Kurumsal GPU Kiralama: Güvenlik, SLA ve Sözleşme Kontrol Listesi

Kısa cevap

Kurumsal GPU kiralamada SLA ve güvenlik için dört şeye bakın: GPU ve sunucu yalnızca size mi ayrılıyor, tesisin enerji altyapısı ve fiziksel güvenliği nasıl, kiralama bitince diskler hangi yöntemle siliniyor ve SLA neyi ölçüyor, ihlalde ne oluyor? gpukiralama.com.tr'de GPU'lar ve sunucu kaynakları paylaşımsızdır; sunucular İstanbul Bağcılar'daki kendi tesisimizde çalışır, veriler Türkiye'de kalır.

Kurumsal bir yapay zeka projesi için GPU sunucusu kiralarken fiyattan önce şu yedi konuyu netleştirin:

1. GPU size mi ayrılıyor, yoksa paylaşımlı mı?
2. Tesisin fiziksel güvenliği ve enerji altyapısı.
3. Ağ güvenliği.
4. Verilerin şifrelenmesi ve kiralama bitince nasıl silineceği.
5. SLA'nın neyi ölçtüğü ve ihlalde ne olduğu.
6. Destek ve müdahale süreleri.
7. KVKK ve sözleşme koşulları.

Bu soruların cevabını yazılı alın. Yüzdelik bir SLA rakamı, neyi kapsadığı tanımlanmadıkça tek başına pek bir şey söylemez.

GPU size mi ayrılıyor, paylaşımlı mı?

İlk soru izolasyondur: Kiraladığınız GPU'yu başka bir müşteriyle paylaşıp paylaşmadığınızı sorun. Yaygın üç model var:

Hassas veriyle çalışıyorsanız, en azından GPU'nun ve belleğinin size ayrıldığından emin olun.

Piyasada "GPU VDS" ya da "GPU VPS" adıyla satılan ürünler tanımı gereği sanal sunucudur, yani tablodaki ikinci ya da üçüncü modele girer. Kartın tamamının mı bir diliminin mi verildiğini, işlemci ve diskin paylaşılıp paylaşılmadığını yazılı sorun. Sanal makine ile size ayrılmış sunucunun performans ve maliyet farkını bulut GPU mu, fiziksel GPU mu karşılaştırmamızda anlattık.

MIG her kartta yoktur. NVIDIA'nın belgelerine göre H100 ve H200 en fazla 7, RTX PRO 6000 Blackwell en fazla 4, RTX PRO 5000 Blackwell en fazla 2 MIG bölümüne ayrılabilir; L40S ve RTX 5090'da MIG yoktur. MIG desteklemeyen bir kart dilimleniyorsa yöntem MIG değildir (ör. vGPU ya da zaman paylaşımı); izolasyonun nasıl sağlandığını sorun.

Tesisin fiziksel güvenliği ve enerjisi nasıl?

Sunucunun bulunduğu tesisi sorun: Nerede, kim erişebiliyor, girişler kayıt altında mı? Elektrik kesintisinde ne olduğunu da öğrenin:

• Kesintisiz güç kaynağı (UPS) var mı?
• Jeneratör devreye giriyor mu?
• İnternet bağlantısı tek hattan mı geliyor, yedekli mi?

Soğutmanın yedekli olup olmadığı da önemlidir. GPU sunucuları kart başına yüzlerce watt ısı üretir; soğutma arızası, elektrik kesintisi kadar hızlı bir duruşa yol açabilir.

Veri merkezleri için iki ölçüt sık kullanılır:

• Uptime Institute Tier sınıflandırması (Tier I–IV): Tier III tesiste yedekli bileşenler sayesinde bakım ya da ekipman değişimi için BT sistemleri kapatılmaz (eşzamanlı bakım). Tier IV'te bir ekipman arızası ya da dağıtım yolu kesintisi de BT sistemlerini etkilemez. Uptime tasarım belgelerini ve inşa edilmiş tesisi ayrı belgelendirir; yalnızca tasarım belgesi, tesisin öyle kurulduğunu göstermez.
• ISO/IEC 27001 bilgi güvenliği yönetimi: Geçerli belgeler 2022 sürümüne göredir. IAF kurallarına göre 2013 sürümüne dayanan belgeler, geçiş süresi 31 Ekim 2025'te bitince sona erdi ya da geri çekildi.

Sağlayıcı böyle bir belge iddia ediyorsa belgenin kendisini, kapsamını (hangi tesis, hangi hizmet), sürümünü ve geçerlilik tarihini isteyin.

Ağ güvenliği için neye bakmalı?

Sunucuya erişim yalnızca gerekli portlardan ve güçlü kimlik doğrulamayla yapılmalı. Kontrol edilecekler:

• Parola yerine SSH anahtarı.
• Güvenlik duvarı kurallarını kimin yönettiği.
• Sunucunun genel bir IP adresiyle mi yoksa VPN arkasından mı erişildiği.
• DDoS koruması.

