INOMATRIX / CALIBRATION · DİKEY MASTER SERİ
Siber Güvenlik, Veri Sızıntısı ve ERM Matrisi
SaaS, platform ve kurumsal AI altyapısı için önleyici kontrol, tespit testi ve müdahale matrisi.
KONTROLLÜ METODOLOJİ BELGESİ
Belge künyesi
- Kaynak türü
- İnovapark metodoloji şablonu
- Yayın kapsamı
- Açık arşiv ve uyarlama ilkeleri ↗
- Belge kodu
- D-IT-13
- Program
- InTech · SaaS, platform ve kurumsal AI altyapısı
- Metodoloji aşaması
- 4 / 4 · Calibration
- Belge türü
- Risk ve kontrol matrisi
- Hesap veren örnek rol
- CTO/teknoloji ürün lideri
- Gözden geçiren
- Ürün, güvenlik, finans ve hukuk
- Bağımsız kontrol
- Bağımsız güvenlik ve kalite güvence
- Tarih / sürüm
- Ekim 2026 / v1.0
- Yayın ve dağıtım
- İnovapark Açık Arşiv · herkese açık
- Uygulama onayı
- Kuruma özgü uygulamada atanır
Önleyici ve tespit kontrollerinin bağımsız testi
Ajan üretim ortamına kendi kodunu kontrolsüz çıkarmaz, tenant sınırını aşmaz ve güvenlik bulgusunu kapatmaz. Yatırım/IPO hazırlığı teknik kanıt gerektirir; değerleme sonucu otomatik doğmaz.
TAM METİN / v1.0
Çalışma belgesi
D-IT-13 | Siber Güvenlik, Veri Sızıntısı ve ERM Matrisi
INOMATRIX / INTECH · CALIBRATION · EKİM 2026 · v1.0
Risk iştahı ve kayıt ilkesi
Risk skoru bir sıfat değildir; olay tanımı, olasılık/etki ölçeği, mevcut kontrol ve kalan risk ayrı satırda gösterilir. Sayısal skor ancak kurumun kendi olay verisi ve onaylı ölçeğiyle verilir. Kritik güvenlik, mevzuat veya mesleki yetki riski yüksek toplam puan beklenmeden eskale edilir.
Ajan üretim ortamına kendi kodunu kontrolsüz çıkarmaz, tenant sınırını aşmaz ve güvenlik bulgusunu kapatmaz. Yatırım/IPO hazırlığı teknik kanıt gerektirir; değerleme sonucu otomatik doğmaz.
Risk–kontrol matrisi
| Risk senaryosu | Önleyici kontrol | Tespit ve örneklem testi | İlk müdahale |
|---|---|---|---|
| Çapraz tenant veri sızıntısı | Satır/tenant politikası ve test | Canary sorgu ve erişim logu incelemesi | Erişimi kes; olay müdahalesi aç |
| Tedarik zinciri veya bağımlılık açığı | SBOM, pinleme ve tarama | Sürüm bazlı güvenlik taraması | Yayını durdur; düzelt ve yeniden test et |
| Ajanın yetki aşımı | Araç izin listesi ve insan onayı | Red-team senaryosu ve yetki reddi ölçümü | Ajanı kapat; anahtarları döndür |
| Yüksek erişilebilirlik iddiası | SLO, yedek ve geri alma planı | Sentetik izleme ve kurtarma tatbikatı | Kapasite/kesinti planını yeniden aç |
Her kontrol için kontrol sahibi, frekans, örneklem, kanıt deposu ve başarısızlık eşiği eklenir. Kontrol tasarımı ile işlemsel etkinlik ayrı test edilir; bir kere çalışan kontrol kalıcı uygunluk kanıtı değildir.
Görevler ayrılığı ve olay eskalasyonu
| Karar | A | R | Kontrol sınırı |
|---|---|---|---|
| Ürün önceliği | Ürün sahibi | Squad | İş değeri, güvenlik ve kapasite görüşü |
| Üretim sürümü | Yetkili release sahibi | Geliştirme/DevOps | Test, SAST/DAST, geri alma ve ikinci onay |
| Tenant verisi erişimi | Veri sahibi/uyum | Platform erişim ekibi | Amaç, süre, servis kimliği ve log |
| Kritik güvenlik bulgusu kapanışı | CISO veya devredilmiş merci | Düzeltici ekip | Bağımsız yeniden test; geliştiren tek başına kapatmaz |
- Olayı durdur veya güvenli duruma al; ilgili işlem/dosyayı koru.
