(Gerçek Maliyet Hesabı)
Saat sabahın 06:00'ı. İlk vardiya başlamak üzere. Operatörler
sistemlere bağlanmaya çalışıyor — ama ekranlar boş. ERP açılmıyor.
Üretim planı görünmüyor. Barkod okuyucular yanıt vermiyor.
Sunucu gece çökmüş. Kimse fark etmemiş.
Bu senaryo Türkiye'deki imalat firmalarında düşündüğünüzden çok daha sık yaşanıyor. Ve çoğu firma bu arızanın gerçek maliyetini hesaplamıyor — ta ki başına gelene kadar.
Sunucu arızasının ilk dakikasında aklınıza gelen maliyet, muhtemelen teknik destek ücretidir. Ama asıl zarar çok daha geniş bir alana yayılır:
Aşağıdaki tablo, 80 kişilik bir üretim ekibi ve saatlik 200.000 TL üretim değeri olan orta ölçekli bir imalat firması için gerçekçi bir kesinti maliyeti hesabı sunuyor. Rakamları kendi firmanıza göre uyarlayın.
| Maliyet Kalemi | 4 Saatlik Kesinti | 1 Günlük Kesinti |
|---|---|---|
| Durdurulan üretim kaybı | 800.000 TL | 1.600.000 TL |
| Boşa çıkan personel maliyeti | 64.000 TL | 128.000 TL |
| Geç teslimat cezası | 30.000 TL | 100.000 TL |
| IT acil destek + mesai | 25.000 TL | 60.000 TL |
| Veri kurtarma maliyeti | — | 80.000 TL |
| Yeniden işleme maliyeti | 24.000 TL | 64.000 TL |
| Müşteri kaybı riski | Hesaplanamaz | Hesaplanamaz |
| Toplam minimum | ~943.000 TL | ~2.032.000 TL+ |
Dikkat çekici nokta: Personel maliyeti kalemi — sistem çalışmıyorken fabrikadaki herkes maaş almaya devam ediyor. Bu para üretim yapılmadan, geri dönüşsüz biçimde harcanıyor. Tek bir günlük arıza, yıllık IT bütçenizin tamamına yakın bir hasara yol açabilir.
İmalat firmalarıyla konuştuğumuzda benzer bir tablo görüyoruz:
Fiziksel sunucu, tek bir lokasyonda, genellikle bir oda ya da dolap içinde. Elektrik kesintisi, klima arızası, donanım hatası — bunların herhangi biri tüm sistemi durdurabilir.
"Sunucuları bilen adam" işten ayrıldığında ya da izne gittiğinde, arıza anında ne yapılacağını kimse bilmiyor. Bu senaryo düşündüğünüzden yaygın.
Birçok firma düzenli yedek aldığını düşünüyor. Ama o yedeği geri yüklemeyi hiç denemediyseniz, arıza anında sürprizle karşılaşabilirsiniz. Bozuk ya da eksik yedekler kurtarma süresini dramatik biçimde uzatır.
Firma büyüdükçe sisteme yeni kullanıcılar, yeni uygulamalar ekleniyor. Ama altyapı aynı kalıyor. Bir noktada kapasite sorunu kaçınılmaz hale geliyor.
Son iki yılda imalat firmalarının gündemine giren iki konu var: ISO 27001 sertifikasyonu ve KVKK uyumu.
ISO 27001 almak isteyen firmalar için BT altyapısı denetim sürecinde en sık karşılaşılan sorun şu: yedekleme politikası yok, erişim yönetimi belgelenmemiş, felaket kurtarma planı test edilmemiş. Kendi sunucusuyla bu standartları karşılamak hem zaman hem de maliyet açısından oldukça ağır.
KVKK tarafında ise 2025 düzenlemesiyle küçük ve orta ölçekli firmaların yararlandığı muafiyet kapsamı daraldı. Çalışan veya müşteri kişisel verisi işleyen her firma — ki bu tanım neredeyse tüm imalat firmalarını kapsıyor — artık daha sıkı teknik ve idari tedbirler almak zorunda.
