Mock workshop: 45 dakikalık puanlı banka senaryosu

Zihinsel model

Bu, M15’in son pratik dersi: itiraz matrisini (ders 1), iki-anlatı ayrımını (ders 2) kullanarak, gerçek zamanlı, dallanan bir banka toplantısını simüle ediyorsun. Aşağıdaki senaryo, Örnek Banka A.Ş. adlı kurgusal bir bankada (gerçek bir kuruma atıfta bulunmuyor) geçiyor; sen PQC danışmanısın, 45 dakikalık bir keşif workshop’u yönetiyorsun. Her sahnede bir paydaş bir soru veya itiraz getiriyor, sen üç seçenekten birini seçiyorsun, ve seçimin bir puan kazandırıyor veya kaybettiriyor. Sonunda, toplam puanın seni hangi dersleri tekrar gözden geçirmen gerektiğine yönlendiriyor.

Nasıl oynanır: kronometreni 45 dakikaya kur, her sahneyi oku, seçimini yap (ileriye bakıp doğru cevabı aramadan, ilk sezgini kullanarak). Beş kısa sahne kendi başına 45 dakika doldurmaz; bunu gerçekçi bir prova yapmak için, her seçimini SESLİ, gerçek bir toplantıdaymış gibi tam cümlelerle söyle (her sahne için 3-5 dakika), seçtiğin cevabın gerekçesini de aynı sesle savun. Puanını not et, sonraki sahneye geç. Sonunda debrief bölümüne git.

Sahne 1: Açılış (CISO)

CISO, toplantıyı açıyor: “Elimizde zaten bir crypto-agility programı var, PQC için ayrı bir bütçe neden gerekli?”

• A) “PQC bambaşka bir konu, ayrı bir bütçe ve ayrı bir ekip gerekiyor.” (0 puan: M12’nin dersini kaçırıyorsun, crypto-agility genel bir disiplin, PQC bu disiplinin ilk büyük gerçek testi)
• B) “Mevcut crypto-agility programınız, PQC migrasyonunun (bu disiplinin ilk büyük gerçek kullanım durumu olarak) temelini oluşturuyor; asıl fark, bu migrasyonun ölçeği ve regülasyon takvimi (M11).” (2 puan: M12 ve M11’i doğru bağlıyorsun)
• C) “Kuantum bilgisayarlar henüz yok, acele etmeye gerek yok.” (-1 puan: HNDL tehdidini, M1’i tamamen gözden kaçırıyorsun)

A veya C seçtiysen (0 veya -1 puan): CISO’nun yüzü asılıyor, “o zaman bu toplantı neden var” diye soruyor. Devam etmeden önce, M1’in HNDL/Mosca dersini ve M12’nin crypto-agility’nin kapsamını bir cümlede kendine hatırlat, sonra Sahne 2’ye geç. B seçtiysen, doğrudan Sahne 2’ye geç.

Sahne 2: Mimar itirazı

Baş mimar araya giriyor: “Hybrid key exchange kullanacaksak, neden sadece ML-KEM kullanmıyoruz, ekstra karmaşıklık niye?”

• A) “Haklısınız, ML-KEM tek başına yeterli, hybrid gereksiz.” (-1 puan: M6’nın downgrade/karmaşıklık riski dersini kaçırıyorsun, klasik algoritma bir güvenlik ağı sağlıyor)
• B) “Hybrid, ML-KEM’in matematiksel temeli beklenmedik şekilde zayıflarsa bile klasik tarafın güvenliği koruduğu bir güvenlik ağı; BSI ve ANSSI bu yüzden hybrid’i zorunlu koşuyor, NSA/CNSA 2.0 ise pure’a izin veriyor.” (2 puan: M6’yı doğru anlatıyorsun)
• C) “Bu bir standart gereksinim, tartışmaya açık değil.” (0 puan: teknik gerekçe vermeden otorite argümanına başvuruyorsun, mimarı ikna etmez)

A veya C seçtiysen (-1 veya 0 puan): mimar bir sonraki soruya geçmeden önce gözlerini deviriyor, sana güvenmiyor. M6’nın downgrade/karmaşıklık riski dersini bir cümlede kendine hatırlat, sonra Sahne 3’e geç. B seçtiysen, doğrudan Sahne 3’e geç.

Sahne 3: CFO müdahalesi

CFO araya giriyor: “Bu maliyetin tek bir toplam rakamını istiyorum, aralık değil.”

