Yedek Güvenliğinin Fibonacci Kuralı: 5-3-2-1-1-0 neden 3-2-1-1-0'ın yerini alıyor

Olgun Yedek Stratejileri 2026'da Neden Başarısız Oluyor

Yirmi yılı aşkın süredir 3-2-1 yedekleme kuralı, kurumsal veri korumasının temel taşı olmuştur. Fotoğrafçı Peter Krogh tarafından ortaya atılan ve BT sektörü genelinde benimsenen bu kural, akılda kalıcı bir formül sunuyordu: verinin üç kopyası, iki farklı medya türünde ve bir kopyası tesis dışında.

İşe yaradı. Yaramaz olana dek.

2025'te fidye yazılımı, bir önceki yılki %32 oranından yükselerek doğrulanmış tüm veri ihlallerinin %44'ünde mevcuttu. Küresel ölçekte fidye yazılımı saldırıları yıldan yıla %58 arttı ve tahmini olarak dünyada bir yerde artık her 19 saniyede bir olay yaşanıyor. Kurumsal risk yöneticileri açısından daha önemlisi: 2025'teki fidye yazılımı saldırılarının %75'i şifrelemeden önce veri sızdırma içeriyordu; bu da kusursuz bir geri yüklemenin artık ihlali çözmediği anlamına geliyor.

3-2-1 kuralı; donanım arızaları, bölgesel kesintiler ve kazara silmeler için tasarlanmıştı. Özellikle yedek depolarını hedef alan sofistike tehdit aktörleri, endüstriyel ölçekte çalışan AI üretimi kimlik avı kampanyaları veya geçerli yönetici kimlik bilgilerine sahip içeriden tehditler için tasarlanmamıştı. Olgun saldırganlar, yedek altyapısını yok etmenin veya bozmanın bir fidye ödemesini zorlamanın en hızlı yolu olduğunu bilir ve bunu saldırı zincirlerinde birinci sınıf bir hedef olarak ele alır.

Sektörün kuralı kademeli olarak genişletmesinin nedeni budur; önce 3-2-1-1'e, ardından 3-2-1-1-0'a. BackupSec olarak, bir sonraki evrimin Yedek Güvenliğinin Fibonacci Kuralı dediğimiz ve 5-3-2-1-1-0 şeklinde ifade edilen şey olduğuna inanıyoruz: Fibonacci dizisini tersten okuyormuş gibi okunan ve kritik bir altıncı boyut ekleyen bir çerçeve; altındaki her katmanı desteklemesi gereken beş temel güvenlik ilkesi.

Olgun yedek ortamları işleten kuruluşlar için bu makale, 2026'da "kapsamlı veri koruması"nın ne anlama gelmesi gerektiğini yeniden çerçeveliyor.

3-2-1'den 3-2-1-1-0'a: Kısa Bir Özet

Fibonacci Kuralı'nı tanıtmadan önce, buraya nasıl geldiğimizi anmakta fayda var.

Orijinal 3-2-1 kuralı, verinin iki farklı medya türünde üç kopyasını ve birinin tesis dışında saklanmasını gerektiriyordu. Yedeklilik üzerine odaklanmıştı; tek bir fiziksel olayın üç kopyayı aynı anda yok edemeyeceği varsayımıyla çalışıyordu.

Veeam tarafından popülerleştirilen ve yaygın olarak benimsenen 3-2-1-1-0 kuralı, iki kritik iyileştirme ekledi:

• Yönetici kimlik bilgilerine sahip bir saldırgan tarafından bile değiştirilemeyen veya silinemeyen tek bir değiştirilemez veya hava boşluklu (air-gapped) kopya.
• Yedek doğrulamasında sıfır hata; her yedeğin yalnızca mevcut değil, geri yüklenebilir olmasını sağlamak.

Bu evrim iki önemli boşluğu kapattı: yedekleri hedef alan fidye yazılımı ve felaket gelene dek hiç test edilmeyen yedeklerin sessiz başarısızlığı. Ancak güvenliği hâlâ temel ilkelerden hareketle yedek altyapısının içine tasarlanan bir şey olarak değil, onun üzerine katmanlanan bir şey olarak ele alıyor.

Yedek Güvenliğinin Fibonacci Kuralı'nın kapatmak için tasarlandığı boşluk işte budur.

