| Aksiyon sınıfı | Varsayılan davranış | Gerekli güvenlik kapısı |
|---|---|---|
| Etiketleme, vaka açma | Önceden izinli otomasyon | Idempotency ve audit |
| İtibar sorgulama | Salt okunur otomasyon | Dışa hassas veri sızdırmayan query |
| Kural taslağı / sorgu önerisi | İnsan incelemesi | Dry-run + kaynak kanıtı |
| Kullanıcı oturumu iptali | Varsayılan onaylı | IAM owner + etki ve geri alma |
| Endpoint izolasyonu | Yüksek etkili, onaylı | SOC lead + sistem sahibi |
| Cloud IAM revoke / firewall block | Yüksek etkili, onaylı | Önceki durum, TTL, rollback ve dual authorization |
| OT PLC/HMI kontrol komutu | Varsayılan deny | Ayrı emniyet prosedürü; SOC kararından bağımsız |
| Veri silme, recovery overwrite | Varsayılan deny | Adli delil ve hukuk onayı, ayrı operatör |
Playbook güvenlik sözleşmesi
- Aksiyon talebi, oturum aktörü, tenant, varlık, gerekçe, policy_version ve approval_id içermelidir.
- Kritik aksiyonun imzası, kaynak connector tarafından doğrulanmalı; açık policy allow yoksa deny uygulanmalıdır.
- Onay belli süre için geçerli olmalı; hedef ve işlem farklılaşırsa yeniden onay istenmelidir.
- Timeout ve API kesintisinde aksiyon “başarılı” değil “unknown / needs reconciliation” durumuna geçmelidir.
- Eylem öncesi durum ile beklenen geri alma yöntemi kaydedilmeli; yüksek etkili otomasyon canary ile test edilmelidir.