Taslak v1.0

Yazarlar: Energent.ai Güvenlik & Mühendislik Ekibi

Özet

Energent.ai, kurumsal kullanıcılar için karmaşık çoklu uygulama iş akışlarını otomatikleştiren AI destekli sanal masaüstü ajanı sunmaktadır. Ajan, hassas iş verileri üzerinde çalıştığı ve kullanıcı masaüstlerinde ve bulut kaynaklarında geniş ayrıcalıklar alabileceği için güvenlik ve gizlilik, ürün tasarımımızın temelini oluşturmaktadır. Bu beyaz kitap, Energent platformunun tehdit modelini, savunma mimarisini, güvenlik kontrollerini ve uyum duruşunu belgelemektedir. CambioML AnyParser beyaz kitabında kullanılan yapılandırılmış, veri odaklı yaklaşım üzerine modellenmiş ve AWS Well-Architected Güvenlik Sütunu en iyi uygulamaları ile NIST SP 800-53 Rev 5 güvenlik kontrol rehberliği ile uyumlu hale getirilmiştir.

İçindekiler

1. Giriş
2. Energent Platform Mimarisi
3. Tehdit Modeli
4. Güvenlik Kontrolleri
5. Uyum & Yönetim
6. Operasyonel Güvenlik
7. Müşteri Dağıtım Seçenekleri
8. Sonuç
9. Ek A – Kontrol Eşleştirmesi
10. Kaynaklar

1 Giriş

1.1 Amaç

Bu belge, güvenlik, IT ve uyum ekiplerinin Energent.ai'nin kurumsal güvenlik gereksinimlerini karşılayıp karşılamadığını değerlendirmesine olanak tanır. Ajan yaşam döngüsü boyunca verileri, sistemleri ve kullanıcıları nasıl koruduğumuzu detaylandırmaktadır; geliştirmeden üretim operasyonlarına kadar.

1.2 Kapsam

• Energent Cloud (SaaS). AWS üzerinde Energent.ai tarafından işletilen çok kiracılı hizmet.
• Özel Bulut / VPC İzole. AWS, Azure veya GCP üzerinde müşteri kontrolündeki bir hesaba dağıtılan özel tek kiracılı yığın.
• Yerel/VM. Yüksek düzenlemelere tabi ortamlar için hava boşluğu olan Linux VM görüntüsü.

1.3 Hedef Kitle

Energent.ai'yi değerlendiren CISO'lar, güvenlik mimarları, DevOps mühendisleri, denetçiler ve satın alma profesyonelleri.

2 Energent Platform Mimarisi

2.1 Yüksek Seviyeli Bileşenler

Şekil 1. Energent bileşenleri ve güven sınırlarının mantıksal görünümü.

2.2 Tasarımda Güvenli İlkeler

1. En az ayrıcalık ve mikro-segmentasyon. IAM rolleri ve güvenlik grupları her hizmeti gerekli olan en az izinle kısıtlar.
2. Uçtan uca şifreleme. Taşınan veriler için TLS 1.2+; dinlenme halindeki veriler için KMS yönetimli anahtarlar kullanarak AES-256-GCM.
3. Değişmez altyapı. Tüm hesaplama düğümleri imzalı AMI'lerden yeniden inşa edilir; yerinde değişiklik yoktur.
4. Sürekli uyum otomasyonu. Drift tespiti için IaC ve AWS Config kurallarında kodlanmış koruma önlemleri.

3 Tehdit Modeli

3.1 Varlıklar

• Kullanıcı kimlik bilgileri ve API jetonları
• İş akışı nesneleri (ekran görüntüleri, çıkarılan veriler, üretilen belgeler)
• Özel iş akışı mantığı

3.2 Düşmanlar & Yetenekler

3.3 Güven Sınırları

• Müşteri yığınları arasında kiracı izolasyonu.
• Kontrol uçağı ile veri uçağı arasında ayrım.
• VM içi kumanda alanı ile ana ortam.

4 Güvenlik Kontrolleri

4.1 Kimlik, Kimlik Doğrulama & Yetkilendirme

• SSO, SAML 2.0 / OIDC ile MFA zorunluluğu.
• Tüm mikro hizmetler için ince ayrıntılı ABAC IAM politikaları.
• Otomatik sona erme ile zamanında (JIT) ayrıcalıklı erişim.

4.2 Ağ & Altyapı Güvenliği

• VPC düzeyinde yalnızca çıkış kapıları; özel bulut modunda kamu yük dengeleyicileri yok.
• Tüm API trafiği AWS ALB'de WAF WebACL (OWASP En İyi 10 kurallar seti) ile sonlandırılır.
• AWS PrivateLink veya müşteri VPN aracılığıyla isteğe bağlı özel bağlantı.

