
# AI Destekli Sürekli Kanıt Köken Defteri Satıcı Anket Denetimleri İçin

Güvenlik anketleri, B2B SaaS anlaşmalarının kapı bekçileri konumundadır. Tek bir belirsiz cevap bir sözleşmeyi durdurabilirken, iyi belgelenmiş bir yanıt görüşmelerin haftalar fazlasına kadar hızlanmasını sağlar. Ancak, bu cevapların arkasındaki manuel süreçler—politikaların toplanması, kanıtların çıkarılması ve yanıtların açıklanması—insan hataları, sürüm uyumsuzlukları ve denetim kabuslarıyla doludur.  

**Sürekli Kanıt Köken Defteri (CEPL)**, her anket cevabının ham kaynak belgeden son yapay zeka‑üretimli metne kadar tam yaşam döngüsünü yakalayan, yapay zeka‑güçlü, değişmez bir kayıttır. CEPL, dağınık politika, denetim raporu ve kontrol kanıtlarını, düzenleyicilerin ve ortakların sonsuz geri‑soru döngüsü olmadan güvenebileceği tutarlı, doğrulanabilir bir anlatıma dönüştürür.

Aşağıda CEPL’nin mimarisini, veri akışını ve pratik faydalarını inceleyecek ve Procurize’ın bu teknolojiyi nasıl entegre ederek uyum ekibinize keskin bir avantaj sağlayabileceğini göstereceğiz.

## Neden Geleneksel Kanıt Yönetimi Başarısız Olur

| Sorun | Geleneksel Yaklaşım | İş Üzerindeki Etki |
|-------|---------------------|-------------------|
| **Versiyon Kaosu** | Politikaların birden fazla kopyası ortak sürücülerde depolanır, genellikle senkronize değildir. | Tutarsız cevaplar, kaçırılan güncellemeler, uyumsuzluk boşlukları. |
| **Manuel İzlenebilirlik** | Ekipler her cevabı hangi belgenin desteklediğini manuel olarak not eder. | Zaman alıcı, hata eğilimli, denetim‑hazır belgeler nadiren hazırlanır. |
| **Denetlenebilirlik Eksikliği** | Kim ne zaman neyi düzenlediğine dair değiştirilemez bir kayıt yok. | Denetçiler “kökeni kanıtlayın” talep eder, gecikmelere ve kaybedilen anlaşmalara neden olur. |
| **Ölçeklenebilirlik Sınırlamaları** | Yeni anketler eklemek, kanıt haritasını yeniden inşa etmeyi gerektirir. | Satıcı tabanı büyüdükçe operasyonel darboğazlar. |

Bu eksiklikler, yapay zekanın yanıt üretmesiyle daha da büyür. Güvenilir bir kaynak zinciri olmadan, AI‑tarafından oluşturulan cevaplar “kara kutu” çıktısı olarak reddedilir ve vaat ettikleri hız avantajı ortadan kalkar.

## Temel Fikir: Her Kanıt Parçası İçin Değişmez Köken

Köken defteri, **kim**, **ne**, **ne zaman** ve **neden** sorularına yanıt veren kronolojik, müdahale‑kanıtlı bir günlük kayıttır. Üretken AI’yı bu deftere entegre ederek iki temel hedefe ulaşırız:

1. **İzlenebilirlik** – Her AI‑tarafından üretilen cevap, onu ortaya çıkaran kesin kaynak belgeler, açıklamalar ve dönüşüm adımlarıyla ilişkilendirilir.  
2. **Bütünlük** – Kriptografik hash’ler ve Merkle ağaçları, defterin değiştirilemez olduğunu garantiler.

Sonuç, denetçiler, ortaklar veya iç inceleme yapanlar tarafından saniyeler içinde sunulabilecek **tek bir gerçek kaynak**dır.

## Mimari Plan

Aşağıda CEPL bileşenlerini ve veri akışını gösteren yüksek‑seviyeli bir Mermaid diyagramı bulunmaktadır.

```mermaid
graph TD
    A["Kaynak Deposu"] --> B["Belge İşleyici"]
    B --> C["Hash ve Depolama (Değişmez Depolama)"]
    C --> D["Kanıt Dizini (Vektör DB)"]
    D --> E["AI Getirme Motoru"]
    E --> F["Prompt Oluşturucu"]
    F --> G["Üretken LLM"]
    G --> H["Cevap Taslağı"]
    H --> I["Köken İzleyici"]
    I --> J["Köken Defteri"]
    J --> K["Denetim Görüntüleyici"]
    style A fill:#ffebcc,stroke:#333,stroke-width:2px
    style J fill:#cce5ff,stroke:#333,stroke-width:2px
    style K fill:#e2f0d9,stroke:#333,stroke-width:2px
```

