SaaS Service (Hizmet Olarak Yazılım) Nedir? İşletmeler İçin Çalışma Modeli, Avantajları ve Örnekleri

Özet: SaaS (Software as a Service, Hizmet Olarak Yazılım), yazılımın sağlayıcının altyapısında çalıştığı ve işletmelere internet üzerinden abonelikle sunulduğu bir bulut dağıtım modelidir. Sunucuları, güncellemeleri ve güvenlik yamalarını sağlayıcı yönetir. İşletme ise yalnızca uygulamayı kullanır, verilerini ve kullanıcı yetkilerini yönetir. Model düşük başlangıç maliyeti ve hızlı devreye alma sağlar. Buna karşılık vendor lock-in, internet bağımlılığı ve KVKK kapsamında veri konumu gibi riskleri de beraberinde getirir.

Ana noktalar:
- SaaS'ta yazılım kurulmaz. Uygulamaya tarayıcı, mobil uygulama ya da API üzerinden erişilir; ücret kullanıcı başına ya da kullanım hacmine göre abonelikle ödenir.
- SaaS, yazılım harcamalarını CAPEX (sermaye harcaması) kaleminden OPEX (işletme gideri) kalemine taşır.
- IaaS ve PaaS'tan farklı olarak SaaS'ta uygulama dahil tüm katmanları sağlayıcı yönetir. Veri ve erişim yetkilerinin sorumluluğu ise her modelde müşteride kalır.
- Yaygın SaaS örnekleri arasında Salesforce, Slack, Shopify ve Google Workspace; Türkiye'de ise Paraşüt, Logo, ikas, IdeaSoft ve Insider bulunur.
- KVKK'ya göre SaaS kullanan işletme veri sorumlusu olarak kalır. 1 Haziran 2024'ten bu yana yurt dışına veri aktarımı yeterlilik kararı, uygun güvenceler ya da sınırlı istisnalar dayanağıyla yapılabilir.
- Sağlayıcı seçerken SLA, şifreleme, veri konumu, yedekleme (RPO/RTO), ISO/IEC 27001 sertifikası ve veri iadesi şartları yazılı olarak alınmalıdır.

E-postanızı tarayıcıdan açıyor, müşteri kayıtlarınızı bir web panelinde tutuyor, faturalarınızı çevrim içi bir uygulamayla kesiyorsanız büyük olasılıkla her gün bir SaaS service kullanıyorsunuz. Yazılımı sunucuya kurmazsınız, lisans dosyasıyla da uğraşmazsınız. Yazılıma internet üzerinden erişir ve aylık ya da yıllık bir ücret ödersiniz.

Bu yazıda SaaS modelinin nasıl çalıştığını, işletmenize neler kazandırdığını ve hangi riskleri beraberinde getirdiğini ele alıyoruz. Ayrıca IaaS ve PaaS ile farklarını, KVKK açısından nelere dikkat etmeniz gerektiğini ve sağlayıcı seçerken kullanabileceğiniz bir kontrol listesini paylaşıyoruz.

SaaS Nedir ve Nasıl Çalışır?

SaaS (Software as a Service, Hizmet Olarak Yazılım), yazılımın sağlayıcının altyapısında çalıştığı ve kullanıcılara internet üzerinden sunulduğu bir dağıtım modelidir. Sunucuları, veritabanını, güvenlik yamalarını ve güncellemeleri sağlayıcı yönetir. Siz yalnızca uygulamayı kullanır, verilerinizi ve kullanıcı yetkilerinizi yönetirsiniz.

Erişim genellikle bir web tarayıcısı ya da mobil uygulama üzerinden olur. Birçok SaaS ürünü, diğer sistemlerle entegrasyon için bir API (Application Programming Interface, uygulama programlama arayüzü) de sunar.

Software as a Service modeli: lisans satın almak yerine abonelik

Geleneksel modelde yazılım lisansı bir kez satın alınır ve on-premise (şirket içi kurulum) olarak işletmenin kendi sunucularına kurulur. Donanım, kurulum, bakım ve sürüm yükseltme maliyetleri işletmeye aittir.

