Teknik Mimari, Veri Modeli ve API Sözleşmeleri — Trust Pro Cyber Risk & Resilience

Hedef mimari; araçların yerini alan monolitik bir güvenlik sistemi değil, farklı kaynaklardan gelen kanıtları kimlik, tarih, iş hizmeti ve risk kararına bağlayan birleşik bir kontrol düzlemidir. Gerçek zamanlı olay işleme, toplu değerlendirme ve LLM destekli analiz ayrı veri/işlem katmanlarında yürütülür.

MİMARİ KATMAN	SORUMLULUK / SINIR
Data Collectors	CMDB, EASM, scanner, cloud, IAM, backup, GRC, SIEM, ITSM API ve veri akışları.
Evidence & Provenance	Kaynağın imzası, event zamanı, ingestion zamanı, güven düzeyi, hash ve erişim kısıtları.
Asset Identity Resolution	Aynı cihaz/hizmet/tedarikçiyi kaynak ID, tarih ve sahiplik üzerinden dikkatle eşleştirme.
Business Service Graph	Hizmet, uygulama, altyapı, kimlik, veri, sağlayıcı ve lokasyon bağımlılık grafı.
Risk & Exposure Engine	CVSS, EPSS, KEV, saldırı yolu, kritik hizmet ve kontrol doğrulama sinyallerini ayrı saklayan risk motoru.
Resilience Engine	BIA, BCM, RTO/RPO, backup/restore, tatbikat, kurtarma runbook ve kanıt dosyası.
Workflow & Approvals	Risk kabulü, test izni, change, kriz komitesi, denetim ve teknik yeniden doğrulama.
AI Advisor & Evaluation	Yetkiye tabi RAG/graph retrieval, model registry, groundedness ölçümü ve insan feedback.
Customer Delivery	Kurumsal kullanıcı ekranları, Boardroom, API, webhook, export ve audit portalı.
Security & Operations	Tenant izolasyonu, IAM, RBAC/ABAC, encryption, audit, idempotency, metrics ve retention.

Temel veri varlıkları ve alanları

NESNE	ÖRNEK ALANLAR
CyberAsset	asset_id, tenant_id, source_refs[], criticality, owner_id, last_seen_at, confidence
BusinessService	service_id, BIA_id, business_owner, RTO, RPO, dependency_edges[]
ExposureFinding	finding_id, CVE/CWE, asset_id, EPSS_snapshot, KEV_flag, detected_at, validated_at
AttackPath	path_id, graph_version, start_node, target_node, edges[], evidence_confidence
CyberRisk	risk_id, scenario_id, natural/remaining risk, owner, appetite, expiry, decision_id
ControlAssertion	control_id, scope[], effectiveness, test_method, tested_at, source_evidence
BackupRecoveryTest	test_id, service_id, backup_id, restored_at, RTO_actual, RPO_actual, application_check
ThirdPartyDependency	supplier_id, contract_id, service_ids[], fourth_parties[], region, exit_plan
RiskDecision	decision_id, approver, alternatives, rationale, timestamp, signature, expiry
EvidenceArtifact	evidence_id, source, checksum, privacy_class, retention_until, access_policy

Graph yaklaşımı ve risk açıklanabilirliği

Graf kenarları yalnız “bağlı/bağlı değil” biçiminde değil; ilişki türü (network-reachable, hosted-on, depends-on, authenticated-by, supplied-by), keşif kaynağı, gözlem zamanı ve güven seviyesi ile saklanmalıdır. Yüksek skorlu bir saldırı yolu için “gerçek istismar kanıtlandı” sonucu çıkarılmaz; yol ancak izinli doğrulama veya gözlenen olayla ayrıca desteklenebilir.

Örnek API kaynakları ve sözleşme kuralları

API / EVENT	VERİ SÖZLEŞMESİ & GÜVENLİK
GET /v1/assets	tenant scope, cursor pagination, source-confidence, last_seen filtering
GET /v1/services/{id}/dependencies	BIA link, edges, timestamps, confidence, redaction
GET /v1/exposures	CVE/KEV/EPSS filters, risk appetite, asset and service scopes
POST /v1/ctem/cycles	Scope, owners, change window and validation policy
POST /v1/risk-decisions	Human approver identity, reason, expiry, 2-person approval
POST /v1/validation-jobs	Pre-authorized target, scenario IDs, time window, signed approval
GET /v1/recovery-tests/{id}	RTO actual, restore evidence, business transaction success
POST /v1/evidence/exports	Controlled report scope, audit purpose, expiration and watermark
GET /v1/metrics	Measurement windows and data coverage tags