Varlık görünürlüğü
| KPI / Metrik | Tanım veya formül |
|---|
| Cloud asset coverage | Envanterde görülen / hedeflenen hesap-kaynak |
| Owner completeness | Sahipli kaynak / toplam kaynak |
| Scan freshness | İzinli sürede taranan / hedef varlık |
| Shadow API count | Sahipsiz doğrulanmış API adedi |
| Runtime agent health | Aktif/sağlıklı sensör oranı |
| Connector availability | Başarılı bağlantı / planlı bağlantı |
| Unscanned resource ratio | Kapsam dışı / keşfedilen kaynak |
| Graph linkage | Repo-workload-app bağı kurulmuş servis oranı |
CSPM ve cloud posture
| KPI / Metrik | Tanım veya formül |
|---|
| Critical misconfig density | Kritik yanlış config / bin kaynak |
| Drift recurrence | Aynı baseline ihlalinin tekrarı |
| CSPM fix verification | Retest ile kapanan / kapatılan bulgu |
| Exception expiry | Süresi dolmuş aktif muafiyet sayısı |
| Internet exposure | Dışa açık kritik servis sayısı |
| Policy enforcement coverage | Enforce edilen / hedef policy |
| Public sensitive storage | Doğrulanmış hassas public depo sayısı |
| Landing zone conformity | Standarda uygun yeni cloud hesap oranı |
IAM ve veri
| KPI / Metrik | Tanım veya formül |
|---|
| Excess privilege | Kullanılmayan yüksek risk izin sayısı |
| Long-lived credentials | Politika eşiğini aşan key/token oranı |
| Cross-account risk paths | Kritik güven geçiş yolu sayısı |
| Machine identity owner | Sahipli NHI / toplam NHI |
| Sensitive data exposure | Açık hassas veri kaynağı sayısı |
| KMS policy exceptions | Onaylı/onaysız KMS istisnaları |
| Rotation success | Sağlık kontrolüyle biten rotasyon oranı |
| PII redaction failure | Testte maskelenmeyen PII örneği oranı |
Secure SDLC
| KPI / Metrik | Tanım veya formül |
|---|
| SAST true positive | Teyitli / incelenen SAST bulguları |
| SAST coverage | Hedef repo / taranan repo |
| DAST coverage | Hedef önemli akış / test edilen akış |
| Security gate pass | Politikadan geçen / değerlendirilmiş release |
| Median fix lead time | Doğrulanan bulgu→fix deployment ortancası |
| Repeat vulnerabilities | Aynı sınıf tekrar bulgu sayısı |
| Secrets leaked | Doğrulanmış secret sızıntı olayı |
| Threat model currency | Güncel tehdit modeli olan kritik uygulama oranı |
Supply chain
| KPI / Metrik | Tanım veya formül |
|---|
| SBOM completeness | İmzalı build ile eşleşen SBOM oranı |
| Attestation coverage | Provenance bulunan release oranı |
| Signed artifact deployment | Doğrulanmış imzalı deploy oranı |
| Critical deployed CVEs | Çalışan prod imajındaki kritik CVE |
| SCA reachability | Etkili olduğuna dair kanıtlı CVE oranı |
| Unsupported dependencies | Destek sonu runtime/paket sayısı |
| Build runner isolation | Güvenli runner politikası oranı |
| Artifact mismatch | Build/registry/deploy digest uyumsuzluğu |
API ve WAAP
| KPI / Metrik | Tanım veya formül |
|---|
| API inventory completeness | Discovery/spec ile uyuşan endpoint oranı |
| BOLA regression pass | Yetki testinde geçen negatif senaryo |
| Schema drift | Spec ile canlı endpoint uyumsuzluğu |
| WAF false positive | Meşru trafik yanlış blok oranı |
| Bot challenge precision | Doğru işaretlenen otomatik oturum oranı |
| API abuse case volume | Doğrulanmış abuse vakası |
| Deprecated API exposure | EOL ama açık endpoint sayısı |
| p95 WAAP overhead | Koruma ek gecikme p95 |
Runtime ve response
| KPI / Metrik | Tanım veya formül |
|---|
| Runtime detections confirmed | Onaylanmış olay / alarm |
| MTTD cloud | Başlangıç→tespit medyan süre |
| MTTR cloud | Tespit→iyileşme medyan süre |
| Isolation rollback success | İzolasyon geri alma başarı oranı |
| Evidence chain completeness | Tam hash/zaman/erişim delili oranı |
| Telemetry lag p95 | Olay→platform ingest p95 |
| Auto response review | Onayla gerçekleşen kritik aksiyon oranı |
| Incident reopen rate | Yanlış kapanıp açılan olay oranı |
Giderim ve risk
| KPI / Metrik | Tanım veya formül |
|---|
| Critical exposure backlog | Kritik açık maruziyet sayısı |
| Fix SLA compliance | SLA süresinde teyitli kapanan oran |
| Retest success | İlk doğrulamada geçen düzeltme oranı |
| Attack path reduction | Kapanan yüksek risk path / açık path |
| Risk accepted expiry | Gecikmiş risk kabul kararları |
| Owner assignment latency | Bulgu→sahip atama medyan süre |
| Change failure rate | Güvenlik düzeltmesi sonrası servis hata oranı |
| Remediation ROI proxy | Risk azalımı / mühendis saat |
| KPI / Metrik | Tanım veya formül |
|---|
| Tenant isolation test pass | Tenant negatif test başarı oranı |
| AI evidence citation rate | Kanıtlı yanıt / cevaplanan güvenlik sorusu |
| AI action approval | Onaysız kritik write girişimi sayısı |
| Policy decision p95 | Karar motoru yanıt gecikmesi |
| Query authorization failures | Yetki dışı sorguların engellenme oranı |
| Platform uptime | Çalışır süre / toplam hedef süre |
| AI answer factuality | Analistçe doğrulanmış yanıt oranı |
| Cost per protected asset | Dönem platform maliyeti / korunan aktif varlık |
SLO önerileri ve sınırları
Hizmet seviyesi hedefleri müşteri koşullarına göre PoC sırasında belirlenmelidir. Örnek ölçüm boyutları: API availability, event ingest p95/p99, policy decision p95, collector lag, data freshness, yüksek hacimde queue drain süresi, AI yanıt gecikmesi, maliyet ve kontrollü geri alma süresi. Kaynak bazlı telemetri yokluğu ayrıca kapsama yansıtılmalıdır.
