CMMI Level 5: Kimlik ve Güvenliğe Mühendislik Güveni Kazandırmak

Donanım ve yazılım, aynı güven mimarisinin farklı katmanlarıdır.

Fiziki ve siber güvenlik temelde; erişim, yetkilendirme ve denetim üçgeninde sağlanır. Güvenlik altyapısı ise donanım ve entegre yazılım teknolojilerine bağımlıdır. Bu ortamda ihtiyaç duyulan uçtan uca güvenlik altyapısının kurulabilmesi için gereken mühendislik olgunluk, yalnızca yazılım katmanına değil, uçtan uca siber-fiziksel ürün yaşam döngüsüne yayılmalıdır.

CMMI (Capability Maturity Model Integration), kurumsal yetkinliği, mühendislik performansını ve teslimat öngörülebilirliğini geliştirmek için dünya çapında kabul gören bir çerçevedir. Kökeninde son derece pratik bir tedarik ve tedarikçi riski problemi vardır: büyük teknoloji programları, bir mühendislik kuruluşunun yalnızca tek bir başarılı prototip göstermekle kalmayıp karmaşık sistemleri tekrar tekrar güvenilir biçimde teslim edip edemeyeceğini değerlendirmek için güvenilir bir yönteme ihtiyaç duyuyordu. ABD Savunma Bakanlığı bu ihtiyaca yanıt vermek üzere 1987 yılında Carnegie Mellon Üniversitesi Software Engineering Institute ile çalışmaya başladı.

İlk Software Capability Maturity Model (Software CMM) 1991 yılında yayımlandı. 2000 yılında ise farklı yetkinlik disiplinlerini ortak bir olgunluk modeli altında birleştiren entegre CMMI çerçevesi geldi.

Bu dönüşüm önemlidir. Başlangıçtaki problem yazılım tedariki ve geliştirmesinden doğmuş olsa da modern mühendislik artık yazılım, donanım, firmware, elektronik, siber güvenlik, üretim ve yaşam döngüsü disiplinlerinin koordineli biçimde yönetilmesine dayanmaktadır.

Müşteri açısından CMMI’nin temel konusu kalite ve güven süreçlerinde tekrarlanabilirlik ve kurumsal yetkinliktir. Projeler, mühendislerin yetersizliğinden değil; gereksinimlerin, değişikliklerin, hataların, tedarikçilerin, doğrulamanın, takvimlerin, risklerin ve kalitenin kurum genelinde tutarlı biçimde yönetilememesi nedeniyle kesintiye uğrar. CMMI, bu yetkinliklerin tanımlı, ölçülebilir, kontrollü ve sürekli iyileştirilen bir yapıda olup olmadığını değerlendirmek için sistematik bir çerçeve sunar.

Bu nedenle CMMI, ürünün kendisini değil, ürünü geliştiren mühendislik organizasyonunun ve geliştirme işletim sisteminin olgunluğunu değerlendirir. Gereksinimlerin, mühendislik değişikliklerinin, kalitenin, riskin, ölçümün, hataların, doğrulamanın ve sürekli iyileştirmenin nasıl yönetildiğine bakar. CMMI bir ürün sertifikasyonu değildir. Seviye 5 değerlendirmesi, her ürünün otomatik olarak ‘CMMI sertifikalı’ olduğu anlamına gelmez; tanımlanmış kapsam içindeki organizasyon biriminin CMMI modelindeki en yüksek olgunluk seviyesini gösterdiği anlamına gelir.

Zaman içinde yaşanan değişim de en az bunun kadar önemlidir. CMMI, başlangıçtaki yazılım merkezli olgunluk modelinden gelişerek geliştirme ve kurumsal performansı kapsayan daha geniş bir çerçeveye dönüşmüştür. Bu evrim, yazılım, donanım, firmware, kriptografi, elektronik, üretim ve yaşam döngüsü mühendisliğinin tek bir kontrollü sistem gibi çalışması gereken günümüzün siber-fiziksel güvenlik ürünleri açısından CMMI’yi özellikle anlamlı hale getirmektedir.

Olgunluk Seviyesi 5 ne anlama gelir?

Seviye 5 – Optimizing – en yüksek olgunluk seviyesidir. Bu aşamada bir kuruluş yalnızca işi standartlaştırmak veya ölçmekle kalmaz; nicel anlayış, kök neden analizi ve sürekli iyileştirme yöntemlerini kullanarak performansı optimize eder ve problemlerin tekrarlanma olasılığını azaltır.

