Yönetilen SQL Server DBA Hizmeti Nasıl Seçilir? İmzadan Önce Sormanız Gereken Sorular

Yönetilen bir DBA hizmeti seçmek kâğıt üzerinde basit görünür: birkaç teklifi karşılaştırırsınız, makul bir aylık ücret seçersiniz ve imzalarsınız. Pratikte ise firmalar arasındaki fark ancak yılın en kötü gecesinde, bir veritabanı açılmadığında ortaya çıkar. Ya da aylar sonra, firma değiştirmek istediğinizde hiçbir şeyin dokümante edilmediğini fark ettiğinizde.

Bu rehber, yönetilen bir SQL Server DBA hizmetini değerlendiren IT yöneticileri ve CTO’lar için hazırlandı. Şirketlerin veritabanı yönetimini neden dışarıdan aldığını, imzadan önce sorulması gereken soruları ve iyi bir cevabın nasıl olması gerektiğini, düzgün bir onboarding sürecini, netleştirilmesi gereken güvenlik ve regülasyon noktalarını ve en sık gördüğümüz hataları anlatıyoruz.

Şirketler Neden Yönetilen DBA Hizmeti Arar?

Kıdemli DBA maaşları ve çoğu zaman döviz bazlı olan lisans maliyetleri düşünüldüğünde, kıdemli bir iç veritabanı ekibi kurmak ciddi bir yatırımdır; tek bir DBA ise geceleri, tatilleri ve izinleri karşılayamaz. Deneyimimize göre yönetilen hizmet arayan şirketler genellikle şu durumlardan birindedir:

• Kıdemli bir iç ekibin maliyetine ve riskine girmek istemiyorlar, ama yine de kıdemli seviyede uzmanlığa ihtiyaçları var.
• DBA’ları ayrılmış ve bilgi de onunla birlikte gitmiş.
• Yeni bir projeye başlamışlar ve veritabanı tarafının ilk günden doğru tasarlanmasına ihtiyaç duyuyorlar.
• Uygulama ekibinin tek başına çözemediği bir performans sorunu yaşıyorlar.
• İş zekası, analitik ya da yapay zeka projelerine başlamak istiyorlar ve günlük operasyonun yanında veri platformu uzmanlığına ihtiyaç duyuyorlar.
• Aynı anda birden fazla platform kullanıyorlar: SQL Server’ın yanında PostgreSQL, MySQL ya da Oracle.
• Bir fidye yazılımı saldırısı ya da ciddi bir kesinti yaşamışlar. Onboard ettiğimiz firmaların önemli bir kısmı bize bir cryptolocker olayının ya da büyük bir kesintinin hemen ardından geldi.

Aradıkları şey ise aynıdır: bir şey bozulduktan sonra tepki veren bir ticket kuyruğu değil, proaktif çalışan kıdemli bir ekip.

İmzadan Önce Sormanız Gereken Sorular

Bunlar potansiyel müşterilerin en sık sorduğu sorular. Doğru sorular bunlar; önemli olan cevapların ne kadar somut olduğu.

Veritabanı Tek Başına Yaşamaz

İş açısından veritabanı, üzerinde çalışan uygulamaların kalbidir: ERP, CRM, raporlama ve iş zekası platformu. Gördüğümüz yavaşlıkların ve kesintilerin çoğu uygulama katmanında başlar: üçüncü taraf yazılımların kötü yazılmış sorguları, açılıp hiç kapatılmayan bağlantılar, blocking ve deadlock’a yol açan transaction yönetimi.

İyi bir firma bir index eklemekle yetinmez. ERP’nizin ve raporlama araçlarınızın veritabanını nasıl kullandığını anlar, darboğazı uygulamanın nerede yarattığını bulur ve süreç seviyesinde iyileştirmeler için uygulama ekibinizle ya da tedarikçinizle birlikte çalışır. Firmaları değerlendirirken hangi iş uygulamalarında uygulamalı deneyimleri olduğunu sorun.

Düzgün Bir Onboarding Nasıl Olmalı?

İlk haftalar bir firma hakkında herhangi bir tekliften daha fazlasını anlatır. Ciddi bir firma şunları yapmalıdır:

1. Önce audit’i kurmalı. Erişim sağlandıktan sonra, firmanın ortamınızda yapacağı her hareketi loglayan bir audit yapısı üzerinde birlikte anlaşılmalı.
2. Yazılı bir onboarding checklist’i takip etmeli; hiçbir şey hafızaya bırakılmamalı.
3. Her şeyden önce yedekleri ve bütünlüğü doğrulamalı. Performansa ya da konfigürasyona dokunmadan önce yedeklerin var olduğu ve restore edilebildiği, veritabanlarının tutarlılık kontrollerinden geçtiği doğrulanmalı. SQL Server Backup Planı Nasıl Kurulur? ve SQL Server’da DBCC CHECKDB yazılarımıza bakabilirsiniz.
4. Yüksek yetkili kullanıcıları ve bütün yetki matrisini çıkarıp sizinle paylaşmalı.
5. Kapsamlı bir sağlık taraması yapmalı ve bulguları zaman damgalı bir dokümanla paylaşmalı.
6. Acil bulguları kesinti yaratmadan, önceliklendirilmiş bir sırayla düzeltmeli.
7. Dokümante etmeli: mimariyi, HA/DR yapısını, kriz anı için checklist’ler içeren bir acil eylem planını, yedekleme politikalarını ve verilerin saklanma koşullarını.
8. Kapsamdaki bütün sunucuların ve servislerin envanterini çıkarmalı ve bir performans baseline’ı toplamaya başlamalı.
9. Ortamı endüstri standardı bir mimariye yaklaştırmak için öneriler sunmalı.

Güvenlik, KVKK ve Sektörel Regülasyonlar

Yönetilen DBA hizmeti veren bir firma en kritik sistemlerinize yüksek yetkiyle erişir; bu yüzden güvenlik sonradan düşünülecek bir konu olamaz. İmzadan önce şu noktaları netleştirin:

• Veri değil, ortam. Bir DBA firması verinizi değil, veritabanı ortamınızı yönetmelidir. Firma tarafında size ait herhangi bir veri ya da doküman tutulup tutulmayacağını sorun.
• Firmanın kendi güvenliği. Firmanın çalışma ortamının nasıl korunduğunu sorun: yönetilen cihazlar, çok faktörlü kimlik doğrulama, segmentasyon, bağımsız güvenlik denetimleri, kurumsal şifre yönetimi.
• En az yetki ve sıkılaştırma. Minimum bir yetki matrisi ve hem firmanın hem de diğer hesaplar için yapılacak güvenlik sıkılaştırması, veri sızıntısı riskini azaltır.
• Audit ve SIEM. Servis ve uygulama hesapları dışındaki kullanıcıların hareketleri loglanmalı ve korelasyon için gereken ek bilgilerle (hostname, IP vb.) SIEM sisteminize sağlıklı şekilde aktarılabilmelidir.
• Sözleşmeler. Gizlilik sözleşmesi iki tarafı da korur; veri işleme ile ilgili maddeleri de hukuk ekibinize inceletin.
• Sektörünüzün kuralları. Regüle sektörler kendi gerekliliklerini ekler. Örneğin bankalar, birincil ve ikincil sistemlerini yurt içinde bulundurmak ve destek hizmeti alıp almadıklarından bağımsız olarak iş sürekliliğine yetecek sayıda yurt içi personel istihdam etmek zorundadır. Enerji ve diğer kritik altyapı şirketlerinin de kendi denetim ve güvenlik beklentileri vardır. Firmanın bu kurallar altında zaten çalışıp çalışmadığını sorun.

En Sık Gördüğümüz Hatalar

1. Yalnızca aylık ücrete bakmak

En sık yapılan hata, firmaları yalnızca düzenli ödenen ücrete göre karşılaştırmaktır. Önemli olan kıdemli bir ekipten hizmet alıp almadığınız, ekibin veriyle nasıl çalıştığı ve sisteminize proaktif olarak ne katabileceğidir. İyi bir firma örneğin lisanslama danışmanlığı sunmalı, dev, test, QA ve preprod ortamlarında standardizasyon için sizi yönlendirmeli, sizi süreçten sürekli haberdar etmeli ve verdiği hizmeti sizin de görebileceğiniz şeffaflıkta sunmalıdır. SQL Server Lisanslama Rehberi yazımıza bakabilirsiniz.

2. Dokümantasyon ve rapor istememek

Yapılan bütün çalışmalar dokümante edilmeli ve rapor halinde size sunulmalıdır. Aylık düzenli raporlar sizi bilgilendirmeli, yedekten dönüş testleri düzenli yapılmalı, gerçek RPO ve RTO değerleriniz çıkarılmalı ve bunlara uyum düzenli olarak size raporlanmalıdır.

3. Bir sonraki felakete karşı nasıl koruyacaklarını sormamak

Firma sizi olası problemlere karşı önceden yönlendirmelidir: immutable backup, bir DR ortamının kurulması, 3-2-1’e göre bir yedekleme yapısı, minimum yetki matrisi ve SIEM’inize entegre olan bir audit yapısı. Bütün yedeklerin domain’den erişilebilir olduğunu öğrenmek için fidye yazılımı saldırısı kötü bir zamandır. SQL Server Production Kesintisi: İlk 30 Dakika Runbook’u yazımıza bakabilirsiniz.