Neden Fibonacci? Sayıların Ardındaki Mantık

Fibonacci dizisi (0, 1, 1, 2, 3, 5, 8, 13...) matematikteki en zarif örüntülerden biridir; her sayı, kendisinden önce gelen iki sayının toplamıdır. Çerçevemizi tersten okuduğumuzda (5, 3, 2, 1, 1, 0), aynı kümülatif mantık geçerlidir: her koruma katmanı, altındaki temeller üzerine inşa edilir.

• 5 — Güvenlik İlkeleri: Yedeğin nasıl tasarlandığını yöneten, pazarlık konusu olmayan beş ilke.
• 3 — Kopya: Her kritik veri kümesinin en az üç kopyası.
• 2 — Medya türü: İki farklı medya veya platformda saklanır.
• 1 — Tesis dışı: Coğrafi olarak ayrı bir konumda tek bir kopya.
• 1 — Değiştirilemez: Değiştirilemeyen veya silinemeyen tek bir kopya.
• 0 — Hata: Ortamınızda sıfır doğrulanmamış yedek.

Orijinal 3-2-1-1-0 kuralı, "Kaç kopya, nerede ve hangi durumda?" şeklindeki operasyonel soruyu yanıtlıyordu. Eklediğimiz "5" ise daha temel bir mimari soruyu yanıtlıyor: "Bir yedeğin güvenli olması gerçekte ne anlama gelir?"

Bu beş ilke olmadan, zincirin geri kalanı içi boştur. Üç kopya hâlinde, iki medyada, değiştirilemez bir durumda var olan; ancak yetersiz erişim denetimleriyle yönetilen veya ele geçirilmiş bir yönetici iş istasyonundan erişilebilen bir yedek korunmuş değildir. O, bir maruziyetin belgesidir.

"5": Yedek Güvenliğinin Beş Temel İlkesi

Bu beş ilke, platform seçiminden saklama politikasına ve erişim yönetişimine kadar yedek ortamınızdaki her mimari kararı şekillendirmelidir.

1. Tasarım Gereği Siber Dayanıklı Mimari

Yedek güvenliği sonradan eklenemez. İlk günden itibaren bir tasarım kısıtı olmalıdır.

Siber dayanıklı bir yedek mimarisi, her bileşeni (kataloğu, depolama katmanını, yönetim düzlemini, kurtarma ortamını) potansiyel bir hedef olarak ele alır. İhlali varsayar, ele geçirilmeyi planlar ve hiçbir tek başına başarısızlığın (teknik, insani veya saldırgan kaynaklı) kurtarılabilirliğin tamamen kaybına dönüşemeyeceğini güvence altına alır.

Uygulamada bu şu anlama gelir:

• Derinlemesine savunma: Her katmanı birden çok bağımsız denetim korur; böylece birinin başarısızlığı sistemi açığa çıkarmaz.
• Etki alanı (blast radius) sınırlama: Üretim ortamının ele geçirilmesi yedek altyapısına yayılamaz ve bir yedek katmanının ele geçirilmesi diğerlerine yayılamaz.
• Önce kurtarma tasarımı: Mimariler yalnızca veriyi ne kadar iyi yedekledikleriyle değil, düşmanca koşullar altında (DNS çöktüğünde, kimlik sağlayıcılar ele geçirildiğinde veya birincil tesise erişilemediğinde) veriyi ne kadar güvenilir biçimde geri yükleyebildikleriyle değerlendirilir.
• Bir özellik değil, mimari bir ilke olarak şifreleme: Her yedek, her durumda, modern standartlar kullanılarak şifrelenmelidir (beklemede AES-256 veya daha güçlüsü; aktarımda TLS 1.3). Daha önemlisi, şifreleme anahtarları yedek altyapısının kendisinden bağımsız olarak yönetilmelidir; ideal olarak özel bir HSM'de veya ayrı yönetim sahipliğine sahip bir anahtar yönetim hizmetinde. Anahtarlarınız verinizle aynı yerde yaşıyorsa, şifrelemeniz yok demektir; gizlemeniz vardır. Sınır ötesi veri akışları olan kurumlar için anahtar egemenliği (kimin, hangi yargı yetkisi altında, hangi sürede ifşayı zorunlu kılabileceği) bir olay müdahale problemi değil, bir tasarım kararı hâline gelir.

On yıl önceki tehdit ortamı için tasarlanmış yedek sistemlerine güvenliği sonradan ekleyen kuruluşlar, olayın ortasında, asıl güvenlik açığının mimarilerinin kendisi olduğunu sürekli olarak keşfeder. Dayanıklılık, sonradan eklenmemeli; içine tasarlanmalıdır.