Müşteri açısından ML5; tepkisel yaklaşımdan önleyici yaklaşıma, bireysel yargıdan veriye dayalı kararlara ve süreç uyumundan sürekli optimizasyona geçişi ifade eder. Amaç bürokrasi yaratmak değil; daha hızlı öğrenen, tekrarlayan sorunları önleyen ve ölçeklenebilir inovasyonu destekleyen istikrarlı ve ölçülebilir bir mühendislik ortamı oluşturmaktır.

Sertifika kapsamı açık ve tartışmasız biçimde ortaya koyuyor

Ones Technology’ye tevdi edilen sertifika birçok açıdan önemlidir. Geçici veya yorumlanabilir bir konumlandırmanın yerine, uzun değerlendirmeler sonucunda resmi ve imzalı biçimde belgelenmiş bir durum tespitini içermektedir. Sertifikada Ones Bilgi Teknolojileri adı yer almakta, “Software R&D and Hardware R&D Departments” kapsamı açıkça belirtilmekte, Benchmark Appraisal kaydedilmekte ve CMMI Development modeli altında Maturity Level 5 sonucu ifade edilmektedir. Sertifika ayrıca Appraisal ID #83891 numarasını taşımakta ve CMMI Institute Certified High Maturity Lead Appraiser Pascal Rabbath tarafından imzalanmış bulunmaktadır.

Official CMMI certificate — Benchmark Appraisal completed 4 September 2026, Appraisal ID #83891.

Ones Technology’nin güncel CMMI Development Maturity Level 5 Benchmark Appraisal kapsamı hem Yazılım AR-GE hem de Donanım AR-GE birimlerini açıkça içermektedir. Bu ifade, genel bir “Ones Technology CMMI Level 5’tir” söyleminden çok daha güçlü ve net bir durum tespiti içermektedir.

Ones Technology sonucu, kamuya açık güvenlik pazarı verileriyle nasıl karşılaştırılıyor?

CMMI; global güvenlik, kimlik, bina teknolojileri ve görev-kritik mühendislik alanlarında zaten önemli bir referanstır. Ancak bir kuruluşun değerlendirmesine ilişkin kamuya açık kapsam ifadesi belirleyicidir. Bir şirket çok gelişmiş donanımlar üretebilir; buna karşın yayımlanmış CMMI kapsamı yalnızca yazılım odaklı olabilir. Müşteriler açısından bu ayrım önemlidir; çünkü CMMI soyut biçimde şirket markasına değil, tanımlanmış bir organizasyon kapsamına uygulanır.

Sektör temsilcileri arasında yahut müşteri kanadında “CMMI Level 5 sahibi tek güvenlik şirketi Ones Technology değildir” yönünde bir düşünce oluşabilir. Ancak resmi dayanağa sahip daha güçlü ve savunulabilir ifade şu olmalıdır; “Ones Technology’nin hem Yazılım AR-GE hem de Donanım AR-GE birimlerini kapsayan olağanüstü açık ve güncel bir ML5 değerlendirme kapsamına sahip olduğu, incelenen en yakın kamuya açık karşılaştırma örneklerinin ise genel olarak yazılım-merkezli olduğu bir gerçektir”.

Türkiye’de CMMI Seviye 5 neden daha da güçlü bir farklılaşma yaratıyor?

7 Eylül 2026 itibarıyla incelenen kamuya açık CMMI/PARS ve kurumsal kaynaklar, Türkiye’de aktif yüksek olgunluk tablosunun son derece sınırlı olduğunu göstermektedir. Ones Technology dışında MilSOFT, 2025 sonunda CMMI v3.0 Maturity Level 5 değerlendirmesini yeniden tamamladığını kamuya açık olarak duyurmuştur. MilSOFT’un kendi açıklamaları ve kalite sistemi anlatımı CMMI’yi ağırlıklı olarak yazılım geliştirme ve yazılım mühendisliği süreçleri bağlamında konumlandırmaktadır.

TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü (YTE) geçmişte CMMI v2.0 Maturity Level 5’e ulaşmış ve bunu yazılım geliştirme yetkinliği üzerinden duyurmuştur. Ancak CMMI Institute politikalarına göre Benchmark/Sustainment değerlendirmeleri üç yıllık geçerlilik süresine sahiptir ve süresi biten kayıtlar PARS’tan kaldırılır. İncelenen kaynaklarda TÜBİTAK BİLGEM YTE için güncel bir yenileme sonucu tespit edilmediğinden, geçmişteki ML5 başarısı güncel aktif değerlendirme olarak kullanılmamalıdır.

ASELSAN’ın 2025 Sürdürülebilirlik Raporu ise CMMI-DEV v2.0 Capability Maturity Model Integration Level 3 seviyesini açıkça listelemektedir. Bu karşılaştırma, Türkiye’nin en büyük ve en gelişmiş savunma sanayii kuruluşlarından birinde dahi kamuya açık CMMI seviyesinin ML3 olduğunu göstermesi açısından dikkat çekicidir.

Bu nedenlerle Ones Technology için en güçlü ve savunulabilir Türkiye konumlandırması şudur:

“Ones Technology, Türkiye’de aktif CMMI Development ML5 değerlendirmesine sahip son derece az sayıdaki kuruluştan biridir ve incelenen kamuya açık kanıtlar içinde resmi sertifikasında hem Yazılım AR-GE hem de Donanım AR-GE birimlerini birlikte ve açıkça kapsayan tek örnek olarak ayrışmaktadır.”

MilSOFT’un kamuya açık anlatımı yazılım ağırlıklıdır; TÜBİTAK YTE’nin geçmiş ML5 kapsamı da yazılım teknolojileri/yazılım geliştirme odaklıdır.

Modern güvenlikte neden donanım + yazılım olgunluğu birlikte önemlidir?

Modern güvenlik ürünleri siber-fiziksel sistemlerdir. Güvenilirlik; elektronik, gömülü yazılım, kriptografi, credential protokolleri, biyometrik işleme, sensörler, API’ler, kimlik politikaları, bulut veya on-premise yazılım, üretim kararları ve saha yaşam döngüsü yönetiminin birlikte nasıl çalıştığına bağlıdır. Bu katmanlardan herhangi birindeki zayıflık, çözümün tamamının güvenliğini veya kullanılabilirliğini etkileyebilir.

Entegre olgunluk neyi değiştirir?

Gereksinimler katmanlar arasında izlenebilir hale gelir

Credential, biyometri, kasa, firmware veya API’deki bir değişiklik; izole bir mühendislik işi olarak değil, sistem seviyesi gereksinimlere etkisiyle birlikte değerlendirilebilir.

Değişiklik kontrollü hale gelir

Donanım revizyonları, firmware sürümleri, kriptografik değişiklikler, bileşen ikameleri ve uygulama güncellemeleri ortak bir mühendislik yönetişim sistemi altında yönetilebilir.

Doğrulama uçtan uca hale gelir

Validasyon yalnızca yazılım fonksiyonalitesiyle sınırlı kalmaz. Bileşen davranışı, cihaz performansı, birlikte çalışabilirlik, siber güvenlik ve saha geri bildirimi aynı iyileştirme döngüsüne bağlanabilir.

Öğrenme tekrarlanabilir hale gelir

Kök neden analizi ve nicel performans yönetimi, bireysel uzmanlığa bağımlılığı azaltır ve ürün nesilleri boyunca tekrarlayan hataların önlenmesine yardımcı olur.

Bu, tedarik ve teslimat açısından ne anlama gelir?

CMMI ML5 dekoratif bir sertifika gibi konumlandırılmamalıdır. Asıl pratik değeri; özellikle uzun ömürlü, yüksek entegrasyonlu, özelleştirilmiş, regülasyona tabi veya görev-kritik projelerde müşterilere ve teknoloji ortaklarına ürünün arkasındaki organizasyon hakkında ilave bir güven katmanı sağlamasıdır.

