Yönetilen IT Hizmetleri (MSP): İç Ekip mi, Dış Kaynak mı?

Bir işletmede bilgisayarlar, sunucular, e-posta ve güvenlik duvarı mutlaka birinin sorumluluğundadır. Asıl soru bu sorumluluğun kimde olacağıdır: maaşlı bir kurum içi BT ekibinde mi, yoksa işi yazılı bir sözleşmeyle üstlenen bir yönetilen hizmet sağlayıcısında (MSP) mı? Pek çok KOBİ'de tek bir BT çalışanı her şeye yetişmeye çalışır; o kişi ayrıldığında parolaların ve yedeklerin nerede olduğunu kimse bilmez. Bu yazıda yönetilen IT hizmetlerinin (yönetilen bilişim hizmetleri olarak da anılır) ne olduğunu, kurum içi ekiple maliyet, risk ve sorumluluk açısından nasıl karşılaştırıldığını, hangi büyüklükte hangi modelin mantıklı olduğunu ve dış kaynakta erişim güvenliğinin nasıl korunacağını anlatıyoruz.

Yönetilen IT Hizmetleri (MSP) Nedir?

"MSP nedir?" sorusunun kısa yanıtı şudur: Yönetilen hizmet sağlayıcısı (Managed Service Provider), bir işletmenin BT altyapısının tamamını ya da bir bölümünü yazılı kapsam ve hizmet seviyeleriyle, genellikle aylık sabit bir ücret karşılığında sürekli işleten firmadır. Arıza çıktığında çağrılan bir servis değil, altyapının günlük işletiminden sorumlu taraftır: sistemleri izler, güncellemeleri planlar, yedekleri kontrol eder, talepleri karşılar ve yaptığı işi raporlar.

Dış kaynak IT hizmeti üç farklı biçimde alınabilir ve bunları karıştırmak yanlış beklentilerin en sık nedenidir:

• Arıza başı teknik servis: Sorun olduğunda çağrılır, iş ya da saat başına ücretlendirilir. Önleyici çalışmak için bir teşvik yoktur; arıza arttıkça fatura da artar.
• Proje ve danışmanlık: Altyapı değerlendirmesi, buluta geçiş ya da yeni ofis ağı gibi tek seferlik iştir; iş bitince sorumluluk da biter. Bu tür işler bilişim danışmanlığı kapsamına girer; ne zaman gerektiğini IT danışmanlığı rehberimizde anlattık.
• Yönetilen hizmet: Süreklilik esastır. Sağlayıcı sabit ücretle çalıştığı için arızanın hiç yaşanmaması onun da çıkarınadır; iki tarafın hedefi aynı yöne bakar.

Yönetilen hizmetin günlük işleyişi birkaç temel alışkanlığa dayanır:

• İzleme ve uyarı: Sunucular, diskler, yedekleme işleri, güvenlik duvarı ve internet hattı sürekli izlenir; eşik aşıldığında uyarı, kullanıcı fark etmeden ekibe düşer. Konuyu ağ izleme yazımızda ayrıntılı anlattık.
• Talep kaydı: Her istek kayda geçer, önceliklendirilir ve müdahale süresi ölçülür.
• Güncelleme yönetimi: Windows ve uygulama güncellemeleri önce küçük bir grupta denenir, sonra kademeli olarak dağıtılır.
• Yedek ve geri dönüş testi: Yedeğin alındığını görmek yetmez; düzenli aralıklarla geri yükleme denenir ve strateji 3-2-1 kuralı gibi ilkelere göre kurulur.
• Dokümantasyon ve rapor: Ağ şeması, envanter ve yapılandırmalar güncel tutulur; ne yapıldığı ve neyin riskli olduğu periyodik raporla paylaşılır.

Kurum İçi IT Ekibi mi, Dış Kaynak mı? Karşılaştırma

Herkes için geçerli tek bir yanıt yoktur. Karar; şirketin ölçeğine, BT'nin iş içindeki kritikliğine ve ne kadar şirkete özel bilgi gerektiğine göre verilmelidir. Aşağıdaki ölçütler iki modeli aynı terazide tartmanıza yardımcı olur.

Maliyet

Kurum içi ekibin maliyeti maaştan ibaret değildir: SGK işveren payı, yan haklar, eğitim, izinlerde yerine bakacak kişi, izleme ve yedekleme yazılımlarının lisansları ve işe alım süreci de hesaba girer. Dış kaynakta maliyet aylık ücret ile kapsam dışı işlerden oluşur; bütçe daha öngörülebilirdir ama kapsam net yazılmazsa sürpriz faturalar çıkabilir. Doğru karşılaştırma, iki modelin toplam yıllık maliyetini aynı hizmet seviyesi için yan yana koymaktır.

