Zihinsel model
M15’in önceki üç dersinde itirazlara cevap vermeyi, iki farklı anlatı kurmayı, ve bir workshop yönetmeyi öğrendin. Bu son ders, bütün bunların ticari çerçevesini kuruyor: bir PQC hazırlık değerlendirmesini nasıl kapsamlandırır, aşamalandırır, ve fiyatlandırırsın.
Kapsam iskeleti: dört adım, gerçek bir kaynaktan
CISA, NSA, ve NIST'in 2023'te birlikte yayımladığı kısa bir factsheetSOURCED, dört adımlı bir hazırlık kontrol listesi veriyor: (1) bir kuantum-hazırlık yol haritası kurmak, (2) bir kripto envanteri çıkarmak (M12’nin beş katmanlı keşfi), (3) teknoloji tedarikçileriyle kuantum-güvenli yol haritalarını görüşmek (M13’ün vendor questionnaire’ı), (4) tedarik zincirinin kuantum-hazırlığını belirlemek (M13’ün vendor lock-in dersi). Bu liste, bir hazırlık değerlendirmesinin başlıklarını veriyor, ama kendisi bir fiyatlama veya efor tahmini metodolojisi değil, sadece dört maddelik kısa bir kontrol listesi.
Dürüst not: Bu factsheet’in birincil PDF’i (media.defense.gov) bu kurs için doğrudan erişilemedi, sunucu otomatik erişimi engelliyor (Access Denied), M6/M15’in diğer derslerinde karşılaşılan aynı erişim engeli; dört maddelik metin, birbirini doğrulayan ikincil kaynaklardan yüksek güvenle aktarılıyor, ama bu oturumda birincil PDF’ten doğrudan doğrulanmadı.
Önemli bir dürüstlük notu: NIST’in bu alandaki daha kapsamlı rehber serisi, SP 1800-38A/B/C, NCCoE'nin kendi proje sayfasına göreSOURCED, hâlâ DRAFT statüsünde, hiç finalize edilmedi. Bu belgelerin hiçbiri (38A’nın kendisi 5 sayfalık bir yönetici özeti, 38B/38C daha teknik ama yine de bir danışmanlık angajmanının kapsam/efor/fiyatlama mekaniğini içermiyor) bu dersin metodolojisinin kaynağı değil; bu dersin geri kalanı, dört adımlı kontrol listesinin üzerine, bu kursun kendi kapsam/fiyatlama sentezini inşa ediyor.
Dört adımı somut teslimatlara çevirmek
Her adımın altına, M15’in daha önceki derslerinden ve M12-M13’ten gelen somut bir teslimat konur:
- Yol haritası kurmak → M13’ün üç ufuklu (H1/H2/H3) roadmap’i, bağımlılık grafiğiyle birlikte, bir teslimat belgesi olarak.
- Kripto envanteri → M12’nin beş katmanlı keşif metodolojisiyle üretilmiş bir CBOM, bir teslimat belgesi olarak.
- Tedarikçi görüşmeleri → M13’ün vendor questionnaire’ının doldurulmuş hali, her kritik tedarikçi için, bir teslimat belgesi olarak.
- Tedarik zinciri hazırlığı → M13’ün vendor lock-in analiziyle birlikte, bir risk özeti, bir teslimat belgesi olarak.
Bu dört teslimata ek olarak, M15’in kendi içeriğinden gelen bir beşinci teslimat: bir yönetici sunumu ve bir teknik derinlemesine sunum (bir önceki ders), ve varsa gerçekleştirilmiş bir mock workshop’un debrief raporu.
Efor tahmini ve fiyatlama: aralık, sahte kesinlik değil
Her teslimatın kaç güne mal olacağı, bankanın büyüklüğüne (sistem sayısı, sertifika envanteri, tedarikçi sayısı) bağlı; bu yüzden M13’ün maliyet metodolojisiyle aynı disiplin burada da geçerli: tek bir “toplam fiyat” yerine, her adım için bir gün aralığı, her aralığın hangi varsayıma dayandığı açıkça yazılır (örneğin “kripto envanteri: 5-15 gün, varsayım: 50-500 arası internet-yüzeyli sistem”). Toplam fiyat, gün-sayısı aralığı çarpı günlük oran formülüyle DERIVED olarak hesaplanır, kendisi bir SOURCED veya MEASURED rakam değil.
Bu yaklaşımın müşteriye sunumu, bir önceki dersin yönetici anlatısı ilkesini izler: sonuçla başla (“bu değerlendirme X-Y gün sürer, Z-W TL aralığında”), sonra her adımın varsayımını göster. Bir satın alma müdürü “bu rakamın kaynağı ne” diye sorduğunda, cevap “deneyimime göre” değil, “işte dört adımın her biri için varsayımım, işte formülüm, işte kendi bankanızın parametrelerine göre nasıl değişeceği” olmalı, tam olarak M13’ün Maliyet Modeli aracının öğrettiği disiplin.
Bir örnek tablo (tamamen illüstratif, kendi bankanızın parametrelerine göre değişir, bir fiyat teklifi değil):
| Adım | Teslimat | Gün aralığı | Varsayım |
|---|---|---|---|
| 1. Yol haritası | H1/H2/H3 roadmap + bağımlılık grafiği | 5-10 | Tek bir ana sistem grubu, mevcut bir kripto envanteri yok |
| 2. Kripto envanteri | CBOM (M12) | 5-15 | 50-500 arası internet-yüzeyli sistem |
| 3. Tedarikçi görüşmeleri | Doldurulmuş vendor questionnaire’lar | 3-8 | 3-8 kritik tedarikçi |
| 4. Tedarik zinciri hazırlığı | Vendor lock-in risk özeti | 2-5 | Adım 3’ün çıktısına bağlı |
Toplam: 15-38 gün. İllüstratif bir günlük oranla (ör. 15.000 TL/gün, bu kursun önerdiği bir rakam değil, sadece formülü göstermek için), toplam 225.000-570.000 TL aralığında bir DERIVED rakam çıkar; bu aralık, tabloyu görmeyen bir müşteriye asla tek bir “kesin” sayı olarak sunulmaz.
Kapanış: M15’in bütünü
M13-M14’te bir migrasyon programının teknik ve yönetişim içeriğini, M15’te bu içeriği savunmayı, sunmayı, ve satmayı öğrendin. Bu dört ders (itiraz matrisi, sunum inşası, mock workshop, SoW), P4 capstone projenin ticari ve iletişimsel iskeletini oluşturuyor: artık sadece doğru cevabı bilmek değil, o cevabı doğru kişiye, doğru sırada, doğru fiyatla sunabilmek de bu kursun bir parçası.