D-IT-13 | Siber Güvenlik, Veri Sızıntısı ve ERM Matrisi
INOMATRIX / InTech · EKİM 2026 · v1.0
Herkese açık metodoloji şablonu; kuruma özgü onay veya gerçekleşmiş sonuç değildir.

RISK IŞTAHI VE KAYIT ILKESI
Risk skoru bir sıfat değildir; olay tanımı, olasılık/etki ölçeği, mevcut kontrol ve kalan risk ayrı satırda gösterilir. Sayısal skor ancak kurumun kendi olay verisi ve onaylı ölçeğiyle verilir. Kritik güvenlik, mevzuat veya mesleki yetki riski yüksek toplam puan beklenmeden eskale edilir. Ajan üretim ortamına kendi kodunu kontrolsüz çıkarmaz, tenant sınırını aşmaz ve güvenlik bulgusunu kapatmaz. Yatırım/IPO hazırlığı teknik kanıt gerektirir; değerleme sonucu otomatik doğmaz.

RISK–KONTROL MATRISI
Risk senaryosu Önleyici kontrol Tespit ve örneklem testi İlk müdahale Çapraz tenant veri sızıntısı Satır/tenant politikası ve test Canary sorgu ve erişim logu incelemesi Erişimi kes; olay müdahalesi aç Tedarik zinciri veya bağımlılık açığı SBOM, pinleme ve tarama Sürüm bazlı güvenlik taraması Yayını durdur; düzelt ve yeniden test et Ajanın yetki aşımı Araç izin listesi ve insan onayı Red-team senaryosu ve yetki reddi ölçümü Ajanı kapat; anahtarları döndür Yüksek erişilebilirlik iddiası SLO, yedek ve geri alma planı Sentetik izleme ve kurtarma tatbikatı Kapasite/kesinti planını yeniden aç Her kontrol için kontrol sahibi, frekans, örneklem, kanıt deposu ve başarısızlık eşiği eklenir. Kontrol tasarımı ile işlemsel etkinlik ayrı test edilir; bir kere çalışan kontrol kalıcı uygunluk kanıtı değildir.

GÖREVLER AYRILIĞI VE OLAY ESKALASYONU
Karar A R Kontrol sınırı Ürün önceliği Ürün sahibi Squad İş değeri, güvenlik ve kapasite görüşü Üretim sürümü Yetkili release sahibi Geliştirme/DevOps Test, SAST/DAST, geri alma ve ikinci onay Tenant verisi erişimi Veri sahibi/uyum Platform erişim ekibi Amaç, süre, servis kimliği ve log Kritik güvenlik bulgusu kapanışı CISO veya devredilmiş merci Düzeltici ekip Bağımsız yeniden test; geliştiren tek başına kapatmaz Olayı durdur veya güvenli duruma al; ilgili işlem/dosyayı koru. Hastaya, müşteriye, çalışanlara veya fonlara etkisini sınıflandır; bildirim yükümlülüğünü yetkili uzmanla değerlendir. İlk neden hipotezini kanıtla sınırla; kişi suçlaması yerine işlem ve kontrol açığını incele. CAPA sahibi, son tarih ve yeniden test örneklemi ata; bağımsız kişi kapanışı doğrulasın.

KONTROL TESTI FORMU
Alan Doldurma standardı Risk ve kontrol kodu Tek risk, tek kontrol ve ilgili SOP sürümü Test popülasyonu Tarih aralığı, toplam işlem ve seçim gerekçesi Örnek ve sonuç İşlem kimliği, beklenen/gerçek kontrol, sapma Kalan risk Etkilenen grup, telafi kontrolü, yetkili kabul CAPA Kök neden, sahibi, vade, yeniden test tarihi Örneklem boşsa kontrol “etkin” olarak işaretlenmez. Araç veya ajan logu tek başına fiziksel/işlemsel sonucun doğruluğunu kanıtlamaz.

KABUL KAPISI VE UYUM
İlk üç kritik senaryo normal ve olumsuz testten geçer; görevler ayrılığı çakışması kapatılır veya süreli telafi kontrolü onaylanır. Durdurma yetkisi, iletişim yolu ve kalan risk kabulü yazılıdır. IP zinciri, açık kaynak lisansları, veri işleme, uluslararası hizmet sözleşmeleri ve sermaye piyasası iddiaları ilgili uzman incelemesine tabidir.

UYGULAMA DOSYASI VE OLUMSUZ TEST
İlk kontrol çalıştayında her risk için kaç işlemin inceleneceği ve hangi başarısızlığın anında durdurma gerektirdiği önceden yazılır. Kontrolün varlığı, çalışma etkinliği ve kalan risk üç ayrı sonuçtur. İç denetim kendi tasarladığı işlemi bağımsız kapanış diye onaylamaz. Kontrol senaryosu Olumlu test Olumsuz test Çapraz tenant veri sızıntısı Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Tedarik zinciri veya bağımlılık açığı Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Ajanın yetki aşımı Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Yüksek erişilebilirlik iddiası Beklenen kontrol çalışır ve kaynak izi tutar Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula Olay sonrasında ilk kayıt silinmez; düzeltme yeni bir sürüm/ters işlem olarak görünür. Tekrar eden bulgular risk iştahı ve SOP tasarımını yeniden açar. Doldurulabilir çalışma tablosu şu alanları taşır: risk_id, senaryo, önleyici_kontrol, tespit_testi, popülasyon, örneklem, sonuç, CAPA_sahibi, yeniden_test. Satırlar kurum içi erişim ve sürüm kurallarıyla saklanır; örnek satırlar gerçek müşteri kaydı değildir.

KABUL KAPISI
Önleyici ve tespit kontrollerinin bağımsız testi
Kurum uygulama kaydı: şirket [ ] · kanıt [ ] · karar sahibi [ ] · bağımsız kontrol [ ] · tarih [ ]