Pratik bir kural: Jupyter, ComfyUI ya da bir model API'si gibi arayüzleri doğrudan internete açmayın. Sunucuda yalnızca 127.0.0.1 adresini dinletin; SSH tüneli ya da kimlik doğrulamalı bir ters vekil sunucu (reverse proxy) üzerinden erişin. Kurulum ayrıntıları Jupyter rehberimizde.

Verileriniz nasıl korunuyor ve kiralama bitince ne oluyor?

Veriler diskte şifreli durmalı (ör. Linux'ta LUKS ile tam disk şifreleme) ve ağda şifreli taşınmalıdır. Kiralık bir sunucuda yazılım tarafını genellikle siz yönettiğiniz için şifreleme ve erişim tedbirlerinin önemli kısmı sizin elinizdedir.

Sık atlanan bir soru şudur: Kiralama bitince diskler nasıl temizleniyor? Basit bir dosya silme yeterli değildir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) Eylül 2025'te güncellenen SP 800-88 Rev. 2 rehberi, veri taşıyan ortamların temizlenmesi için üç seviye tanımlar:

• Clear (temizleme): Kullanıcının erişebildiği tüm alanların üzerine yazılması. NIST, yedek hücreleri olan flash tabanlı disklerde (SSD, NVMe) bu yöntemle bütün eski veriye ulaşılamayacağını belirtir.
• Purge (arındırma): Verinin en gelişmiş laboratuvar yöntemleriyle bile geri getirilemediği, diskin ise yeniden kullanılabildiği temizleme. Diskin kendi standart sanitize komutları (NVMe disklerde Sanitize) ve kriptografik silme (verinin şifrelendiği anahtarın yok edilmesi) bu sınıftadır. NIST, mümkün olduğunda Clear yerine Purge kullanılmasını önerir.
• Destroy (imha): Diskin fiziksel olarak imha edilmesi.

Rehberin C ekinde örnek bir silme sertifikası (Certificate of Sanitization) formu vardır. Sağlayıcıdan, hangi diskin hangi yöntemle ve hangi tarihte temizlendiğini gösteren böyle bir kayıt isteyin. Yedekleme de önemli bir sorudur: Çoğu kiralık sunucuda yedek almak müşterinin sorumluluğundadır. Bunu varsaymayın, sorun.

Veri diskini LUKS ile şifrelediyseniz, kiralama bitmeden cryptsetup luksErase ile tüm anahtar yuvalarını silmek kendi tarafınızda ek güvence sağlar. Komut veri alanına dokunmaz, yalnızca anahtarları kaldırır; LUKS başlığının (header) bir yedeği başka yerde duruyorsa veri o yedekle yeniden açılabilir.

SLA nedir, nasıl okunur?

SLA (hizmet seviyesi anlaşması), sağlayıcının hangi hizmeti hangi düzeyde sunmayı taahhüt ettiğini ve taahhüt tutulmazsa ne olacağını tanımlar. Yüzdeler küçük görünür ama farkları büyüktür:

Hesap: izin verilen kesinti = (1 − taahhüt oranı) × dönemdeki dakika; 30 günlük bir ay 43.200 dakikadır. Tablodaki değerler hesaplama örneğidir, bizim taahhüdümüz değildir.

Rakamdan daha önemli olan, tanımlardır:

• Ne ölçülüyor? Yalnızca elektrik ve ağ mı, yoksa GPU donanımı da mı? Bir GPU arızalandığında bu bir SLA ihlali mi?
• Neler hariç? Planlı bakımlar, müşteri kaynaklı sorunlar, mücbir sebepler.
• Müdahale ve çözüm süresi: Arızaya ne kadar sürede bakılıyor, ne kadar sürede çözülüyor? Arızalı bir parça ne kadar sürede değişiyor?
• İhlalde ne oluyor? Hizmet bedelinden indirim mi (service credit), sözleşmeyi feshetme hakkı mı?
• Nasıl ölçülüyor? Kesintiyi kim tespit ediyor, siz mi bildirmelisiniz?
• Ölçüm dönemi ne? Takvim ayı mı, yıl mı? Aynı oran yıl üzerinden ölçülürse izin verilen toplam kesinti yaklaşık 12 katına çıkar ve tek bir uzun kesintide harcanabilir.

KVKK ve sözleşmede nelere dikkat etmeli?

Verileriniz kişisel veri içeriyorsa sağlayıcıyla bir veri işleme sözleşmesi yapın. Sözleşmede şunlar netleşmeli:

• Verilerin hangi ülkede işlendiği; sağlayıcının yedekleme ya da destek için veriyi yurt dışına çıkarıp çıkarmadığı.
• Alt yüklenicilerin kimler olduğu.
• Sözleşme bitince verilerin iadesi ve silinmesi.
• Güvenlik ihlalinin size ne kadar sürede bildirileceği. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararına göre veri işleyen, ihlali veri sorumlusuna gecikmeksizin bildirmeli; veri sorumlusu da ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmelidir.

