Sunucu Bakım Anlaşması Nedir? Kapsam ve Sözleşme Kontrol Listesi

Sunucu bakım anlaşması nedir ve neyi çözer?

Sunucu bakım anlaşması, bir hizmet sağlayıcının belirli sunucuları belirli bir süre boyunca düzenli bakımdan geçirmesini, arıza anında nasıl müdahale edeceğini ve yapılan işleri nasıl raporlayacağını tanımlayan sözleşmedir. Amaç, arızayı beklemek yerine riskleri takvimli işlerle önceden azaltmak ve sorun çıktığında kimin ne yapacağını önceden bilmektir.

Sunucu bakım sözleşmesi üretici garantisiyle karıştırılmamalıdır. Garanti ya da üretici destek paketi, paket koşullarına göre ürünün kendisindeki arızayı giderir; bakım anlaşması ise yama, firmware, yedek kontrolü ve izleme gibi süreçleri ele alır. Çağrı başına hizmet yalnız sorun çıktığında devreye girer.

Bu üç model çoğu zaman birlikte kullanılır: garanti parçayı, bakım anlaşması süreci, iç BT ekibi iş önceliğini sağlar. Sorun, aradaki boşluğun kimseye yazılmamış olmasıdır.

Ekim 2026'da sunucu bakımı neden yeniden gündemde?

Çünkü birden fazla Windows Server sürümü aynı dönemde yaşam döngüsü aşaması değiştiriyor. Microsoft Learn yaşam döngüsü sayfalarına ve endoflife.date verisine göre (erişim: 7 Ekim 2026) tarihler şöyledir:

Microsoft bitiş anını Pasifik saatiyle ertesi sabah olarak yazar (ör. Windows Server 2016 için "1/13/2027 6:59:59 AM PT"); tabloda son tam gün gösterilir. Bkz. Windows Server 2022 ve Windows Server 2012 R2 sayfaları.

Aşamaların anlamı Microsoft'un Sabit Yaşam Döngüsü İlkesi'nde (Fixed Lifecycle Policy) tanımlıdır: ana akım destekte güvenlik ve güvenlik dışı güncellemeler gelir; genişletilmiş destekte yalnız güvenlik güncellemeleri sürer; destek bittikten sonra güvenlik güncellemesi yalnız, sunulduğu ürünlerde, ESU programıyla alınır. Microsoft ESU SSS sayfasında programı "a last resort paid option" (son çare olan ücretli seçenek) olarak tanımlar.

Yani Windows Server 2022 kullanan bir işletme 13 Ekim 2026'dan sonra da güvenlik güncellemesi alır, ama güvenlik dışı düzeltme talep edemez. Windows Server 2012/2012 R2'de ESU döneminin sonu düzenli güvenlik güncellemesinin de sonudur. Windows Server 2016 için adım adım yol haritası Windows Server 2016 destek sonu geçiş planı yazımızda yer alıyor.

Gecikmenin bedelini CISA'nın Bilinen İstismar Edilen Açıklar (Known Exploited Vulnerabilities, KEV) kataloğu gösterir: kendi sayımımıza göre katalogda (sürüm 2026.10.04) 1 Ocak 2025'ten bu yana eklenen, üreticisi Microsoft olan ve ürün alanında "Windows" geçen 43 kayıt var (istemci ve sunucu ayrımı yapılmadan). Bunlar sahada istismar edildiği bilinen açıklardır; güncelleme almayan sunucuda yamayla kapatılamaz, risk ancak yalıtım gibi azaltımlarla düşürülebilir.

Bir sunucu bakım anlaşması neleri kapsamalı?

İyi bir sunucu bakım anlaşması donanımdan yedeklemeye kadar katmanları tek tek sayar ve her katman için "kim, ne sıklıkla, hangi kanıtla" sorusunu cevaplar. Hangi kalemlerin dâhil olduğu sözleşmede belirlenir; aşağıdaki tablo görüşmeye başlarken kullanabileceğiniz bir kapsam haritasıdır.

Firmware, çoğu zaman en az ilgi gören katmandır. Oysa NIST SP 800-193, platform firmware'ine yönelik başarılı bir saldırının sistemi kalıcı olarak çalışmaz hâle getirebileceğini belirtir. Güncelleme sırası ve BMC ağının yalıtımı için sunucu firmware, BIOS ve iDRAC/iLO güncelleme rehberimize bakabilirsiniz.

