KPI Kataloğu ve SLO Hedefleri — Trust Pro Cyber Defense

Aşağıdaki KPI adları hedef ürünün veri sözlüğünü oluşturur. Her KPI için kurum bazında metrik sahibi, formül, veri kaynağı, pencere ve istisna kuralı ayrı oluşturulmalıdır. Sayısal SLO değerleri ürün geliştirme ve pilotta test edilecek tasarım hedefleridir; fiilî üretim taahhüdü değildir.

KPI ailesi	Metrik	Yorumlama prensibi
SOC verimliliği	MTTA	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	MTTD	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	MTTI	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	MTTR	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	Mean case age	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	P95 case age	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	Backlog by severity	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	False positive rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	Escalation accuracy	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
SOC verimliliği	Tier-1 handling time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Log sources onboarded	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Source health score	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Ingestion lag p95	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Parser success rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Missing critical fields	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Clock skew	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Duplicate event rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	DLQ growth	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Coverage of crown-jewel assets	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Telemetry kalitesi	Retention conformance	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Validated ATT&CK coverage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Rule test pass rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Detection drift count	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Rule rollback time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Alarm volume per detector	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Suppression expiry adherence	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Detections without owner	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Replay false positive delta	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Canary rejection rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Detection engineering	Detection publish lead time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Actionable IOC ratio	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	IOC expiry compliance	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Feed freshness	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Intel-to-detection latency	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Source confidence coverage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Retro-hunt yield	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	Threat campaign linkage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	TLP policy violations	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	PIR fulfillment	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Threat intelligence	False IOC retire time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Evidence coverage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Citation completeness	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Hypothesis resolution rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Investigation re-open rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Timeline reconstruction latency	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Hash integrity validation	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Chain-of-custody gaps	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Cross-product correlation rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Case-note quality score	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Investigation & forensics	Legal hold compliance	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Approval latency	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Unauthorized action blocked	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Playbook automation success	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Rollback success rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Containment time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Recovery verification time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Critical incident SLA	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Response action error rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Circuit breaker triggers	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Incident response	Incident recurrence rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	MFA abuse detection coverage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	OAuth grant review time	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Service account risk backlog	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Identity session revoke lag	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Cloud risky IAM actions	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Cloud audit source health	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Kubernetes runtime detections	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Exposed storage remediation	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Critical cloud secrets exposure	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Identity / cloud	Cloud response approval adherence	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	NDR flow coverage	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	DNS investigation yield	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	Network segmentation drift	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	OT passive sensor uptime	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	Unauthorized OT command alerts	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	IT/OT bridge anomalies	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	Edge collector backlog	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	IoT firmware variance	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	PLC command auto-block violations	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Network / OT	C2 hypothesis precision	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	Grounded answer rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	Unsupported answer rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	Prompt injection success rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	AI triage precision	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	AI triage recall	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	AI calibration error	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	Agent action deny consistency	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	AI infer latency p95	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	AI inference cost per case	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
AI assurance	Eval regression pass rate	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Log cost per GB	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Cost per verified incident	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	SOC analyst utilization	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Backup restore verification	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	RPO adherence	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	RTO adherence	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Availability SLO	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Cross-tenant negative tests	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Audit evidence freshness	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.
Ekonomi & dayanıklılık	Training completion	Tanımlı event-time / case lifecycle verisiyle hesaplanır; owner ve denominator açık gösterilir.

İlk pilot için örnek SLO hedefleri

SLO	Başlangıç hedef hipotezi	Test / sınırlama
Ingestion availability	%99,9	Pilot en az 30 gün; collector kesintisi ve retry kanıtı
P95 event-to-search freshness	≤ 60 saniye	Kaynak SLA hariç tutulmadan uçtan uca ölçülür
High-severity alarm enrichment	≤ 120 saniye	3 entegrasyonun canlı olması ön koşul
Case creation idempotency	%100 mükerrer önleme	Aynı olay 100 kez replay
Cross-tenant access	0 doğrulanmış ihlal	API / RAG / export negatif test
Unauthorized critical response	0 gerçekleşen işlem	Politika ve onay baypas testleri
Evidence chain validation	%100 hash bütünlüğü	Alım, export, restore karşılaştırması
Triage model quality	Türe göre ayrı precision/recall hedefi	Üretim benzeri temsilî etiketli veriyle belirlenir
DR recovery objective	Müşteri anlaşmasına bağlı	Tam restore tatbikatıyla doğrulanır
OT safety action	0 izinsiz aktif kontrol	Pasif collector policy deny test