NAS mı Bulut Yedekleme mi? Üreticiler ve Küçük Ofisler İçin 3-2-1 Stratejisi

Dijital çağın en pahalı yanılgılarından biri, veriyi yalnızca “mevcut” olduğu sürece güvende sanmaktır. Dosyalar ekranda durduğu, klasörler senkronize göründüğü ve bulut arayüzü sakin biçimde çalıştığı sürece çoğu insan altyapısının sağlam olduğunu varsayar. Oysa veri kaybı neredeyse hiçbir zaman dramatik bir film sahnesi gibi başlamaz; çoğu kez sessiz bir silme işlemi, bozulmuş bir klasör, yanlış yapılandırılmış bir senkronizasyon ya da geç fark edilen bir saldırıyla ortaya çıkar. NIST, veri kaybı olaylarının yalnızca fidye yazılımından ibaret olmadığını; donanım arızası, kazara silme ve kasıtlı imha gibi nedenlerin de işletmeler ve müşteriler için “felaket etkileri” doğurabileceğini açıkça söylüyor. Aynı yayın, yedeği yalnızca almakla yetinmiyor; onu yürütmek, sürdürmek ve test etmek gerektiğini vurguluyor. Demek ki mesele ürün seçimi değil, kurtarma kapasitesinin disiplinli biçimde tasarlanmasıdır.

Tam burada internetin yıllardır ürettiği sahte ikilik devreye giriyor: NAS mı, bulut mu? Bu soru, ilk bakışta mantıklı görünse de eksik kurulmuştur. Çünkü doğru yedekleme mimarisi tek bir teknolojiye değil, katmanlı bir prensibe dayanır. CISA’nın 2025 tarihli küçük işletmeler için yayımladığı rehber, 3-2-1 kuralını açık biçimde tarif ediyor: önemli dosyaların üç kopyası tutulmalı, bunlar iki farklı ortamda bulunmalı ve en az bir kopya çevrimdışı ya da saha dışı konumda olmalıdır. Aynı kurum, fidye yazılımı bağlamında verilerin çevrimdışı ve şifreli biçimde yedeklenmesini ve yedeklerin düzenli olarak test edilmesini tavsiye ediyor. Bu çerçeve çok şeyi netleştirir: iyi yedekleme, “nerede dursun?” sorusuna verilen tekil bir cevap değil; “hangi risk sınıfına karşı hangi kopya ne işe yarasın?” sorusuna verilen mimari bir cevaptır.

Bulut depolamanın cazibesi tam da bu mimarinin bir parçası olmasından gelir. Coğrafi ayrışma sağlar; tek ofis, tek cihaz, tek disk mantığını kırar. Fiziksel hırsızlık, yangın, su hasarı ya da tek lokasyona bağımlılık gibi risklerde saha dışı bir kopya, küçük işletmeler için lüks değil temel dayanıklılık katmanıdır. Üstelik modern bulut servisleri yalnızca dosya saklamaz; sürüm geçmişi, çöp kutusu, olay bazlı geri dönüş ve bazı durumlarda bütün hesabı önceki bir zamana sarma imkânı da sunar. Microsoft’un OneDrive desteği buna iyi bir örnek veriyor: Microsoft 365 aboneleri, son 30 gün içinde gerçekleşen tüm dosya ve klasör işlemlerini geri alarak tüm OneDrive’ı önceki bir zamana döndürebiliyor; bu özellik silme, üzerine yazma, bozulma ve kötü amaçlı yazılım bulaşması gibi senaryolar için kullanılabiliyor. Ayrıca OneDrive’daki sürüm geçmişi, dosyanın eski sürümlerini geri yüklemeye izin veriyor; kişisel hesaplarda son 25 sürüm alınabiliyor. Bunlar küçümsenecek özellikler değil; özellikle içerik üreticileri ve küçük ekipler için “yanlış kaydetme” veya “geç fark edilen bozulma” gibi sessiz hasarlarda ciddi bir emniyet sağlar.

