Thulpar’ın kontrol kataloğu ürünün kendi kodundan üretilir. Kanıt paketlerini yazan kodla aynı tablodur. Her kontrol, onu uygulayan rayları ve yerleşik özellikleri, OWASP ve MITRE ATLAS karşılıklarını ve yedi regülasyon sütununu taşır. Bir kanıt paketi, dönemin defterine bakarak her kontrolü uygulandı, kısmen uygulandı ya da yapılandırılmadı olarak işaretler.
Bir kanıt paketi kiracı, dönem ve profil başına üretilir. Kontrol kataloğu her kontrolün durumunu, özet dönemin sayımlarını, decisions.jsonl her kararı hash’iyle taşır. Denetçi paketi kurulumun açık anahtarıyla doğrular; internet bağlantısı gerekmez.
Paketin içeriğini görün →Bir kanıt paketi dönemin defterine bakarak her kontrolü uygulandı, kısmen uygulandı ya da yapılandırılmadı olarak işaretler. Atlanan raylar, uygulanan duruşla birlikte kaydedilir. Zincirin doğrulama sonucu paketin içinde taşınır.
Kontrol kataloğunu görün →Eşik üstündeki eylemler bir kişiye sorulur. Dönemin onayları approvals.jsonl’da taşınır: kim, ne zaman, four-eyes, SLA, süre dolumu. İnsan gözetimi deftere yazılan, doğrulanabilir bir kayıttır.
Onay akışını görün →Bir kanıt paketi kiracı, dönem ve profil başına üretilir. İçeriği aşağıdaki tabloda listelenir. Kontrol kataloğu her kontrolün durumunu, özet dönemin sayımlarını, decisions.jsonl her kararı hash’iyle taşır. Atlanan raylar, uygulanan duruşla birlikte kaydedilir. Denetçi paketi kurulumun açık anahtarıyla doğrular. İnternet bağlantısı gerekmez.
6698 m.4, m.6, m.9, m.12; Üretken YZ, İş Yerinde YZ ve Etken YZ rehberleri
Bilgi Sistemleri Yönetmeliği m.13, m.25, m.27; Bankacılık K. m.73; denetim izi bölümü
Sigortacılık ve Özel Emeklilik İç Sistemler Yönetmeliği
Genelge 2019/12; Bilgi ve İletişim Güvenliği Rehberi; sınıflandırma; 5 yıl saklama
m.9, m.12, m.14, m.15, m.50, m.72–73; Annex IV teknik dokümantasyon bölümü
Annex A kontrol kanıtı; 42005 etki değerlendirme bağlamı
m.9 ICT risk; m.17–20 olay sınıflama bölümü; TLPT uyumlu kırmızı takım raporu
| dosya | içerik |
|---|---|
| manifest.json / .sig | paketin kimliği: biçim, kiracı, profil, dönem, politika sürümleri, dedektör sürümleri; Ed25519 imza |
| controls.md / .json | kataloğun profil sütunu: her kontrolün durumu, rayları (mod, kilit, servis edildi mi, bulgular, atlamalar) ve özellikleri |
| summary.md / .json | tür, aşama, karar, kategori ve ray sayımları; atlanan ve çalışmayan raylar; shadow kararlar; onaylar |
| decisions.jsonl | dönemin her olayı sözleşme biçiminde, hash’iyle ve saklandığı sürece redakte örnekle |
| chain-verify.txt | doğrulama sonucu: olay sayısı, baş hash, dönemin ilk ve son hash’i, çapalar |
| approvals.jsonl | dönemin onayları: kim, ne zaman, four-eyes, SLA, süre dolumu |
| policy-versions/ | yürürlükteki paket belgeleri: içerik hash’i, imzalayan, imza |
$ thulpar-evidence verify acme-bddk-2026-Q3.zip --public-key acme-signer.pub
manifest.sig ✓ (ed25519, keyId ins_7f2a:2026-10) files 9/9 ✓ chain 184,221 events ✓ anchors 92 ✓
controls: 26 · implemented 21 · partial 3 · not_configured 2 (GR-A2A-01, GR-EXEC-01)Katalog, ürünün kanıt paketlerini üreten kodundan kopyalanır. CI ikisinin ayrışmasına izin vermez. Regülasyon eşlemesi Thulpar’ın mühendislik okumasıdır. Hukuki görüş değildir ve kurumun kendi uyum değerlendirmesinin yerini almaz.
Dokuz paket (Türkçe paketi, promptfoo, PyRIT, garak) saldırı başarı oranı ve fayda eşikleriyle çalışır. Sonuçlar, bir politika sürümüne bağlı benchmark olayı olarak deftere yazılır. Konsol sürümler arasındaki drift’i gösterir. Kıyaslaması başarısız bir politika paketi etkinleştirilemez. Gece koşusu her paketi çalıştırır ve sonuçları yayımlar.
Redakte örnekler saklama süresinin sonunda silinir. Zincir bundan etkilenmez. Bir kiracının ayrılması tek bir komuttur ve imzalı bir silme sertifikası üretir. KVKK m.7 ve sektör saklama tabanları paket başına ayarlanır. Taban BDDK ve kamu için 5 yıl, savunma için 10 yıldır.
Bir saatlik teknik demo: sizin senaryonuz, sizin politika paketiniz, kapalı devre bir kurulumda. Sonrasında pilot için kurulum kiti ve deneme lisansı.