- Hastaya, müşteriye, çalışanlara veya fonlara etkisini sınıflandır; bildirim yükümlülüğünü yetkili uzmanla değerlendir.
- İlk neden hipotezini kanıtla sınırla; kişi suçlaması yerine işlem ve kontrol açığını incele.
- CAPA sahibi, son tarih ve yeniden test örneklemi ata; bağımsız kişi kapanışı doğrulasın.
Kontrol testi formu
| Alan | Doldurma standardı |
|---|---|
| Risk ve kontrol kodu | Tek risk, tek kontrol ve ilgili SOP sürümü |
| Test popülasyonu | Tarih aralığı, toplam işlem ve seçim gerekçesi |
| Örnek ve sonuç | İşlem kimliği, beklenen/gerçek kontrol, sapma |
| Kalan risk | Etkilenen grup, telafi kontrolü, yetkili kabul |
| CAPA | Kök neden, sahibi, vade, yeniden test tarihi |
Örneklem boşsa kontrol “etkin” olarak işaretlenmez. Araç veya ajan logu tek başına fiziksel/işlemsel sonucun doğruluğunu kanıtlamaz.
Kabul kapısı ve uyum
İlk üç kritik senaryo normal ve olumsuz testten geçer; görevler ayrılığı çakışması kapatılır veya süreli telafi kontrolü onaylanır. Durdurma yetkisi, iletişim yolu ve kalan risk kabulü yazılıdır. IP zinciri, açık kaynak lisansları, veri işleme, uluslararası hizmet sözleşmeleri ve sermaye piyasası iddiaları ilgili uzman incelemesine tabidir.
Uygulama dosyası ve olumsuz test
İlk kontrol çalıştayında her risk için kaç işlemin inceleneceği ve hangi başarısızlığın anında durdurma gerektirdiği önceden yazılır. Kontrolün varlığı, çalışma etkinliği ve kalan risk üç ayrı sonuçtur. İç denetim kendi tasarladığı işlemi bağımsız kapanış diye onaylamaz.
| Kontrol senaryosu | Olumlu test | Olumsuz test |
|---|---|---|
| Çapraz tenant veri sızıntısı | Beklenen kontrol çalışır ve kaynak izi tutar | Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula |
| Tedarik zinciri veya bağımlılık açığı | Beklenen kontrol çalışır ve kaynak izi tutar | Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula |
| Ajanın yetki aşımı | Beklenen kontrol çalışır ve kaynak izi tutar | Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula |
| Yüksek erişilebilirlik iddiası | Beklenen kontrol çalışır ve kaynak izi tutar | Kontrolü tetikle; reddetme, alarm ve eskalasyonu doğrula |
Olay sonrasında ilk kayıt silinmez; düzeltme yeni bir sürüm/ters işlem olarak görünür. Tekrar eden bulgular risk iştahı ve SOP tasarımını yeniden açar.
Doldurulabilir çalışma tablosu şu alanları taşır: risk_id, senaryo, önleyici_kontrol, tespit_testi, popülasyon, örneklem, sonuç, CAPA_sahibi, yeniden_test. Satırlar kurum içi erişim ve sürüm kurallarıyla saklanır; örnek satırlar gerçek müşteri kaydı değildir.
P.U.R. ve yeniden öğrenme kaydı
Planla: kaynak, karar ve yetki sınırını sabitle. Uygula: yalnız onaylı pilot ve SOP kapsamında işlem yap. Raporla: olumlu/olumsuz sonuç, istisna, kalan risk ve yeni Strategy sorusunu kaydet. Tamamlanmamış kanıt bir sonraki çevrime açık iş olarak devredilir.
Uygulama şirketi: [ ] · İşlem/örneklem: [ ] · Kanıt bağlantısı: [ ] · Karar sahibi: [ ] · Bağımsız kontrol: [ ] · Karar/tarih: [ ] · Sonraki gözden geçirme: [ ]