Microsoft 365 verilerinizi kim yedekliyor? Cevap büyük ihtimalle "Microsoft" diye düşünüyorsanız bu yazıyı sonuna kadar okuyun. 2024'te Microsoft kendisi Microsoft 365 Backup ($0.30/GB/ay) hizmetini lansetti — built-in retention'ın yetmediğini açıkça kabul eden bir hareket. Peki sizin şirketiniz için Recycle Bin + Litigation Hold yeterli mi, yoksa Veeam veya AvePoint gibi 3rd-party backup şart mı? 12 soruda anlayalım.
Microsoft Shared Responsibility Model — Sınırı Net Çiz
Microsoft tüm cloud servisleri için "Shared Responsibility Model" adını verdiği bir paylaşım çerçevesi uygular. Microsoft'un sorumluluğu altyapı + servis kullanılabilirliği ile sınırlıdır:
| Sorumluluk | Microsoft | Müşteri (Siz) |
|---|
| Datacenter fiziksel güvenlik | ✓ | — |
| Sunucu donanımı + ağ | ✓ | — |
| Servis kullanılabilirliği (99.9% SLA) | ✓ | — |
| Yazılım güncellemeleri (M365 sürüm) | ✓ | — |
| Veri içeriği | — | ✓ |
| Kazara silme kurtarma (90 gün+) | — | ✓ |
| Ransomware sonrası geri yükleme | — | ✓ |
| Compliance retention (7+ yıl) | — | ✓ |
| İnsider threat / kasıtlı silme koruması | — | ✓ |
Microsoft Hizmet Şartları (Microsoft Services Agreement) açıkça şu cümleyi içerir: "Microsoft is not responsible for any loss, deletion, modification, alteration, destruction, damage, loss or failure to store any of your content". Veri kaybı yaşadığınızda Microsoft'tan tazminat talep edemezsiniz.
Pratik anlamı: Tenant askıya alınırsa, admin hesabı ele geçirilirse, ransomware tüm dosyaları şifrelerse veya bir çalışan kasten 1.000 mailbox'ı silerse — Microsoft "biz yedeklemiyoruz, müşteri sorumluluğunda" diyor.
Recycle Bin'in 3 Görmediğiniz Sınırı
"OneDrive Recycle Bin'de 93 gün veri kalıyor" — evet ama bu üç senaryoda sizi koruyamaz:
1. Süre Yetersizliği (KVKK / hukuki süreç)
KVKK Madde 7 (saklama/imha), SOX (7 yıl finans), HIPAA (6 yıl sağlık), ISO27001 + bağımsız denetim talepleri — birçok regulasyon 7+ yıl saklama ister. Recycle Bin 14-93 gün arasında. Litigation Hold süresiz uzatabilir, ama:
- Ek lisans gerektirir (Exchange Online Plan 2 veya M365 E3+)
- Granular restore zor — eDiscovery teknik bilgi ister
- Kullanıcı silinirse hold otomatik kalkmaz, manuel takip şart
2. Granular Restore — "Geçen seneki tek bir mail"
"Hukuk müşaviri dedi ki, geçen mart ayında müşteriden gelen 3 specific maili bul." Mevcut M365 sisteminizde Litigation Hold + eDiscovery yapılandırılmış değilse bu mesajları bulmak imkânsızdır. Default Recycle Bin + Recoverable Items toplam 60 gün civarındadır.
3. Ransomware ve Kasıtlı Silme
Saldırgan Global Admin yetkisini ele geçirirse Recycle Bin'i de boşaltır. OneDrive'ın "Files Restore" özelliği 30 günlük sınırlıdır — saldırı 31 gün sonra fark edilirse iş işten geçmiştir. Immutable (değiştirilemez) backup sadece 3rd-party çözümlerde vardır:
- Veeam Backup for Microsoft 365 — Object Lock immutability
- AvePoint Cloud Backup — air-gap backup mode
- Defender XDR + 4-eyes principle (iki admin onayı silme öncesi)
Microsoft 2024'te Neden Kendi Yedekleme Hizmetini Lansetti?
