Yenilenmeyen Sertifikanın Bedeli

Aşağıdaki senaryo, orta ölçekli şirketlerde tekrar eden bir örüntünün birleştirilmiş anlatımıdır. Belirli bir firmayı temsil etmez.

Durum

Bir e-ticaret ve toptan satış şirketi. Web sitesi üzerinden hem son kullanıcıya satış yapıyor hem bayilerine panel üzerinden sipariş aldırıyor.

Mevcut zayıflıklar:

• Sertifika üç yıl önce bir çalışan tarafından alınmış
• Bildirimler o çalışanın kurumsal adresine gidiyor
• Çalışan bir yıl önce ayrılmış, hesabı kapatılmış
• Envanter tutulmuyor
• Takvimde kayıt yok
• İzleme sistemi yok
• Sorumlu tanımlı değil

Aşama 1 — Sessiz uyarılar

Sertifikanın bitişine üç ay kala sağlayıcı ilk hatırlatmayı gönderdi. E-posta, kapatılmış bir hesaba gitti ve geri döndü.

İkinci ve üçüncü hatırlatmalar da aynı akıbete uğradı.

Kritik nokta: Bildirim adresi rol bazlı olsaydı, olay burada sonlanırdı.

Aşama 2 — Bitiş günü

Sertifika bir cuma akşamı doldu.

• Site teknik olarak çalışmaya devam etti
• Ancak ziyaretçiler tam sayfa güvenlik uyarısıyla karşılaştı
• Bayi paneli erişilemez hâle geldi
• Mobil uygulama sunucuya bağlanamadı
• Ödeme entegrasyonu çalışmadı

Aşama 3 — Fark ediliş

İlk bildirim cumartesi sabahı bir bayiden geldi: "Panele giremiyoruz."

• Mesai dışı olduğu için yanıt gecikti
• Sorun "internet sorunu" sanıldı
• Pazartesi sabahı ciddiye alındı
• O ana kadar iki gün geçmişti

İzleme sistemi olsaydı, sorun dakikalar içinde bildirilirdi.

Aşama 4 — Panik ve arayış

Pazartesi sabahı:

• Sertifikanın dolduğu anlaşıldı
• "Kim almıştı?" sorusu soruldu
• Ayrılan çalışan olduğu hatırlandı
• Hangi sağlayıcıdan alındığı bilinmiyordu
• Hesap bilgileri bulunamadı
• Fatura kayıtlarından sağlayıcı tespit edildi
• Hesap kurtarma süreci başlatıldı

Bu aşama tek başına yarım gün sürdü.

Aşama 5 — Yeni sertifika

• Eski hesaba erişilemedi
• Yeni bir hesap açıldı
• Kurumsal doğrulamalı sertifika talep edildi
• Doğrulama için belge istendi
• Mali işlerden belge temini bir gün sürdü
• Telefon doğrulaması için beklendi

Yanlış karar: Acil durumda hızlı bir DV sertifika alınıp site açılabilirdi. Bunun yerine kurumsal doğrulama süreci beklendi.

Aşama 6 — Kurulum

• Sertifika üçüncü gün geldi
• Kurulumu yapacak kişi arandı
• Eski sunucu erişim bilgileri bulunamadı
• Hosting sağlayıcısından destek istendi
• Kurulum yapıldı
• Ara sertifika unutuldu
• Bazı müşteriler hâlâ hata aldı
• Ertesi gün düzeltildi

Aşama 7 — Toparlanma

• Site dördüncü gün tam olarak normale döndü
• Bayilere özür bildirimi gönderildi
• Müşteri şikâyetleri yanıtlandı
• Arama motorunda geçici dalgalanma yaşandı

Toplam etki

Zincirin kırılabileceği noktalar

1. Bildirim adresi rol bazlı olsaydı — üç ay önce fark edilirdi
2. Envanter tutulsaydı — tarih biliniyor olurdu
3. Takvimde kayıt olsaydı — hatırlatılırdı
4. İzleme kurulu olsaydı — dakikalar içinde bildirilirdi
5. Sorumlu atanmış olsaydı — kimse "kim bakıyordu?" demezdi
6. Hesap bilgileri kayıtlı olsaydı — yarım gün kazanılırdı
7. Ayrılış sürecinde kontrol edilseydi — bir yıl önce düzeltilirdi
8. Acil durumda DV alınsaydı — site aynı gün açılırdı
9. Ara sertifika kurulsaydı — bir gün daha kazanılırdı

Dokuz noktadan herhangi biri, olayın etkisini büyük ölçüde azaltırdı.

Sonrasında kurulan düzen

• ☐ Rol bazlı bir bildirim adresi oluşturuldu
• ☐ Tüm kritik hizmetlerde bu adres tanımlandı
• ☐ Sertifika envanteri çıkarıldı
• ☐ Alan adı ve hosting bilgileri de envantere eklendi
• ☐ Tüm bitiş tarihleri paylaşımlı takvime işlendi
• ☐ Çoklu hatırlatma kuruldu
• ☐ Sorumlu ve yedek sorumlu atandı
• ☐ Sertifika süresi izlemesi kuruldu
• ☐ Site erişilebilirlik izlemesi kuruldu
• ☐ Uyarılar birden fazla kişiye gidiyor
• ☐ Otomatik yenileme değerlendirildi
• ☐ Acil alım yetkisi tanımlandı
• ☐ Acil durumda hızlı DV alma seçeneği not edildi
• ☐ Hesap bilgileri parola yöneticisine alındı
• ☐ Ayrılış kontrol listesine kritik hizmet maddesi eklendi
• ☐ Kurulum prosedürü belgelendi

Çıkarılacak dersler

1. Bu tamamen yönetsel bir sorundur, teknik değil
2. Kişisel adrese giden bildirimler, zaman içinde mutlaka kaybolur
3. Envanter olmadan hiçbir takip mümkün değildir
4. İzleme, fark etme süresini günlerden dakikalara indirir
5. Acil durumda mükemmel çözümü beklemek, kaybı büyütür
6. Hesap bilgilerinin kayıtlı olmaması, müdahaleyi geciktirir
7. Ayrılış süreçleri kritik hizmetleri kapsamalıdır
8. Önlemlerin tamamı düşük maliyetlidir; kayıp değildir

Bu senaryodaki önlemlerin neredeyse hiçbiri bütçe gerektirmez. Yaşanan kayıp ise doğrudan satış, itibar ve yönetim zamanıdır.