• A) “Tek bir rakam veremem, çünkü tek bir doğru rakam yok.” (1 puan: doğru ilke ama gerekçesiz, CFO’yu ikna etmez)
• B) “İşte aralığımız ve her bileşenin varsayımı (M13); geçmişte tek bir ‘kesin’ rakam veren yaklaşımların (bu kursun kendi kaynak materyalindeki dört çelişkili CAPEX rakamı gibi) neden başarısız olduğunu gösterebilirim.” (2 puan: M13’ün provenance dersini somut bir örnekle destekliyorsun)
• C) “Tamam, orta noktayı tek rakam olarak verelim.” (-1 puan: M13’ün tam uyardığı yanlış kesinlik hatasını kendin yapıyorsun)

A veya C seçtiysen (1 veya -1 puan): CFO “bana somut bir örnek göster” diye ısrar ediyor. M13’ün maliyet dersindeki dört çelişkili CAPEX rakamını bir cümlede kendine hatırlat, sonra Sahne 4’e geç. B seçtiysen, doğrudan Sahne 4’e geç.

Sahne 4: Denetçi sorusu

Denetçi soruyor: “HSM’leriniz PQC’yi destekliyor mu, vendor öyle diyor diye mi biliyorsunuz?”

• A) “Vendor garanti verdi, yeterli.” (-1 puan: M9’un CAVP/CMVP ayrımını, “vendor diyor” ile “bağımsız doğrulandı” farkını kaçırıyorsun)
• B) “CAVP algoritma testinden geçti, CMVP modül sertifikası şu an bekliyor; bu ayrımı canlı CMVP veritabanından doğrulayabilirim.” (2 puan: M9’u doğru, somut olarak anlatıyorsun)
• C) “HSM konusu benim uzmanlık alanım değil.” (0 puan: doğru ama pasif, denetçiye güven vermiyor)

A veya C seçtiysen (-1 veya 0 puan): denetçi notunu alıyor, “bu maddeyi işaretliyorum” diyor. M9’un CAVP/CMVP ayrımını bir cümlede kendine hatırlat, sonra Sahne 5’e geç. B seçtiysen, doğrudan Sahne 5’e geç.

Sahne 5: Vendor’ın kendisi araya giriyor

Toplantıya davet edilen bir HSM vendor’ı: “Ürünümüz zaten kuantum-güvenli, rakiplerimiz henüz değil, biz öndeyiz.”

• A) “Harika, bu iddiaya güveniyoruz.” (-1 puan: M13’ün vendor lock-in dersini, bağımsız doğrulama gerekliliğini kaçırıyorsun)
• B) “Hangi standardı, hangi statüde destekliyorsunuz, somut bir sürüm/tarih taahhüdünüz var mı?” (2 puan: M13 ve M5’in statü disiplinini doğru uyguluyorsun)
• C) “Rakibinizin durumuyla ilgilenmiyoruz, sadece kendi ürününüzü değerlendiriyoruz.” (1 puan: doğru sınır çizgisi ama vendor’ın kendi iddiasını sorgulamıyorsun)

A seçtiysen (-1 puan): vendor bir sonraki toplantıda hâlâ somut bir tarih vermeden aynı iddiayı tekrarlıyor. M13’ün vendor lock-in dersini bir cümlede kendine hatırlat. B veya C seçtiysen, doğrudan debrief’e geç.

Debrief: puanını değerlendir

Toplam puanın (aralık: -5 ile 10 arası, her sahnenin en zayıf seçeneği -1 puan):

• 8-10: Güçlü performans. Workshop’un tüm ana ayrımlarını (crypto-agility’nin kapsamı, hybrid’in gerekçesi, maliyet provenance disiplini, CAVP/CMVP ayrımı, vendor iddialarını sorgulama) doğru uyguladın. Gerçek bir workshop’a hazırsın, ama tek bir senaryonun tüm çeşitliliği kapsamadığını unutma.
• 4-7: Orta düzey. En az bir sahnede zayıf kaldın; hangi sahnede puan kaybettiysen, o sahnenin işaret ettiği modülü (M12 crypto-agility, M6 hybrid, M13 maliyet/vendor, M9 CAVP/CMVP) tekrar gözden geçir.
• 3 veya altı (negatif puanlar dahil): Bu bölümleri tekrar et. Muhtemelen birden fazla temel ayrımı (crypto-agility’nin kapsamı, provenance disiplini, vendor iddialarının bağımsız doğrulanması gerekliliği) karıştırıyorsun; M12, M13, ve M9’un ilgili derslerine geri dön, sonra workshop’u tekrar oyna.

Hangi puanı aldığından bağımsız olarak, bu workshop’un asıl amacı bir final sınavı değil, bir provaydı: gerçek bir toplantıda karşılaşacağın karar noktalarının bir örneğini, risk olmayan bir ortamda yaşadın. Bir sonraki (ve M15’in son) dersinde, bu hazırlığın ticari çerçevesini (kapsam, teslimat, fiyatlama) kuracaksın.