Kamu kurumları, bankalar ve regüle sektörler için bulut ile kurum içi kurulum arasında nasıl karar verilir? Veri konumu, KVKK, BT kapasitesi, güncelleme ve maliyet başlıklarıyla rehber.
Yeni bir kurumsal yazılım seçerken “Bulutta mı kullanacağız, kendi sunucularımıza mı kuracağız?” sorusu, özellikle kamu kurumlarında ve regüle sektörlerde ilk masaya gelen sorulardan biridir. Bu karar yalnızca teknik bir tercih değildir; verinin nerede durduğunu, kimin sorumlu olduğunu, bilgi işlem ekibinin iş yükünü ve uzun vadeli maliyetleri doğrudan etkiler.
Bu yazıda iki modeli tarafsız biçimde karşılaştırıyor, karar verirken sorulması gereken soruları ve sık yapılan hataları ele alıyoruz. Amaç, “hangisi daha iyi?” sorusuna genel bir cevap vermek değil, kurumunuz için doğru cevabı bulmanıza yardımcı olmaktır.
İki modelin temel farkı
Bulut (SaaS) modelinde yazılım, sağlayıcının işlettiği altyapıda çalışır. Kurum yalnızca bir tarayıcı ya da mobil uygulama üzerinden kullanır; sunucu, yedekleme, güncelleme ve altyapı güvenliği sağlayıcının sorumluluğundadır.
Kurum içi (on-premises) modelde ise yazılım kurumun kendi sunucularında, kendi veri merkezinde ya da kendi kontrolündeki altyapıda çalışır. Veri kurumun sınırları içinde kalır; buna karşılık sunucuların işletilmesi, yedekleme ve altyapı güvenliği büyük ölçüde kurumun sorumluluğuna geçer.
| Başlık | Bulut | Kurum içi |
|---|---|---|
| Başlangıç süresi | Kurulum gerektirmez, hızlı başlanır | Sunucu hazırlığı ve kurulum gerekir |
| Verinin konumu | Sağlayıcının veri merkezi | Kurumun kendi altyapısı |
| Altyapı işletimi | Sağlayıcı | Kurumun BT ekibi |
| Güncellemeler | Sağlayıcı tarafından yapılır | Kurumun planladığı zamanda uygulanır |
| Ağ erişimi | İnternet üzerinden | Kurumun ağ politikasına göre, iç ağla sınırlanabilir |
| Maliyet yapısı | Genellikle dönemsel abonelik | Lisans artı donanım, işletim ve personel maliyeti |
Regüle kurumlar için belirleyici sorular
1. Veri nerede durmalı?
Kararın çoğu zaman ilk ve en belirleyici sorusu budur. Bazı kurumlar için verinin yurt içinde barındırılması yeterlidir; bazıları için ise verinin kurumun kendi altyapısından hiç çıkmaması bir zorunluluk ya da kurumsal politikadır. Kamu tarafında, 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi gibi düzenlemeler, verinin sınıflandırılması ve nerede saklanacağı konusunda kurumların uyması gereken çerçeveyi çizer. Bankacılık, sağlık ve enerji gibi sektörlerde ise kendi düzenleyici kurumlarının ek kuralları devreye girebilir.
Bu nedenle ilk adım, işlenecek verinin hangi sınıfa girdiğini ve kurumunuza hangi düzenlemelerin uygulandığını, bilgi güvenliği ve hukuk birimlerinizle birlikte netleştirmektir.
2. KVKK açısından neler değişir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, hangi modeli seçerseniz seçin veri sorumlusu olarak kurumunuzun yükümlülüklerini ortadan kaldırmaz. Kanunun 4. maddesindeki genel ilkeler (hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla sınırlılık ve ölçülülük, gerekli süre kadar saklama) ve 12. maddedeki teknik ve idari tedbir yükümlülüğü her iki modelde de geçerlidir.
Farklılaşan, sorumluluğun paylaşımıdır. Bulut modelinde sağlayıcı genellikle veri işleyen konumundadır; bu ilişkinin sözleşmeyle düzenlenmesi ve sağlayıcının güvenlik önlemlerinin değerlendirilmesi gerekir. Verinin yurt dışına aktarılması söz konusuysa, KVKK’nın yurt dışına aktarıma ilişkin 9. maddesi (2024’teki değişikliklerle birlikte) ayrıca değerlendirilmelidir. Kurum içi modelde ise aktarım sorusu büyük ölçüde ortadan kalkar, ancak altyapı güvenliğinin tamamı kurumun üzerindedir.
3. BT ekibinizin kapasitesi yeterli mi?
Kurum içi kurulum, yazılımı kurup bırakmak demek değildir. Sunucuların izlenmesi, işletim sistemi ve veritabanı güncellemeleri, yedeklerin alınması ve düzenli olarak geri yüklenerek test edilmesi, erişim kontrolü ve olay müdahalesi sürekli emek ister. Bu kapasite kurumda yoksa, kurum içi kurulum kâğıt üzerinde daha güvenli görünse de pratikte daha zayıf bir güvenlik tablosu ortaya çıkarabilir.