Burada kritik bir nokta var: VERBİS muafiyeti sizi kayıt yükümlülüğünden muaf tutar, ama kaybettiğiniz kişisel verinin cezasından değil. Bir veri ihlali yaşandığında — sunucu çökmesi, siber saldırı, yetkisiz erişim — muaf olup olmadığınızın önemi kalmaz. Ceza yine gelir.
Bu iki gereklilik, mevcut altyapıyla karşılanamıyorsa, hem yasal risk hem de iş sürekliliği riski aynı anda masaya geliyor.
Yönetilen bulut sunucu hizmetiyle tablo köklü biçimde değişiyor:
Tek fiziksel nokta bağımlılığı ortadan kalkar. Veriler coğrafi olarak ayrı lokasyonlarda yedeklenir. Bir donanım arızası sistemi durdurmaz.
Günlük, saatlik — ihtiyaca göre yapılandırılmış yedekler otomatik alınır ve test edilir. Arıza anında belirlenen sürede geri dönüş garantisi verilir.
Gece yarısı arıza olduğunda sistemi fark eden, müdahale eden bir ekip vardır. Vardiya saatinin önemi kalmaz.
Türkiye lokasyonlu, sertifikalı bir datacenter altyapısı, bu gerekliliklerin önemli bir bölümünü otomatik olarak karşılar. Denetim süreciniz çok daha kısa ve öngörülebilir hale gelir.
Aşağıdaki soruları kendinize sorun:
Bu sorulardan birine "emin değilim" diye yanıt verdiyseniz, altyapınızın bir risk analizi gerekiyor demektir.
Ücretsiz bir analiz sunuyoruz. 30 dakikalık bir görüşmeyle mevcut durumu değerlendiriyor, size özel bir rapor hazırlıyoruz.
Alt başlık: Sunucunuzu buluta taşımadan önce bilmeniz gereken her şey — kontrol listesi, maliyet hesabı ve geçiş planıyla birlikte.
2025 yılında yürürlüğe giren 2025/1572 sayılı Kurul kararıyla birlikte küçük ve orta ölçekli firmaların VERBİS kayıt muafiyeti kapsamı önemli ölçüde daraltıldı. Özel nitelikli kişisel veri işleyen firmalar — çalışan sağlık verisi, biyometrik veri, özlük dosyaları — artık daha önce yararlandıkları muafiyetten faydalanamıyor.
Ama daha kritik olan şu: VERBİS muafiyeti sizi kayıt yükümlülüğünden muaf tutar. Kaybettiğiniz kişisel verinin cezasından değil. Veri ihlali yaşandığında — sunucu çökmesi, siber saldırı, yetkisiz erişim — muaf olup olmadığınızın önemi kalmaz. Ceza yine gelir.
KVKK kapsamında veri ihlali cezaları 2025 itibarıyla 1 milyon TL'ye kadar çıkabiliyor. Ek ihmal durumunda bu rakam 3 milyon TL'yi aşıyor.
Otomotiv, savunma, gıda ve ihracat yapan imalat firmalarında ISO 27001 sertifikası giderek artan sıklıkla ihale ön şartı olarak karşımıza çıkıyor. "Elde edince başvururuz" yaklaşımı artık işe yaramıyor — sertifikasyon süreci ortalama 6-12 ay alıyor ve altyapı hazırlığı olmadan bu süre 18 aya uzayabiliyor.
Aşağıdaki her maddeyi "Var", "Yok" veya "Kısmen" olarak işaretleyin. Sonunda hazırlık skorunuzu hesaplayın.
