BDDK uyumlu bulut mimarisi: Finans kurumları için pratik bir çerçeve

Finans kurumlarıyla yaptığımız bulut değerlendirmelerinde en sık duyduğumuz cümle şu: "Regülasyon nedeniyle buluta çıkamıyoruz." Oysa BDDK'nın bulut bilişim çerçevesi bir yasak değil, bir tasarım şartnamesidir. Doğru okunduğunda, hangi iş yükünün hangi koşullarla nerede çalışabileceğini netleştirir.

Bu yazıda, son beş yılda bankacılık müşterilerimizle uyguladığımız ve denetimlerden bulgusuz geçen mimari çerçeveyi özetliyoruz.

1. Veri sınıflandırması olmadan mimari konuşmayın

Uyumlu mimarinin ilk adımı teknoloji değil, envanterdir. Her uygulamanın işlediği veriyi kritiklik ve kişisellik eksenlerinde sınıflandırmadan verilen her bulut kararı, sonradan istisna yönetimine dönüşür. Pratikte dört sınıflı bir model (açık, dahili, hassas, kritik) kurumların %90'ı için yeterli granülariteyi sağlıyor.

Sınıflandırmayı bir Excel çalışması olarak değil, yaşayan bir metaveri olarak kurun: her yeni uygulama, CMDB veya servis kataloğunda veri sınıfıyla birlikte doğar.

2. Denetim izini sonradan eklemeyin

Denetimlerde en çok zaman kaybettiren konu, kanıt üretimidir. Landing zone tasarımında merkezi ve değiştirilemez (immutable) bir denetim log gölü kurar, tüm değişiklikleri GitOps üzerinden akıtırsanız; denetçinin 'bu değişikliği kim, ne zaman, hangi onayla yaptı' sorusunun cevabı dakikalar içinde üretilir.

Policy-as-code burada kritik rol oynar: uyum kuralları doküman olarak değil, ihlali mümkün olmayan otomatik politikalar olarak yaşar.

3. Hybrid'i geçiş dönemi değil, hedef mimari olarak tasarlayın

Kritik veri sınıflarının yerinde kalacağı gerçeğini kabul edip hybrid'i birinci sınıf mimari olarak tasarlamak, 'her şey buluta taşınana kadar bekleyelim' yaklaşımından her zaman daha hızlı sonuç verir. Tek işletim modeli (aynı IaC, aynı CI/CD, aynı observability) kurulduğunda iş yükünün nerede çalıştığı operasyonel bir detaya dönüşür.

Deneyimimiz şu: portföyün elastik ve müşteriye dönük yüzü bulutta, kritik veri çekirdeği yerinde, tamamı tek platformdan yönetilen kurumlar; hem denetimden hem maliyet hedeflerinden daha rahat geçiyor.