SaaS modelinde bu maliyetler aboneliğe dahildir. Genellikle kullanıcı başına ya da kullanım hacmine göre düzenli bir ücret ödersiniz. Böylece büyük bir başlangıç yatırımı yerine öngörülebilir bir işletme gideriyle çalışırsınız. Bu da yazılım harcamalarını CAPEX (Capital Expenditure, sermaye harcaması) kaleminden OPEX (Operational Expenditure, işletme gideri) kalemine taşır.

Multi-tenancy (çoklu kiracılık): tek altyapı, çok sayıda müşteri

SaaS ürünlerinin çoğu multi-tenant bir mimariyle çalışır: Tek bir uygulama örneği ve ortak bir altyapı, çok sayıda müşteriye (tenant, kiracı) aynı anda hizmet verir. Her müşterinin verisi mantıksal olarak diğerlerinden ayrılır.

Bu yaklaşım sağlayıcının maliyetlerini düşürür, güncellemeleri herkese aynı anda dağıtmasını kolaylaştırır. Karşılığında müşteriye özel derin özelleştirme imkânı sınırlı kalır. Daha sıkı izolasyon isteyen kurumlara bazı sağlayıcılar single-tenant (tek kiracılı) ya da ayrılmış ortam seçenekleri de sunar.

Kurumsal bir SaaS'ta neler aranmalı: SSO (tekli oturum açma), uptime (çalışma süresi) ve scalability (ölçeklenebilirlik)

Kurumsal kullanımda yalnızca işlev listesine bakmak yetmez. Şu üç başlığı mutlaka değerlendirin:

• SSO: Çalışanlarınız tek bir kurumsal kimlikle tüm uygulamalara girebilmeli. SAML (Security Assertion Markup Language, güvenlik onaylama işaretleme dili) ya da OIDC (OpenID Connect, kimlik doğrulama protokolü) desteği, kullanıcı yönetimini merkezileştirir ve işten ayrılan bir çalışanın erişimini tek noktadan kapatmanızı sağlar.
• Uptime: Sağlayıcının taahhüt ettiği çalışma süresi oranını ve bu taahhüt karşılanmazsa uygulanacak yaptırımları sözleşmede görün.
• Scalability: Kullanıcı sayınız ya da veri hacminiz arttığında performans düşmemeli, plan değişikliği hızlı yapılabilmeli.

Bunlara ek olarak MFA (Multi-Factor Authentication, çok faktörlü kimlik doğrulama), rol tabanlı yetkilendirme ve audit log (denetim kaydı) desteğini de kontrol edin.

SaaS'ın Avantajları ve Dezavantajları: İşletmeler Ne Kazanır, Neyi Göze Alır?

Daha düşük başlangıç maliyeti, her yerden erişim ve otomatik güncellemeler

SaaS modelinin işletmelere sağladığı başlıca avantajlar şunlardır:

• Düşük başlangıç maliyeti: Sunucu, lisans ve kurulum yatırımı gerekmez. İhtiyaç duyduğunuz kullanıcı sayısıyla başlarsınız.
• Hızlı devreye alma: Kurulum projeleri aylar sürebilirken bir SaaS uygulaması çoğu zaman aynı gün kullanıma açılır.
• Her yerden erişim: İnternet bağlantısı olan her cihazdan çalışabilirsiniz. Bu, uzaktan ve hibrit çalışan ekipler için büyük kolaylıktır.
• Otomatik güncellemeler: Güvenlik yamalarını ve yeni sürümleri sağlayıcı yükler. BT ekibiniz sürüm yükseltmeyle zaman kaybetmez.
• Esnek ölçekleme: Kullanıcı ekleyip çıkarabilir, planınızı işinizin büyüklüğüne göre ayarlayabilirsiniz.