**Bileşen Genel Bakışı**

| Bileşen | Rol |
|--------|-----|
| **Kaynak Deposu** | Politikalar, denetim raporları, risk kayıtları ve destekleyici belgeler için merkezi depolama. |
| **Belge İşleyici** | PDF, DOCX, markdown dosyalarını ayrıştırır ve yapılandırılmış meta verileri çıkarır. |
| **Hash ve Depolama** | Her eser için SHA‑256 hash üretir ve değiştirilemez nesne deposuna (ör. AWS S3 Object Lock) yazar. |
| **Kanıt Dizini** | Semantik benzerlik araması için gömüler vektör veri tabanında saklanır. |
| **AI Getirme Motoru** | Soruya en uygun kanıtları getirir. |
| **Prompt Oluşturucu** | Kanıt alıntılarını ve köken meta verilerini içeren bağlam‑zengin bir prompt oluşturur. |
| **Üretken LLM** | Uyumluluk kısıtlamalarına uyan doğal dil yanıtı üretir. |
| **Cevap Taslağı** | İlk AI çıktısı, insan‑döngüsü incelemesi için hazır. |
| **Köken İzleyici** | Taslağı oluşturmak için kullanılan her üst eser, hash ve dönüşüm adımını kaydeder. |
| **Köken Defteri** | Ekleme‑sadece günlük (ör. Hyperledger Fabric veya Merkle‑ağaç temelli çözüm). |
| **Denetim Görüntüleyici** | Denetçiler için yanıtı ve tam kanıt zincirini gösteren etkileşimli UI. |

## Adım‑Adım Yol Gösterimi

1. **Alım & Hash’leme** – Bir politika belgesi yüklendiğinde, Belge İşleyici metni çıkarır, SHA‑256 hash’i üretir ve hem ham dosyayı hem de hash’i değiştirilemez depoya yazar. Hash, Kanıt Dizini’ne hızlı arama için eklenir.  

2. **Semantik Getirme** – Yeni bir anket geldiğinde, AI Getirme Motoru vektör DB’ye benzerlik araması yaparak sorunun semantiğine en çok uyan N kanıt öğesini döndürür.  

3. **Prompt Oluşturma** – Prompt Oluşturucu, her kanıt öğesinin alıntısını, hash’ini ve kısa bir atıfı (örn. “Policy‑Sec‑001, Bölüm 3.2”) yapılandırılmış bir LLM prompt’una ekler. Bu sayede model doğrudan kaynakları referans almayı öğrenir.  

4. **LLM Üretimi** – İnce ayarlanmış, uyumluluk‑odaklı bir LLM, sağlanan kanıtları referans gösteren bir taslak yanıt üretir. Prompt’taki açık atıflar, modelin “Policy‑Sec‑001’e göre …” gibi izlenebilir bir dil kullanmasını sağlar.  

5. **Köken Kaydı** – LLM prompt’u işlerken, Köken İzleyici şu bilgileri kaydeder:  
   - Prompt kimliği  
   - Kanıt hash’leri  
   - Model sürümü  
   - Zaman damgası  
   - Kullanıcı (reviewer bir edit yaptıysa)  

   Bu girdiler bir **Merkle yaprağı** olarak serileştirilir ve Könen Defteri’ne eklenir.  

6. **İnsan İncelemesi** – Uyum analisti taslağı gözden geçirir, kanıt ekler veya çıkarır ve yanıtı sonlandırır. Her manuel düzenleme, zincire ek bir defter girdisi ekleyerek tam edit geçmişini korur.  

7. **Denetim Dışa Aktarımı** – Denetim Görüntüleyici, son yanıtı, hiper‑bağlantılı kanıt listesi ve zincirin değiştirilmediğini kanıtlayan kriptografik kanıt (Merkle kökü) içeren tek bir PDF üretir.  

## Ölçülen Yararlar

| Metrik | CEPL Öncesi | CEPL Sonrası | İyileştirme |
|--------|--------------|---------------|-------------|
| Ortalama yanıt süresi | 4‑6 gün (manuel toplama) | 4‑6 saat (AI + otomatik izleme) | %90 yaklaşıklık azalma |
| Denetim yanıt çabası | 2‑3 gün manuel kanıt toplama | < 2 saat kanıt paketi oluşturma | %80 azalma |
| Alıntıdaki hata oranı | %12 (eksik veya hatalı referanslar) | %1 (hash‑doğrulamalı) | %92 azalma |
| Anlaşma hızı etkisi | %15 anlaşma anket dar boğazı nedeniyle gecikti | %5'ten az gecikme | %66 azalma |

Bu kazanımlar, kazanılan anlaşma oranlarının artması, uyum personel maliyetlerinin düşmesi ve şeffaflık itibarının yükselmesi anlamına gelir.

## Procurize ile Entegrasyon

Procurize, anketleri merkezi hâle getirerek görev yönlendirmesinde iyidir. CEPL’yi eklemek için üç entegrasyon noktası gerekir:

1. **Depolama Kancası** – Procurize’ın belge deposunu, CEPL’nin değiştirilemez depolama katmanına bağlayın.  
2. **AI Servis Uçt Noktası** – Prompt Oluşturucu ve LLM’i bir mikro‑servis olarak sunun; Procurize bir anket atandığında bu servise çağrı yapabilir.  
3. **Defter UI Uzantısı** – Denetim Görüntüleyiciyi, Procurize’ın anket detay sayfasına yeni bir sekme olarak gömün; kullanıcılar “Yanıt” ve “Köken” arasında geçiş yapabilsin.