2. Sıfır Güven Erişimi ve Güçlü Kimlik Doğrulama

İlke basittir: asla güvenme, her zaman doğrula. Bir yedeği okumak, yazmak veya değiştirmek için yapılan her istek, ağ kaynağından bağımsız olarak, istek anında kimliği doğrulanmalı ve yetkilendirilmelidir.

Pratik anlamda bu şunları gerektirir:

• Yedek altyapısına dokunan her yönetici kimliği için, ideal olarak donanım belirteçleri gibi kimlik avına dirençli yöntemlerle çok faktörlü kimlik doğrulama (MFA).
• Ayrıntılı kapsamda en az ayrıcalık ilkesini uygulayan rol tabanlı erişim denetimi (RBAC).
• Üretim ve yedek sistemleri için ayrı yönetici kimlikleri; ele geçirilmiş bir etki alanı yöneticisi, son savunma hattınıza erişebilmemeli.
• Tam zamanında yetki yükseltme, oturum kaydı ve saklama politikası değişiklikleri gibi hassas işlemler için onay iş akışları içeren ayrıcalıklı erişim yönetimi (PAM).

Ele geçirilmiş kimlik bilgileri, 2025'teki fidye yazılımı saldırılarının %23'üne neden oldu. Yedek ortamınız, üretimi koruyan aynı kimlik altyapısına güveniyorsa, katmanlı bir savunma kılığına girmiş tek bir hata noktanız var demektir.

3. Değiştirilemezlik ve WORM Depolama

Değiştirilemezlik (verinin bir kez yazıldıktan sonra, tanımlı bir saklama süresi boyunca değiştirilememe veya silinememe özelliği) "en iyi uygulama" olmaktan çıkıp "pazarlık konusu olmayan" bir gereksinime dönüşmüştür. İster bulut depolamada nesne kilidi, ister Write Once Read Many (WORM) medya, isterse donanımla zorlanan saklama kilitleri aracılığıyla uygulansın, değiştirilemezlik, özellikle yedek depolarını avlayan tehdit aktörlerine karşı tek başına en etkili mimari savunmadır.

SEC 17a-4, FINRA, HIPAA veya DORA gibi düzenleyici rejimler altında faaliyet gösteren kurumlar için değiştirilemezlik, kurcalama kanıtı ve saklama zorunluluğu konusundaki kritik uyum gereksinimlerini de karşılar. Sizi fidye yazılımından koruyan denetim yüzeyi, çoğu zaman denetçinizi de tatmin eden yüzeyin aynısıdır.

Fayda somuttur: 2025'te, fidye yazılımı saldırılarını şifrelemeden önce durduran kuruluşların %44'ü bunu büyük ölçüde doğrulanmış yedeklere ve önceden tanımlanmış müdahale planlarına sahip oldukları için başardı. Bir saldırgan yönetici kimlik bilgilerine sahip olduğunda o yedekleri doğrulanmış tutan şey değiştirilemezliktir.

4. Sürekli Doğrulama ve Kurtarma Testi

Test etmediğiniz bir yedek, bir yedek değildir; bir hipotezdir.

3-2-1-1-0'daki "0" sıfır hata talep eder; ancak bu iddiayı kanıtlamanın tek yolu sürekli test etmektir. Olgun programlar; otomatik bütünlük kontrolleri, düzenli tam geri yükleme tatbikatları, doğrulama için izole kurtarma ortamları ve insan ile süreç katmanlarını teknik katmanlar kadar titizlikle zorlayan yapılandırılmış masa başı (tabletop) tatbikatları uygular.

Test edilmiş olay müdahale planlarına sahip kuruluşlar çarpıcı biçimde daha hızlı kurtarır: 2025'te, bir hafta içinde tamamen kurtarılan fidye yazılımı mağdurlarının payı rekor düzeye ulaştı; bir aydan fazla süre gerektirenlerin oranı ise bir önceki yılki %34'ten düşerek yalnızca %18'e geriledi.

Risk liderleri için ders nettir: test etmek, yedeği olan kuruluşları, kurtarabilen kuruluşlardan ayıran şeydir. Kesinti süresi ve itibar hasarıyla ölçülen bu iki durum arasındaki maliyet farkı genellikle bir büyüklük mertebesindedir.

5. İzolasyon ve Ağ Segmentasyonu

Yedek altyapısı, üretim sistemleriyle asla aynı ağ etki alanını paylaşmamalıdır.

