
# Gerçek Zamanlı Güvenlik Anketi Otomasyonu için AI‑Destekli Kanıt Yaşam Döngüsü Yönetimi

Güvenlik anketleri, tedarikçi risk değerlendirmeleri ve uyumluluk denetimleri ortak bir sorun noktasını paylaşır: **kanıt**. Şirketler doğru belgeyi bulmak, güncelliğini doğrulamak, düzenleyici standartlara uygunluğunu sağlamak ve son olarak yanıtına eklemek zorundadır. Geleneksel olarak bu iş akışı manuel, hata eğilimli ve maliyetlidir.  

Gelecek nesil uyumluluk platformları, **Procurize** örneğiyle, “belge depolama”nın ötesine geçerek **AI‑destekli kanıt yaşam döngüsü** sunar. Bu modelde kanıt statik bir dosya değil, **yakalanan, zenginleştirilen, sürümlenen ve kaynak‑takibi‑yapılan** canlı bir varlıktır. Sonuç, anlık, denetlenebilir bir gerçeklik kaynağıdır ve bu da doğru anket yanıtlarını anında sağlar.

> **Anahtar çıkarım:** Kanıtı dinamik bir veri nesnesi olarak ele alıp üretken AI'dan yararlanarak, denetim izini korurken anket dönüş süresini %70'e kadar azaltabilirsiniz.

---

## 1. Neden Kanıtın Yaşam Döngüsü Yaklaşımına İhtiyacı Var

| Geleneksel Yaklaşım | AI‑Destekli Kanıt Yaşam Döngüsü |
|----------------------|---------------------------------|
| **Statik yüklemeler** – PDF’ler, ekran görüntüleri, log alıntıları manuel olarak eklenir. | **Canlı nesneler** – Kanıt, oluşturulma tarihi, kaynak sistem, ilişkili kontroller gibi meta verilerle zenginleştirilmiş yapılandırılmış varlıklar olarak saklanır. |
| **Manuel sürüm kontrolü** – Takımlar adlandırma kurallarına (`v1`, `v2`) dayanır. | **Otomatik sürümleme** – Her değişiklik, kaynak defterinde yeni değiştirilemez bir düğüm oluşturur. |
| **Kaynak takibi yok** – Denetçiler kaynağı ve bütünlüğü doğrulamakta zorlanır. | **Kriptografik kaynak** – Hash tabanlı kimlikler, dijital imzalar ve blok zinciri tarzı sadece eklenebilir kayıtlar, özgünlüğü garanti eder. |
| **Parçalı erişim** – Dosya paylaşımları, ticket sistemleri, bulut depolama arasında arama yapılır. | **Birleştirilmiş Grafik Sorgusu** – Bilgi grafiği, kanıtı politikalar, kontroller ve anket öğeleriyle birleştirerek anlık erişim sağlar. |

Yaşam döngüsü kavramı bu eksikleri **kapatır**: kanıt üretimi → zenginleştirme → depolama → doğrulama → yeniden kullanım.

---

## 2. Kanıt Yaşam Döngüsü Motorunun Temel Bileşenleri

### 2.1 Yakalama Katmanı

- **RPA/Konektör Botları** otomatik olarak logları, yapılandırma anlık görüntülerini, test raporlarını ve üçüncü taraf onaylarını çeker.
- **Çok‑modal alım** PDF, elektronik tablo, görsel ve hatta UI walkthrough video kayıtlarını destekler.
- **Meta veri çıkarımı** OCR ve LLM‑tabanlı ayrıştırma kullanarak artefaktları kontrol kimlikleriyle etiketler (ör. [NIST 800‑53 SC‑7](https://www.nist.gov/cyberframework)).

### 2.2 Zenginleştirme Katmanı

- **LLM‑destekli özetleme** “ne, ne zaman, nerede, neden” sorularını yanıtlayan yaklaşık 200 kelimelik kanıt anlatıları üretir.
- **Semantik etiketleme** ontoloji‑tabanlı etiketler (`DataEncryption`, `IncidentResponse`) ekler, bunlar şirket içi politika sözvarlığıyla uyumludur.
- **Risk puanlaması** kaynağın güvenilirliği ve güncelliğine dayalı bir güven ölçütü ekler.

### 2.3 Kaynak Defteri

- Her kanıt düğümü, içerik ve meta verilerin SHA‑256 hash’inden türetilen bir **UUID** alır.
- **Sadece eklenebilir kayıtlar** her işlem (oluşturma, güncelleme, silme) için zaman damgası, aktör kimliği ve dijital imzayı saklar.
- **Sıfır‑bilgi kanıtları** (zero‑knowledge proofs) bir kanıtın belirli bir noktada var olduğunu içeriği ifşa etmeden kanıtlamaya olanak tanır; gizlilik‑duyarılı denetimlerde kullanılır.