Donanım kapsamında marka ve model belirleyicidir; uzaktan yönetim aracı, firmware paketleri ve parça kanalı üreticiye göre değişir. Sora Yazılım'ın seçim, tedarik ve kurulum hizmeti verdiği Dell PowerEdge sunucu seçeneklerini ve HPE ProLiant sunucu ailesini ürün sayfalarında inceleyebilirsiniz. Ağın sınırındaki güvenlik duvarı ayrı bir uzmanlık alanıdır; o taraf firewall bakım ve yönetim hizmeti olarak ayrıca yürütülür.

Üretici desteği, hizmet sağlayıcı ve iç BT ekibi nasıl iş bölümü yapar?

Sağlıklı bir modelde üretici ürünü ve parçayı, bakım hizmet sağlayıcısı süreci, iç BT ekibi ise iş önceliğini ve onayları yönetir. Sorumluluklar yazılı değilse arıza anında taraflar birbirini bekler; aşağıdaki gibi bir tabloyu sözleşmeye ek yapın.

Bu dağılım bir örnektir; sizin ortamınızdaki iş bölümü sözleşmede belirlenir. Garantisi biten sunucularda üretici sütunu boşalır ve parça ile firmware erişimi yeniden planlanmalıdır; seçenekleri garanti sonrası sunucu desteğinde üretici ve üçüncü taraf karşılaştırmamız ele alıyor.

Önleyici bakım takvimi nasıl kurulur?

Önleyici bakım takvimi, işleri haftalık, aylık, çeyreklik ve yıllık sıklıklara dağıtarak hiçbir kalemin unutulmamasını sağlar. NIST SP 800-40 Rev. 4, şirket içi sunucularda firmware, işletim sistemi ve uygulamaların yamalanmasını ve acil durumlar dışında planlı bakım pencerelerine uyulmasını örnek verir. Aşağıdaki takvim önerdiğimiz bir başlangıç şablonudur; sıklıkları kendi risk değerlendirmenize göre uyarlayın.

Takvimin işe yaradığını kanıtlayan şey rapordur: "yapıldı, sonuç, sonraki tarih" bilgisi olmayan bakım, denetimde görünmez kalır. Yedeklerin gerçekten geri yüklenebildiğini düzenli test etmek fidye yazılımına karşı da temel önlemdir; ayrıntılar KOBİ'ler için fidye yazılımı koruması rehberinde. Yedekleme altyapınız yoksa Acronis Cyber Backup gibi bir çözüm bakım kapsamına eklenebilir.

Sözleşme yama ve acil durumları nasıl tanımlamalı?

Sözleşme "yamalar uygulanır" demekle yetinmemeli, NIST SP 800-40 Rev. 4'ün ayırdığı dört risk yanıt senaryosunun her biri için ayrı bir yol tanımlamalıdır. Böylece aktif istismar edilen bir açık çıktığında aylık takvimi beklemeden nasıl hareket edileceği önceden bellidir.

1. Rutin yama: Güncellemeler önce küçük bir sunucu grubunda (NIST'in deyişiyle "canary" varlıklarda) denenir, sorun çıkmazsa bakım penceresinde yaygınlaştırılır. Bakım penceresi, test grubu ve uygulama süresi yazılı olmalıdır.
2. Acil yama: Ciddi ya da aktif istismar edilen açıkta aynı yaklaşım çok daha hızlı uygulanır. Acil durumu kimin ilan edeceği ve pencere dışı çalışma onayının nasıl alınacağı tanımlanmalıdır.
3. Acil azaltım: Yama yoksa ya da sorun çıkarıyorsa geçici önlem alınır; örneğin bir hizmet kapatılır veya sunucu ağdan yalıtılır. NIST, geçici önlemin kalıcı düzeltmeyle değiştirilmesi için takvim belirlenmesini önerir.
4. Yamalanamayan varlıklar: Desteği bitmiş ya da kesintisiz çalışması gereken sunucularda yalıtım gibi uzun vadeli önlemler uygulanır ve yeterlilikleri düzenli olarak yeniden değerlendirilir. ESU dönemi 13 Ekim 2026'da biten Windows Server 2012/2012 R2 sunucuları bu gruptadır.

Uygulama süresi için Türkiye'de tek bir genel ölçü yoktur; karşılaştırma noktası olarak İngiltere Ulusal Siber Güvenlik Merkezi'nin (NCSC) Cyber Essentials gereksinimlerine bakılabilir. Sunucuları da kapsayan v3.3 (Nisan 2026) belgesi, yazılımın lisanslı ve destekli olmasını, "kritik" ya da "yüksek riskli" (CVSS v3 taban puanı 7 ve üzeri) açıkları kapatan güncellemelerin yayımdan sonraki 14 gün içinde uygulanmasını şart koşar. Bu İngiltere'ye özgü bir sertifikasyon şartıdır, Türkiye'deki işletmeleri bağlamaz; ama sözleşmedeki süreleri tartmak için yararlı bir ölçüdür.