4.3 Veri Koruma

• S3 için sunucu tarafı şifreleme (SSE-KMS); istemci tarafı şifreleme SDK'sı mevcuttur.
• Kişisel ve sağlık bilgileri için AES-256 + zarf anahtarları kullanarak alan düzeyinde şifreleme.
• Otomatik anahtar döngüsü ve her kiracı için CMK'lar.

4.4 Uygulama Güvenliği

• Güvenli kodlama standartları (OWASP ASVS L2).
• CI/CD'ye entegre otomatik SCA, SAST ve DAST hatları.
• Doğrulanmış PyPI/npm imzaları ile bağımlılık kilitleri.

4.5 Gizli & Anahtar Yönetimi

• Gizli bilgiler AWS Secrets Manager'da otomatik döngü ile saklanır.
• Ajanlar, STS AssumeRole aracılığıyla zaman sınırlı oturum jetonları çeker, asla uzun ömürlü anahtarlar kullanmaz.

4.6 Güvenli Geliştirme Yaşam Döngüsü

• Her epik için tehdit modelleme (STRIDE metodolojisi).
• Kod incelemeleri iki kişilik onay ve güvenlik geçişlerini gerektirir.
• Sigstore kökeni ile yeniden üretilebilir yapılar.

5 Uyum & Yönetim

5.1 Paylaşılan Sorumluluk Modeli

Energent, AWS'nin paylaşılan sorumluluk yaklaşımını benimsemektedir; burada AWS, bulutun alt yapısını "bulutun bulutu" güvence altına alırken, Energent her şeyi "bulutun içinde" güvence altına alır.

5.2 Denetim Sertifikaları (2025'te Tamamlanıyor)

5.3 Kontrol Eşleştirmesi

Ek A, Energent kontrollerinin NIST SP 800-53 Rev 5 ailelerine (AC, AU, SC, SI, vb.) detaylı eşleştirmesini sağlamaktadır.

6 Operasyonel Güvenlik

6.1 İzleme, Tespit & Müdahale

• Amazon OpenSearch'te merkezi günlük toplama ile değişmez S3 yedekleri.
• GuardDuty, Inspector ve Security Hub sürekli tehdit tespiti sağlar.
• Belgelendirilmiş çalışma kitapları ile 24×7 çağrıya hazır Güvenlik Olay Müdahale Ekibi (SIRT).

6.2 Zafiyet Yönetimi & Penetrasyon Testi

• Haftalık konteyner görüntü taramaları; kritik CVE'ler 24 saat içinde yamanır.
• Yıllık üçüncü taraf penetrasyon testleri ve müşteri tarafından sipariş edilen testlere izin verilir.

6.3 İş Sürekliliği & Felaket Kurtarma

• Tüm kalıcı veriler, çok AZ, versiyonlu S3'te ve Çapraz Bölge Yedekleme ile saklanır.
• Kritik hizmetler için RPO ≤ 15 dakika, RTO ≤ 1 saat.

7 Müşteri Dağıtım Seçenekleri

7.1 Energent Cloud (SaaS)

• Varsayılan seçenek; en hızlı onboarding; AWS küresel altyapı güvenliğini devralır.

7.2 Özel Bulut / VPC İzole

• Energent yığını, müşteri AWS hesabına Terraform ile dağıtılır ve veri ikamet kontrolü sağlar.

7.3 Yerel / Sadece VM

• Çevrimdışı çalışabilen VM görüntüsü; donanım güven kökü doğrulaması TPM/SGX aracılığıyla desteklenir.

8 Sonuç

Energent.ai, derin savunma mühendisliği, titiz operasyonel süreçler ve şeffaf uyum ile müşteri verilerini her katmanda korumaktadır. AWS Well-Architected ve NIST SP 800-53 gibi endüstri lideri çerçevelere uyarak, kullanıcı güvenini zedelemeden güvenli, ölçeklenebilir otomasyonu sağlayan bir platform sunmaktayız.

Ek A – Kontrol Eşleştirmesi (Alıntı)

Tam matris talep üzerine mevcuttur.

Kaynaklar

1. AWS Well-Architected Framework – Güvenlik Sütunu, 6 Kasım 2024
2. NIST SP 800-53 Rev 5, “Bilgi Sistemleri ve Kuruluşlar için Güvenlik ve Gizlilik Kontrolleri,” Eylül 202
3. CambioML & Epsilla, “Grafik ve Tablolardan Bilgi Alma da 2× Doğruluk Elde Etme,” 2 Ağustos 2024