Küresel kesinti, kamu kurumlarının teknoloji riskini yeniden gösterdi

Microsoft 365 hizmetlerinde perşembe akşamı Türkiye saatiyle 19.00 civarında başlayan kesinti, bir saat içinde 74 ülkeye yayılarak çok sayıda kullanıcıyı etkiledi. Kesintinin kesin nedeni henüz açıklanmadı.

Onlayer Kurucu Ortağı ve CEO’su Kıvanç Harputlu, Microsoft’un paylaştığı bilgilerin siber saldırıdan çok şirketin kendi altyapısında yaşanan zincirleme bir arızaya işaret ettiğini belirtti. Harputlu’ya göre çok sayıda sunucu otomatik sağlık kontrollerini geçemediği için devre dışı kaldı.

Sunucuların devre dışı kalmasıyla oluşan yük, geride kalan sunuculara aktarıldı; ancak onlar da artan trafiği taşıyamadı. Kesintiyle aynı dönemde yapılan bir ağ yapılandırma değişikliğinin geri alındığını söyleyen Harputlu, ilk 12 saat içindeki düzeltmelerin sonuç vermediğini, yeni bir yamanın bölge bölge devreye alınmaya başlandığını aktardı.

Harputlu yaşananları, “Kısacası trafik artmadan sistem kendi ağırlığı altında çöktü” sözleriyle değerlendirdi. Kesintinin yalnızca teknik bir aksaklık olarak ele alınmaması gerektiğini belirterek, kurumların kritik iş süreçlerinde az sayıda teknoloji sağlayıcısına bağımlı hale gelmesine dikkat çekti.

Harputlu, bir bankanın kredi sürecinin, bir devlet kurumunun yazışmalarının ve bir KOBİ’nin müşteri iletişiminin aynı sağlayıcının e-posta altyapısına bağlı olabildiğini söyledi. 2024’teki CrowdStrike krizinden sonra “tek noktadan arıza” riskinin gündeme geldiğini, buna karşın teknoloji altyapılarındaki bağımlılığın arttığını kaydetti.

Avrupa’da finans kuruluşlarını üçüncü taraf teknoloji risklerini yönetmekle yükümlü kılan DORA düzenlemesinin bu risklerin önemini gösterdiğini belirten Harputlu, büyük teknoloji şirketlerine bağımlılığın hukuki ve gizlilik risklerinin yanı sıra dijital sistemlerde kırılganlık yaratabildiğini ifade etti. Bu tür sorunların küresel ölçekte yayılabileceğini de vurguladı.

Türkiye’de BDDK’nin bilgi sistemlerine ilişkin düzenlemelerinin de benzer bir ihtiyaca işaret ettiğini söyleyen Harputlu, şirketlerin bulut hizmetleri devre dışı kaldığında nasıl hareket edeceklerini planlaması gerektiğini belirtti. Kritik iletişim için yedek kanallar oluşturulması ve iş sürekliliği planlarının gerçek senaryolarla test edilmesi gerektiğini kaydetti.