Yedekleme konuşulurken genellikle "ne sıklıkla" sorusuna odaklanılır. Oysa en az onun kadar önemli bir soru daha vardır: Alınan yedekler ne kadar süre saklanacak? Çok kısa saklama, geç fark edilen bir sorunda geri dönülecek temiz bir nokta bırakmaz. Çok uzun saklama ise hem maliyeti artırır hem de silinmesi gereken kişisel verilerin yedeklerde yaşamaya devam etmesine yol açar.
Bu yazıda yedek saklama politikasının hangi unsurlardan oluştuğunu, bu unsurların nasıl dengelendiğini ve sigorta acentesi verisi için nelere dikkat edilmesi gerektiğini ele alıyoruz.
Saklama politikası neleri tanımlar?
Bir yedek saklama politikası temel olarak dört soruya cevap verir:
- Hangi veri yedekleniyor?
- Yedekler hangi aralıklarla alınıyor?
- Her yedek ne kadar süre saklanıyor?
- Süresi dolan yedekler nasıl ve kim tarafından imha ediliyor?
Bu soruların cevapları yazılı olmadığında saklama süresi fiilen depolama alanının ne zaman dolduğuna göre belirlenir. Bu da hem güvenlik hem de veri koruma açısından öngörülemez bir durum yaratır.
Katmanlı saklama yaklaşımı
Tüm yedekleri aynı süre saklamak yerine, farklı sıklıktaki yedekleri farklı sürelerle tutmak yaygın ve dengeli bir yaklaşımdır. Bu yapı bazen büyükbaba, baba ve oğul modeli olarak da anılır:
- Sık alınan kısa ömürlü yedekler: Gün içinde ya da günlük alınan yedekler kısa bir süre tutulur. Yakın zamanda yapılmış bir hatadan dönmek için kullanılır.
- Haftalık yedekler: Daha uzun süre saklanır. Birkaç hafta sonra fark edilen sorunlarda geri dönüş noktası sağlar.
- Aylık yedekler: En uzun süre tutulan katmandır. Uzun süre fark edilmeyen veri bozulmalarına ya da sessiz kalan güvenlik olaylarına karşı koruma sağlar.
Bu katmanlar sayesinde depolama ihtiyacı makul seviyede kalırken, hem yakın hem de uzak geçmişe dönüş imkânı korunur.
Saklama süresini belirleyen etkenler
Sorunların fark edilme süresi
Bir veri hatasının ya da güvenlik olayının ne kadar sürede fark edildiği, saklama süresinin alt sınırını belirler. Örneğin hatalı bir toplu güncelleme ancak ay sonu raporunda fark ediliyorsa, en az bir aylık geri dönüş imkânı gerekir.
Mevzuat ve sözleşme yükümlülükleri
Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür. Bu ilke yedekler için de geçerlidir. Öte yandan sigortacılık faaliyetiyle ilgili bazı kayıtların belirli süreler boyunca saklanması gerekebilir. Bu iki yükümlülüğün birlikte değerlendirilmesi için hukuk danışmanının görüşü alınmalıdır.
Maliyet
Her ek saklama günü depolama maliyeti anlamına gelir. Ancak maliyet, saklama süresini belirleyen tek etken olmamalıdır; kurtarılamayan bir verinin maliyeti çoğu zaman çok daha yüksektir.
Yedeklerde silme hakkı sorunu
Bir müşterinin kişisel verilerinin silinmesi talep edildiğinde ya da saklama amacı ortadan kalktığında, veri canlı sistemden silinir. Ancak aynı veri, önceki tarihlerde alınmış yedeklerde yer almaya devam eder. Her silme talebinde tüm yedekleri tek tek açıp düzenlemek çoğu zaman teknik olarak mümkün değildir ve yedeklerin bütünlüğünü bozar.
Bu duruma yönelik yaygın yaklaşımlar şunlardır:
- Yedeklerin saklama süresinin tanımlı ve sınırlı olması; böylece silinen verinin yedeklerdeki kopyasının da belirli bir süre sonunda kendiliğinden ortadan kalkması.
- Yedekten geri yükleme yapıldığında, daha önce silinmiş kayıtların yeniden silinmesini sağlayan bir kontrol listesinin uygulanması.
- Yedeklere erişimin sıkı biçimde sınırlandırılması ve yedeklerin yalnızca kurtarma amacıyla kullanılması.
Versiyonlama ve dosya geçmişi
Veritabanı yedeklerinin yanında, poliçe belgeleri ve taranmış evraklar gibi dosyalar için versiyonlama da saklama politikasının parçasıdır. Versiyonlama, bir dosyanın üzerine yazıldığında önceki halinin belirli bir süre korunmasını sağlar. Bu özellik, yanlışlıkla değiştirilen bir belgenin önceki haline dönmeyi kolaylaştırır. Versiyonların da sınırsız tutulmaması, belirli bir sayı ya da süreyle sınırlandırılması gerekir.
İmha süreci
Süresi dolan yedeklerin imhası da en az yedeklemenin kendisi kadar dikkat ister:
- İmhanın otomatik kurallarla yapılması, unutulma riskini azaltır.
- İmha işlemlerinin kayıt altına alınması, politikanın uygulandığını gösterir.
- Fiziksel ortamlardaki yedeklerin, örneğin harici disklerin, geri getirilemeyecek biçimde imha edilmesi gerekir.
- Değiştirilemez saklama kullanılan yedeklerde kilit süresinin saklama politikasıyla uyumlu olması gerekir.
Acente için uygulanabilir bir başlangıç
Küçük ve orta ölçekli bir acente, saklama politikasını şu adımlarla oluşturabilir:
- Yazılım sağlayıcısının yedek saklama sürelerini ve katmanlarını öğrenin.
- Acentenin kendi tuttuğu dosyalar ve dışa aktarılmış raporlar için ayrı bir saklama kuralı belirleyin.
- Kişisel veri saklama ve imha politikanızla yedek saklama sürelerini karşılaştırın.
- Harici disklerde ya da kişisel bilgisayarlarda tutulan eski kopyaları envanterleyin ve gereksiz olanları güvenli biçimde imha edin.
- Politikayı yazılı hale getirip yılda bir kez gözden geçirin.
InsureHub bakış açısı
InsureHub, sigorta acentelerine yazılım sağlayan bir şirket olarak müşteri, poliçe ve tahsilat kayıtlarını merkezi bir yapıda tutar; bu yaklaşım, verinin acente bilgisayarlarında dağınık kopyalar halinde birikmesini azaltır. Rol bazlı yetkilendirme ve alt kullanıcı yönetimi, dışa aktarma gibi işlemlerin kim tarafından yapılabileceğini sınırlamaya yardımcı olur. Panelin yapısı için sigorta acentesi yazılımı ve acente CRM sayfalarını inceleyebilir, saklama politikalarına ilişkin sorularınızı demo talebi sonrasında iletebilirsiniz.
Sonuç
Yedek saklama politikası, geri dönüş imkânı ile veri koruma yükümlülükleri arasında bilinçli bir denge kurmaktır. Katmanlı saklama, tanımlı süreler ve kayıt altına alınan imha süreci, yedeklerin hem kurtarma hem de uyum açısından güvenilir olmasını sağlar.