Modül kabul testleri 01–16
| KOD | MODÜL | DENETLENEBİLİR KABUL ÖLÇÜTÜ |
|---|---|---|
| ID-01 | Birleşik Kimlik Envanteri & Identity Graph | Aynı e-posta iki kişide tekrar kullanıldığında eski yetkiler yeni kişiye taşınmaz. |
| ID-02 | Kurumsal Kimlik Kaynak Sistemi & Authority Model | HR kaydı toplu yanlış silindiğinde kritik hesaplar anında silinmez, karantina politikası uygulanır. |
| ID-03 | Hak, Yetki & Entitlement Kataloğu | Rol kaldırılınca doğrudan değil grup üzerinden verilmiş aynı izin de hesaba katılır. |
| ID-04 | Uygulama & SaaS Erişim Keşfi | SaaS erişimi kesildiğinde connector veri gecikmesi risk azalması gibi sunulmaz. |
| ID-05 | Hizmet Kritiklik & Kimlik Bağımlılığı Grafı | Kimlik sağlayıcı erişilemezken onaylı kriz hesapları offline plana göre çalışır. |
| ID-06 | Joiner–Mover–Leaver Orkestrasyonu | Ayrılan kullanıcının aktif refresh token ve VPN oturumları iptal edilmeden süreç tamam sayılmaz. |
| ID-07 | Access Request & Approval Workflows | Talep kapatıldığında gerçek hedef sistemde yetkinin verildiği ve sonra geri alındığı doğrulanır. |
| ID-08 | Access Certification & Recertification | Reddedilmiş bir admin entitlement tekrar oluşursa otomatik inceleme açılır. |
| ID-09 | Role Engineering, RBAC & SoD | Finans ödemesi hazırlama ve onaylama yetkileri aynı hesapta birleşince işlem bloklanır. |
| ID-10 | Provisioning & Reconciliation Hub | Connector kesintisinde “provisioned” yerine “pending verification” durumu gösterilir. |
| ID-11 | SSO Federation & Identity Broker | Yanlış audience ile üretilmiş token hedef uygulamada kabul edilmez. |
| ID-12 | FIDO2/WebAuthn Passkey & Passwordless | Sahte origin üzerinden alınan authentication response güvenilir oturum açmaz. |
| ID-13 | Adaptive MFA & Conditional Access | Şüpheli cihazdan kritik işlem isteği ek doğrulama tamamlanmadan yürütülmez. |
| ID-14 | Authentication Assurance & Recovery | Yeni cihaz eklendiği gün şüpheli yüksek tutarlı işlem ek kontrol olmadan geçmez. |
| ID-15 | Kimlik ve Oturum Deneyimi & Accessibility | Ekran okuyucu kullanan kişi phishing-resistant giriş akışını tamamlayabilir. |
| ID-16 | Privileged Access Management (PAM) | Onaysız privileged shell komutu izole çalışma ortamında engellenir ve audit oluşur. |
Modül kabul testleri 17–32
| KOD | MODÜL | DENETLENEBİLİR KABUL ÖLÇÜTÜ |
|---|---|---|
| ID-17 | Just-in-Time / Just-Enough Administration | Süre dolduktan sonra önceden alınmış token aynı admin işlemini tekrarlayamaz. |
| ID-18 | Zero Trust Policy Decision & Enforcement | Yetkisi iptal edilen kullanıcı cached allow üzerinden hassas kaynağa erişemez. |
| ID-19 | Session Security & Continuous Access Evaluation | Refresh token tekrar kullanımı yeni oturumda revoke ve olay üretir. |
| ID-20 | Remote Access & Privileged Vendor Access | Bakım penceresi bitince vendor remote session bağlantısı anında kesilir. |
| ID-21 | Customer Identity & Access Management (CIAM) | Farklı müşterilerin benzer e-postaları yanlış hesap birleştirmesine yol açmaz. |
| ID-22 | Digital Identity Proofing & Remote Onboarding | Derin sahte video örneği yüksek güvende otomatik müşteri açılışına izin vermez. |
| ID-23 | Account Takeover & Transaction Trust | Yeni banka hesabı tanımlayan kullanıcı ek kontrol geçmeden ödeme talimatı veremez. |