### 2.4 Bilgi Grafiği Entegrasyonu

Kanıt düğümleri, aşağıdaki öğelerle ilişkilendirilen **semantik bir grafik**e dönüşür:

- **Kontroller** (ör. [ISO 27001](https://www.iso.org/standard/27001) A.12.4)
- **Anket maddeleri** (ör. “Verileri dinlenme halinde şifreliyor musunuz?”)
- **Projeler/Ürünler** (ör. “Acme API Gateway”)
- **Regülasyon gereksinimleri** (ör. [GDPR](https://gdpr.eu/) Madde 32)

Grafik, bir anket sorusundan tam olarak gereken kanıta **tek‑tık geçiş** imkanı verir; sürüm ve kaynak detaylarıyla birlikte.

### 2.5 Erişim & Üretim Katmanı

- **Hibrit Retrieval‑Augmented Generation (RAG)** en alakalı kanıt düğüm(ler)ini getirir ve bunları üretken bir LLM’ye besler.
- **Prompt şablonları** kanıt anlatıları, risk puanları ve uyumluluk eşlemeleriyle dinamik olarak doldurulur.
- LLM, **insan tarafından okunabilir** ve altında yatan kanıt düğümüyle doğrulanabilir **AI‑oluşturulmuş yanıtlar** üretir.

---

## 3. Mimari Genel Bakış (Mermaid Diyagramı)

```mermaid
graph LR
  subgraph Capture
    A[Connector Bots] -->|pull| B[Raw Artifacts]
  end
  subgraph Enrichment
    B --> C[LLM Summarizer]
    C --> D[Semantic Tagger]
    D --> E[Risk Scorer]
  end
  subgraph Provenance
    E --> F[Hash Generator]
    F --> G[Append‑Only Ledger]
  end
  subgraph KnowledgeGraph
    G --> H[Evidence Node]
    H --> I[Control Ontology]
    H --> J[Questionnaire Item]
    H --> K[Product/Project]
  end
  subgraph RetrievalGeneration
    I & J & K --> L[Hybrid RAG Engine]
    L --> M[Prompt Template]
    M --> N[LLM Answer Generator]
    N --> O[AI‑Crafted Questionnaire Response]
  end
```

Bu diyagram, yakalamadan yanıt üretimine **lineer akışı** gösterirken, bilgi grafiği **geriye dönük sorgular ve etki analizi** için çift yönlü bir örgü sunar.

---

## 4. Procurize’da Motorun Uygulanması

### Adım 1: Kanıt Ontolojisini Tanımla

1. Desteklemen gereken **regülasyon çerçevelerini** listele (ör. [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html), [GDPR](https://gdpr.eu/)).
2. Her kontrolü **standart bir kimlik** ile eşle.
3. **YAML‑tabanlı bir şema** oluştur; zenginleştirme katmanı bu şemayı etiketleme için kullanacak.

```yaml
controls:
  - id: ISO27001:A.12.4
    name: "Logging and Monitoring"
    tags: ["log", "monitor", "SIEM"]
  - id: SOC2:CC6.1
    name: "Encryption at Rest"
    tags: ["encryption", "key‑management"]
```

### Adım 2: Yakalama Bağlayıcılarını Dağıt

- Procurize’ın **SDK**’sını kullanarak bulut sağlayıcı API’leri, CI/CD boru hatları ve ticket araçları için bağlayıcılar kaydet.
- Kanıtların tazeliğini korumak için çekimleri **15 dakika** aralıklarla programla.

### Adım 3: Zenginleştirme Servislerini Aktifleştir

- Güvenli bir uç noktada bir **LLM mikro‑servisi** (örn. OpenAI GPT‑4‑turbo) çalıştır.
- Boru hatlarını yapılandır:
  - **Özetleme** → `max_tokens: 250`
  - **Etiketleme** → `temperature: 0.0` (deterministik taksonomi ataması)
- Sonuçları, kaynak defterini besleyen bir **PostgreSQL** tablosunda sakla.

### Adım 4: Kaynak Defterini Etkinleştir

- Hafif bir **blockchain‑benzeri platform** (ör. Hyperledger Fabric) ya da bulut‑yerel bir veritabanında **append‑only log** seç.
- Şirketin PKI’sı ile **dijital imzalama** uygula.
- Denetçiler için bir REST uç noktası `/evidence/{id}/history` sun.

### Adım 5: Bilgi Grafiğini Entegre Et

- **Neo4j** veya **Amazon Neptune** dağıt.
- Zenginleştirme deposundan kanıt düğümlerini okuyup ontolojide tanımlı ilişkileri oluşturan bir **batch işi** çalıştır.
- Sık sorgulanan alanları (`control_id`, `product_id`, `risk_score`) **indeksle**.

### Adım 6: RAG ve Prompt Şablonlarını Yapılandır

```text
[System Prompt]
You are a compliance assistant. Use the supplied evidence summary to answer the questionnaire item. Cite the evidence ID.

[User Prompt]
Question: {{question_text}}
Evidence Summary: {{evidence_summary}}
```

- RAG motoru, anlamsal benzerliğe göre en iyi **3 kanıt düğümünü** getirir.
- LLM, `answer`, `evidence_id` ve `confidence` alanları içeren **yapılandırılmış JSON** döndürür.