Modern en iyi uygulama, mantıksal segmentasyonu (ayrı VLAN'lar, özel alt ağlar, katı güvenlik duvarı kuralları, mikro segmentasyon) her yedeğin en az bir kopyası için hava boşluklu (air-gapped) veya yarı hava boşluklu mimarilerle birleştirir. Ayrı kimlik sağlayıcılarla bulut değiştirilemezliği, çevrimdışı teyp rotasyonları, özel kurtarma ortamları ve paylaşımlı altyapıda kiracı izolasyonu; tümü aynı mimari amaca hizmet eder: tek bir ele geçirilmenin etki alanının kurtarma katmanına uzanamamasını sağlamak.

Etki alanı denetleyicinizdeki bir tehdit aktörü, yedek deponuza aynı kimlik bilgileriyle erişebiliyorsa, yedeğiniz saldırı yüzeyinden ayrı değil, onun bir parçasıdır.

"3-2-1": Hâlâ Önemli Olan Yedeklilik

Temel olarak beş ilkeyle birlikte, klasik 3-2-1 katmanı hâlâ vazgeçilmezdir.

• Her kritik veri kümesinin 3 kopyası; üretim verileriniz artı en az iki yedek.
• 2 farklı medya veya depolama platformu; yerel disk ve bulut ya da şirket içi (on-prem) nesne depolama ve ayrı bir bulut sağlayıcısı. Amaç, tek bir teknoloji arızasının, tedarikçi kesintisinin veya saldırı sınıfının tüm kopyaları aynı anda yok edememesini sağlamaktır.
• 1 tesis dışı kopya; birincil tesisinizden coğrafi olarak ayrı, ideal olarak farklı bir tehdit alanında ve uygun olduğunda farklı bir düzenleyici yargı yetkisinde.

Kural ilk formüle edildiğinden bu yana değişen şey yorumdur. Aynı sağlayıcıdan iki bulut bölgesi "iki farklı medya" oluşturmaz. Üretim dizinizin yanında duran bir SAN üzerindeki yedek birimi anlamlı biçimde "tesis dışı" değildir. Modern kurumsal tehdit modellemesi, her gereksinimin daha katı bir biçimde okunmasını gerektirir.

"1-1": Değiştirilemezlik ve Hava Boşluğu (Air-Gap)

Çerçevenin 20. yüzyıldan kalma atasından en keskin biçimde ayrıldığı nokta burasıdır.

İlk "1" tek bir değiştirilemez kopya talep eder; depolama yöneticisi dâhil komutu kimin verdiğinden bağımsız olarak, saklama penceresi içinde değiştirilemeyen veya silinemeyen veri. İkinci "1" bazı yorumlarda tek bir çevrimdışı veya hava boşluklu (air-gapped) kopyaya işaret eder. İster tek bir birleşik katman olarak ister iki ayrı kopya olarak uygulansın, mimari ilke aynıdır: verinizin en az bir kopyası geri yükleme için erişilebilir, ancak imha için erişilemez olmalıdır.

Büyük veri varlıklarını ve katı kurtarma süresi hedeflerini yöneten kuruluşlar için bu katman, çoğu zaman hızlı kurtarma için bulut tabanlı değiştirilemez depolamayı, en kötü senaryo için daha derin, hava boşluklu (air-gapped) arşivlerle birleştirir. İkisi birbirinin yerine geçen değil, tamamlayıcı unsurlardır.

"0": Doğrulanmamış Yedeklere Sıfır Tolerans

Her yedek doğrulanmış. Her geri yükleme test edilmiş. Her boşluk belgelenmiş ve kapatılmış.

"0", çerçevenin operasyonel disiplin katmanıdır. Titizlik talep eder: otomatik sağlama toplamları (checksum), planlanmış geri yükleme doğrulaması, yedek işi meta verilerinde anomali tespiti (işin boyutundaki ani bir artış, bir tehdit aktörünün şifreleme öncesi hazırlığına işaret edebilir), yedek yönetim faaliyetinin davranışsal izlenmesi ve doğrulama başarısız olduğunda net eskalasyon yolları.

Veriler bu disiplini destekliyor: yalnızca başarı oranlarını değil, yedek sistem telemetrisini izleyen kuruluşlar, saldırgan faaliyetini daha erken tespit etti ve olayları daha hızlı sınırladı. Sıfır hata bir gösteriş metriği değildir. Bu ayrımın en çok önem taşıdığı anda, güven ile sahte güven arasındaki farktır.

