Yazılım Geliştirme, DevOps ve Güvenlik SOP El Kitabı

D-IT-10 | Yazılım Geliştirme, DevOps ve Güvenlik SOP El Kitabı

INOMATRIX / INTECH · BUILD · EKİM 2026 · v1.0

SOP yönetim kuralı

Bu el kitabı, dört kritik akışı örnek prosedür olarak açar. Her kurum kendi sistem ekranlarını, gerçek rol adlarını, süreleri ve yerel kontrol gereklerini ekler. SOP sürümü, eğitim tarihi ve yürürlük kararı olmadan değişiklik sahaya verilmez.

Çok kiracılı SaaS, API geçidi, veri/ajan platformu, ürün geliştirme, sürüm ve olay yönetimi; patent, telif ve veri hakkı ayrı hukuki incelemeye tabidir.

Öneri üreten ajan, prosedür sahibi veya nihai denetçi sayılmaz. Üretim ve yönetim sorumluluğu insan organlarında kalır.

Dört saha prosedürü

SOP-IT-01 · Ürün talebi

İş problemini ve müşteri kanıtını kaydet; risk ve veri sınıfını belirle; ürün sahibinin önceliğini al; kabul ölçütü ve durdurma koşulunu backlog'a ekle.

Tetik ve çıktı ayrı kaydedilir. Girdi kimliği, işi yapan rol, ikinci kontrol, istisna nedeni, zaman damgası ve sürüm tek olay zincirine bağlanır.

SOP-IT-02 · Kod ve sürüm

Değişikliği küçük PR'a ayır; test ve bağımlılık taramasını çalıştır; ikinci kişi incelemesi al; kademeli dağıt; hata bütçesi aşılırsa geri dön.

Tetik ve çıktı ayrı kaydedilir. Girdi kimliği, işi yapan rol, ikinci kontrol, istisna nedeni, zaman damgası ve sürüm tek olay zincirine bağlanır.

SOP-IT-03 · Ajan araç çağrısı

Tenant/rol/amaç ve politika sürümünü doğrula; izinli aracı çağır; yan etki öncesi insan kapısını uygula; giriş/çıkışı asgari veriyle izle.

Tetik ve çıktı ayrı kaydedilir. Girdi kimliği, işi yapan rol, ikinci kontrol, istisna nedeni, zaman damgası ve sürüm tek olay zincirine bağlanır.

SOP-IT-04 · Olay müdahalesi

Alarmı sınıflandır; etkilenen tenantları sınırla; delili koru; hizmeti güvenli moda al; kurtarma ve kök neden raporunu bağımsız kontrolle kapat.

Tetik ve çıktı ayrı kaydedilir. Girdi kimliği, işi yapan rol, ikinci kontrol, istisna nedeni, zaman damgası ve sürüm tek olay zincirine bağlanır.

Durdurma ve istisna yolu

Ajan üretim ortamına kendi kodunu kontrolsüz çıkarmaz, tenant sınırını aşmaz ve güvenlik bulgusunu kapatmaz. Yatırım/IPO hazırlığı teknik kanıt gerektirir; değerleme sonucu otomatik doğmaz.

İşlem devam edemiyorsa saha ekibi kullanıcıya/sorumluya neden ve sonraki adımı açıklar. Yazılı istisna yetkisi olmayan çalışan, işin devamı için kontrolü devre dışı bırakmaz.

Eğitim, gözlem ve sürüm

1. Süreç sahibi adımları gerçek iş yerinde uygulayıcıyla yürür ve anlaşılmayan ifadeyi düzeltir.
2. Yeni çalışan eğitiminde bir normal ve bir istisna işlemini gözetim altında tamamlar.
3. Kalite rolü rastgele örneklemde olay/log, fiziki kayıt ve çalışan anlatısını karşılaştırır.
4. Değişen yazılım ekranı, regülasyon veya malzeme SOP değişiklik talebini ve yeniden eğitim ihtiyacını tetikler.

İş başındaki uygulanabilirlik, SOP imzasından ayrı ölçülür. “Okudum” işareti yeterlilik kanıtı değildir.

Prosedür kartı ve kabul

Kabul: dört akış gerçek veya sentetik örnekle çalıştırılır, kritik istisna yolu gösterilir, süreç sahibi ile bağımsız kontrol imzalar. Bir iştirak ve tek düşük riskli iş akışında tenant izolasyonu, ajan araç yetkisi ve geri alma testlerini geç; hassas dikeylere bundan sonra aç.

Uygulama dosyası ve olumsuz test

Her SOP adımı için aktörün ne gördüğü, hangi kaydı oluşturduğu ve hata halinde kime başvuracağı açık olmalıdır. Bir prosedür yalnız metin kontrolünden geçti diye yayına alınmaz; yeni çalışanla gözetimli deneme, deneyimli çalışanla istisna denemesi yapılır.

Sürüm kaydında değişen adım, değişiklik nedeni, etkilenen sistem/rol, yeniden eğitim tarihi ve eski sürümün kaldırılma kanıtı tutulur. Geçici sözlü talimat yürürlükteki SOP’nin yerini almaz.

Doldurulabilir çalışma tablosu şu alanları taşır: sop_kodu, sürüm, tetik, ön_koşul, işlem_adımı, kontrol, istisna, kayıt, eğitim_onayı. Satırlar kurum içi erişim ve sürüm kurallarıyla saklanır; örnek satırlar gerçek müşteri kaydı değildir.

P.U.R. ve yeniden öğrenme kaydı

Planla: kaynak, karar ve yetki sınırını sabitle. Uygula: yalnız onaylı pilot ve SOP kapsamında işlem yap. Raporla: olumlu/olumsuz sonuç, istisna, kalan risk ve yeni Strategy sorusunu kaydet. Tamamlanmamış kanıt bir sonraki çevrime açık iş olarak devredilir.