Microsoft 365 verilerinizi kim yedekliyor? Cevap büyük ihtimalle "Microsoft" diye düşünüyorsanız bu yazıyı sonuna kadar okuyun. 2024'te Microsoft kendisi Microsoft 365 Backup hizmetini lansetti: built-in retention'ın yetmediğini açıkça kabul eden bir hareket. Peki sizin şirketiniz için Recycle Bin + Litigation Hold yeterli mi, yoksa Veeam veya AvePoint gibi 3rd-party backup şart mı? 12 soruda anlayalım.
Microsoft Shared Responsibility Model: Sınırı Net Çiz
Microsoft tüm cloud servisleri için "Shared Responsibility Model" adını verdiği bir paylaşım çerçevesi uygular. Microsoft'un sorumluluğu altyapı + servis kullanılabilirliği ile sınırlıdır:
| Sorumluluk | Microsoft | Müşteri (Siz) |
|---|
| Datacenter fiziksel güvenlik | ✓ | - |
| Sunucu donanımı + ağ | ✓ | - |
| Servis kullanılabilirliği (99.9% SLA) | ✓ | - |
| Yazılım güncellemeleri (M365 sürüm) | ✓ | - |
| Veri içeriği | - | ✓ |
| Kazara silme kurtarma (90 gün+) | - | ✓ |
| Ransomware sonrası geri yükleme | - | ✓ |
| Compliance retention (7+ yıl) | - | ✓ |
| İnsider threat / kasıtlı silme koruması | - | ✓ |
Microsoft Hizmet Şartları (Microsoft Services Agreement) açıkça şu cümleyi içerir: "Microsoft is not responsible for any loss, deletion, modification, alteration, destruction, damage, loss or failure to store any of your content". Veri kaybı yaşadığınızda Microsoft'tan tazminat talep edemezsiniz.
Pratik anlamı: Tenant askıya alınırsa, admin hesabı ele geçirilirse, ransomware tüm dosyaları şifrelerse veya bir çalışan kasten 1.000 mailbox'ı silerse, Microsoft "biz yedeklemiyoruz, müşteri sorumluluğunda" diyor.
Recycle Bin'in 3 Görmediğiniz Sınırı
"OneDrive Recycle Bin'de 93 gün veri kalıyor": evet ama bu üç senaryoda sizi koruyamaz:
1. Süre Yetersizliği (KVKK / hukuki süreç)
KVKK Madde 7 (saklama/imha), SOX (7 yıl finans), HIPAA (6 yıl sağlık), ISO27001 + bağımsız denetim talepleri, birçok regulasyon 7+ yıl saklama ister. Recycle Bin 14-93 gün arasında. Litigation Hold süresiz uzatabilir, ama:
- Ek lisans gerektirir (Exchange Online Plan 2 veya M365 E3+)
- Granular restore zor: eDiscovery teknik bilgi ister
- Kullanıcı silinirse hold otomatik kalkmaz, manuel takip şart
2. Granular Restore: "Geçen seneki tek bir mail"
"Hukuk müşaviri dedi ki, geçen mart ayında müşteriden gelen 3 specific maili bul." Mevcut M365 sisteminizde Litigation Hold + eDiscovery yapılandırılmış değilse bu mesajları bulmak imkânsızdır. Default Recycle Bin + Recoverable Items toplam 60 gün civarındadır.
3. Ransomware ve Kasıtlı Silme
Saldırgan Global Admin yetkisini ele geçirirse Recycle Bin'i de boşaltır. OneDrive'ın "Files Restore" özelliği 30 günlük sınırlıdır: saldırı 31 gün sonra fark edilirse iş işten geçmiştir. Immutable (değiştirilemez) backup sadece 3rd-party çözümlerde vardır:
- Veeam Backup for Microsoft 365: Object Lock immutability
- AvePoint Cloud Backup: air-gap backup mode
- Defender XDR + 4-eyes principle (iki admin onayı silme öncesi)
Microsoft 2024'te Neden Kendi Yedekleme Hizmetini Lansetti?
2024 Q3'te Microsoft Microsoft 365 Backup hizmetini GA (general availability) olarak duyurdu. Bu önemli çünkü Microsoft yıllarca "built-in retention yeterli" söylemini yürüttü, sonra dönüp pay-as-you-go bir backup hizmeti sundu, kabul ki built-in yetmezlik vardı.
Microsoft 365 Backup özellikleri:
- Pay-as-you-go fiyat: korunan veri miktarına göre (GB/ay)
- Verilerin tenant'ınızın veri bölgesinde kalması
- Restore saatler değil dakikalar sürer (built-in Microsoft API)
- Kapsam: Exchange Online, OneDrive, SharePoint (Teams kısmen)
- Microsoft 365 E3/E5 dahil DEĞİL: ayrı satın alınır
Sınırları: Cross-tenant backup yok (tenant askıya alınırsa erişim de yok), immutable backup yok, 7+ yıl retention sınırlı, audit/governance özellikleri 3rd-party kadar derin değil. KOBİ ve orta ölçek için yeterli, kurumsal için 3rd-party hâlâ tercih.