Süreklilik ve kişiye bağımlılık

Tek kişilik BT yapılarının en büyük riski, bilginin tek bir kişide toplanmasıdır. Hastalık, izin ya da işten ayrılma durumunda sistemler çalışır ama kimse onlara güvenle müdahale edemez. Dış kaynakta işi bir ekip yürütür ve dokümantasyon sözleşmenin parçasıdır; yine de sağlayıcının da tek bir teknisyene bağımlı olup olmadığını sormak gerekir.

Uzmanlık genişliği

Sıradan bir ofiste bile Microsoft 365 ya da Exchange, Active Directory, güvenlik duvarı ve VPN, e-posta güvenliği, sanallaştırma, yedekleme, kablosuz ağ ve yazıcılar bir arada bulunur. Bu alanların hepsinde derin uzmanlığı tek bir çalışandan beklemek gerçekçi değildir; dış kaynak, farklı alanlarda deneyimi olan bir ekibe tek sözleşmeyle erişim sağlar.

Yakınlık ve şirket bilgisi

İç ekibin en güçlü yanı orada olmasıdır: kullanıcıları ve şirkete özel uygulamaları tanır, basit talepler koridorda çözülür. Dış kaynakta bu açığı uzaktan bağlantı, yazılı yerinde destek koşulları ve sağlayıcının yakın konumda olması kapatır. Şirkete özel yazılımların yoğun olduğu yapılarda bu avantaj iç ekipten yana ağır basabilir.

Sorumluluk ve hesap verebilirlik

İç ekipte öncelikleri ve süreleri şirket yönetimi belirler. Dış kaynakta ise sorumluluk sözleşmeye, yazılı müdahale sürelerine ve raporlara bağlanır; bu işi ölçülebilir kılar, ancak sözleşmenin kapsamadığı konularda kimin sorumlu olduğu belirsiz kalabilir. Bir sonraki bölüm bu sınırı ele alıyor.

MSP'nin Üstlendiği Sorumluluklar ve Şirkette Kalanlar

Dış kaynak IT hizmeti işin yapılmasını devreder, sahipliği devretmez. Sağlıklı bir ilişki, bulut hizmetlerindeki paylaşılan sorumluluk mantığıyla kurulur: sağlayıcı işletir, şirket sahip olur ve karar verir.

Sağlayıcının üstlendikleri

• Sunucuların, ağ cihazlarının, güvenlik duvarının ve bilgisayarların günlük işletimi ve izlenmesi
• Microsoft 365, Exchange ve Active Directory üzerinde kullanıcı, grup, parola ve güvenlik politikası yönetimi
• Güncellemelerin planlanması, yedeklerin kontrolü ve geri dönüş testleri
• Dosya paylaşımlarında yetkilerin, şirketin onayladığı taleplere göre uygulanması
• İnternet servis sağlayıcısı, donanım üreticisi ve yazılım firmalarıyla teknik koordinasyon
• Dokümantasyonun güncel tutulması ve periyodik raporlama

Şirkette kalması gerekenler

• Lisans sahipliği: Microsoft 365 kiracısı, yazılım lisansları ve güvenlik yazılımı abonelikleri şirket adına alınmalı, faturası şirkete kesilmelidir. Sağlayıcı adına açılmış bir kiracı, yollar ayrıldığında ciddi bir soruna dönüşür.
• Alan adı ve DNS: Alan adının kayıt hesabı ve sahiplik bilgileri şirkete ait olmalıdır; e-postanın ve web sitesinin çalışması bu hesaba bağlıdır.
• Yönetici hesapları: Microsoft 365, etki alanı, güvenlik duvarı, sanallaştırma ve yedekleme gibi her kritik sistemde şirkete ait, kişiye bağlı olmayan bir acil durum yönetici hesabı bulunmalı; parolası şirketin parola kasasında ya da mühürlü bir zarfta saklanmalıdır.
• Kararlar: Bütçe, hangi riskin kabul edileceği, kimin hangi klasöre erişeceği gibi kararlar şirketindir. Sağlayıcı önerir ve uygular; onay yöneticiden gelir.
• Veri sorumluluğu: KVKK açısından şirket veri sorumlusu, sağlayıcı ise veri işleyendir; bu ilişki gizlilik ve güvenlik yükümlülükleriyle sözleşmede yazılmalıdır. Genel bir giriş için KVKK uyum rehberimize bakabilirsiniz.

