuşturularak güvenlik duvarı konfigürasyon yedekleri otomatikleştirildi mi?
- En az yılda 1 kez sanal makine, veritabanı ve ortak dosya sunucusu geri yükleme (Restore) tatbikatı yapılarak süre ölçümleri tutanak altına alındı mı?
- Bina dışı erişim gerektiren kriz senaryoları için acil durum personel iletişim listesi, vekalet matrisi ve uzaktan çalışma (SSL VPN) kapasitesi doğrulandı mı?
Kurumunuzu ISO 22301, ISO 27001 ve TISAX iş sürekliliği denetimlerine teknik altyapı düzeyinde eksiksiz hazırlamak için Ortak Dosya Sunucusu ve Yedekleme ve kesintisiz ağ güvenliği çözümlerimiz için Güvenlik Duvarı Firewall sayfalarımızı ziyaret edebilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
ISO 22301 belgesi almak sadece bilgi işlem (IT) departmanının sorumluluğunda mıdır?
Hayır. ISO 22301 yalnızca sunucu ve veritabanı yedeklemesini değil; üretim hatlarını, enerji altyapısını, hammadde tedarik zincirini, insan kaynaklarını ve sevkiyat operasyonlarını kapsayan bütünsel bir yönetim sistemidir. Bilgi işlem departmanı bu yapının kritik teknik omurgasını (Felaket Kurtarma Merkezi, yedekleme, VPN ve ağ sürekliliği) sağlarken; üretim, kalite, satın alma ve üst yönetim süreç sahipleri olarak sistemin aktif parçası olmak zorundadır.
Denetimlerde en sık yazılan majör uygunsuzluk bulgusu nedir?
Denetçilerin en sık tespit ettiği majör uygunsuzluk, İş Etki Analizi (BIA) dokümanında yazan RTO/RPO hedefleri ile mevcut teknik altyapının ve tatbikat sonuçlarının birbiriyle çelişmesidir. Örneğin BIA tablosunda “ERP sistemi çökerse 1 saat içinde ayağa kaldırılır (RTO: 1 Saat)” yazmasına rağmen, şirketin yedeklerini harici diske günde bir kez alması ve geri yükleme tatbikatında sunucunun 9 saatte ayağa kalkması doğrudan uygunsuzluk sebebidir.
ISO 27001 belgemiz varsa ISO 22301 kurulumu ne kadar sürer?
Halihazırda çalışan bir ISO 27001 Bilgi Güvenliği Yönetim Sisteminiz varsa; kuruluşun bağlamı, risk metodolojisi, doküman kontrolü, iç tetkik ve yönetim gözden geçirme süreçleriniz hazır demektir. Bu temel üzerine kapsamlı bir İş Etki Analizi (BIA), operasyonel süreklilik stratejileri ve felaket kurtarma tatbikatları eklenerek ortalama 3 ila 4 ay içinde ISO 22301 denetimine hazır hale gelinebilir.