Veeam vs AvePoint: Hangisi Hangi Şirkete?
Pazarda 2 dominant 3rd-party backup çözümü var. Karşılaştırma:
| Özellik | Veeam Backup for Microsoft 365 | AvePoint Cloud Backup |
|---|
| Tipik fiyat | ~$2/kullanıcı/ay (kendi altyapınızda, depolama ayrı) | ~$3,40/kullanıcı/ay (teklife göre değişir) |
| Deployment modeli | Self-hosted (on-prem veya Azure) | SaaS (zero-infrastructure) |
| Kapsam (Mailbox + OneDrive + SharePoint + Teams + Project) | Tüm M365 workload'lar | Tüm M365 workload'lar |
| Immutable backup (ransomware koruması) | S3 Object Lock + air-gap | Native immutability period |
| Retention süresi | Sınırsız (storage'a bağlı) | Sınırsız (yıllık paket) |
| Cross-tenant restore | ✓ | ✓ |
| 4-eyes principle (insider threat) | ✓ (advanced settings) | ✓ (default) |
| Restore granularity | Mailbox / folder / item / single mail | Mailbox / folder / item / single mail |
| KVKK uyum + raporlama | Manuel + custom dashboard | Built-in compliance dashboard |
Genel öneri:
- KOBİ + hızlı kurulum + zero-infra: AvePoint Cloud Backup. SaaS modeli, 1 günde aktive olur.
- Mevcut Veeam altyapısı veya self-hosted tercih: Veeam Backup for Microsoft 365. Veeam Backup & Replication ile entegre, IT ekibinin tanıdığı arayüz.
- Veri yerleşimi şartı varsa (BDDK, KVKK Madde 9): her çözümde verinin hangi bölgede tutulduğu sağlayıcıdan yazılı olarak teyit edilmeli.
50 Kullanıcılı Şirket İçin Yıllık Maliyet Senaryoları
50 kullanıcı, ortalama 30 GB veri (mailbox + OneDrive + SharePoint payı) varsayımıyla:
| Çözüm | Aylık ($) | Yıllık (~TL) | Kapsam |
|---|
| M365 Built-in (Litigation Hold + Retention) | $0 ek | 0 TL ek | 14-93 gün, no immutable |
| Microsoft 365 Backup (native) | ~$225 (1.500 GB × $0,15) | ~132.900 TL | Tenant'ta kalır, hızlı restore |
| Veeam Backup for Microsoft 365 | ~$100 (50 × ~$2), depolama ayrı | ~59.100 TL | Self-hosted, Object Lock immutable |
| AvePoint Cloud Backup | ~$170 (50 × ~$3,40) | ~100.400 TL | SaaS, immutable |
* TL tutarlar günlük kurla hesaplanır (₺49,22/$, günlük kur, KDV hariç). Microsoft 365 Backup veri büyüklüğüyle doğru orantılı, kullanıcı sayısından bağımsızdır, büyük dosyaları (PST, eski SharePoint koleksiyonları) yedeklerseniz fiyat hızla artar.
ROI hesabı: Tek bir veri kaybı olayı (ransomware, kasıtlı silme, hukuki keşif başarısızlığı) iş kaybı ve itibar zararının yanında idari para cezası da getirebilir: KVKK'da veri güvenliği yükümlülüğüne (Madde 12) aykırılığın 2026 cezası 256.357 TL ile 17.092.242 TL arasındadır. Yıllık 59.100-132.900 TL yedekleme maliyeti, bunun karşısında sigorta gibi düşünülmeli.
KVKK Madde 12 ve ISO27001 Backup Yükümlülüğü
KVKK Madde 12, veri sorumlusunun "kişisel verilerin hukuka aykırı işlenmesi ve erişimini önlemek, muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbir" almasını zorunlu kılar. Backup, "muhafaza" yükümlülüğünün doğrudan parçasıdır.
ISO27001 Annex A 12.3.1: Information Backup:
- Backup politikası dokümante edilmeli (sıklık, kapsam, retention)
- Backup düzenli test edilmeli (ayda bir restore testi)
- Backup verileri ana sistemden fiziksel/mantıksal ayrı tutulmalı (immutable / air-gap)
KVKK denetimi sırasında "backup'ımız var ama hiç restore denemedik" cevabı yetersizdir. Yedeklemenin olmaması veya test edilmemesi, Madde 12'deki teknik tedbir yükümlülüğüne aykırılık sayılabilir; bu aykırılığın 2026 idari para cezası üst sınırı 17.092.242 TL'dir.