Yurt dışındaki bir sağlayıcı söz konusuysa KVKK'nın yurt dışı aktarım kuralları da devreye girer. Ayrıntılar KVKK ve GPU kiralama rehberimizde.

Fesih ve çıkış koşullarına da bakın: Kiralamayı bitirirken verilerinizi ve modellerinizi ne kadar sürede taşıyabilirsiniz? Docker gibi standart araçlarla kurulmuş bir ortamı başka bir sunucuya taşımak kolaydır (Docker ile GPU kullanımı).

Sağlayıcıya hangi sorular sorulmalı?

Bizde nasıl?

Yukarıdaki başlıklarda durumumuz şöyle:

• İzolasyon: Kiraladığınız GPU'lar ve sunucu kaynakları yalnızca size ayrılır; VPS, VDS ya da paylaşımlı hosting değildir. Tek siparişte en fazla 8 GPU kiralanabilir.
• Konum: Sunucular İstanbul'daki (Bağcılar) kendi tesisimizde çalışır; veriler Türkiye'de kalır. Tesisimizi randevuyla ziyaret edebilirsiniz.
• Altyapı: Tesiste UPS, jeneratör desteği ve yedekli internet bağlantıları vardır.
• Fiyat ve fatura: Fiyatlar ABD doları cinsindendir ve KDV hariçtir. Fatura, fatura tarihindeki TCMB döviz satış kuruyla Türk lirası olarak kesilir ve KDV eklenir; sipariş sonrasında proforma fatura gönderilir.
• Süre: Kiralamalar aylıktır ve en az 1 ay sürer; yıllık kiralamada aylık fiyata %20 indirim uygulanır.

Teslim edilen her sunucu için aylık %99,5 erişilebilirlik hedefi veriyoruz; hedefin altında kalınırsa o ayın bedelinden %5, %10 ya da %25 hizmet kredisi düşülür. Planlı bakımı en az 48 saat önce bildiririz. Sunucuya erişilemediği kritik durumlarda 7/24 telefonla ulaşabilir, 1 saat içinde yanıt alırsınız; donanım arızası 1 iş günü içinde teşhis edilir ve arızalı günler ücretlendirilmez. Ayrıntılar SLA ve destek sayfamızda. Veri silme ve sözleşme koşullarıyla ilgili diğer sorularınızı sipariş öncesinde bize yazılı olarak sorabilirsiniz.

Uygun model seçimi için GPU modellerimize bakın. Şirkete özel yapay zeka asistanını kurumsal yapay zeka, bankacılık ve ödeme sektörüne özgü veri yerleşimi kurallarını finans ve fintech sayfamızda anlattık. Örneğin RTX PRO 6000 Blackwell aylık $1.600, H100 aylık $2.500. Fiyatlar GPU başına ve KDV hariçtir; tüm modellerin fiyatları fiyat listesinde.

Özet

• Önce izolasyonu sorun: GPU'nun size ayrılması, paylaşımlı kullanıma göre riskleri belirgin şekilde azaltır.
• Fiziksel güvenlik, enerji (UPS, jeneratör) ve yedekli bağlantı, sürekli çalışan servisler için temel şarttır.
• SLA yüzdesinden çok tanımlarına bakın: neyi ölçtüğü, neleri hariç tuttuğu, ihlalde ne olduğu.
• Kiralama sonunda verilerin nasıl silineceğini (NIST SP 800-88) ve yedeğin kimin sorumluluğunda olduğunu yazılı alın.
• Kişisel veri varsa veri işleme sözleşmesi yapın ve verinin hangi ülkede işlendiğini netleştirin.

Kaynaklar

• NIST SP 800-88 Rev. 2: Guidelines for Media Sanitization (Eylül 2025)
• NVIDIA Multi-Instance GPU (MIG) kullanıcı kılavuzu
• Uptime Institute: Tier Classification System
• ISO/IEC 27001:2022 Bilgi güvenliği yönetimi
• IAF MD 26:2023: ISO/IEC 27001:2022 geçiş kuralları
• Uptime Institute: Tier Certification (tasarım, inşa edilmiş tesis, işletme)
• NVIDIA MIG: Desteklenen GPU'lar
• NVIDIA RTX PRO 5000 Blackwell veri sayfası (PDF)
• Kişisel Verileri Koruma Kurulu: Kişisel veri ihlali bildirim usul ve esasları (24.01.2019, 2019/10)
• cryptsetup-luksErase(8) kılavuz sayfası
• Kişisel Verileri Koruma Kurumu: Kişisel Verilerin Yurt Dışına Aktarılması Rehberi