Fakat bulutun en büyük problemi, kullanıcıların ona çoğu zaman olduğundan fazla metafizik güç atfetmesidir. Senkronize olan şey, her zaman korunmuş olan şey değildir. Microsoft’un aynı desteği son derece sert bir sınır da koyuyor: OneDrive’ı topluca geri alma penceresi son 30 günle sınırlı; ayrıca geri dönüşüm kutusundan kalıcı olarak silinen bir dosya bir daha kurtarılamıyor. Benzer biçimde Apple, iCloud.com üzerinde iCloud Drive ve diğer uygulamalardan silinen dosyaların son 30 gün içinde geri alınabildiğini; ancak kalıcı olarak kaldırılan dosyaların geri yüklenemeyeceğini açıkça belirtiyor. Bu iki resmi kısıt birlikte okunduğunda basit ama çoğu kişinin görmezden geldiği sonuca varıyoruz: bulut, güçlü bir kurtarma katmanıdır; ama sonsuz bir hafıza değildir. Başka bir deyişle eşzamanlama, versiyonlama ve yedekleme aynı şey değildir; bu, üreticilerin kendi geri alma sınırlarından çıkan doğrudan pratik sonuçtur.

İşte NAS bu boşlukta anlam kazanır. Özellikle büyük medya dosyalarıyla çalışan tasarımcılar, video editörleri, fotoğrafçılar, mimarlar ya da küçük ofisler için yerel ağ üzerinde yüksek kapasiteli bir depolama düğümü, gündelik iş akışını ciddi biçimde sadeleştirebilir. Her geri yükleme işlemini internet hattına, uzaktaki sunucuya ya da abonelik politikasına bağımlı kılmamak çoğu zaman operasyonel konfor demektir. Büyük proje dosyalarının aynı ağ içinde hızlı erişilmesi, ekip içi paylaşımın merkezileştirilmesi ve yerel kurtarma sürelerinin kısalması, NAS’ın pratik değeridir. Fakat burada çok daha önemli bir düzeltme yapmak gerekir: NAS, tek başına yedekleme stratejisi değildir. En iyi ihtimalle güçlü bir yerel katmandır. NIST’in vurguladığı gibi mesele yalnızca kopya üretmek değil, ihtiyaç anında gerçekten kullanılabilir ve erişilebilir kopyalar oluşturmaktır. Eğer ağ üzerindeki ana depolama ile ağ üzerindeki NAS aynı saldırı yüzeyine açıksa, kullanıcı “ek kopya”ya sahip olduğunu sanarken aslında sadece aynı risk alanına ikinci bir kutu eklemiş olabilir.

Bu yüzden fidye yazılımı çağında NAS’a romantik yaklaşmak ciddi bir hatadır. CISA, çevrimdışı yedeklerin kritik olduğunu vurgularken bunun nedenini de açıkça söylüyor: birçok fidye yazılımı varyantı erişilebilir yedekleri bulup şifrelemeye ya da silmeye çalışır. Başka bir CISA rehberi de aynı noktayı tekrar eder: çevrimdışı, şifreli yedekler tutulmalı ve bu yedekler düzenli olarak test edilmelidir. Yani ağ üzerinde duran her şey, yalnızca “orada olduğu” için güvenli sayılmaz. Eğer NAS sürekli bağlı, aynı kimlik doğrulama alanı içinde, aynı zayıf erişim politikalarına tâbi ve kurtarma senaryosu hiç prova edilmemişse; teoride sağlam görünen yerel yapı, ilk ciddi olayda kırılabilir. Bu nedenle “NAS aldım, mesele çözüldü” cümlesi teknik değil, psikolojik bir rahatlama cümlesidir. Gerçek güvenlik ise kopuk, test edilmiş ve mümkünse farklı risk düzeylerine dağılmış kopyalarda başlar.

Buradan şu temel sonuca geliyoruz: doğru soru “NAS mı bulut mu?” değildir; “yerel hız, saha dışı dayanıklılık ve gerçek kurtarma kabiliyeti hangi katmanlarda birleşsin?” sorusudur. 3-2-1 kuralı bu yüzden hâlâ eskimedi. Bir üretici veya küçük ofis için en makul iskelet çoğu zaman şudur: birincil üretim kopyası çalışma cihazlarında kalır; ikinci kopya yerel ve hızlı geri dönüş için NAS üzerinde tutulur; üçüncü kopya ise saha dışı, tercihen bulut tabanlı veya çevrimdışı ayrık bir ortamda konumlandırılır. Eğer tehdit modeli daha yüksekse, CISA’nın farklı belgelerde vurguladığı çevrimdışı, şifreli ve düzenli test edilen kopya mantığı daha da önemli hâle gelir. Buradaki kritik kelime “kopya” değil, “ayrışma”dır. Çünkü aynı anda erişilebilen, aynı anda bozulabilen ya da aynı anda silinebilen yapılar çoğu zaman çoklu kopya gibi görünür; ama gerçek anlamda çoklu güvenlik üretmez.