Gereksinimden yaşam döngüsüne mühendislik zinciri

Gereksinimler → Mimari → Elektronik ve Endüstriyel Tasarım → Donanım / Firmware → Biyometri ve Credential Entegrasyonu → Yazılım / API’ler → Verification & Validation → Üretim Mühendisliği → Saha Geri Bildirimi → Yaşam Döngüsü Desteği → Nicel İyileştirme

Yüksek güvence arayan müşteriler açısından bu yaklaşım, sıklıkla birbirine karıştırılan iki soruyu ayırmaya da yardımcı olur. Ürün sertifikaları ve performans kanıtları, belirli bir ürünün veya algoritmanın teknik gereksinimleri karşılayıp karşılamadığını gösterir. CMMI ise tedarikçi kuruluşun arkasında olgun ve sürekli gelişen bir mühendislik sistemi bulunup bulunmadığını gösterir. Güçlü bir tedarik yaklaşımı her ikisini de aramalıdır.

Güvenlik, birleşik ve kimlik-merkezli hale geliyor

Güvenlik pazarı, birbirinden kopuk cihazlardan kimlik-merkezli mimarilere doğru ilerlemektedir. Fiziksel erişim kontrolü, biyometri, akıllı kartlar, mobil credential’lar, parolasız doğrulama, ziyaretçi kimliği, mantıksal erişim, video/güvenlik analitiği ve kurumsal kimlik giderek aynı kullanıcı ve aynı güven kararının etrafında birleşmektedir.

Bu yakınsama mühendislik yükünü artırmaktadır. Bir kart okuyucu; güvenli donanım, credential kriptografisi, gömülü firmware, mobil provizyonlama, PKI/FIDO servisleri, geçiş kontrol panelleri, bulut API’leri ve kimlik politikalarına bağımlı olabilir. Bir biyometrik iş akışı ise sensörlere, liveness/PAD’e, gizlilik mimarisine, template yönetimine, cihaz içi veya secure-element mantığına, kullanıcı rızasına ve backend entegrasyonuna bağlı olabilir. Dolayısıyla ürün tek bir bileşen değildir; tüm sistemin birlikte ortaya koyduğu davranıştır.

Müşteriler hâlâ hangi okuyucuyu, credential’ı, biyometrik terminali veya yazılım platformunu satın almaları gerektiğini soruyor. Ancak giderek daha fazla, tedarikçinin tüm güven zincirini donanım ve yazılım boyunca tutarlı bir disiplinle tasarlayıp doğrulayabildiğini ve geliştirebildiğini de sorgulamak zorundalar.

Ones Technology açısından CMMI ML5 tam olarak burada şirketin identity-first teknoloji stratejisini desteklemektedir. Biyometrik uç noktalar, credential teknolojileri, secure I/O, mobil kimlik ve birleşik platformlar gibi ürünler aynı mimarinin farklı katmanlarında konumlanır. Değerlendirme bu ürünleri tek tek sertifikalandırmaz; onları geliştiren ve evrimleştiren AR-GE organizasyonunun değerlendirilmiş kapsam içinde CMMI’nin en yüksek olgunluk seviyesinde çalıştığına dair bağımsız kanıt sunar.

Stratejik Sonuç

Ones Technology kendisini yalnızca bir ürün tedarikçisi olarak değil; yeni nesil kimlik ve güvenlik gereksinimlerini mimariden ürün geliştirmeye, validasyondan endüstrileştirmeye ve sürekli yaşam döngüsü iyileştirmesine taşıyabilen yüksek olgunlukta bir mühendislik ortağı olarak güvenilir biçimde konumlandırabilir. Bu özellikle müşterilerin ürünlerin uzun yıllar güvenli ve desteklenebilir kalmasını beklediği; protokollerin, bileşenlerin, siber tehditlerin ve kimlik standartlarının sürekli evrildiği ortamlarda kritik önem taşır.

İnovasyon ödüllendirildi. Mühendislik olgunluğu doğrulandı.

CMMI Olgunluk Seviyesi 5, bürokrasi veya süreçlerin kendi başına amaç haline gelmesi olarak yorumlanmamalıdır. En yüksek olgunluk seviyesinde hedef, sürekli gelişebilen istikrarlı ve ölçülebilir bir mühendislik ortamıdır. Ones Technology açısından bu yetkinlik, Ar-Ge organizasyonunun geliştirdiği ürünlerin uluslararası ve bağımsız platformlarda aldığı ödüllerle birlikte değerlendirildiğinde daha da anlamlı hale gelmektedir.

