| Kaynak / çerçeve | İlgili ürün tasarımında kullanım | Önemli sınır |
|---|---|---|
| NIST CSF 2.0 | Govern/Identify/Protect/Detect/Respond/Recover fonksiyon haritası | Sertifika programı olarak sunulmaz. |
| NIST SP 800-61 Rev. 3 (2025) | Incident response olgunluğu, risk yönetimi ve recovery | Kurum prosedürünün yerini tek başına almaz. |
| MITRE ATT&CK v20 (Oct 2026) | Algılama/test kapsamı ve teknik eşleştirme | ATT&CK map gerçek detection kanıtı değildir. |
| NIST SP 800-82 Rev. 3 (2023) | OT emniyet, ağ segmentasyonu ve pasif gözlem | Rev. 4 ilk kamu taslağı ayrıca izlenmelidir. |
| ISO/IEC 27001:2022 | Bilgi güvenliği kontrol/kanıt eşleştirmesi | Yazılım kullanımından otomatik sertifika çıkmaz. |
| ISO/IEC 27035 serisi | Olay yönetimi yaşam döngüsü yaklaşımı | Sürüm/mevzuat uygulanabilirliği müşteri bazında teyit edilir. |
| IEC 62443 | OT zone/conduit ve endüstriyel güvenlik profilleri | Tesis ve kontrol sistemine özgü analiz gerekir. |
| KVKK ve ilgili ikincil düzenlemeler | PII minimizasyonu, amaç sınırlama, saklama ve erişim | Veri işleme sorumlulukları sözleşmeye göre değerlendirilir. |
| NIS2 / DORA (AB) | Sektör, ülke ve kuruluş bakımından uygunsa olay/kanıt desteği | AB kuralları bütün Türk şirketlerine otomatik uygulanmaz. |
| FIRST CVSS/EPSS, CISA KEV | Zafiyet ciddiyeti, istismar olasılığı ve bilinen istismar bağlamı | Bu sinyaller tek başına patch kararı vermez. |
Gizlilik politikası; log kaynağından model sağlayıcısına veri aktarımı, kanıt export, çalışan davranış verisinin kullanımı, rol bazlı gösterim ve legal hold süreçlerini kapsamalıdır. Hassas veri içeriğini üçüncü taraf LLM’e aktarırken veri sınıfı, barındırma bölgesi, alt işleyenler ve kurumsal sözleşme ayrı değerlendirilmelidir.