2024 Q3'te Microsoft Microsoft 365 Backup hizmetini GA (general availability) olarak duyurdu. Bu önemli çünkü Microsoft yıllarca "built-in retention yeterli" söylemini yürüttü, sonra dönüp pay-as-you-go bir backup hizmeti sundu — kabul ki built-in yetmezlik vardı.
Microsoft 365 Backup özellikleri:
- Pay-as-you-go fiyat: ~$0.30/GB korunan veri/ay
- Verilerin tenant region'ında kalması (EU/Türkiye datacenter'da kalır)
- Restore saatler değil dakikalar sürer (built-in Microsoft API)
- Kapsam: Exchange Online, OneDrive, SharePoint (Teams kısmen)
- Microsoft 365 E3/E5 dahil DEĞİL — ayrı satın alınır
Sınırları: Cross-tenant backup yok (tenant askıya alınırsa erişim de yok), immutable backup yok, 7+ yıl retention sınırlı, audit/governance özellikleri 3rd-party kadar derin değil. KOBİ ve orta ölçek için yeterli, kurumsal için 3rd-party hâlâ tercih.
Veeam vs AvePoint: Hangisi Hangi Şirkete?
Pazarda 2 dominant 3rd-party backup çözümü var. Karşılaştırma:
| Özellik | Veeam Backup for Microsoft 365 | AvePoint Cloud Backup |
|---|
| Tipik fiyat | $1-2/kullanıcı/ay equivalent | $1.50-3/kullanıcı/ay |
| Deployment modeli | Self-hosted (on-prem veya Azure) | SaaS (zero-infrastructure) |
| Türkiye datacenter | Azure TR Central üzerinden | Istanbul region native desteği |
| Kapsam (Mailbox + OneDrive + SharePoint + Teams + Project) | Tüm M365 workload'lar | Tüm M365 workload'lar |
| Immutable backup (ransomware koruması) | S3 Object Lock + air-gap | Native immutability period |
| Retention süresi | Sınırsız (storage'a bağlı) | Sınırsız (yıllık paket) |
| Cross-tenant restore | ✓ | ✓ |
| 4-eyes principle (insider threat) | ✓ (advanced settings) | ✓ (default) |
| Restore granularity | Mailbox / folder / item / single mail | Mailbox / folder / item / single mail |
| KVKK uyum + raporlama | Manuel + custom dashboard | Built-in compliance dashboard |
Genel öneri:
- KOBİ + hızlı kurulum + zero-infra: AvePoint Cloud Backup. SaaS modeli, 1 günde aktive olur.
- Mevcut Veeam altyapısı veya self-hosted tercih: Veeam Backup for Microsoft 365. Veeam Backup & Replication ile entegre, IT ekibinin tanıdığı arayüz.
- Türkiye datacenter zorunluluğu (BDDK, KVKK Madde 9): AvePoint'in Istanbul region desteği avantaj.
50 Kullanıcılı Şirket İçin Yıllık Maliyet Senaryoları
50 kullanıcı, ortalama 30 GB veri (mailbox + OneDrive + SharePoint payı) varsayımıyla:
| Çözüm | Aylık ($) | Yıllık (~TL) | Kapsam |
|---|
| M365 Built-in (Litigation Hold + Retention) | $0 ek | 0 TL ek | 14-93 gün, no immutable |
| Microsoft 365 Backup (native) | ~$450 (50 × 30 GB × $0.30) | ~245.000 TL | Tenant'ta kalır, hızlı restore |
| Veeam Backup for Microsoft 365 | ~$75 (50 × $1.50) | ~41.000 TL | Self-hosted, Object Lock immutable |
| AvePoint Cloud Backup (Türkiye) | ~$100 (50 × $2.00) | ~54.000 TL | SaaS, Istanbul DC, immutable |
* USD/TL kuru ~45 TL varsayılmıştır. Yıllık peşin ödeme + hacim indirimi ile ~%15-25 daha düşük olabilir. Microsoft 365 Backup veri büyüklüğüyle doğru orantılı, kullanıcı sayısından bağımsızdır — büyük dosyaları (PST, eski SharePoint koleksiyonları) yedeklerseniz fiyat hızla artar.