Sunucu bakım sözleşmesini imzalamadan önce hangi maddeleri kontrol etmelisiniz?

İmzadan önce her maddeyi "ölçülebilir mi, kim sorumlu, nasıl kanıtlanır" sorularıyla okuyun. Aşağıdaki 14 maddelik listeyi teklif karşılaştırmalarınızda kullanabilirsiniz; süre ve sıklık gibi rakamlar her ortama göre sözleşmede belirlenir.

1. Cihaz listesi: Her sunucunun modeli, seri numarası veya servis etiketi ve konumu sözleşme ekinde mi?
2. Katman sınırları: Donanım, firmware, işletim sistemi, sanallaştırma ve yedeklemeden hangileri dâhil; uygulama yazılımları kapsamda mı?
3. Öncelik seviyeleri: "Kritik", "yüksek" ve "normal" arıza tanımlı mı; her seviye için ilk yanıt ve çözüm hedefi rakamla yazılmış mı?
4. Destek saatleri: Hangi gün ve saatlerde destek verileceği, mesai dışı çağrı koşulları açık mı?
5. Yedek parça: Parçayı kim temin ediyor (üretici garantisi, hizmet sağlayıcı ya da siz); orijinal parça şartı ve tedarik süresi tanımlı mı?
6. Arızalı disk: Veri içeren arızalı disklerin iadesi ya da imhası nasıl yapılacak?
7. Yerinde destek: Hangi lokasyonlar kapsamda, yerinde müdahale hangi koşulda yapılıyor?
8. Yama politikası: Rutin, acil, acil azaltım ve yamalanamayan varlık senaryoları için yol ve bakım penceresi tanımlı mı?
9. Firmware: BIOS, BMC ve denetleyici güncellemelerinin sıklığı, onay yöntemi ve geri dönüş planı yazılı mı?
10. Yedekleme: Yedek izleme ve geri yükleme testinin sorumlusu, sıklığı ve raporu belli mi?
11. Erişim ve güvenlik: Uzaktan erişim yöntemi, çok faktörlü kimlik doğrulama, kişiye özel hesaplar ve erişim kayıtları tanımlı mı?
12. Kişisel veri: Sunucularda kişisel veri varsa gizlilik, veri işleme ve ihlal durumunda bilgilendirme maddeleri var mı?
13. Raporlama ve yaşam döngüsü: Aylık raporun içeriği ile garanti ve destek bitişleri için uyarı süresi tanımlı mı?
14. Çıkış koşulları: Sözleşme bittiğinde belgeler, yapılandırmalar ve yönetici bilgileri eksiksiz teslim ediliyor mu; yenileme ve fesih koşulları açık mı?

Kişisel veri maddesi ayrıca önemlidir. Kişisel Verileri Koruma Kurumu'nun veri güvenliğine ilişkin yükümlülükler sayfasına göre veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde gerekli tedbirlerde bu kişilerle "birlikte müştereken sorumludur"; veri işleyenler de tedbir almakla yükümlüdür. Bakım firmasının bu çerçevedeki konumunu hukuk danışmanınızla değerlendirin; teknik tedbirler için KVKK teknik tedbirler kontrol listemiz başlangıç noktası olabilir.

Hangi sunucu için hangi bakım yaklaşımı uygun?

Doğru yaklaşım; sunucunun iş için önemine, destek durumuna ve kurtarılabilirliğine göre değişir. Tablo sık görülen beş durumu özetler, puanlama ise başlangıç sırasını belirler.

Hangi sunucudan başlamalı? Üç ölçütlü öncelik puanı

Her sunucuya üç ölçütte 1 ile 3 arasında puan verin, puanları toplayın ve en yüksek toplamdan başlayın:

• İş etkisi: 1 = kesinti birkaç kişiyi etkiler; 2 = bir departmanı durdurur; 3 = satışı, üretimi veya müşteri hizmetini durdurur.
• Destek durumu: 1 = işletim sistemi ve donanım destekte; 2 = biri 12 ay içinde destek dışı kalıyor; 3 = biri zaten destek dışı.
• Kurtarılabilirlik: 1 = yedek var ve geri yükleme test edildi; 2 = yedek var ama test edilmedi; 3 = güncel yedek yok.

