| AC-01 | Kritik varlık tekilleştirme | İki kaynak aynı host için farklı IP getirir; tekilleştirme güveni ve tarihsel kayıt incelenir. |
| AC-02 | Sahipsiz varlık | Kritik ama sahibi olmayan varlık aksiyon listesinde görünür. |
| AC-03 | EASM yanlış sahiplik | Yetkisiz dış domain keşfi otomatik aktif taramaya dönüşmez. |
| AC-04 | KEV tetikleme | KEV’e alınan CVE etkilenen varlık ve hizmette eskalasyon üretir. |
| AC-05 | EPSS skor değişimi | Yeni skor geçmiş snapshotları bozmadan öncelik sırasını yeniler. |
| AC-06 | CVSS–EPSS ayrımı | Şiddet ve istismar olasılığı farklı veri alanlarında korunur. |
| AC-07 | Attack graph | Kapatılan tek güven ilişkisi sonrası alternatif yol varsa raporlanır. |
| AC-08 | CTEM scope kontrolü | Kapsam dışı varlığa aktif test uygulanamaz. |
| AC-09 | BAS alarm doğrulama | Test başarılı görünüp alarm yoksa kontrol boşluğu açılır. |
| AC-10 | Giderim retest | Ticket kapansa da teknik retest başarısızsa bulgu açık kalır. |
| AC-11 | Risk kabul onayı | Tek onayla yüksek kritik risk kabulü gerçekleşemez. |
| AC-12 | Risk kabul sona erme | Süresi dolan kabul otomatik tekrar incelemeye döner. |
| AC-13 | BIA bağımlılığı | Kritik iş hizmeti için bilinmeyen kimlik bağı fark edilir. |
| AC-14 | RTO/RPO hesap | Testte süre hedefi aşılırsa dashboard hazır durumu vermez. |
| AC-15 | Restore bütünlük | Yedek başarılı ama restore edilemezse kurtarma başarısızdır. |
| AC-16 | Temiz oda güvenliği | IOC tespit edilmiş görüntü iş hizmetine bağlanmaz. |
| AC-17 | Tier-0 erişim | Birincil IAM yokken break-glass prosedürü test edilir. |
| AC-18 | Cloud region kapasite | Alternatif region quota yetersizse failover hazır görünmez. |
| AC-19 | SaaS bağımlılığı | SaaS kesintisinde alternatif iletişim kanalı açılır. |
| AC-20 | Kriz eskalasyonu | Birincil kriz sorumlusu ulaşılmazsa vekil görev alır. |
| AC-21 | Tedarikçi offboarding | Sözleşme bitişi açık API hesabıyla tamamlanamaz. |
| AC-22 | Dördüncü taraf bağlantısı | Belirsiz alt yüklenici ilişkisinin kanıt güveni düşük etiketlenir. |
| AC-23 | Risk konsantrasyonu | İki farklı şirket aynı cloud region’a bağlıysa ortak risk görünür. |
| AC-24 | OT koruma modu | OT kolektörü aktif müdahaleye varsayılan izin vermez. |
| AC-25 | Kayıp aralığı | Finansal model belirsizlik, varsayım ve kalibrasyon göstergesini yayınlar. |
| AC-26 | Kaynak bağlantılı AI | LLM çıktısında alıntılanmamış kritik iddia kabul testinde başarısız sayılır. |
| AC-27 | Prompt injection | Haricî zafiyet açıklaması policy/secret sızdırma talimatına dönüşemez. |
| AC-28 | Çok tenant gizlilik | Bir müşterinin varlık ve risk kanıtı başka tenant’tan erişilemez. |
| AC-29 | Kanıt güncelliği | Süresi dolmuş test “geçerli doğrulanmış kontrol” görünmez. |
| AC-30 | Audit bütünlük | Onay kimliği, karar zamanı ve dosya checksum’u rapordan izlenebilir. |
| AC-31 | Gecikmiş olay verisi | Geç gelen tarama sonucu tarihsel dönem raporunu gizlice değiştirmez. |
| AC-32 | Retry & idempotency | Aynı webhook yeniden gelirse mükerrer risk/aksiyon oluşmaz. |
| AC-33 | Kapsam değişimi | Varlık sayısı düşüşü gerçek risk azalması gibi gösterilmez. |
| AC-34 | Rollback | Onaysız otomatik güvenlik değişikliği engellenir. |
| AC-35 | Yedek ayrılığı | Backup yönetici yetkisinin üretim yöneticisinden ayrı olduğu kanıtlanır. |
| AC-36 | Denetçi portalı | Dış denetçi izin kapsamı dışındaki kanıtları göremez. |
| AC-37 | KPI hesap formülü | Her rapor metriğinde payda, zaman penceresi, kaynak ve kapsam görünür. |
| AC-38 | SLO izleme | Connector gecikmesi ve başarısızlık oranı telemetri ile ölçülür. |
| AC-39 | Air-gap paket güveni | Offline feed paketinin imzası doğrulanmadan import edilmez. |
| AC-40 | Kritik iş işlemi testi | DR sonrası yalnız sunucu değil gerçek business transaction başarılı olmalıdır. |
