Özel bir sağlık kuruluşunun giriş lobisini düşünün. Duvarlar mermer kaplıdır, girişte pirinç çerçeveler içinde "JCI (Joint Commission International) A+ Uluslararası Akreditasyon", "ISO 9001 Kalite Yönetimi" ve "Sağlık Bakanlığı Mükemmeliyet Ödülü" asılıdır. Müşteri bu altın yaldızlı belgelere bakıp içeri girdiğinde kendini dünyanın en steril ortamında zanneder. Ancak ameliyathane katına çıktığınızda dehşet verici bir manzarayla karşılaşırsınız: Ameliyathanenin yangın kapısı havalansın diye altına tahta takoz sıkıştırılarak aralık bırakılmıştır; içeriye sokak tozu dolmaktadır. Temizlik görevlisi elindeki kirli paspas kovasını steril operasyon masasının hemen yanındaki lavaboya boşaltmakta, cerrah ise dışarıdaki sigara molasından sonra ellerini 3 saniye ıslatıp ameliyat eldivenini takmaktadır. Duvardaki JCI sertifikası o an ne işe yarar? Koca bir sıfır. Çünkü standart bir duvara asılan çerçeve değil; sahada her saniye uygulanan tavizsiz bir disiplindir.

Türkiye bilişim ve veri merkezi sektöründe de durum tam olarak bu akredite klinikten farksızdır. Web sitelerinde "Tier III Sertifikalı, ISO 27001, ISO 22301, TSE Onaylı Veri Merkezi" sloganlarıyla pazarlanan birçok tesisin iç kapısını araladığınızda; kâğıt üzerindeki sertifikasyon tiyatrosu ile sahadaki sefaletin çarpıcı kontrastıyla yüzleşirsiniz.

Sertifikasyon Tiyatrosu: "Tasarım" vs. "İnşa Edilmiş Tesis"

Veri merkezlerinde küresel altın standart Uptime Institute tarafından belirlenen Tier seviyeleridir (Tier I, II, III, IV).

Ancak Türkiye'deki birçok işletmeci müşterileri aldatmak için terminolojinin arkasına saklanır:

[KÂĞIT ÜZERİNDEKİ İLLÜZYON]
Tier III: "Design Documents" (Tasarım Belgesi)
- Bir mimarlık ofisine Tier III uyumlu mükemmel bir CAD projesi çizdirilir.
- Uptime Institute'a para yatırılır ve "Tasarım Sertifikası" alınır.
- Duvara asılır: "BİZ TIER III SERTİFİKALIYIZ!"

[SAHADAKİ ACI GERÇEKLİK]
Tier III: "Constructed Facility" (İnşa Edilmiş Tesis Belgesi)
- Gerçekte bu aşama ASLA yapılmaz!
- Çünkü sahada o projeye sadık kalınmamıştır:
  * Projede çift bağımsız jeneratör varken sahada tek jeneratör konulmuştur.
  * Projedeki 2N UPS hatları yerine N+1 ucuz UPS alınmıştır.
  * Uptime Institute denetçileri tesise çağrılıp yük testi (Load Bank Test) yaptırılmamıştır!

Müşteri duvarda Tier III logosu görünce tesisin kesintisiz çalışacağına inanır. Oysa o belge sadece bir "niyet beyanıdır"; sahadaki betonun ve kablonun o standartta olduğunu kanıtlamaz.

Beyaz Alan Gerçekleri: Paspas Kovası ve Açık Kapılar

Gerçek bir Tier III veri merkezinin beyaz alanı (White Space - Sunucu Odası), bir ameliyathane kadar steril ve izole olmak zorundadır.

Ancak "sertifikalı" birçok yerli merdiven altı tesiste karşılaşılan tipik vaka manzaraları şunlardır:

1. Pozitif Basınç ve Toz İzolasyonunun Katli

Bir veri merkezinde sunucu odasının hava basıncı dış koridorlardan daha yüksek olmalıdır (Pozitif Basınç). Kapı açıldığında içerideki hava dışarı üflemeli, dışarıdaki tozlar içeri girmemelidir.
Peki sahada ne görülür? Sunucu odasının kapı kilidi bozulmuştur; içeri giren teknisyen kapıyı kapatmakla uğraşmasın diye önüne 5 litrelik bir yangın tüpü veya tahta takoz koyup kapıyı ardına kadar açık bırakmıştır! Sokaktaki egzoz dumanı ve inşaat tozu milyon dolarlık sunucuların fanlarına dolmaktadır.

