Yayın Teknolojisi Sağlayıcısına Sorulacak 12 Kritik Röportaj Sorusu — Güvenlik, Yedekleme, Gecikme ve İzleyici Verileri

Canlı yayın altyapısı seçimi, sadece fiyat veya temel özellikler üzerinden verilmemesi gereken bir kararıdır. Bu yazıda, yayın teknolojisi sağlayıcısına yapılacak bir röportajda mutlaka sorulması gereken 12 kritik soruyu, her sorunun ardındaki mantığı, beklenen cevapları ve karşılaşıldığında alarm çalacak "kırmızı bayrakları" uygulamalı olarak ele alıyorum.

Giriş: Neden bu sorular önemli?

Yayıncılıkta güvenlik, yedekleme, gecikme (latency) ve izleyici verileri birbiriyle bağlantılı konulardır. Bir sağlayıcının tek bir alandaki zafiyeti, kullanıcı deneyimini bozar, yasal riskler yaratır ve gelir kaybına yol açar. Bu sorular, teknik derinliği ortaya çıkarmak, SLA ve operasyonal olgunluğu test etmek için tasarlandı.

Nasıl kullanmalı?

• Her soruyu doğrudan sorunuz, ardından detay soruları yöneltin.
• Beklenen somut cevaplar isteyin: metrikler, belge, rapor, test sonuçları.
• Sağlayıcıdan referanslar ve deneme ortamları talep edin; iddiaları doğrulayın.

12 Kritik Soru

1. 1. Güvenlik sertifikasyonlarınız ve bağımsız denetimleriniz nelerdir?

   Neden: SOC2, ISO27001 gibi sertifikalar operasyonal güvenliği gösterir.

   Beklenen cevap: En az bir güncel bağımsız raporun paylaşılabilmesi, düzenli penetrasyon testleri ve üçüncü taraf risk değerlendirmeleri.

   Kırmızı bayrak: Denetim yok, raporlar verilmiyor veya raporlar güncel değilse dikkat.

2. 2. Şifreleme ve anahtar yönetimi nasıl sağlanıyor? (in transit ve at rest)

   Neden: İçerik ve izleyici verileri hem iletimde hem de depolamada korunmalıdır.

   Beklenen cevap: TLS 1.2/1.3 ile iletim, AES-256 gibi standartlarla at-rest şifreleme, KMS entegrasyonu, HSM kullanımı ve anahtar rotasyonu politikaları.

   Kırmızı bayrak: Şifreleme belirsiz, anahtar yönetimi tek kişinin erişiminde veya anahtarlar döndürülmüyor.

3. 3. Erişim kontrolü ve kimlik yönetimi nasıl işliyor?

   Neden: Yanlış konfigürasyonlar veri sızıntılarına yol açar.

   Beklenen cevap: SAML/SSO, MFA, RBAC politikaları, ayrıntılı IAM logları ve düzenli erişim incelemeleri.

   Kırmızı bayrak: Tek kullanıcı/şifre veya sınırlı audit log.

4. 4. Yedekleme ve felaket kurtarma (RPO / RTO) stratejiniz nedir?

   Neden: Kesintiye hazırlıklı olmak, servis devamlılığı için kritiktir.

   Beklenen cevap: Belirlenmiş RPO ve RTO değerleri, düzenli yedekleme frekansları, soğuk/sıcak stand-by seçenekleri, coğrafi olarak dağıtılmış kopyalar ve yıllık felaket tatbikatları.

   Kırmızı bayrak: RTO/RPO tanımlı değil, gerçek test verileri yok veya testler yapılandırılmamış.

5. 5. Uptime SLA ve telafi mekanizmalarınız nelerdir?

   Neden: SLA, sağlayıcının güvenilirliğinin sözleşesel göstergesidir.

   Beklenen cevap: Net yüzde bazlı SLA (ör. %99.9), ölçüm yöntemi, raporlama ve kredi/tazminat mekanizması.

   Kırmızı bayrak: Belirsiz SLA veya sadece ‘‘iyi niyet’’ taahhütleri.

6. 6. Latency metrikleri ve optimizasyonu nasıl yönetiliyor? (glass-to-glass, p95, p99)

   Neden: İzleyici deneyimi canlı yayınlarda hemen her zaman latency ile doğrudan bağlantılıdır.

   Beklenen cevap: End-to-end (glass-to-glass) ölçümler, p50/p95/p99 latency değerleri, düşük gecikmeli protokoller (WebRTC, SRT, CMAF/LL-HLS) ve CDN optimizasyonu stratejileri.

   Kırmızı bayrak: Sadece protokollerden bahsediliyor ama ölçüm yok veya yüksek p99 değerleri saklanıyor.

7. 7. İnput (ingest) redundancy ve transcoding altyapınız nasıl çalışıyor?

   Neden: Tek nokta arızası yayın kaybına sebep olur.