Küçük ekiplerin en sık yaptığı ikinci hata da şudur: kurtarma süresini hiç hesaba katmadan depolama maliyetine odaklanmak. Oysa veri koruma yalnızca “kaç terabaytı ne kadar ucuza saklarım?” sorusu değildir. Aynı ölçüde “yarın bir edit projesi bozulursa kaç dakikada ayağa kalkarım, muhasebe klasörü silinirse ne kadar geriye dönerim, kötü amaçlı bir değişiklik iki hafta sonra fark edilirse hâlâ elimde temiz sürüm kalır mı?” sorularıdır. Microsoft’un 30 günlük OneDrive geri alma penceresi ve Apple’ın iCloud için koyduğu 30 günlük kurtarma sınırı, bu süre boyutunu çok net görünür kılıyor. Yani bazı zararlar, fark edilme gecikmesi nedeniyle teknik olarak geri döndürülemez hâle gelebilir. Bu nedenle yedekleme altyapısında kapasite kadar görünürlük, bildirim ve düzenli kontrol de önemlidir. Kurtarma penceresini aşan bir hasar, kâğıt üzerinde var olan ama pratikte erişilemeyen bir güvenliktir.

 Veri korumayı cihaz alışverişi olarak değil, işletme sürekliliği meselesi olarak görmek. NAS, hızlıdır; ama yakın risk alanındadır. Bulut, uzaktadır; ama sonsuz değildir. Çevrimdışı kopya, hantaldır; ama felaket anında en sessiz kahraman olabilir. NIST’in yedekleri planlama, satın alma ve kullanılabilirlik perspektifinden ele alan yaklaşımı ile CISA’nın çevrimdışı, şifreli ve test edilmiş yedek vurgusu birlikte okunduğunda görünen tablo şudur: en iyi sistem, en pahalı sistem değil; katmanları birbirinin zaafını kapatan sistemdir. Veri kaybı çağında olgunluk, tek platforma âşık olmakta değil; hiçbir platforma körü körüne güvenmemekte yatar.

Sonuç sert ama temizdir. NAS mı, bulut mu sorusuna verilecek dürüst cevap, çoğu durumda “ikisi de, ama aynı iş için değil” olacaktır. NAS, üretim hızını ve yerel kurtarmayı güçlendirir. Bulut, saha dışı ayrışmayı ve bazı senaryolarda sürüm/geri dönüş avantajını sağlar. Gerçek güvenlik ise bunların üstüne çevrimdışı ya da farklı saldırı yüzeyinde tutulan, şifrelenmiş ve gerçekten test edilmiş bir kopya eklendiğinde başlar. Kötü yedekleme, veriyi depolar; iyi yedekleme, veriyi geri getirebilir. Aradaki fark teknoloji değil, disiplin farkıdır.

Kaynakça

1. NIST – Protecting Data from Ransomware and Other Data Loss Events. Veri kaybı olaylarının kapsamını, yedeklerin planlanması, sürdürülmesi ve test edilmesi gereğini açıklayan temel rehber.
2. CISA – Level Up Your Defenses: Four Cybersecurity Best Practices for Businesses. 3-2-1 kuralını küçük işletmeler bağlamında özetleyen güncel resmî kaynak.
3. CISA – Stop Ransomware. Çevrimdışı, şifreli ve düzenli test edilen yedeklerin önemini vurgulayan resmî çerçeve.
4. CISA – DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks. Erişilebilir yedeklerin fidye yazılımları tarafından hedef alınabileceğini açıkça belirten danışma metni.
5. Microsoft Support – Restore your OneDrive. Son 30 gün içinde tüm OneDrive’ı önceki zamana döndürme, malware/overwrite/silme senaryoları ve kalıcı silinmiş dosyaların kurtarılamaması hakkında resmi destek metni.
6. Microsoft Support – Restore a previous version of a file stored in OneDrive. Sürüm geçmişi mantığı ve kişisel hesaplarda son 25 sürüm bilgisi için resmî destek metni.
7. Apple Support – Recover deleted files on iCloud.com. iCloud’da son 30 gün içinde silinen dosyaların geri alınabilmesi ve kalıcı silinen dosyaların kurtarılamaması hakkında resmî destek metni.

                                                                                                            YAZAR: Mehmet YILMAZ

© 2026 Kenar Notları Blog. Tüm hakları saklıdır. İzinsiz alıntılanamaz, kopyalanamaz ve yeniden yayımlanamaz.