Muhasebe programı ya da ERP gibi üçüncü taraf yazılımlar, bulut hizmetlerinin kendi kesintileri, kullanıcı eğitimi ve arızalı donanımın parça bedeli ise gri alanlardır. Bunların her biri için "kim yapar, kim öder?" sorusu baştan ve yazılı olarak yanıtlanmalıdır.

Hangi Büyüklükte Hangi Model?

Kesin bir sınır yoktur; aşağıdaki aralıklar yalnızca yol gösterir. Kullanıcı sayısı kadar BT'nin iş için ne kadar kritik olduğu, lokasyon sayısı ve şirkete özel yazılımların yoğunluğu da hesaba katılmalıdır.

• Küçük ofisler (kabaca 5–25 kullanıcı, tek lokasyon): Tam zamanlı bir BT çalışanının iş yükü genellikle dolmaz, ama aynı kişiden ağdan e-postaya her konuda uzmanlık beklenir. Bu ölçekte tamamen dış kaynak çoğu zaman en dengeli seçenektir.
• Orta ölçekli işletmeler (kabaca 25–100 kullanıcı, birkaç sunucu, şube ya da uzaktan çalışanlar): Karma model öne çıkar. İçerideki BT sorumlusu ya da teknik konulara yatkın bir idari çalışan ilk muhatap olur; izleme, güvenlik duvarı, sunucu ve yedekleme gibi uzmanlık gerektiren işler sağlayıcıda kalır.
• Büyük yapılar (100 kullanıcının üzeri, birden çok lokasyon, özel uygulamalar): Kurum içi ekip genellikle gereklidir. Dış kaynak burada siber güvenlik, ağ altyapısı, yedekleme ve felaket kurtarma ya da yoğun dönemlerde proje desteği gibi belirli alanları tamamlar.

BT çalışanının ayrıldığı ve yerine henüz kimsenin alınamadığı geçiş dönemlerinde de dış kaynak, iç ekip kararını aceleye getirmeden işi güvenle sürdürmenin bir yoludur.

Dış Kaynakta Erişim Güvenliği

Bir sağlayıcıya altyapınızı açmak, en güçlü yetkileri şirket dışından birine vermek demektir. Çalışmaya başlamadan önce şu kuralların yazılı olarak kabul edildiğinden emin olun:

• Kişisel yönetici hesapları: Her teknisyen kendi adına açılmış hesapla çalışır. "admin" ya da "destek" gibi ortak hesaplar kullanılmaz; her işlemin kimin tarafından yapıldığı bellidir.
• Çok faktörlü doğrulama: Yönetici hesaplarında ve uzaktan erişimde MFA zorunludur. Ayrıntılar için çok faktörlü doğrulama yazımıza bakabilirsiniz.
• En az yetki: En üst düzey yönetici yetkisi yalnızca gerektiğinde kullanılır; ayrıcalıklı gruplardaki üyelikler düzenli olarak gözden geçirilir.
• Kontrollü uzaktan erişim: Bağlantı VPN ve MFA üzerinden kurulur. Güvenlik duvarının ve sunucuların yönetim arayüzleri internete açık bırakılmaz, kontrolsüz uzaktan masaüstü araçları kurulmaz.
• Kayıt tutma: VPN oturumları, etki alanı ve Microsoft 365 denetim kayıtları ile güvenlik duvarının yönetim kayıtları saklanır; değişiklikler talep kaydına işlenir. Bir sorun çıktığında "ne zaman, kim, neyi değiştirdi?" sorusunun yanıtı bulunabilir.
• Paylaşılan parolalar kasada: Cihaz ve servis parolaları kişisel notlarda değil, şirketin de erişebildiği bir parola kasasında tutulur.
• Ayrılışta erişimin kapatılması: Sağlayıcıdan ayrılan teknisyenin hesabı aynı gün kapatılır. Sözleşme sona erdiğinde sağlayıcıya ait hesaplar devre dışı bırakılır, paylaşılan parolalar değiştirilir, VPN profilleri ve uzaktan erişim yazılımları kaldırılır, uygulama izinleri geri alınır ve dokümantasyon teslim tutanağıyla şirkete devredilir.

