Kanıta dayalı uyum. Kurumun kendi veri merkezinde.
BDDK, CBDDO, KVKK ve ISO 27001:2022 kontrolleri tek bir değiştirilemez kanıt zinciri üzerinde izlenir — hiçbir veri internete çıkmadan. Nodus, Türkiye'deki düzenlemeye tabi kurumlar için kurum içinde (on-prem, air-gapped) çalışan bir GRC ve güvenlik metrikleri platformudur.
Mevcut uyum süreci denetim önünde savunulamıyor.
Bankacılık BT güvenliği ve uyum ekipleri aynı üç sorunu tekrar tekrar yaşıyor.
Kanıt toplama haftalar sürüyor
Denetim öncesi e-posta, Excel ve SharePoint'te kanıt aranıyor; hangi dosyanın ne zaman toplandığı ve kim tarafından onaylandığı çoğu zaman belirsiz.
Tek bir yüzde yanıltıyor
"%87 uyumlu" gibi özetler, kaldı kontrol ile kanıtı eksik kontrol arasındaki farkı gizliyor ve denetçi önünde savunulamıyor.
Bulut AI araçları veriyi dışarı çıkarıyor
Bulut tabanlı GRC ve AI ürünleri müşteri verisini ve uyum durumunu üçüncü taraf sunuculara taşıyor; BDDK ve KVKK bunu çoğu kurumda fiilen imkânsız kılıyor.
"Uyum tek bir yüzdeyle gösterilmez."Her kontrol geçti, kaldı veya kanıt eksik olarak ayrı ayrı sayılır; hesaplama yöntemi arayüzde her zaman açık yazılır. Bu, Nodus'ta değiştirilmesi için önce bir mimari karar kaydı (ADR) gerektiren, pazarlık konusu olmayan bir kuraldır.
Planlama ve geliştirme sırasında tartışmaya açık olmayan sekiz kural.
Nodus'un güvenilirliği bir özellik değil, bu ilkelerin sonucudur.
Kurum içi, air-gapped
Hiçbir bileşen dış internete bağımlı değil. Telemetri veya "phone home" yok.
Konnektörler salt okunur
Hedef sistemlere asla yazılmaz. Düzeltme, ITSM'de ticket açılarak yapılır.
Deterministik metrikler
Aynı girdi her zaman aynı çıktıyı verir; formül ve veri kaynağı izlenebilir.
AI yan katmandır
Yalnızca öneri üretir, her öneri insan onayından geçer. AI kapalıyken ürün tam çalışır.
Tek yüzde yok
Kontroller geçti, kaldı ve eksik kanıt olarak her zaman ayrı sayılır.
Kanıt değiştirilemez
Her kanıt hash ve zaman damgasıyla saklanır; tüm işlemler denetim izine yazılır.
Madde numarası uydurulmaz
Yalnızca doğrulanmış mevzuat kütüphanesindeki maddelere atıf yapılır.
Bir kez test et, her yerde raporla
Ortak bir kontrole bağlanan kanıt, bağlı olduğu tüm mevzuatlarda otomatik sayılır.
Toplamadan panoya, dört deterministik adım.
Konnektörler
AD/Entra, EDR, zafiyet tarayıcı, SIEM, ITSM, CMDB'den salt okunur veri toplar.
Kanıt deposu
Her kanıt SHA-256 hash, zaman damgası ve onay geçmişiyle değiştirilemez şekilde saklanır.
Test ve metrik motoru
Kontrol testlerini deterministik formüllerle çalıştırır; sonucu geçti/kaldı/eksik olarak yazar.
Panolar + AI öneri katmanı
CISO, SecOps ve denetçi görünümleri; AI önerileri ayrı bir düzlemde, onay bekleyerek görünür.
CISO görünümü — tek bakışta dönem durumu.
Aşağıdaki panel, onaylanmış arayüz tasarımından (docs/design_handoff_nodus_grc) gerçek örnek verilerle sadeleştirilmiştir.
| Bulgu | Madde | Varlık | Şiddet | Durum |
|---|---|---|---|---|
| Çekirdek bankacılık veritabanı yedekleri şifrelenmeden saklanıyor | ISO 27001 A.8.13 | cbs-db-prod-01 | Çok Yüksek | Kaldı |
| Ayrıcalıklı hesaplarda MFA zorunlu değil (PAM dışı 14 hesap) | CBDDO BİG 3.1.4.2 | ad.anadolu.local | Çok Yüksek | Kanıt eksik |
| SWIFT ara katmanında yamasız OpenSSL (CVE-2026-0215) | ISO 27001 A.8.8 | swift-gw-02 | Yüksek | Kaldı |
Yedekleme kontrolü A.8.13 için Eylül kanıtı 3 şubede eksik. Önerilen: yedek log dışa aktarımını otomatik kanıt kaynağı olarak bağla.
Üç rol, üç farklı soru — tek kanıt zinciri.
Denetime ne kadar hazırız?
"Doğru yönde ilerliyor muyuz?"
Hangi kontrol başarısız?
"Neyi, nasıl düzeltmeliyim?"
Kanıt gerçek mi?
"Ne zaman toplandı, kim onayladı?"
MVP için tanımlanan başarı ölçütleri.
Bunlar henüz ölçülmüş sonuçlar değil — pilot kurumlarda doğrulanacak hedeflerdir.
MVP mühendislik takvimi — 6 sprint, 2 haftada bir.
Hedef: AD konnektörü → MFA kapsam metriği → CBDDO ve BDDK maddelerine eşlenmiş kontrol testi → panoya tek dikilim. Durum, açık GitHub proje panosundan (Sprint 1–2 tamamlandı) alınmıştır.
1 · Temel
Repo iskeleti, migrasyonlar, append-only DB rolü, compose ortamı.
2 · Kanıt ve denetim
Konnektör SDK'sı, kanıt deposu, hash-zincirli denetim izi, yerel auth.
3 · İçerik ve motor
content-compiler, Framework/Control/Mapping, kontrol test ve metrik motoru.
4 · İlk konnektör
AD/Entra konnektörü, varlık eşleştirme, MFA kapsam metriği uçtan uca.
5 · Dashboard dilimi
CISO panosu, bulgu ekranı, AI öneri katmanının ilk sürümü.
6 · Sağlamlaştırma
Uçtan uca test, air-gapped kurulum denemesi, temel denetim paketi.
Stratejik görünüm
Kanıta dayalı uyum, kurumun kendi veri merkezinde kalır.
Nodus; bulut bağımlılığı, tek yüzdeyle özetlenen uyum raporları ve kontrolsüz AI önerileri olmadan, BDDK/CBDDO/KVKK/ISO 27001 denetimine hazır bir kanıt zinciri sunmayı hedefliyor.
docs/HANDOFF.md
docs/PLAN.md
docs/METRICS.md
docs/adr/