Madalyonun öbür yüzü: vendor lock-in (tedarikçi bağımlılığı), internet bağımlılığı ve veri kontrolü

Her modelde olduğu gibi SaaS'ın da göze alınması gereken yanları vardır:

• Vendor lock-in: Verileriniz ve iş süreçleriniz bir sağlayıcının formatına göre şekillenir. Başka bir ürüne geçmek zaman alabilir ve maliyetli olabilir.
• İnternet bağımlılığı: Bağlantı kesildiğinde uygulamaya erişim de kesilir. Bazı ürünler sınırlı offline (çevrim dışı) çalışma sunsa da bu bir istisnadır.
• Veri kontrolü: Verileriniz sağlayıcının altyapısında durur. Hangi ülkede saklandığı, kimin erişebildiği ve nasıl yedeklendiği sözleşmeyle güvence altına alınmalıdır.
• Sınırlı özelleştirme: Multi-tenant mimaride sağlayıcının ürün yol haritasına uyum sağlamanız gerekir.
• Uzun vadeli maliyet: Abonelik ücretleri yıllar içinde birikir. Kullanıcı sayısı büyüdükçe toplam sahip olma maliyetini düzenli olarak yeniden hesaplayın.

SaaS şirketi ile geleneksel yazılım şirketi arasındaki fark nedir?

Geleneksel yazılım şirketi geliri büyük ölçüde lisans satışından ve bakım sözleşmelerinden elde eder. Ürün bir kez satılır, müşteri kurulumu ve işletimi üstlenir.

Bir SaaS şirketi ise yazılımı hem geliştirir hem de işletir. Geliri tekrarlayan aboneliklerden gelir. Bu nedenle müşteri bağlılığı, churn (müşteri kaybı oranı) ve sürekli ürün geliştirme bu şirketler için kritik metriklerdir. Altyapı, güvenlik ve erişilebilirlik sorumluluğu da büyük ölçüde SaaS şirketinin üzerindedir.

En Yaygın SaaS Türleri ve Popüler Örnekler

İş süreçlerinin çekirdeği: CRM, ERP ve HR yazılımları

İşletmelerin en sık kullandığı SaaS kategorileri şunlardır:

• CRM (Customer Relationship Management, müşteri ilişkileri yönetimi): Satış hattını, müşteri iletişimini ve teklif süreçlerini tek yerde toplar.
• ERP (Enterprise Resource Planning, kurumsal kaynak planlaması): Finans, stok, satın alma ve üretim gibi süreçleri entegre eder.
• HR (Human Resources, insan kaynakları) yazılımları: Bordro, izin, performans ve işe alım süreçlerini yönetir.

Bunlara ek olarak e-posta ve iş birliği araçları, muhasebe ve e-fatura uygulamaları, e-ticaret platformları ve pazarlama otomasyonu da yaygın SaaS kategorileri arasındadır.

Global örnekler: Salesforce, Slack, Shopify ve Google Workspace

• Salesforce: SaaS tabanlı CRM pazarının öncülerinden biridir. Satış, müşteri hizmetleri ve pazarlama modülleri sunar.
• Slack: Ekip içi mesajlaşma ve iş birliği platformudur. Kanallar ve entegrasyonlar üzerinden çalışır. Salesforce bünyesindedir.
• Shopify: İşletmelerin kendi online mağazalarını kurmasını sağlayan e-ticaret platformudur.
• Google Workspace: Gmail, Drive, Docs ve Meet gibi ofis ve iletişim araçlarını tek abonelikte toplar.

Bu ürünlerin ortak özelliği şudur: Kurulum gerektirmezler, tarayıcıdan çalışırlar ve kullanıcı başına abonelikle fiyatlandırılırlar.