Dış Kaynağa Geçmeden Önce: Kapsam, SLA, Ücret ve Sözleşme

Karar verildikten sonraki iş, onu doğru bir sözleşmeye dökmektir. Aşağıdaki başlıkların her biri ayrı bir rehberde ayrıntılı ele alındığı için burada yalnızca özünü veriyoruz.

Kapsam

Kullanıcı desteği, periyodik kontroller, güncellemeler, yedekleme, güvenlik ve dokümantasyon gibi her kalem için "dahil", "hariç" ya da "ayrıca fiyatlanır" ifadesi yazılı olmalıdır; yeni projeler, donanım ve lisans bedelleri genellikle kapsam dışıdır. Bir KOBİ için tipik kapsamı bilgisayar destek anlaşması sayfamızda kalem kalem anlattık.

SLA ve raporlama

Yanıt süresi ile çözüm süresi farklı kavramlardır ve her öncelik seviyesi için ayrı tanımlanmalıdır. Hangi sorunun kritik sayılacağı, mesai dışında neyin kapsandığı, yerinde müdahalenin koşulları ve raporun sıklığı da sözleşmede yer almalıdır. Öncelik seviyelerini ve müdahale süreleri nasıl yazılır sorusunu ayrı bir rehberde örnekleriyle ele aldık. Sürekli güvenlik izleme ve olay müdahalesi ise standart destekten farklı bir hizmettir; SOC ve EDR yazımız bu ayrımı açıklıyor.

Ücret modeli

Yönetilen hizmetler kullanıcı ya da cihaz başına, aylık sabit ücretle veya saat bankasıyla fiyatlanabilir. Teklifleri karşılaştırırken aylık rakamın yanında kapsam dışı işlerin nasıl ücretlendirildiğine, mesai dışı müdahalenin ek ücrete tabi olup olmadığına, araç lisanslarının fiyata dahil olup olmadığına ve fesih koşullarına bakın. Ücreti belirleyen etkenleri bakım anlaşması fiyatları rehberimizde anlattık.

Geçiş

İlk haftalar keşif ve envanter, erişimlerin kontrollü devri, izleme ve yedeklemenin doğrulanması ve kritik açıkların kapatılmasıyla geçer. Eski sağlayıcıdan ya da ayrılan çalışandan dokümantasyonu ve parolaları eksiksiz teslim almak en sık atlanan adımdır. Adım adım ilerlemek için bir ilk 30 gün planı hazırladık.

Sözleşme

İmzadan önce kapsam, öncelik tanımları, raporlama, KVKK kapsamındaki veri işleyen yükümlülükleri, süre, fesih ve çıkışta teslim edilecekler tek tek kontrol edilmelidir. Hazırladığımız sözleşme madde kontrol listesi, sağlayıcıya doğru soruları sormanızı kolaylaştırır.

Ümraniye Merkezli Yönetilen IT Hizmeti: Ücretsiz Keşif

Ümraniye Bilişim olarak Ümraniye'deki ofisimizden İstanbul genelindeki işletmelere, yoğunlukla da Anadolu Yakası'ndaki şirketlere yönetilen IT hizmeti veriyoruz. Microsoft 365 ve Exchange, Active Directory ve grup ilkeleri, FortiGate güvenlik duvarı ve VPN, e-posta güvenlik ağ geçidi, Proxmox ve VMware ESXi üzerinde sanallaştırma, yedekleme ve felaket kurtarma, ağ ve kablosuz altyapı ile Windows güncelleme yönetimi günlük işlerimiz arasında. Çalışma şeklimiz bu yazıdaki ilkelerle örtüşür: aylık sabit ücret, yazılı müdahale süreleri, mesai dışı müdahale için ek ücret alınmaması, haftalık ve aylık durum raporu, uzaktan desteğin yanında gerektiğinde yerinde müdahale.

Ücret; cihaz ve kullanıcı sayısına, sunucu sayısına, istenen müdahale sürelerine ve yerinde destek ihtiyacına göre belirlenir. Ücretsiz keşifte mevcut altyapınızı birlikte gözden geçirir, lisansların ve yönetici hesaplarının kimin adına kayıtlı olduğunu kontrol ederiz. Ardından iç ekip, dış kaynak ya da karma modelden hangisinin size uygun olduğunu değerlendirip yazılı teklif hazırlarız. Keşif ve teklif için 0216 606 74 36 numaralı telefondan bize ulaşabilir ya da iletişim sayfamızdaki formu doldurabilirsiniz. Bölgedeki hizmetlerimiz için Ümraniye sayfamıza göz atabilirsiniz.