Yazılı yetkilendirme
Varlık, yöntem, zaman ve etki sınırı çalışma başlamadan önce tanımlanır.
Nasıl çalışır?
Teknik hareketten önce güvenlik sınırı.
OYI çalışma modeli; yetkilendirme, veri sınıfı, etki seviyesi, kanıt standardı ve insan kararını teknik testin ön koşulu olarak ele alır.
Bir testin teknik olarak mümkün olması, yetkili, gerekli veyateslimata hazır olduğu anlamına gelmez.
Dört temel ilke
Güvenlik testi için karar çerçevesi.
Bu ilkeler çalışma modelinin tasarım hedefidir. Her çalışmada uygulanma biçimi yazılı kapsam ve doğrulama kaydıyla ayrıca gösterilmelidir.
Kontrollü etki
Hipotezler yalnız izin verilen ve geri döndürülebilir yöntemlerle sınanır.
Kanıt ve karşı-test
Ham aday, yeniden üretilebilir kanıt ve alternatif açıklamalardan ayrı tutulur.
İnsan gözetimi
Kapsam, yüksek etkili karar, kanıt kabulü ve teslimat uzman kapısından geçer.
Uçtan uca akış
Her aşama bir karar ve kayıt üretir.
Adımlar her projede aynı yoğunlukta olmayabilir; ancak kapsam, kanıt ve insan kapısı atlanabilir ayrıntılar değildir.
- 01
Kapsam
Varlık, iş riski, izinli yöntem ve durma koşulları birlikte kayda alınır.
- 02
Güvenli keşif
Düşük etkili sinyallerden test edilebilir hipotezler oluşturulur.
- 03
Kontrollü doğrulama
Yalnız yetkilendirilmiş yöntemlerle yeniden üretilebilirlik aranır.
- 04
Kanıt kapısı
Karşı-test, iş etkisi ve bilinen sınırlar uzman tarafından değerlendirilir.
- 05
Giderim
Teknik kök neden ve uygulanabilir düzeltme yönü birlikte aktarılır.
- 06
Yeniden test
Kararlaştırılan kapsamda düzeltmenin etkisi sınanır ve kapanış kaydı oluşturulur.
Etki seviyeleri
Yöntem, sistemin kaldırabileceği etkiden türetilir.
Üretim, test veya laboratuvar ayrımı tek başına yeterli değildir. Veri türü, kritik işlem, geri dönüş ve gözlem kapasitesi birlikte değerlendirilir.
Belge ve kapsam
Varlık, mimari ve risk bağlamı; aktif sistem etkileşimi yok.
Düşük etkili gözlem
İzinli, sınırlı ve geri döndürülebilir görünürlük adımları.
Kontrollü doğrulama
Belirli hipotez için sınırlı test ve açık durma koşulu.
Yüksek etkili işlem
Ayrı etki kararı, geri dönüş planı ve güçlü yetki olmadan kapalıdır.
Kanıt standardı
Adaydan bulguya geçiş, bir kalite kapısıdır.
Ham araç çıktısı, tek durum kodu veya bağlamsız ekran görüntüsü tek başına kesin risk kabul edilmez.
01
Yeniden üretilebilirlik
Aynı koşulda gözlenebilen, girdi ve sınırları kaydedilmiş teknik sinyal.
Gerekli02
Karşı-test
Alternatif açıklamayı ve beklenen güvenli davranışı ayırt eden kontrol.
Gerekli03
İş etkisi
Teknik davranışın varlık, veri ve kritik iş akışıyla ilişkisi.
Uzman kararı04
Bilinen sınırlar
Doğrulanmayan, belirsiz veya kapsam dışında kalan noktaların açık kaydı.
Teslimatta görünürVeri sınıflandırma
Kanıt toplamak, her veriyi toplamak değildir.
Veri minimizasyonu; test girdisi, log, ekran görüntüsü, trace ve raporun ayrı yaşam döngülerine sahip olmasını gerektirir.
Varsayılan: Gerçek hedef ve müşteri verisi yerine sentetik veri; ham kanıt yerine gerekli en küçük, redakte edilmiş kayıt.
| Sınıf | Örnek | Davranış |
|---|---|---|
| D0 / Kamu | Resmî doküman, kamu standardı | Kaynakla kullanılabilir |
| D1 / İç bağlam | Sentetik mimari, anonim akış | İhtiyaç kadar |
| D2 / Kısıtlı | Kod, log, test hesabı | Erişim ve süre kaydı |
| D3 / Hassas | Secret, gerçek kişi verisi, oturum | Varsayılan kapalı |
İnsan karar noktaları
Gözetim, rapor sonundaki imza değildir.
İnsan sorumluluğu; çalışmanın başında, yüksek etkili her kararda ve müşteri teslimatında görünür olmalıdır.
Kapsam kabulü
Varlık, yöntem, süre, veri ve durma koşulları.
Etki kararı
Yüksek etkili adımın gerekli ve orantılı olup olmadığı.
Kanıt kabulü
Karşı-test, iş etkisi ve bilinen sınırların yeterliliği.
Teslimat ve kapanış
Giderim önceliği, yeniden test ve açık risk kararı.
Kamu referansları
Standartlardan yararlanır, onları onay rozeti yapmayız.
Versiyon ve kapsam bilgisi yayın öncesinde yeniden doğrulanır. Dış kaynaklar test kalitesi için ortak dil sunar.
OWASP Web Security Testing Guide
Web güvenlik test senaryoları ve ortak test dili
Metodoloji referansıdır; sertifika veya OYI kabiliyet kanıtı değildir.NIST SP 800-115Teknik testin planlanması, yürütülmesi ve bulgu analizi
2008 tarihli temel rehberdir; modern AI testi için tek başına yeterli değildir.OWASP Top 10 for Agentic Applications 2026Ajan, araç, bellek, kimlik ve amaç sınırları için risk taksonomisi
Test kapsamı için referanstır; uyum veya kapsama garantisi değildir.NIST AI 100-2 E2025Adversarial machine learning saldırı ve azaltım taksonomisi
Ortak dil sağlar; ticari hizmet doğrulaması yerine geçmez.MITRE ATLASAI sistemlerine yönelik adversarial taktik ve teknik bilgi tabanı
Tehdit modelleme referansıdır; resmî onay anlamına gelmez.Kapsam kaydını teknik testten önce tasarlayın.
İlk görüşmede varlık, amaç, veri ve etki sınırını birlikte netleştirebiliriz.