Türkiye pazarından SaaS örnekleri: Paraşüt, Logo ve diğerleri

Türkiye'de de güçlü bir SaaS ekosistemi var:

• Paraşüt: KOBİ'lere yönelik çevrim içi ön muhasebe, e-fatura ve e-arşiv uygulamasıdır. 2021'den bu yana Logo Yazılım bünyesindedir.
• Logo: Uzun yıllar boyunca on-premise ERP çözümleriyle tanınan Logo Yazılım, ürün ailesinin bulut tabanlı sürümlerini de sunar.
• ikas ve IdeaSoft: İşletmelerin online mağaza açmasını sağlayan e-ticaret platformlarıdır.
• Insider: Türkiye'de kurulan, global ölçekte hizmet veren bir pazarlama ve müşteri deneyimi platformudur.

Yerli sağlayıcılar e-fatura, e-defter ve yerel mevzuat gibi Türkiye'ye özgü gereksinimlere genellikle daha hızlı uyum sağlar.

IaaS, PaaS ve SaaS Arasındaki Farklar

ABD Ulusal Standartlar ve Teknoloji Enstitüsü NIST'in SP 800-145 yayınında yer alan bulut bilişim tanımına göre bulut hizmetleri üç temel modelde sunulur:

• IaaS (Infrastructure as a Service, Hizmet Olarak Altyapı): Sanal sunucu, depolama ve ağ kaynaklarını kiralarsınız. İşletim sistemi ve üzerindeki her şey sizin sorumluluğunuzdadır.
• PaaS (Platform as a Service, Hizmet Olarak Platform): Sağlayıcı işletim sistemini ve runtime (çalışma ortamı) katmanını yönetir. Siz yalnızca uygulama kodunuza ve verinize odaklanırsınız.
• SaaS: Uygulamanın kendisi hazır gelir. Siz yalnızca kullanırsınız.

Kim neyi yönetir? Sorumluluk paylaşımı karşılaştırma tablosu

Dikkat edin: Hangi modeli seçerseniz seçin, verilerinizin ve kullanıcı erişimlerinizin sorumluluğu sizde kalır. Bu yaklaşım, sektörde shared responsibility model (paylaşılan sorumluluk modeli) olarak bilinir ve bulut güvenliğinde de facto standart hâline gelmiştir.

Hangi model hangi iş senaryosuna uygun?

• SaaS'ı seçin, eğer standart bir iş sürecini (e-posta, CRM, muhasebe) hızlıca devreye almak istiyorsanız ve özel geliştirme ihtiyacınız yoksa.
• PaaS'ı seçin, eğer kendi uygulamanızı geliştiriyorsanız ama sunucu ve işletim sistemi yönetimiyle uğraşmak istemiyorsanız.
• IaaS'ı seçin, eğer altyapı üzerinde tam kontrol istiyorsanız; örneğin mevcut uygulamalarınızı buluta taşıyorsanız ya da kendi SaaS ürününüzü işletiyorsanız.

Pratikte işletmelerin çoğu bu modelleri bir arada kullanır: Ofis araçları için SaaS, kendi ürünleri için IaaS ya da PaaS.

SaaS ve KVKK: Verileriniz Nerede Saklanıyor?

Bir SaaS service kullandığınızda kişisel verilerin işlenmesinden veri sorumlusu olarak siz sorumlu olmaya devam edersiniz. Sağlayıcı ise çoğu durumda veri işleyen konumundadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu ilişkinin sözleşmeyle düzenlenmesini ve gerekli teknik ve idari tedbirlerin alınmasını şart koşar.

Data residency (veri yerelleştirme) ve yurt dışına veri aktarımı

Data residency, verilerinizin fiziksel olarak hangi ülkede saklandığını ifade eder. Global SaaS sağlayıcılarının çoğu verileri Türkiye dışındaki veri merkezlerinde tutar. Bu da KVKK kapsamında yurt dışına veri aktarımı anlamına gelir.

KVKK'nın 9. maddesi, 7499 sayılı Kanun ile değiştirilmiş ve yeni düzenleme 1 Haziran 2024'te yürürlüğe girmiştir. Buna göre yurt dışına aktarım şu dayanaklardan biriyle yapılabilir:

• Aktarımın yapılacağı ülke hakkında verilmiş bir yeterlilik kararı,
• Standart sözleşme, bağlayıcı şirket kuralları gibi uygun güvenceler,
• Kanunda sayılan sınırlı istisnai durumlar.