   Beklenen cevap: Çoklu ingest noktası, otomatik failover, container tabanlı/otomatize transcoder ölçeklendirme ve codec/bitrate stratejileri.

   Kırmızı bayrak: Single-point ingest, manuel müdahale gerektiren failover prosedürleri.

8. 8. CDN stratejiniz nedir? Çoklu CDN veya vendor lock-in var mı?

   Neden: CDN seçimi gecikme, erişilebilirlik ve maliyet üzerinde büyük etki yapar.

   Beklenen cevap: Çoklu CDN desteği, otomatik yönlendirme (load balancing), signed URLs, cache control ve geo-routing yetenekleri.

   Kırmızı bayrak: Tek CDN zorunluluğu, cache-invalidation kontrolsüz veya signed URL eksikliği.

9. 9. İzleyici verileri toplama, depolama, analiz ve sahiplik politikası nedir?

   Neden: Kişisel veriler yasal gerekliliklere tabidir; ayrıca veri sahipliği ticari açıdan kritiktir.

   Beklenen cevap: Hangi verilerin toplandığı, anonimleştirme/hashed ID yöntemleri, veri sahipliği sözleşmesi, raw log erişimi, veri ihlali bildirimi süreçleri ve DSAR (Data Subject Access Request) işlemleri.

   Kırmızı bayrak: Verilerin kimde saklandığı belirsiz, veri sahibi siz misiniz yoksa sağlayıcı mı diye net değilse risk var.

10. 10. Canlı olay müdahalesi ve incident response süreçleri nasıl işliyor?

    Neden: Gerçek bir saldırı veya arıza anında hızlı ve koordine bir yanıt gerekir.

    Beklenen cevap: On-call ekipler, SLA içinde tepki/çözüm süreleri, post-mortem raporları, iletişim kanalları ve müşteri bilgilendirme protokolleri.

    Kırmızı bayrak: İletişim kanalı yok, post-mortem paylaşımı reddediliyor.

11. 11. İzlenebilirlik, monitoring ve observability nasıl sağlanıyor?

    Neden: Sorunların tespiti ve kök neden analizi için kapsamlı loglar ve metrikler gereklidir.

    Beklenen cevap: Centralized logging, traceability (distributed tracing), metrik setleri (error rate, drop rate, buffer underrun, bitrate shifts), alerting ve dashboard erişimi.

    Kırmızı bayrak: Kısıtlı metrikler, sadece uptime raporları, detaylı log erişimi yoksa sorunlu.

12. 12. Canlı demo, failover testi ve referans müşteri incelemesi sağlayabilir misiniz?

    Neden: Sağlayıcının iddialarını gerçek dünyada doğrulamak en etkili yoldur.

    Beklenen cevap: Canlı ortamda veya izole test ortamında failover tatbikatı, latency ölçümü prosedürleri ve referanslar.

    Kırmızı bayrak: Testlere izin verilmiyor veya sağlanan referanslar yüzeyselse dikkat.

Sağlayıcının Cevaplarını Doğrulamak İçin Pratik Adımlar

• Sağlayıcıdan SLA metriklerine ilişkin geçmiş 3-6 aylık rapor isteyin ve p99 latentcy, error rate gibi gerçek verileri karşılaştırın.
• Bir test yayınını timestamp içerecek şekilde ingest edip glass-to-glass latency ölçümü yapın.
• Failover tatbikatı talep edin: ingest veya CDN kesintisi simülasyonu ile otomatik failover sürecini ölçün.
• Güvenlik raporları: SOC2/ISO raporlarını, pentest özetlerini isteyin; kritik bulgular nasıl kapatılmış görün.
• Veri erişimi: Ham analiz logları ve izleyici davranış verilerinin nasıl sağlandığını, hangi formatta teslim edileceğini test edin.

Not: Sağlayıcılar teknik terimler ve yüksek başarı vaadleri ile dolu olabilir; önemli olan somut, tekrarlanabilir kanıtlar ve operasyonel şeffaflıktır.

Sonuç

Bir yayın teknolojisi sağlayıcısını değerlendirmek, sadece ürün özelliklerine bakmak değil, operasyonal olgunluk, güvenlik kültürü, felaket kurtarma hazırlığı ve veri yönetimi yetkinliğini sorgulamaktır. Bu 12 soru, görüşmenizi teknik açıdan derinleştirir, sağlayıcının zayıf noktalarını açığa çıkarır ve size somut doğrulama adımları sağlar. Görüşme sırasında somut metrikler, belgeler ve test izni istemekten çekinmeyin; en iyi sağlayıcılar bu şeffaflığı sunacaktır.

Harekete geçin: Görüşme öncesi bu soruları içeren bir kontrol listesi hazırlayın, yanıtları noterleyin ve bulgulara göre bir puanlama yapın. Hem kısa vadeli hem de uzun vadeli riskleri böylece karşılaştırabilirsiniz.