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 1 | Günlük otomatik yedekleme yapılıyor | ☐ | ☐ | ☐ |
| 2 | Yedekler coğrafi olarak farklı lokasyonda tutuluyor | ☐ | ☐ | ☐ |
| 3 | Yedek geri yükleme son 3 ayda test edildi | ☐ | ☐ | ☐ |
| 4 | RTO (Kurtarma Süresi Hedefi) yazılı olarak belirlendi | ☐ | ☐ | ☐ |
| 5 | RPO (Kurtarma Noktası Hedefi) yazılı olarak belirlendi | ☐ | ☐ | ☐ |
| 6 | Yedekleme logları düzenli olarak izleniyor | ☐ | ☐ | ☐ |
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 7 | Rol bazlı erişim sistemi (RBAC) uygulanıyor | ☐ | ☐ | ☐ |
| 8 | İki faktörlü kimlik doğrulama (2FA) zorunlu | ☐ | ☐ | ☐ |
| 9 | Kim, ne zaman, hangi sisteme erişti — log kayıtları tutuluyor | ☐ | ☐ | ☐ |
| 10 | Ayrılan çalışanların erişimleri aynı gün kapatılıyor | ☐ | ☐ | ☐ |
| 11 | Şifre politikası yazılı ve uygulanıyor | ☐ | ☐ | ☐ |
| 12 | Yönetici hesapları ayrı ve sınırlı yetkiyle yönetiliyor | ☐ | ☐ | ☐ |
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 13 | Güvenlik duvarı (firewall) aktif ve yapılandırılmış | ☐ | ☐ | ☐ |
| 14 | DDoS koruması mevcut | ☐ | ☐ | ☐ |
| 15 | Sunucu güvenlik yamaları düzenli uygulanıyor | ☐ | ☐ | ☐ |
| 16 | Antivirüs/EDR çözümü tüm sistemlerde aktif | ☐ | ☐ | ☐ |
| 17 | Güvenlik açıkları düzenli taranıyor | ☐ | ☐ | ☐ |
| 18 | Ağ segmentasyonu uygulanıyor (üretim/ofis ayrı) | ☐ | ☐ | ☐ |
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 19 | Yazılı felaket kurtarma planı (DRP) mevcut | ☐ | ☐ | ☐ |
| 20 | İş sürekliliği planı (BCP) mevcut ve güncel | ☐ | ☐ | ☐ |
| 21 | DRP son 12 ayda tatbikat/test edildi | ☐ | ☐ | ☐ |
| 22 | Kritik sistemler için yedekli altyapı mevcut | ☐ | ☐ | ☐ |
| 23 | Arıza müdahale prosedürleri yazılı | ☐ | ☐ | ☐ |
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 24 | Kişisel veriler şifrelenmiş (AES-256 veya üstü) | ☐ | ☐ | ☐ |
| 25 | Veri envanteri çıkarıldı ve güncel | ☐ | ☐ | ☐ |
| 26 | Veri işleme sözleşmeleri (DPA) yaptırıldı | ☐ | ☐ | ☐ |
| 27 | Veri yerelleştirme sağlanıyor (Türkiye lokasyonu) | ☐ | ☐ | ☐ |
| 28 | Veri ihlali bildirim prosedürü yazılı (72 saat kuralı) | ☐ | ☐ | ☐ |
| # | Kontrol Maddesi | Var | Kısmen | Yok |
|---|---|---|---|---|
| 29 | Bilgi güvenliği politikası yazılı ve yayınlanmış | ☐ | ☐ | ☐ |
| 30 | Çalışanlara KVKK/güvenlik eğitimi verildi | ☐ | ☐ | ☐ |
| 31 | Tedarikçi/iş ortağı güvenlik değerlendirmesi yapılıyor | ☐ | ☐ | ☐ |
| 32 | İç denetim süreci işliyor | ☐ | ☐ | ☐ |
"Var" = 2 puan · "Kısmen" = 1 puan · "Yok" = 0 puan
| Toplam Puan | Durum | Ne Yapmalısınız? |
|---|---|---|
| 50–64 | Hazır | Denetim sürecinizi başlatabilirsiniz |
| 30–49 | Kısmen Hazır | 3–6 aylık altyapı çalışması gerekiyor |
| 0–29 | Risk Altında | Acil altyapı değerlendirmesi yapılmalı |
Çoğu imalat firması "kendi sunucum daha ucuz" düşüncesiyle yanlış bir karar veriyor. Bunun nedeni gerçek toplam sahip olma maliyetinin (TCO) hesaplanmamasıdır.