Desteği biten ve yedeği test edilmemiş iş kritik sunucu gibi en yüksek toplamı alanlar ilk bakım ve geçiş dalgasına girer; eşitlikte iş etkisi yüksek olan önce gelir. Puanlama bir öncelik aracıdır, risk değerlendirmesinin yerini tutmaz.

Sora Yazılım ile sunucu bakım anlaşması nasıl planlanır?

Sora Yazılım, Türkiye merkezli bir teknoloji firması olarak sunucu bakım anlaşması hizmeti verir; Dell ve HPE sunucularında seçim, tedarik, kurulum ve destek sağlar. Yanıt süreleri, yerinde destek, yedek parça ve raporlama gibi koşullar her müşterinin envanterine göre sözleşmede belirlenir; bu yüzden bu yazıda hazır bir paket ya da süre vaadi yok. Firmamızı tanımak için Hakkımızda sayfamıza göz atabilirsiniz.

Teklif görüşmesini verimli kılmak için şu bilgileri önceden hazırlayın:

1. Sunucu listesi: marka, model, seri numarası veya servis etiketi ve konum.
2. Her sunucudaki işletim sistemi sürümü ve kritik uygulamalar.
3. Garanti veya üretici destek paketinin bitiş tarihleri.
4. Mevcut yedekleme çözümü ve son geri yükleme testinin tarihi.
5. Kabul edilebilir bakım pencereleri ve desteğe ihtiyaç duyduğunuz saatler.
6. Kişisel veri barındıran sunucular ve erişim kısıtları.

Sık sorulan sorular

Sunucu bakım anlaşması ile garanti aynı şey mi?

Hayır. Garanti veya üretici destek paketi, ürünün kendisindeki arızaları paket koşullarına göre giderir. Sunucu bakım anlaşması ise yama, firmware takibi, yedek kontrolü, izleme, raporlama ve arıza koordinasyonunu kapsar. İkisi birbirinin yerine geçmez: garantideki sunucu da düzenli bakıma ihtiyaç duyar, garantisi biten sunucuda ise parça kaynağı ayrıca planlanmalıdır.

Sunucu bakım sözleşmesinde yanıt süresi nasıl belirlenir?

Yanıt süresi arızanın öncelik seviyesine ve sunucunun iş için önemine göre belirlenir ve sözleşmede rakamla yazılmalıdır. Önce "kritik", "yüksek" ve "normal" arızayı tanımlayın; sonra her seviye için ilk yanıt ve çözüm hedefini ve bunların nasıl ölçüleceğini yazın. Uygun süre kesinti maliyetinize bağlıdır, hazır bir rakam her ortama uymaz.

Windows Server 2022 kullanıyorsak 13 Ekim 2026'dan sonra ne değişir?

Microsoft'un yaşam döngüsü sayfasına göre Windows Server 2022'nin ana akım desteği 13 Ekim 2026'da biter, genişletilmiş destek 14 Ekim 2031'e kadar sürer. Sabit Yaşam Döngüsü İlkesi'ne göre bu dönemde güvenlik güncellemeleri devam eder, güvenlik dışı güncellemeler ve tasarım değişikliği talepleri sona erer. Bakım planınızı ve yükseltme takviminizi buna göre güncelleyin.

Windows Server 2012 R2 sunucumuz var; bakım anlaşması yeterli olur mu?

Bakım anlaşması riski yönetmeye yardım eder ama desteği biten bir işletim sistemini güvenli hâle getirmez. Windows Server 2012/2012 R2 için ESU programının son günü 13 Ekim 2026'dır; sonrasında güvenlik güncellemesi yayımlanmaz. Böyle bir sunucu NIST'in tanımıyla yamalanamayan varlıktır: yalıtılmalı, erişimi sınırlandırılmalı ve geçiş takvimi sözleşmeye eklenmelidir.

Bakım anlaşmasına firmware ve BIOS güncellemeleri dâhil edilmeli mi?

Evet, dâhil edilmesini öneririz; firmware ve BMC (iDRAC/iLO) katmanındaki açıklar işletim sistemi yamalarıyla kapanmaz. Sözleşmede sıklık, onay yöntemi, bakım penceresi ve geri dönüş planı yazılmalıdır. NIST SP 800-40 Rev. 4 de şirket içi sunucularda yamalanacak yazılımlar arasında firmware'i sayar. Uygulama adımları için firmware güncelleme rehberimize bakabilirsiniz.

Sunucu bakım anlaşmasının maliyetini neler belirler?

