Faz 0 | Güvenlik keşfi (2–4 hafta)
AI varlıklarının sınıflandırılması, kritik iş akışlarının seçilmesi, risk kabul eşiği ve ölçüm sözleşmesinin hazırlanması.
Faz 1 | Gözlem modu (4–6 hafta)
LLM gateway ve MCP proxy yalnızca gözlemler; false-positive ve gecikme baseline ölçülür. Gizli veri minimizasyonu doğrulanır.
Faz 2 | Kontrollü enforcement (4–8 hafta)
Yüksek güvenli deterministik kurallar kademeli aktive edilir; riskli eylemlerde insan onayı ve rollback süreçleri çalıştırılır.
Faz 3 | Sürekli red team (sürekli)
Model/tool/prompt sürümünde otomatik regresyon; aylık tehdit tazeleme ve yılda en az bir müşteriye özgü kontrollü tabletop.
Faz 4 | Kurumsal yaygınlaştırma
Merkezi politika yönetişimi, tenant sınırları, SOC entegrasyonu, operasyonel SLO tamamlanır.
Pilot çıkış kapısı
| Kabul alanı | Ölçüt / teslim kanıtı |
|---|---|
| Envanter | Hedef kapsamda keşif doğruluğu ve sahiplik eşleşmesi raporu. |
| Runtime kontrol | Yetkisiz tool eylemleri için blokaj testleri ve yanlış pozitif incelemeleri. |
| Operasyon | On-call, alarm kuralı, runbook, rollback, olay kanıtı ve sorumluluk devri. |
| Performans | Policy karar gecikmesi, toplam inferans gecikmesine katkı ve hacim testi. |
| Gizlilik | PII işleme envanteri, veri saklama ve silme kanıtı. |
| Yönetim | Pilot sonrası ürün olgunluk etiketi, sonraki yol haritası ve sorumlu onayı. |