Bunun Kurumsal Risk Liderleri İçin Anlamı

Kuruluşunuz farklı bir tehdit ortamı için tasarlanmış bir yedek stratejisiyle çalışıyorsa, sahip olduğunuz şey ile ihtiyaç duyduğunuz şey arasındaki boşluk artık akademik değildir. Finansal gerçekliği düşünün:

• Küresel ölçekte yaklaşık her 19 saniyede bir fidye yazılımı olayı yaşanıyor.
• 2025'te ortalama fidye yazılımı ödemesi yaklaşık 1 milyon dolar oldu; kurtarma maliyetleri ise ek olarak ortalama 1,53 milyon dolar tutuyordu.
• Mağdur kuruluşların %64'ü 2025'te ödemeyi reddetti (bir rekor); çünkü geliştirilmiş yedek mimarileri onlara güvenilir bir alternatif sundu. Diğer %36'nın bu seçeneği yoktu.

Düzenlemeye tabi sektörlerde faaliyet gösteren veya karmaşık hibrit varlıkları yöneten kurumlar için hesap çok daha kritiktir. Esaslı veri kaybı artık SEC siber ifşa kuralları, GDPR, DORA ve giderek büyüyen sektöre özgü çerçeveler listesi kapsamında doğrudan raporlama yükümlülükleri taşıyor. Kurtarılamayan bir olayın maliyeti artık yalnızca operasyonel değil; itibarsal, düzenleyici ve üst düzey liderlik açısından giderek daha kişisel.

Fibonacci Kuralı'nı uygulamak, altyapınızı sıfırdan yeniden inşa etmeyi gerektirmez. Dürüst bir mimari değerlendirme, net bir ilke kümesine göre önceliklendirilmiş iyileştirme ve yedek güvenliğini bir satın alma kalemi değil, entegre bir disiplin olarak ele almaya yönelik bir yönetişim taahhüdü gerektirir.

BackupSec Devreye Nerede Giriyor

BackupSec olarak, kurumsal ekiplerin yedek ortamlarını yukarıdaki ilkelere göre işletmesine yardımcı oluyoruz; yedek platformlarını değiştirerek değil, yedek güvenliğini gözlemlenebilir, danışılabilir ve kanıtlanabilir hâle getirerek.

Yaklaşımımız, her biri Fibonacci Kuralı'ndaki farklı bir boşluğu ele alan üç katmanı birleştirir:

• ZeroMON, tüm yedek varlığı üzerinde sürekli gözlemlenebilirlik sunar; gerçek zamanlı iş takibi, otomatik güvenlik kontrolleri, yapılandırma sapması için adli denetim izleri ve tek tıkla uyum raporları içeren Veeam'e hazır izleme. Bu, çerçevenin "0 hata" gereksinimini bir hedef olmaktan çıkarıp kanıta dönüştüren operasyonel katmandır.
• ZeroTAM, yedek mimarisi, kapasite planlaması, fidye yazılımı kurtarma stratejisi ve kriz müdahalesi için özel uzman danışmanlığı sağlar; çoğu kurumun, yedek ortamının aslında ne anlattığını yorumlamak için ihtiyaç duyduğu insan katmanı.
• ZeroPEN, yedek altyapınıza gerçek bir saldırganın yapacağı gibi sızma testi uygular; yönetim düzlemlerini, erişim denetimlerini, değiştirilemezlik ayarlarını ve izolasyon duruşunu hedef alır ve ardından temiz, eksiksiz ve belirttiğiniz RTO içinde kurtarabildiğinizi doğrulamak için gerçek geri yükleme senaryoları çalıştırır.

BackupSec şirket içinde (on-premise) dağıtılır, yedek uygulamalarınıza salt okunur API erişimi üzerinden bağlanır ve yedek verilerini asla ortamınızın dışına taşımaz. İster eski bir 3-2-1 mimarisini modernleştiriyor, ister mevcut 3-2-1-1-0 uygulamanızı modern tehdit modellerine karşı doğruluyor, isterse denetçilere ve yönetim kuruluna kurtarma hazırlığını kanıtlıyor olun; üç katmanlı yaklaşım, kurumsal ekiplere çerçevenin talep ettiği görünürlüğü, yönlendirmeyi ve kanıtı sunmak için tasarlanmıştır.

Yedek güvenliği duruşunuz hakkında BackupSec ile konuşun →

Kuruluşunuzun yedek güvenliği duruşunu Yedek Güvenliğinin Fibonacci Kuralı'na karşı değerlendirmeye hazır mısınız? BackupSec ile iletişime geçin →