| ID-24 | Consent, Preferences & Privacy Rights | Bir kanaldaki izin geri çekilince bağlı pazarlama akışı sonlandırılır. |
| ID-25 | B2B2C, Partner & Multi-Organization Identity | Müşteri A yöneticisi müşteri B kullanıcısını veya faturasını göremez. |
| ID-26 | Non-Human Identity Inventory & Ownership | Sahibi ayrılan service principal yüksek yetkiyle sessizce yaşamaya devam edemez. |
| ID-27 | Secrets, Certificates & PKI Lifecycle | Yenilenen sertifika eski sertifika iptal edilmeden rol değişiminde belirsiz kullanılmaz. |
| ID-28 | Workload Identity & SPIFFE/SPIRE | Başka namespace workload’u üretim veritabanı trust identity’sini alamaz. |
| ID-29 | AI Agent Identity & Delegated Authorization | Bir belge içindeki prompt injection ajanı yetkisiz para aktarımına yöneltemez. |
| ID-30 | OAuth, API Token & App-to-App Trust | Şüpheli üçüncü taraf app revocation sonrası erişim tokenı yenileyemez. |
| ID-31 | Machine & Agent Privilege Governance | Bir CI botu production secret okuma yetkisini role inheritance ile elde edemez. |
| ID-32 | Identity Threat Detection & Response (ITDR) | Yanlış MFA push onay örüntüsü kimlik olay dosyası ve güvenli aksiyon önerisi üretir. |
Modül kabul testleri 33–48
| KOD | MODÜL | DENETLENEBİLİR KABUL ÖLÇÜTÜ |
|---|---|---|
| ID-33 | Active Directory, Entra & Hybrid Identity Security | Bir kritik admin grubuna üyelik eklendiğinde kaynak, risk ve onay izi oluşturulur. |
| ID-34 | Session & Behavior Analytics (UEBA) | Farklı vardiyada çalışan meşru personel otomatik yüksek riskli saldırgan ilan edilmez. |
| ID-35 | Access Attack Path & Privilege Exposure | Kritik hizmete giden rol zinciri daraltılınca alternatif yollar ayrı tespit edilir. |
| ID-36 | Identity Incident & Recovery Orchestration | Tokenlar kapatılmış olsa da şüpheli OAuth grant açık kalırsa vaka kapanmaz. |
| ID-37 | Verifiable Credentials & Trust Registry | İptal edilmiş kimlik credentiali doğrulamada güvenilir kabul edilmez. |
| ID-38 | Digital Wallet & Portable Identity | Holder onayı olmadan gereğinden fazla attribute doğrulayıcıya gönderilmez. |
| ID-39 | Document Fraud & Authenticity Intelligence | Doküman imzası geçerli ama yetkili issuer kaydı yoksa güven düzeyi sınırlanır. |
| ID-40 | Deepfake, Voice & Video Impersonation Defense | Yapay ses riskli olsa da ikinci kanal teyidi gelmeden yüksek tutarlı ödeme gerçekleşmez. |
| ID-41 | Digital Signature, e-Seal & Content Provenance | İmza sonrası belgenin tek baytı değiştiğinde doğrulama başarısız olur. |
| ID-42 | Identity Governance Policy & Control Framework | MFA kontrolü kâğıtta var ama Tier-0 kullanıcıları kapsam dışında ise etkin sayılmaz. |
| ID-43 | Audit, Attestation & Evidence Vault | Yetki silme kararından ilgili connector icrasına kadar zincir dosyadan takip edilir. |
| ID-44 | Identity Risk, Segregation & Financial Exposure | Yeni kritik privilege yolu bulunduğunda eski risk kabulü yeniden değerlendirilir. |
| ID-45 | Privacy, Biometric & Ethics Governance | Kimlik eşleşme olasılığı tek başına kişinin yüksek etkili hizmetten kalıcı dışlanmasını doğurmaz. |
| ID-46 | Third-Party Identity & Trust Governance | Federation sözleşmesi bitince eski güven sertifikası yenilenmeden giriş kabul edilmez. |