Uluslararası ödüller Ones Technology’nin ortaya çıkardığı farklılaştırılmış ürünleri, mimarileri, tasarım kalitesini ve güvenlik inovasyonunu takdir eder. CMMI Development Maturity Level 5 ise bu ürünleri geliştiren, endüstrileştiren, ölçen, iyileştiren ve sürdüren mühendislik organizasyonunun ve süreçlerin olgunluğunu gösterir. Birlikte değerlendirildiğinde Ones Technology’nin gerçek bir AR-GE ve inovasyon merkezi olarak konumlanmasını destekler.

Son müşteriler için bu, inovasyonun disiplinli mühendislik ile desteklenmesi anlamına gelir. OEM/ODM ortakları için ise gelecekteki bir ürünü geliştirme sorumluluğunu üstlenen organizasyonun kanıtlanmış inovasyon yetkinliğini donanım ve yazılımı birlikte kapsayan yüksek olgunlukta bir geliştirme çerçevesiyle birleştirdiğini gösterir.

Tek başına “CMMI Level 5” ifadesinden daha güçlü bir kanıt

Bu başarının pazara dönük önemi yalnızca Ones Technology’nin CMMI Olgunluk Seviyesi 5’e ulaşmış olması değildir. Daha güçlü mesaj, 2026 tarihli resmi Benchmark Appraisal’ın değerlendirilmiş organizasyon birimi içinde hem Software R&D hem de Hardware R&D Departments kapsamını açıkça tanımlamasıdır.

Bu kapsam, modern güvenlik mühendisliğinin gerçekliğiyle doğrudan örtüşmektedir. Kimlik ve erişim kontrol sistemleri; güvenli elektronik, sensörler, credential’lar, kriptografi, firmware, biyometrik işleme, uygulamalar, API’ler, kurumsal kimlik ve yaşam döngüsü servisleri gibi birbirine sıkı bağlı donanım ve yazılım katmanlarından oluşmaktadır. Müşteriler yalnızca bu katmanlardan birini optimize ederek güvenilir bir güvenlik sistemi elde edemez.

Ones Technology yazılım ve donanım birimlerini ve bu birimlerde yürütülen projeleri kapsayan Benchmark Appraisal sonucunda CMMI Development Maturity Level 5 seviyesine ulaşmıştır. Bu sonuç, Ones Technology’nin entegre kimlik ve güvenlik teknolojilerinin arkasında inovasyonu disiplinli, ölçülebilir ve sürekli gelişen bir geliştirme yetkinliğiyle birleştiren yüksek olgunlukta bir mühendislik organizasyonu bulunduğuna dair bağımsız kanıt sunmaktadır.

Seçilmiş kamuya açık kaynaklar

Official Ones Technology CMMI certificate — Benchmark Appraisal completed 4 September 2026; Software R&D and Hardware R&D Departments; Maturity Level 5; Appraisal ID #83891.

CMMI Institute / ISACA – company / heritage – History of the model, including the 1987 U.S. Department of Defense engagement with Carnegie Mellon and the 1991 Software CMM milestone. https://dev.cmmiinstitute.com/company

CMMI Institute / ISACA — CMMI maturity levels — Official description of maturity levels, including Level 5 — Optimizing. https://cmmiinstitute.com/learning/appraisals/levels

CMMI Institute / ISACA — appraisal types and results — Official information on appraisal types, published results and validity. https://www.cmmiinstitute.com/learning/appraisals/types

Carnegie Mellon University Software Engineering Institute — CMMI history and the evolution from Software CMM to integrated models. https://sei.cmu.edu/library/cmmi-a-short-history/

CMMI Institute — Honeywell public coverage — Public coverage of Honeywell global software divisions reaching ML5. https://cmmiinstitute.com/news/coverage/100-of-honeywell-s-global-software-divisions-comp

ZKTeco — corporate accreditation / product materials — Public company materials citing CMMI Level 5 and software-development maturity. https://www.zkteco.com/en/about_us

IDEMIA National Security Solutions — Public announcement of CMMI Level 3 re-certification in September 2025. https://www.idemia.com/press-release/idemia-national-security-solutions-achieves-re-certification-isacas-capability-maturity-model-integration-cmmi-level-3-2025-09-23/

Security Industry Association — SIA NPS Awards — Public award announcements relevant to Ones Technology. https://www.securityindustry.org/

European Product Design Award — BioAffix NextBadge — Public winner record. https://www.productdesignaward.eu/

Ones Technology — awards — Corporate awards record. https://ones.com.tr/about-ones-technology/