Rakamlar net konuşuyor: En iyi senaryoda bulut %40–50 daha ucuz, en kötü senaryoda (büyük üretim firması, ciddi downtime) 10 kata kadar daha ucuz olabiliyor.
| Maliyet Kalemi | Kendi Sunucu | Bulut |
|---|---|---|
| Donanım yatırımı | ● Yüksek (ön ödeme) | ● Düşük (aylık) |
| IT personel ihtiyacı | ● Tam zamanlı / pahalı | ● Yönetilen hizmet dahil |
| Elektrik ve soğutma | ● Yüksek maliyet | ● Dahil değil |
| Yedekleme altyapısı | ● Ek donanım gerekir | ● Otomatik dahil |
| Downtime riski | ● Yüksek | ● Düşük (SLA) |
| Ölçeklenebilirlik | ● Sınırlı | ● Anlık |
| Güvenlik ve uyum | ● Şirket sorumluluğu | ● Datacenter sorumluluğu |
Firmaların buluta geçişte en çok korktuğu şey kesinti. Doğru planlama yapıldığında bu risk neredeyse sıfıra inebilir.
Tüm sunucularınızı, üzerlerindeki uygulamaları, kullanıcı sayılarını ve bağımlılıkları listeleyin. Hangi sistemin ne kadar süre içinde kurtarılması gerektiğini belirleyin (RTO/RPO).
Kritik sistemleri (ERP, üretim takip, muhasebe) ve ikincil sistemleri (dosya sunucusu, e-posta) ayırın. Önce ikincil sistemleri taşıyın, kritik olanları en son.
Yeni ortamı kurun ve yapılandırın. Eski sistem çalışmaya devam ederken paralel olarak bulut ortamı hazır hale getirilir.
Gerçek verinizi buluta kopyalayın ama henüz geçiş yapmayın. ERP başta olmak üzere tüm uygulamaları test edin. Kullanıcılarla birlikte test senaryolarını çalıştırın.
Test aşamasında çıkan tüm sorunları eski sistem üzerinde çalışırken çözün. Acele etmeyin — bu aşamanın uzaması geçiş güvenliğini artırır.
Üretimin en düşük olduğu hafta sonu veya tatil dönemini seçin. Tüm paydaşlara önceden bildirin.
Belirlenen tarihte son veri senkronizasyonunu yapın ve trafiği yeni sisteme alın. İlk 24-48 saat yoğun izleme altında geçer.
Geçiş sonrası 30-90 gün boyunca eski sistemi kapatmayın. Beklenmedik bir sorun çıkarsa geri dönüş planınız hazır olsun. Sorunsuz geçtikten sonra kapatın.
Bu soruları görüşmelerinizde mutlaka sorun. Cevap veremeyenleri eleyin.
1. Datacenter'ınız Türkiye'de mi? KVKK açısından veri yerelleştirme güvenceniz nedir?
2. ISO 27001 sertifikanız var mı ve güncel mi?
3. Uptime SLA'nız nedir ve SLA ihlalinde ne olur?
4. 7/24 Türkçe destek sunuyor musunuz — destek kanallarınız neler?
5. Arıza anında müdahale süreniz (SLA) nedir ve sözleşmede yazıyor mu?
6. Yedekleme politikanız nedir — hangi sıklıkla, nerede, ne kadar süre saklanıyor?
7. Felaket kurtarma (DR) altyapınız var mı, test ediliyor mu?
8. Fiyatlandırma modeliniz nedir — aylık sabit mi, kullandıkça öde mi? Gizli kalem var mı?
9. Mevcut sisteminizin (ERP, muhasebe vb.) geçişini üstleniyor musunuz?
10. Referans verebileceğiniz imalat sektöründen müşteriniz var mı?
120 çalışanlı bir bakır işleme firması. 2 fiziksel sunucu, şirket içinde. Yılda 2-3 kez plansız kesinti yaşanıyor. ISO 27001 talebi var ama kendi altyapısıyla nasıl yapacağını bilmiyor. IT ekibi yok, dışarıdan danışman çalışıyor.
Plansız kesinti: Sıfır
(6 ay boyunca)
IT maliyeti: %42 düştü
(yıllık)
ISO 27001: Alındı
(ihaleye katılım sağlandı)
KVKK uyumu: Tamamlandı
(teknik tedbirler)
Bu rehberi okudunuz. Kontrol listesini doldurdunuz. Skorunuzu
hesapladınız.
Sıradaki adım: firmanızın gerçek
durumunu birlikte değerlendirelim.
30 dakikalık ücretsiz altyapı analizi için bizimle iletişime geçin. Mevcut sisteminizi inceliyor, size özel bir yol haritası hazırlıyor ve tahmini maliyetleri somut olarak ortaya koyuyoruz.