Procurize’ın bileşen‑odaklı mimarisi sayesinde bu eklemeler kademeli olarak uygulanabilir; pilot ekiplerde başlayıp kurum genelinde ölçeklenebilir.

## Gerçek Dünya Kullanım Örnekleri

### 1. Büyük Bir Kurumsal Anlaşma İçin SaaS Satıcısı  
Kurumsal güvenlik ekibi **veri dinleme sırasında şifreleme** kanıtı istiyor. CEPL sayesinde uyum sorumlusu “Cevap Oluştur” butonuna tıkladığında, kesin şifreleme politikası (hash‑doğrulamalı) ve anahtar yönetimi denetim raporuna bağlantı içeren özlü bir açıklama alır. Kurumsal denetçi, Merkle kökünü dakikalar içinde doğrular ve yanıtı onaylar.

### 2. Düzenleyici Sektörlerde Sürekli İzleme  
Fintech platformu, **SOC 2 Type II** uyumluluğunu üç aylık periyotlarla kanıtlamalıdır. CEPL, aynı promptları en yeni denetim kanıtlarıyla otomatik yeniden çalıştırır, güncellenmiş yanıtları ve yeni bir defter girdisi üretir. Regülatör portalı, API aracılığıyla Merkle kökünü alır ve defterin bütünlüğünün bozulmadığını anında onaylar.

### 3. Olay Yanıtı Belgelenmesi  
Bir sahte saldırı tatbikatı sırasında güvenlik ekibi, **olay tespiti kontrolleri** hakkında hızlı bir anket yanıtı vermelidir. CEPL ilgili eylem planını çeker, kullanılan plan sürümünün bütünlüğünü kanıtlayan bir hash üretir ve “kara kutu” şüphesini ortadan kaldıran bir yanıt sunar.

## Güvenlik ve Gizlilik Hususları

- **Veri Gizliliği** – Kanıt dosyaları, müşteri‑yönetimli anahtarlarla şifrelenir; yalnızca yetkili roller içerikleri çözer.  
- **Zero‑Knowledge Proofs** – Aşırı hassas kanıtlar için, defter yalnızca varlık kanıtı (zero‑knowledge proof) saklar; denetçiler içeriği görmeden mevcut olduğunu doğrulayabilir.  
- **Erişim Kontrolleri** – Köken İzleyici, rol‑bazlı erişimi uygular; reviewerlar yanıtları düzenleyebilir, denetçiler yalnızca defteri görüntüleyebilir.

## Gelecek Geliştirmeler

1. **Ortaklar Arasında Federatif Defter** – Birden çok kuruluş, ortak kanıtları (ör. üçüncü‑taraf risk değerlendirmeleri) için birleşik bir köken defteri paylaşabilir; ancak her tarafın verisi kendi bölgesel veri havuzunda kalır.  
2. **Dinamik Politika Üretimi** – Defterin tarihsel verileriyle eğitilen meta‑model, tekrarlanan anket boşluklarına dayanarak politika önerileri sunar.  
3. **AI‑Destekli Anomali Algılama** – Defter, kanıt düzenlemelerindeki (ör. ani artan değişiklikler) olağandışı desenleri izleyerek uyum sorumlularına alarm verir.

## 5 Adımda Başlangıç

1. **Değiştirilemez Depolama Aktifleştir** – Yaz‑okunmaz, sadece okuma‑çok‑defa (WORM) politikalarıyla bir nesne deposu kurun.  
2. **Belge İşleyiciyi Bağla** – Mevcut politikaları Procurize API’si aracılığıyla CEPL borusuna yönlendirin.  
3. **Getirme & LLM Servisini Dağıt** – Uyumluluk‑odaklı bir LLM (ör. Azure OpenAI veri izolasyonu ile) yapılandırın ve prompt şablonunu ayarlayın.  
4. **Köken Kaydını Etkinleştir** – Köken İzleyici SDK’sını anket iş akışınıza entegre edin.  
5. **Ekibinizi Eğitin** – Denetim Görüntüleyiciyi okuma ve Merkle kanıtlarını yorumlama üzerine bir atölye düzenleyin.

Bu adımları izleyerek, “kağıt‑izleme kabusu”ndan **kriptografik olarak kanıtlanabilir uyum motoruna** geçiş yapabilir; güvenlik anketlerini bir darboğazdan rekabet avantajına dönüştürebilirsiniz.

---

## <span class='highlight-content'>Bak</span> Also

- [NIST SP 800‑37 Rev 2 – Risk Management Framework](https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/final)
- [ISO/IEC 27001:2022 – Information Security Management](https://www.iso.org/standard/73906.html)
- [OpenZeppelin – Merkle Tree Proofs for Auditable Data](https://docs.openzeppelin.com/contracts/4.x/api/utils#MerkleProof)
- [Microsoft Azure Confidential Computing Documentation](https://learn.microsoft.com/azure/confidential-computing/)