Standart sözleşme kullanıyorsanız, sözleşmeyi imzalandıktan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirmeniz gerekir. Kurulun onayladığı güncel standart sözleşme metinleri ve bildirim usulü Kişisel Verileri Koruma Kurumu'nun resmî sitesinde yayımlanmaktadır. Verilerin Türkiye'de saklanması bu yükümlülükleri sadeleştirir. Bu nedenle sağlayıcıya veri merkezlerinin konumunu mutlaka sorun.

SaaS sağlayıcısı seçerken kontrol listesi: SLA (hizmet seviyesi anlaşması), encryption (şifreleme) ve sözleşme şartları

Sözleşme imzalamadan önce şu soruların yanıtlarını yazılı olarak alın:

1. SLA: Taahhüt edilen uptime oranı nedir? Destek talepleri hangi sürede yanıtlanır? Taahhüt ihlalinde hangi tazminat uygulanır?
2. Encryption: Veriler at rest (depolamada) ve in transit (aktarım sırasında) şifreleniyor mu? Şifreleme anahtarlarını kim yönetiyor?
3. Veri konumu: Veriler hangi ülkede, hangi veri merkezinde saklanıyor? Alt işleyenler kimler?
4. Backup (yedekleme): Yedekler ne sıklıkla alınıyor ve ne kadar süre saklanıyor? RPO (Recovery Point Objective, kabul edilebilir veri kaybı süresi) ve RTO (Recovery Time Objective, hizmetin yeniden ayağa kalkma süresi) değerleri nedir?
5. Sertifikalar: Uluslararası Standardizasyon Örgütü ISO'nun bilgi güvenliği yönetim sistemi standardı ISO/IEC 27001 gibi bağımsız denetim belgeleri var mı?
6. Veri iadesi ve silme: Sözleşme sona erdiğinde verilerinizi hangi formatta alabilirsiniz? Sağlayıcı verileri ne zaman ve nasıl siler?
7. KVKK uyumu: Veri işleme sözleşmesi ve yurt dışı aktarım için gerekli belgeler hazır mı?

Sıkça sorulan sorular (SSS)

SaaS ile bulut bilişim aynı şey mi?

Hayır, SaaS bulut bilişimin kendisi değil, bulut bilişimin üç temel hizmet modelinden biridir. Bulut bilişim, bilgi işlem kaynaklarının internet üzerinden hizmet olarak sunulmasının genel adıdır. SaaS, IaaS ve PaaS ile birlikte bu modellerden birini oluşturur. Her SaaS ürünü bulutta çalışır, ama her bulut hizmeti SaaS değildir.

SaaS uygulamaları kurumsal veriler için güvenli mi?

Evet, köklü bir sağlayıcı seçildiğinde ve erişim politikaları doğru yapılandırıldığında SaaS uygulamaları kurumsal veriler için güvenlidir. Köklü sağlayıcılar genellikle tek bir işletmenin kendi başına kuracağından daha kapsamlı güvenlik önlemleri uygular. Ancak zayıf parolalar, MFA'nın kapalı olması ya da gereğinden geniş yetkiler gibi kullanıcı tarafındaki hatalar en güvenli altyapıyı bile riske atar. Bu nedenle sağlayıcının sertifikalarını kontrol edin ve kendi erişim politikalarınızı sıkılaştırın.

SaaS fiyatlandırması nasıl belirlenir?

SaaS fiyatlandırması genellikle kullanıcı sayısına, seçilen paketin özelliklerine ya da kullanım hacmine göre belirlenir. En yaygın modeller şunlardır:

• Per-user (kullanıcı başına) fiyatlandırma: Her aktif kullanıcı için aylık ya da yıllık ücret.
• Tiered (kademeli) planlar: Özellik ve limitlere göre ayrılmış paketler.
• Usage-based (kullanıma dayalı) fiyatlandırma: İşlem sayısı, depolama ya da API çağrısı gibi tüketime göre ücret.
• Freemium (temel sürümü ücretsiz) model: Temel özellikler ücretsiz, gelişmiş özellikler ücretli.