### Adım 7: UI Entegrasyonu

- Procurize’ın anket UI’sına bir **“Kanıtı Göster”** düğmesi ekle; bu düğme kaynak defteri görünümünü genişletir.
- **Tek‑tık ekleme** özelliğiyle AI‑oluşturulan yanıt ve destekleyici kanıtı yanıt taslağına yerleştir.

---

## 5. Gerçek Dünya Faydaları

| Ölçüt | Yaşam Döngüsü Motoru Öncesi | Yaşam Döngüsü Motoru Sonrası |
|-------|---------------------------|-----------------------------|
| Ortalama anket yanıt süresi | 12 gün | 3 gün |
| Manuel kanıt bulma çabası (kişi‑saat) | 45 sa/denetim | 12 sa/denetim |
| Denetim bulgu oranı (eksik kanıt) | %18 | %2 |
| İç uyumluluk güven puanı | %78 | %94 |

Önde gelen bir SaaS sağlayıcısı, AI‑destekli kanıt yaşam döngüsü uyguladıktan sonra **yanıt süresinde %70 azalma** bildirdi. Denetim ekibi, **değiştirilemez kaynak kayıtları** sayesinde “orijinal kanıt bulunamadı” bulgularının ortadan kalktığını vurguladı.

---

## 6. Yaygın Endişelere Yanıtlar

### 6.1 Veri Gizliliği

Kanıtlar hassas müşteri verisi içerebilir. Yaşam döngüsü motoru riski şu şekilde azaltır:
- **Kırpma boru hatları**, PII’yı depolamadan önce otomatik olarak maskelemektedir.
- **Sıfır‑bilgi kanıtları**, denetçilerin içeriği görmeden bir kanıtın belirli bir zamanda var olduğunu doğrulamalarına izin verir.
- **Granüler erişim kontrolleri**, grafik düzeyinde (RBAC) düğüm bazında uygulanır.

### 6.2 Model Halüsinasyonu

Üretken modeller sahte bilgiler üretebilir. Önleme yöntemleri:
- **Katı yerleştirme** – LLM, her gerçek iddiayı bir `evidence_id` ile referans göstermeye zorlanır.
- **Üretim sonrası doğrulama** – Kural motoru, yanıtı kaynak defteriyle çapraz kontrol eder.
- **İnsan denetimi** – Yüksek güven puanı taşımayan yanıtlar bir denetçi tarafından onaylanmalıdır.

### 6.3 Entegrasyon Yükü

Kuruluşlar, eski sistemleri motorla bağlamanın zahmetli olacağını düşünür. Hafifletme stratejileri:
- **Standart bağlayıcılar** (REST, GraphQL, S3) Procurize tarafından sağlanır.
- **Olay‑sürücü adaptörler** (Kafka, AWS EventBridge) gerçek‑zamanlı yakalamayı kolaylaştırır.
- **Pilot kapsamı** (ör. sadece ISO 27001 kontrolleri) ile başlayıp kademeli olarak genişletilir.

---

## 7. Gelecek Geliştirmeler

1. **Federatif Bilgi Grafikleri** – Farklı iş birimleri, veri egemenliğini korurken güvenli federasyon ile bağımsız alt‑grafikleri senkronize edebilir.
2. **Öngörücü Regülasyon Madenciliği** – AI, regülasyon akışlarını izleyip yeni kontrol düğümleri otomatik oluşturur; böylece denetimler gelmeden kanıt üretimi başlar.
3. **Kendini‑İyileştiren Kanıt** – Bir düğümün risk puanı belirli bir eşik altına düşerse, sistem otomatik olarak bir iyileştirme iş akışı (ör. yeni güvenlik taraması) tetikler ve kanıt sürümünü günceller.
4. **Açıklanabilir AI Panoları** – Hangi kanıtların bir yanıtı en çok etkilediğini gösteren görsel ısı haritaları, paydaş güvenini artırır.

---

## 8. Başlangıç Kontrol Listesi

- [ ] **Kanonik kanıt ontolojisi** oluştur; regülasyon manzaranla uyumlu hâle getir.  
- [ ] **Procurize bağlayıcılarını** ana veri kaynakların için kur.  
- [ ] **LLM zenginleştirme servisini** güvenli API anahtarlarıyla dağıt.  
- [ ] **Append‑only kaynak defterini** (uygun bir teknoloji seç) kur ve yapılandır.  
- [ ] İlk kanıt toplu yüklemesini **bilgi grafiğine** al; ilişkileri doğrula.  
- [ ] **RAG boru hatlarını** yapılandır ve örnek bir anket maddesiyle test et.  
- [ ] **Pilot denetim** gerçekleştir; kanıt izlenebilirliği ve yanıt doğruluğunu doğrula.  
- [ ] Geri bildirimlere göre iyileştir; tüm ürün hatlarına yay.

Bu adımları izleyerek, dağınık PDF yığınlarından **gerçek zamanlı, kanıt‑tabanlı uyumluluk motoru**na geçiş yaparsınız; bu motor anket otomasyonunu beslerken denetçiler için değiştirilemez bir iz sunar.