| ID-47 | Identity Platform Architecture, HA & DR | DR denemesi yalnız sunucu ayağa kalktı diye değil gerçek login/authorization testiyle başarılı sayılır. |
| ID-48 | Connector Ecosystem & Event Orchestration | Aynı HR eventi üç kez teslim edilse bile tek provisioning kararı oluşur. |
Modül kabul testleri 49–52
| KOD | MODÜL | DENETLENEBİLİR KABUL ÖLÇÜTÜ |
|---|---|---|
| ID-49 | Admin, Analyst & Self-Service Experience | Mobil yönetici onayı ekran görüntüsüyle değil yetkili imzalı işlem olarak kaydedilir. |
| ID-50 | Managed Identity Security & Multi-Tenant Operations | Müşteri A tokenıyla müşteri B raporu ve kimlik metadata’sı okunamaz. |
| ID-51 | Identity Security AI Copilot & Evaluation | Zararlı belge içindeki talimat AI asistanını yeni admin hesabı oluşturmaya ikna edemez. |
| ID-52 | Policy as Code & Identity Change Governance | Wildcard resource allow içeren kural shadow modda test ve iki onay olmadan üretime geçmez. |
Kritik negatif güvenlik senaryoları
| KOD | TEST | BEKLENEN SONUÇ |
|---|---|---|
| NEG-01 | Tenant separation | Başka müşteri tokenıyla principal lookup ve export reddedilir. |
| NEG-02 | Admin role conflict | İsteyen kullanıcı kendi kritik access approval kararını veremez. |
| NEG-03 | Policy cache | Revoked privilege eski allow cache üzerinden kullanılamaz. |
| NEG-04 | OIDC audience | Yanlış aud ve issuer imzası doğru olsa bile token reddedilir. |
| NEG-05 | WebAuthn origin | Sahte origin/challenge cevabı reddedilir. |
| NEG-06 | SCIM duplicate | Replay edilen event mükerrer kimlik veya permission üretmez. |
| NEG-07 | Clock skew | Expired token yanlış tolerans nedeniyle güvenilir sayılmaz. |
| NEG-08 | Stale connector | Eski veri “yeşil güven” statüsü üretmez. |
| NEG-09 | Break-glass | Emergency admin kullanımı audit ve sonradan review üretir. |
| NEG-10 | Agent policy bypass | Prompt içinden yetki genişletme talimatı tool çağrısını açamaz. |
| NEG-11 | OAuth consent | Bilinmeyen publisher kritik tenant scope alamaz. |
| NEG-12 | Biometric uncertainty | Belirsiz skor geri döndüğünde manuel inceleme yolu zorunludur. |
| NEG-13 | VC revocation | İptal edilmiş credential olumlu doğrulanmaz. |
| NEG-14 | Deepfake replay | Önceden kayıtlı ses/video canlı kimlik sayılmaz. |
| NEG-15 | Key rotation | Eski secret rotasyondan sonra yeni yetkili işlem gerçekleştiremez. |
| NEG-16 | Leaver session | Ayrılış sonrası token renewal ve admin login reddedilir. |
| NEG-17 | M&A identity collision | Aynı e-posta iki farklı realm kullanıcıyı birleştirmez. |
| NEG-18 | DR recoverability | Restore testinde gerçek kimlik auth + policy decision başarılı olur. |
| NEG-19 | Privacy disclosure | Kullanıcı rolü yetersizken ham KYC belge verisi açılamaz. |
| NEG-20 | Evidence integrity | Audit dosyası değişimi hash doğrulamasında tespit edilir. |
| NEG-21 | Agent delegation expiry | Süresi dolmuş agent grant eski tool yetkisini sürdüremez. |
| NEG-22 | NHI owner | Sahipsiz servis principal kritik scope için yeni grant alamaz. |
| NEG-23 | Federation metadata | İmzasız issuer değişimi prod federation trust açmaz. |
| NEG-24 | Recovery risk | Yeni faktör bağlayan kullanıcı yüksek riskli işlemi kontrolsüz geçemez. |