Yıllık ödemelerde çoğu sağlayıcı aylık plana göre indirim uygular.

Verilerimi başka bir SaaS sağlayıcısına taşıyabilir miyim?

Evet, verilerinizi başka bir SaaS sağlayıcısına taşıyabilirsiniz; ancak geçişin kolaylığı mevcut sağlayıcının dışa aktarma imkânlarına bağlıdır. Verilerinizi CSV gibi standart formatlarda ya da API üzerinden dışa aktarabiliyorsanız geçiş daha kolay olur. Vendor lock-in riskini azaltmak için veri dışa aktarma koşullarını sözleşme aşamasında netleştirin ve düzenli olarak kendi yedeğinizi alın.

Kendi SaaS ürünümü çalıştırmak için nasıl bir altyapıya ihtiyacım var?

Kendi SaaS ürününüz için ölçeklenebilir işlem gücü, güvenli depolama, düzenli yedekleme ve yüksek erişilebilirlik sunan bir altyapı kurmanız gerekir, çünkü müşterileriniz hizmetin kesintisiz ve güvenli çalışmasını bekler. Çoğu SaaS girişimi bu temeli IaaS ya da PaaS üzerine kurar. Böylece donanıma yatırım yapmadan müşteri sayısı arttıkça kaynaklarını büyütebilir.

İşletmeler için Bulut Hizmetleri (SaaS) ile çözüm

Kendi SaaS ürününüzün temeli: IaaS üzerinde ölçeklenebilir altyapı

İster hazır bir SaaS service kullanın ister kendi ürününüzü geliştirin, işin temelinde güvenilir bir altyapı yatar. Kendi SaaS ürününüzü işletiyorsanız IaaS size esnek bir zemin sağlar. Sanal sunucuları ihtiyaca göre büyütür, yeni müşteriler için kaynakları dakikalar içinde devreye alırsınız. Uygulama mimarisi, güvenlik politikaları ve veri yerleşimi üzerindeki kontrol ise sizde kalır.

Backup (yedekleme), high availability (yüksek erişilebilirlik) ve «Kullandığınız kadar öde» modeli

Kesintisiz bir SaaS deneyimi üç temel yapı taşına dayanır:

• Backup: Veri kaybına karşı düzenli ve test edilmiş yedekler.
• High availability: Tek bir bileşenin arızasında hizmetin çalışmaya devam etmesini sağlayan yedekli mimari.
• «Kullandığınız kadar öde» modeli: Kaynaklara yalnızca kullandığınız ölçüde ödeme yapmanızı sağlar. Talep arttığında büyür, azaldığında küçülürsünüz.

Bu üçlü, hem SaaS sağlayıcıları hem de SaaS kullanan işletmeler için maliyet ve süreklilik dengesini kurmanın en sağlıklı yoludur.

Cloud4U ile başlamak: ihtiyaç analizi ve geçiş planı

Cloud4U, işletmelerin günlük operasyonlarını buluta taşıması için hazır hizmetler sunar: sanal masaüstleri, kurumsal Exchange postası, Microsoft lisansları, yedeklemeler ve diğer iş bulut hizmetleri. Böylece altyapı yönetimini devredebilir, ekibinizi asıl işinize odaklayabilirsiniz.

Süreç ihtiyaç analiziyle başlar. Mevcut sistemlerinizi, kullanıcı sayınızı ve veri gereksinimlerinizi birlikte değerlendirir, ardından adım adım bir geçiş planı oluştururuz. Size uygun çözümü belirlemek için Cloud4U işletmeler için bulut hizmetleri sayfasını inceleyin ve ekibimizle iletişime geçin.

İlgili içerikler

• Bulut Bilişim Rehberi
• IaaS Nedir?
• Bulut Sağlayıcı Seçerken Nelere Dikkat Etmeli?