4. Çıkış ve devir planı olmadan imzalamak

Fiyatlandırma Modellerini Karşılaştırmak

Firmalar farklı şekillerde fiyatlandırır: sunucu ya da instance başına, kullanılan saate göre ya da sabit aylık ücretle. Kapsam ise diğer eksendir: yalnızca mesai saatleri (8×5) ya da günün her saati (7×24); talep üzerine destek ya da sözleşmeye bağlı bir SLA ile tamamen yönetilen hizmet. Fiyatları karşılaştırmadan önce her teklifte gerçekte nelerin dahil olduğunu yan yana koyun: izleme, proaktif bakım, raporlar, test restore’lar, upgrade’ler, müdahale süreleri ve devir planı.

Kontrol Listesi: İmzadan Önce

1. Genel bir helpdesk değil, isimli kıdemli mühendisler.
2. Mesai içi ve dışı müdahale sürelerini içeren yazılı SLA.
3. Kayıt altına alınan bir sisteme ulaşan alert’lerle 7/24/365 izleme.
4. Change management ve sizin de görebildiğiniz bir ticket sistemi.
5. Dokümante edilmiş bir onboarding: önce yedekler ve bütünlük, yetki matrisi, sağlık taraması, envanter.
6. RPO ve RTO’nun ölçülüp raporlandığı düzenli test restore’lar.
7. Size ait aylık raporlar ve eksiksiz dokümantasyon.
8. Yönetilen cihazlardan MFA ile güvenli ve audit edilen erişim; şeffaf, salt okunur araçlar; firma tarafında veri tutulmaması; gizlilik sözleşmesi.
9. İş uygulamalarınızda ve sektörünüzün regülasyonlarında deneyim.
10. Proaktif katkı: lisanslama, ortam standardizasyonu, DR ve immutable backup.
11. Önceden üzerinde anlaşılmış bir çıkış ve devir planı.

Aryasoft Bunu Nasıl Yapıyor?

Yukarıdakiler, herhangi bir firmadan bekleyeceğimiz şeyler. Biz bunları şöyle karşılıyoruz:

• Yalnızca kıdemli uzmanlar. Sistemlerinizde çalışan her mühendis kıdemlidir. SQL Server, PostgreSQL, MySQL ve Oracle ile iş zekası ve yapay zeka projeleri taşerona değil, kendi ekibimize aittir.
• Dokümante edilmiş onboarding. Onboarding checklist’imizi izleriz: audit kurulumu, önce yedekler ve tutarlılık kontrolleri, yetki matrisi, sağlık taraması, acil eylem planı, envanter ve baseline.
• Kendi sağlık tarama aracımız HELT360. HELT360, GarajX TEKMER’de bir Ar-Ge projesi olarak kendi bünyemizde geliştirildi. Salt okunur (read-only) çalışır ve yalnızca konfigürasyon kontrolleri yapar; sisteminize yük bindirmez. Çalıştırdığı script’ler panel üzerinden görüntülenebilir ve talep edilirse ürettiği bütün trafik metin olarak loglanabilir. Tamamen şeffaf ve raporlanabilir bir üründür.
• Güvenli erişim. Bağlantılar yalnızca ofisimizdeki, şirketimize ait ve merkezi olarak yönetilen bilgisayarlardan, çok faktörlü kimlik doğrulamayla yapılır. Bu cihazlara USB bellek bile takılamaz. Talep edilirse erişim IP kısıtlamalı bir VPN üzerinden sağlanır. Her şey loglanır.
• Bizim tarafımızda müşteri verisi yok. Veriyi değil, ortamı yönetiyoruz. Çalışma ortamımızda müşteriye ait hiçbir veri ya da doküman tutulmaz; bu ortam segmente edilmiştir ve bağımsız bir güvenlik firması tarafından düzenli olarak denetlenir. Bütün bilgiler ve dokümanlar müşterinin kendi ortamındaki danışman makinesinde kalır; gizlilik sözleşmeleri iki tarafı da korur.
• Regüle sektörlerde deneyim. BDDK düzenlemesine tabi finans kuruluşları ve EPDK düzenlemesine tabi enerji şirketleriyle çalışıyoruz.
• Uygulama farkındalığı. Veritabanı üzerinde çalışan iş uygulamalarını biliyoruz: Microsoft Dynamics, Logo ve Mikro ERP sistemleri ve iş zekası platformları.
• Şeffaf raporlama. Her ay ayrıntılı bir rapor ve yapılan bütün çalışmaların dokümantasyonu.
• Fiyatlandırma ve SLA. Fiyatlandırma instance başınadır. Bakım ve destek, 8×5 ya da 7×24 kapsamla, mesai saatlerinde 2 saat ve mesai dışında 4 saat müdahale süresiyle sunulur. Bütün süreci 7×24 Aryasoft’un yönettiği SLA hizmeti (remote DBA) ise mesai saatlerinde 30 dakika, mesai dışında 2 saat içinde müdahale eder.

Sık Sorulan Sorular