2. Paspas Kovası ile Sunucu Temizliği

Sunucu odalarında statik elektriği engelleyen yükseltilmiş döşemeler (Raised Floor) vardır. Bu döşemelerin altından binlerce voltluk enerji kabloları ve hassas fiberler geçer. Bu zeminler sadece özel antistatik HEPA filtreli kuru vakum cihazlarıyla temizlenebilir.
Oysa tesiste göreceğiniz şey: Asgari ücretli temizlik görevlisinin elinde deterjanlı ıslak paspasla kabinlerin arasından geçmesi, paspasın suyunu yükseltilmiş döşemenin havalandırma deliklerinden aşağıya, yüksek voltaj kablolarının üzerine damlatmasıdır!

3. Sıcak-Soğuk Koridor İhlalleri

Enerji verimliliğinin ve sunucu sağlığının temeli sıcak hava ile soğuk havanın birbirine karışmasını engelleyen kapalı koridor (Aisle Containment) mimarisidir.
Sahada ise kabinlerin ön kapakları açık bırakılmış, kabin içi körleme panelleri (Blanking Panels) masraf olmasın diye takılmamış, soğuk hava doğrudan sıcak koridora kaçarak sunucuların termal kilitlenmeye (Overheating) girmesine sebep olmuştur.

ISO 27001 ve TSE Denetimleri Nasıl Geçilir?

ISO 27001 (Bilgi Güvenliği Yönetim Sistemi) ve yerel TSE denetimleri, teoride sistemin güvenliğini ve erişim kayıtlarını denetlemekle yükümlüdür.

Ancak Türkiye'deki denetim ekosistemi çoğu zaman bir "evrak tamamlama" formalitesinden ibarettir:

  • Denetçi gelmeden 3 gün önce tüm eksik ziyaretçi defterleri geçmişe dönük olarak aynı tükenmez kalemle doldurulur.
  • Kameraların çalışıp çalışmadığına değil, kameranın fiziksel olarak tavanda asılı olup olmadığına bakılır.
  • Sunucu kabinlerinin kilitli olması gerekir; ancak anahtarlar kabinlerin üzerinde takılı unutulmuştur. Denetçi geldiğinde alelacele anahtarlar cebe atılır.
  • Akşam denetim heyetine güzel bir akşam yemeği ısmarlanır; ertesi gün ISO 27001 sertifikası kargo ile ofise teslim edilir.

Bu kâğıt parçası, içeriye harici bir flash bellek sokup müşteri verilerini kopyalamak isteyen kötü niyetli bir stajyeri engelleyebilir mi? Asla.

Gerçek Bir Veri Merkezini Anlama Kılavuzu: 5 Basit Sahra Testi

Eğer bir veri merkezine sunucu koyacaksanız (Colocation) veya altyapınızı taşıyacaksanız, satış temsilcisinin elindeki broşürlere ve duvardaki sertifikalara bakmayın. Beyaz alana girin ve şu 5 noktayı bizzat kontrol edin:

[TEST 1] Kapı Girişi:
- İçeri girerken galoş makinesi var mı? Yapışkan paspas çalışıyor mu?
- Kapı arkasından kapandığında manyetik kilit anında kilitleniyor mu?

[TEST 2] Zemin ve Tavan:
- Kabinlerin üzerinde boşluk panelleri (blanking panels) tam mı?
- Döşemenin altında su baskını algılama kabloları (rope sensor) döşeli mi?

[TEST 3] Jeneratör Alanı:
- Jeneratör yakıt tankı ne kadar dolu?
- Jeneratör haftalık otomatik yük testine (test run) giriyor mu? Log defterine bakın!

[TEST 4] Yangın Söndürme:
- Tavanda su sprinkler'ı mı var, yoksa gazlı (FM200 / Novec 1230) sistem mi?
- (Sunucu odasında su sprinkler'ı varsa oradan arkkanıza bakmadan kaçın!)

[TEST 5] Fiziksel Güvenlik:
- Sunucu kabininin anahtarı sadece size mi özel, yoksa genel master anahtar mı var?

Bu 5 sorudan 2 tanesi bile olumsuzsa; o tesisin duvarındaki ISO ve Tier sertifikaları sadece müşterileri uyutmak için tasarlanmış birer sahne dekorudur.

Sonuç

Ameliyathane kapısına tahta takoz koyup içeride paspas sallayan bir hastanenin duvarındaki JCI akreditasyonu hastayı enfeksiyondan koruyamaz; beyaz alanında disiplin ve hijyen olmayan bir veri merkezinin ISO sertifikası da sunucularınızı kesintiden ve yangından koruyamaz.

Mühendislik kâğıt üzerinde değil, sahada nefes alır. Sertifikalar yalnızca asgari şartların bir belgesidir; kalite ise o şartları denetçi yokken bile bir ibadet ciddiyetiyle korumaktır. Altyapınızı pazarlama broşürlerine değil; somut fiziksel disipline ve çalışan mühendislik gerçeklerine emanet edin.