4. Güncellemeleri kim, ne zaman yapacak?
Bulutta güncellemeler sağlayıcı tarafından yapılır ve yeni özellikler herkese aynı anda ulaşır. Kurum içi kurulumda ise kurum güncelleme zamanını kendisi planlar; bu, değişiklik yönetimi süreçleri sıkı olan kurumlar için bir avantajdır. Ancak güncellemelerin uzun süre ertelenmesi hem güvenlik yamalarının hem de yeni özelliklerin geç gelmesi anlamına gelir.
5. Toplam maliyet nasıl karşılaştırılmalı?
Bulut ve kurum içi maliyetleri yalnızca lisans ya da abonelik bedeliyle karşılaştırmak yanıltıcıdır. Kurum içi tarafta donanım, sanallaştırma, yedekleme altyapısı, enerji, veri merkezi alanı ve en önemlisi bu sistemi işletecek personelin zamanı da hesaba katılmalıdır. Bulut tarafında ise kullanıcı ve modül sayısına bağlı dönemsel maliyet ile internet bağlantısının sürekliliği dikkate alınmalıdır.
Sık yapılan hatalar
- “Kurum içi her zaman daha güvenlidir” varsayımı: Güvenlik, verinin nerede durduğundan çok, nasıl korunduğuna bağlıdır.
- Bulut ile yurt dışını eşitlemek: Bulut hizmeti yurt içindeki bir veri merkezinden de sunulabilir; verinin fiziksel konumu sağlayıcıya sorulmalıdır.
- Kurum içi sürümün eksik olabileceğini kontrol etmemek: Bazı ürünlerde kurum içi sürüm buluttan ayrı ve daha sınırlı bir üründür. Bu, seçimden önce mutlaka netleştirilmelidir.
- Deneme aşamasını atlamak: Kurum içi karar verilecek olsa bile ürünü önce kendi süreçlerinizle denemek, yanlış ürüne yatırım yapma riskini azaltır.
Karar için kontrol listesi
- İşlenecek verinin sınıfını ve kurumunuza uygulanan düzenlemeleri belirleyin.
- Verinin yurt içinde olmasının mı, kurumun kendi altyapısında olmasının mı gerektiğini netleştirin.
- BT ekibinizin işletim, yedekleme ve güvenlik kapasitesini gerçekçi biçimde değerlendirin.
- Güncelleme ve değişiklik yönetimi beklentilerinizi yazıya dökün.
- Toplam sahip olma maliyetini tüm kalemleriyle karşılaştırın.
- Sağlayıcıya kurum içi sürümün bulut sürümüyle aynı olup olmadığını sorun.
HibritİK’te iki seçenek, tek yazılım
HibritİK, bu kararı kurumunuzun ihtiyacına göre vermenize izin verir; iki seçenek arasında özellik farkı yoktur:
- Bulut: HibritİK, app.hibritik.com üzerinden kurulum gerektirmeden kullanılır. Bulut verileri Türkiye’de, İstanbul’da barındırılır; her şirketin verisi diğerlerinden sıkı şekilde ayrılır.
- Kurum içi: Aynı yazılım kendi sunucularınıza kurulabilir; veri ve uygulama sizin altyapınızda çalışır. Kurum içi kurulum ayrı ya da eksik bir sürüm değildir.
- Modül bazında lisans: Her iki seçenekte de yalnızca ihtiyacınız olan modülleri lisanslarsınız; lisansı olmayan modüller arayüzde görünmez.
- Güvenlik önlemleri: Rol ve izin bazlı erişim (kendi kaydı, ekip, departman ya da şirket kapsamı), sunucuda şifreli saklanan mesajlar, şifreli yedekler ve oturum yönetimi. HibritİK’i geliştiren Sotech Bilgi Teknolojileri ISO 27001 sertifikalı bir şirkettir.
- Entegrasyon: REST API ve rol bazlı yetkili API anahtarlarıyla, bir entegrasyonun erişebileceği veri baştan sınırlanır.
Ayrıntılar için bulut ve kurum içi kurulum, güvenlik ve KVKK ve entegrasyon ve özel geliştirme sayfalarına göz atabilirsiniz. KVKK açısından İK yazılımında nelere dikkat edilmesi gerektiğini ise KVKK uyumlu İK yazılımı yazımızda anlatıyoruz.
Sonuç: Önce ihtiyacı, sonra modeli seçin
Bulut ile kurum içi kurulum arasındaki karar, bir ürün özelliği değil, bir kurum politikası kararıdır. Verinin sınıfını, uygulanan düzenlemeleri ve BT kapasitenizi netleştirdiğinizde doğru model çoğu zaman kendiliğinden ortaya çıkar. Kurum içi kurulum ihtiyaçlarınızı konuşmak için bizimle iletişime geçin; ürünü önce bulutta denemek isterseniz 14 gün ücretsiz deneyin.
Not: Bu yazı genel bilgilendirme amaçlıdır. Kurumunuza uygulanan mevzuat ve düzenleyici kurum kuralları için bilgi güvenliği ve hukuk birimlerinizden teyit almanızı öneririz.