Başlıca etkenler sunucu sayısı ve yaşı, kapsama alınan katmanlar, destek saatleri, yerinde destek ihtiyacı ve lokasyon sayısı, yedek parça sorumluluğunun kimde olduğu, raporlama ve tatbikat sıklığıdır. Desteği bitmiş sistemler ek yalıtım ve geçiş çalışması gerektirebilir. Tutar ancak envanter ve kapsam netleşince hesaplanabilir; sunucu listenizle teklif formumuz üzerinden bize ulaşabilirsiniz.

Sonuç

• Sunucu bakım anlaşması garantiyi tamamlar; önleyici bakımı ve arıza koordinasyonunu yazılı hâle getirir.
• Windows Server 2022 ana akım desteğinin ve 2012/2012 R2 ESU'sunun son günü 13 Ekim 2026; Windows Server 2016 genişletilmiş desteğininki 12 Ocak 2027'dir.
• Sözleşme NIST'in dört yama senaryosunu, firmware bakımını ve geri yükleme testini açıkça tanımlamalıdır.
• Süreler, yedek parça ve yerinde destek koşulları rakamla ve ortamınıza göre yazılmalıdır.

Sora Yazılım, sunucu bakım anlaşmasının kapsamını envanterinize ve iş önceliklerinize göre sizinle birlikte belirler; Dell ve HPE sunucularında seçim, tedarik, kurulum ve bakım hizmetlerini aynı firmadan alabilirsiniz.

Teklif Al · WhatsApp: WhatsApp Destek · Telefon: +90 544 785 21 87 · E-posta: talep@sorayazilim.com

Kaynaklar

1. Windows Server 2016 — Microsoft Learn (Lifecycle). learn.microsoft.com (erişim: 7 Ekim 2026)
2. Windows Server 2022 — Microsoft Learn (Lifecycle). learn.microsoft.com (erişim: 7 Ekim 2026)
3. Windows Server 2012 R2, ESU yılları dâhil — Microsoft Learn (Lifecycle). learn.microsoft.com (erişim: 7 Ekim 2026)
4. Windows Server 2019 — Microsoft Learn (Lifecycle). learn.microsoft.com (erişim: 7 Ekim 2026)
5. Windows Server 2025 — Microsoft Learn (Lifecycle). learn.microsoft.com (erişim: 7 Ekim 2026)
6. Fixed Lifecycle Policy — Microsoft Learn. learn.microsoft.com (erişim: 7 Ekim 2026)
7. Lifecycle FAQ – Extended Security Updates — Microsoft Learn. learn.microsoft.com (erişim: 7 Ekim 2026)
8. Windows Server sürüm verisi — endoflife.date. endoflife.date (erişim: 7 Ekim 2026)
9. NIST SP 800-40 Rev. 4, Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology — NIST, Nisan 2022. csrc.nist.gov (erişim: 7 Ekim 2026)
10. NIST SP 800-193, Platform Firmware Resiliency Guidelines — NIST, Mayıs 2018. csrc.nist.gov (erişim: 7 Ekim 2026)
11. Cyber Essentials: Requirements for IT Infrastructure v3.3 — NCSC (Birleşik Krallık), Nisan 2026. ncsc.gov.uk (erişim: 7 Ekim 2026)
12. Veri Güvenliğine İlişkin Yükümlülükler — Kişisel Verileri Koruma Kurumu. kvkk.gov.tr (erişim: 7 Ekim 2026)
13. Known Exploited Vulnerabilities Catalog, sürüm 2026.10.04 — CISA (GitHub veri deposu). raw.githubusercontent.com (erişim: 7 Ekim 2026)

Bu içerik nasıl hazırlandı?

Hazırlayan: Sora Yazılım Ekibi. Bu içerik yapay zekâ desteğiyle hazırlandı; teknik bilgiler yazıda bağlantısı verilen üretici ve resmî kaynaklarla 7 Ekim 2026 itibarıyla karşılaştırıldı.

İlgili yazılar

• Windows Server 2016 destek sonu geçiş planı — 12 Ocak 2027 öncesinde yükseltme ve yeni donanıma geçiş seçenekleri.
• Garanti sonrası sunucu desteği: üretici mi, üçüncü taraf mı? — Garantisi biten sunucular için destek modellerinin karşılaştırması.
• Sunucu firmware, BIOS ve iDRAC/iLO güncelleme rehberi — Envanter, sıra, bakım penceresi ve geri dönüş adımları.
• Rack mi, tower mı? Sunucu form faktörü seçimi — Yeni sunucu alırken form faktörü kararını vermek için.