ROI hesabı: Tek bir veri kaybı olayı (ransomware, kasıtlı silme, hukuki keşif başarısızlığı) ortalama maliyeti — Türkiye'de 250.000 TL'den başlar (itibar zararı + müşteri kaybı + KVKK Madde 12 idari para cezası 150.000-4.500.000 TL aralığı). Yıllık 41.000-54.000 TL backup maliyeti, sigorta gibi düşünülmeli.
KVKK Madde 12 ve ISO27001 Backup Yükümlülüğü
KVKK Madde 12, veri sorumlusunun "kişisel verilerin hukuka aykırı işlenmesi ve erişimini önlemek, muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbir" almasını zorunlu kılar. Backup, "muhafaza" yükümlülüğünün doğrudan parçasıdır.
ISO27001 Annex A 12.3.1 — Information Backup:
- Backup politikası dokümante edilmeli (sıklık, kapsam, retention)
- Backup düzenli test edilmeli (ayda bir restore testi)
- Backup verileri ana sistemden fiziksel/mantıksal ayrı tutulmalı (immutable / air-gap)
KVKK denetimi sırasında "backup'ımız var ama hiç restore denemedik" cevabı yetersizdir. KVKK Kurulu kararlarında "yedekleme yapılmamış" ya da "yedekleme test edilmemiş" gerekçesiyle Madde 12 ihlali tespit edilen ve milyonlarca TL idari para cezası verilen şirketler bulunmaktadır.
Karar Matrisi: Kim Hangi Çözümü Almalı?
| Şirket Profili | Önerilen Çözüm | Neden |
|---|
| 1-10 kullanıcı, hassas veri yok, regulasyon yok | Built-in (Litigation Hold + Retention Policy) | Maliyet/risk dengesi makul |
| 10-50 kullanıcı, KVKK temel uyum, basit operasyon | Microsoft 365 Backup (native) | Düşük efor + verilerin tenant'ta kalması |
| 50-300 kullanıcı, hukuk/finans/sağlık sektörü | AvePoint Cloud Backup (Istanbul DC) | Compliance + hızlı kurulum + KVKK uyum dashboard |
| 300+ kullanıcı, mevcut Veeam altyapısı veya BT olgun | Veeam Backup for Microsoft 365 | Self-hosted kontrol + Veeam ekosistem entegrasyonu |
| Yüksek ransomware risk + insider threat (finans, savunma) | Veeam veya AvePoint + immutable + 4-eyes | Built-in/native immutability sınırlı |
Sonuç + Sıradaki Adım
Microsoft 365 Built-in koruması bazı senaryolar için yeterlidir, ancak ransomware, insider threat, granular restore, 7+ yıl compliance, cross-tenant erişim için 3rd-party backup şarttır. Microsoft'un kendi 2024'teki Microsoft 365 Backup lansmanı bile bu boşluğu doğrular niteliktedir.
Sizin durumunuzda hangi çözümün gerektiğini sayısal olarak değerlendirmek için 12 sorulu Backup İhtiyaç Skoru aracımızı kullanabilirsiniz:
Backup Risk Skorunuzu Ölçün — Ücretsiz
12 soruda risk seviyenizi (DÜŞÜK / ORTA / YÜKSEK / KRİTİK) öğrenin. Önerilen çözüm + tahmini aylık maliyet + Veeam/AvePoint karşılaştırma kartları.
