BT Altyapı Denetimi Neleri Kapsar? İlk Haftada Ne Çıkar

“Bizde her şey çalışıyor” cümlesini sık duyarım. Çoğu zaman da doğrudur, çünkü çalışmayan şey kısa sürede fark edilir. Denetimin baktığı yer ise çalışıp çalışmadığı değil, bozulursa ne olacağıdır. Yedek var mı, geri dönülebiliyor mu? Sunucunun desteği bitmiş mi? Ayrılan çalışanın hesabı hâlâ açık mı?

Altyapı denetimi, bu soruları tek tek ve kayıt altına alarak cevaplamak demek.

Altyapı denetimi tam olarak neye bakar?

Kapsam firmadan firmaya değişir, sahada bakılan başlıklar ise büyük ölçüde aynıdır:

Alan	Bakılan şey	Sık çıkan bulgu
Envanter	Cihaz, sunucu, lisans, alan adı, sertifika listesi	Kimsenin sahiplenmediği eski cihaz veya abonelik
Yedekleme	Ne yedekleniyor, nereye, en son ne zaman geri dönüldü	Yedek alınıyor ama hiç test edilmemiş
Hesap ve yetki	Yönetici hesapları, ayrılan kullanıcılar, ortak şifreler	Kullanıcıların yerel yönetici yetkisi
Ağ ve güvenlik duvarı	Dışarıya açık portlar, yazılım sürümü, abonelik durumu	Yıllardır güncellenmemiş yazılım
Sunucu ve yazılım ömrü	Destek bitiş tarihleri	Desteği biten sunucu işletim sistemi
Uç nokta	Yama durumu, disk şifreleme, koruma yazılımı	Yarısı güncel, yarısı değil
E-posta ve bulut	Çok adımlı doğrulama, paylaşım ayarları, alan adı kayıtları	Eski hesaplarda doğrulama kapalı
Süreç ve sahiplik	Kim neyi yönetiyor, arıza olunca kime gidiliyor	Her şey tek kişinin kafasında

Son satırı küçümsemeyin. Teknik bulguların yarısı aslında sahiplik bulgusudur. Cihaz eskiyse kimsenin bütçesi yoktur, yedek test edilmiyorsa kimsenin görevi değildir.

Ne kadar sürer, ne ister?

Kapsama göre değişir. Yirmi otuz kullanıcılı, tek merkezli bir ofiste veri toplama genelde birkaç iş günü, raporlama onun üstüne birkaç gün sürer. Çok şubeli yapıda uzar. Süreyi asıl uzatan şey teknik zorluk değil, erişim beklemektir: yönetici şifresini kimin bildiğini bulmak gibi.

Denetçiden beklenen salt okunur erişimdir. Yani bir şeyi değiştirmeden bakar. Bir denetim sırasında ayar değiştirilmişse, o artık denetim değil müdahaledir ve ikisi ayrı tutulmalı.

Başlamadan önce şunları hazırlamak işi çok hızlandırır:

• Bildiğiniz kadarıyla cihaz ve sunucu listesi (eksik olması sorun değil, eksiğin ne olduğu zaten bulgu)
• Güvenlik duvarı, e-posta, alan adı ve bulut hizmetlerinin yönetici girişleri
• Lisans ve abonelik faturaları
• Kayıtlı yedekleme işleri ve son rapor
• Varsa eski BT sağlayıcısından kalan belgeler

Bulgular nasıl sıraya konur?

Denetimin değeri, bulguların listesinde değil sıralamasındadır. Elli maddelik rapor kimseyi harekete geçirmez. Ben bulguları üç kovaya ayırırım:

1. Bu hafta kapatılacaklar. Bir saatlik işler ama risk büyük: dışarıya açık bir uzak masaüstü portu, ayrılan çalışanın açık hesabı, devre dışı kalmış koruma yazılımı.
2. Bu çeyrek planlananlar. Yedek geri yükleme testi, yerel yönetici yetkisinin kaldırılması, eski cihazların değişim takvimi.
3. Bütçeye girecekler. Desteği biten sunucu, ömrünü doldurmuş ağ cihazı, lisans yapısının düzenlenmesi.

Üçüncü kova bütçe toplantısına girdi olur. Örneğin Windows Server 2016’nın desteği 12 Ocak 2027’de bitiyor. Exchange Server 2016 ve 2019’un desteği ise Microsoft’un kendi sayfasına göre 14 Ekim 2025’te bitti. Böyle bir sunucu envanterde çıkıyorsa mesele “yenilesek mi” değil “hangi ayda” sorusuna döner.

Kendi ekibiniz mi yapsın, dışarıdan biri mi?

İçeriden yapılan denetimin sorunu, herkesin kendi kurduğu sistemi daha iyi görmesidir. Yedeği kuran kişi yedeğin yeterli olduğunu düşünür, çünkü yeterli olacak şekilde kurmuştur. Dışarıdan bakan ise “bu sunucu neden hâlâ burada” diye sormaktan çekinmez.

Öte yandan dışarıdan gelen kişi firmanın işini bilmiyorsa her şeye aynı ağırlığı verir. Muhasebe sunucusu ile deneme makinesini aynı kefeye koyan rapor, okunmayan rapordur. İyi denetçi önce “hangisi durursa iş durur” sorusunu sorar.

Küçük bir şirkette iki yılda bir dışarıdan denetim, aradaki yıllarda da yedek testi gibi küçük içeriden kontroller makul bir denge. BT departmanı denetimi yazımızda ekibin yetkinliği ve harcama tarafını ayrıca ele almıştık.

Denetimden sonra ne olmalı?

Rapor çekmeceye girerse para boşa gitmiştir. Her bulgunun yanında bir sorumlu ve bir tarih olmalı. Bir de tekrar tarihi: altı ay sonra aynı listeye bakıp kaç madde kapanmış görmek, denetimin asıl sınavıdır.

Yedek konusunda başlangıç olarak geri yükleme testi yazısındaki adımlar işe yarar. Uzak masaüstü için de dışarıya açık RDP portunu kontrol etme beş dakikalık bir ilk adım.

Sık sorulan sorular

Denetim sırasında sistemler durur mu?

Hayır. Salt okunur erişimle yapılan denetimde kullanıcılar bir şey fark etmez. Yoğun tarama gerektiren nadir durumlarda mesai dışı saat seçilir.

Denetim sonucunda hemen yeni cihaz almak gerekir mi?

Genelde hayır. Bulguların büyük kısmı ayar, yetki ve süreç düzeltmesidir. Donanım ve lisans kalemleri üçüncü kovaya girer ve takvimle planlanır.

Elimizde cihaz listesi bile yok, yine de denetim yapılır mı?

Yapılır, hatta liste çıkarmak denetimin ilk çıktısıdır. Ağdaki cihazlar taranır, bulut hesapları sayılır, çıkan liste sizin kayıtlarınızla karşılaştırılır.

Hangi sıklıkla tekrarlanmalı?

Büyük değişiklikten (ofis taşıma, sağlayıcı değişimi, şirket birleşmesi) önce ve sonra, bunun dışında iki yılda bir makul. Yedek ve yetki kontrolleri ise çeyrekte bir yapılabilecek kadar hafif.

Altyapınıza dışarıdan bir göz atılmasını isterseniz iletişim sayfamızdan yazabilirsiniz.