Karar Matrisi: Kim Hangi Çözümü Almalı?
| Şirket Profili | Önerilen Çözüm | Neden |
|---|
| 1-10 kullanıcı, hassas veri yok, regulasyon yok | Built-in (Litigation Hold + Retention Policy) | Maliyet/risk dengesi makul |
| 10-50 kullanıcı, KVKK temel uyum, basit operasyon | Microsoft 365 Backup (native) | Düşük efor + verilerin tenant'ta kalması |
| 50-300 kullanıcı, hukuk/finans/sağlık sektörü | AvePoint Cloud Backup | Compliance + hızlı kurulum + KVKK uyum dashboard |
| 300+ kullanıcı, mevcut Veeam altyapısı veya BT olgun | Veeam Backup for Microsoft 365 | Self-hosted kontrol + Veeam ekosistem entegrasyonu |
| Yüksek ransomware risk + insider threat (finans, savunma) | Veeam veya AvePoint + immutable + 4-eyes | Built-in/native immutability sınırlı |
Sonuç + Sıradaki Adım
Microsoft 365 Built-in koruması bazı senaryolar için yeterlidir, ancak ransomware, insider threat, granular restore, 7+ yıl compliance, cross-tenant erişim için 3rd-party backup şarttır. Microsoft'un kendi 2024'teki Microsoft 365 Backup lansmanı bile bu boşluğu doğrular niteliktedir.
Sizin durumunuzda hangi çözümün gerektiğini sayısal olarak değerlendirmek için 12 sorulu Backup İhtiyaç Skoru aracımızı kullanabilirsiniz:
Backup Risk Skorunuzu Ölçün: Ücretsiz
12 soruda risk seviyenizi (DÜŞÜK / ORTA / YÜKSEK / KRİTİK) öğrenin. Önerilen çözüm + tahmini aylık maliyet + Veeam/AvePoint karşılaştırma kartları.
Backup İhtiyaç Skoru Aracını Aç →
Microsoft iş ortağı olarak Veeam Backup for Microsoft 365 ve AvePoint Cloud Backup lisanslarını sunuyor, 30 günlük PoC + risk audit + lisans optimizasyonu yapıyoruz. İletişim formundan ya da WhatsApp 0216 344 15 59 ile bize ulaşabilirsiniz.
Sıkça Sorulan Sorular
Microsoft 365 verilerimi yedeklemek zorunda mıyım?
KVKK Madde 12 (veri güvenliği), ISO27001 Annex A 12.3.1 ve sektör regulasyonları (BDDK, EPDK, HIPAA) backup'ı teknik tedbir olarak zorunlu kılar. Microsoft "Shared Responsibility Model"de veri içeriğini müşteri sorumluluğuna bırakır, yedekleme sizin işiniz. Built-in retention bir başlangıç noktasıdır, ama compliance + ransomware koruması için 3rd-party backup gerekir.
Recycle Bin'de 93 gün veri kalıyor: bu yeterli değil mi?
Üç önemli sınır vardır: (1) süre yetersiz (KVKK / SOX / hukuk 7+ yıl ister), (2) granular restore zor (geçen yıldan tek mail için Litigation Hold + eDiscovery kurulumu şart), (3) ransomware'a karşı zayıf (Global Admin yetkisi ele geçen saldırgan Recycle Bin'i de boşaltabilir). Immutable backup sadece 3rd-party'lerde vardır.
Veeam Backup for Microsoft 365 vs AvePoint Cloud Backup: hangisi?
Her ikisi de pazar lideri. Veeam: kurumsal IT, self-hosted, Veeam ekosistemi entegrasyonu, daha ucuz ($1-2/user). AvePoint: SaaS modeli, zero-infrastructure, daha kapsamlı governance ($1.50-3/user). KOBİ + hızlı kurulum: AvePoint. Mevcut Veeam altyapısı veya self-hosted tercihi: Veeam. Hangi çözümün ortamınıza uyduğunu birlikte değerlendirebiliriz.
Microsoft'un kendi Microsoft 365 Backup hizmeti ne yapar?
Microsoft 365 Backup (2024 GA), Microsoft'un kendi platformunda native backup hizmeti. Avantaj: verilerin tenant dışına çıkmaması, hızlı restore, Microsoft tarafından test edilmiş. Kapsam: Exchange, OneDrive, SharePoint (Teams kısmen). Maliyet: pay-as-you-go (korunan veri GB başına aylık). KOBİ için makul; Enterprise için Veeam/AvePoint daha esnek (cross-tenant, immutable, daha uzun retention). Microsoft 365 E3/E5 dahil DEĞİL, ayrı satın alınır.
Risk skorum 'KRİTİK' çıktıysa ne yapmalıyım?
Acil sıralı eylem planı: (1) 7 gün: Litigation Hold + Retention Policy aktivasyonu (M365 E3+ ile ücretsiz, kısmi koruma sağlar). (2) 30 gün: 3rd-party backup PoC (Veeam veya AvePoint trial): kritik departmanlardan başlayın. (3) 90 gün: Tüm M365 workload'ları (Mailbox + OneDrive + SharePoint + Teams + Planner) kapsama alma + aylık restore testi. Ücretsiz yedekleme risk değerlendirmesi yapıyoruz.
Yedekleme risk değerlendirmesi nasıl alınır?
WhatsApp 0216 344 15 59 ya da iletişim formu üzerinden bize ulaşın. 30 dakikalık keşif görüşmesinde mevcut yedekleme durumunuzu ve size uyan çözümü birlikte değerlendiriyoruz.
Kaynaklar