Backup İhtiyaç Skoru Aracını Aç →
Microsoft Yetkili Çözüm Ortağı (CSP) olarak Veeam Backup for Microsoft 365 ve AvePoint Cloud Backup lisanslarını sunuyor, 30 günlük PoC + risk audit + lisans optimizasyonu yapıyoruz. İletişim formundan ya da WhatsApp 0216 344 15 59 ile bize ulaşabilirsiniz.
Sıkça Sorulan Sorular
Microsoft 365 verilerimi yedeklemek zorunda mıyım?
KVKK Madde 12 (veri güvenliği), ISO27001 Annex A 12.3.1 ve sektör regulasyonları (BDDK, EPDK, HIPAA) backup'ı teknik tedbir olarak zorunlu kılar. Microsoft "Shared Responsibility Model"de veri içeriğini müşteri sorumluluğuna bırakır — yedekleme sizin işiniz. Built-in retention bir başlangıç noktasıdır, ama compliance + ransomware koruması için 3rd-party backup gerekir.
Recycle Bin'de 93 gün veri kalıyor — bu yeterli değil mi?
Üç önemli sınır vardır: (1) süre yetersiz (KVKK / SOX / hukuk 7+ yıl ister), (2) granular restore zor (geçen yıldan tek mail için Litigation Hold + eDiscovery kurulumu şart), (3) ransomware'a karşı zayıf (Global Admin yetkisi ele geçen saldırgan Recycle Bin'i de boşaltabilir). Immutable backup sadece 3rd-party'lerde vardır.
Veeam Backup for Microsoft 365 vs AvePoint Cloud Backup — hangisi?
Her ikisi de pazar lideri. Veeam: kurumsal IT, self-hosted, Veeam ekosistemi entegrasyonu, daha ucuz ($1-2/user). AvePoint: SaaS modeli, zero-infrastructure, Türkiye datacenter, daha kapsamlı governance ($1.50-3/user). KOBİ + hızlı kurulum: AvePoint. Mevcut Veeam altyapısı veya self-hosted tercihi: Veeam. Microsoft Yetkili Çözüm Ortağı (CSP) olarak iki çözümün de lisansını sunabiliyoruz.
Microsoft'un kendi Microsoft 365 Backup hizmeti ne yapar?
Microsoft 365 Backup (2024 GA), Microsoft'un kendi platformunda native backup hizmeti. Avantaj: verilerin tenant dışına çıkmaması, hızlı restore, Microsoft tarafından test edilmiş. Kapsam: Exchange, OneDrive, SharePoint (Teams kısmen). Maliyet: pay-as-you-go (~$0.30/GB/ay korunan veri). KOBİ için makul; Enterprise için Veeam/AvePoint daha esnek (cross-tenant, immutable, daha uzun retention). Microsoft 365 E3/E5 dahil DEĞİL, ayrı satın alınır.
Risk skorum 'KRİTİK' çıktıysa ne yapmalıyım?
Acil sıralı eylem planı: (1) 7 gün: Litigation Hold + Retention Policy aktivasyonu (M365 E3+ ile ücretsiz, kısmi koruma sağlar). (2) 30 gün: 3rd-party backup PoC (Veeam veya AvePoint trial) — kritik departmanlardan başlayın. (3) 90 gün: Tüm M365 workload'ları (Mailbox + OneDrive + SharePoint + Teams + Planner) kapsama alma + aylık restore testi. CSP partner olarak ücretsiz risk audit + 30-gün PoC sağlıyoruz.
Tek seferlik PoC nasıl alınır?
WhatsApp 0216 344 15 59 ya da iletişim formu üzerinden bize ulaşın. 30 dakikalık keşif görüşmesi sonrasında AvePoint veya Veeam tarafına 14-30 gün ücretsiz trial başlatıyoruz, mevcut M365 tenant'ınıza bağlıyoruz, kritik 5-10 mailbox + 1-2 SharePoint site ile PoC çalıştırıyoruz. Restore testi + raporlama dahil.
Kaynaklar