
# AI Rehberliğindeki Uyarlanabilir Bilgi Grafiği ile Gerçek Zamanlı Güvenlik Anketi Evrimi

Güvenlik anketleri, kurumsal müşterileri kazanmak veya elde tutmak isteyen B2B SaaS şirketleri için de‑facto bir giriş kapısı haline gelmiştir. SOC 2, ISO 27001, GDPR, CCPA, NIST CSF (NIST 800‑53 temsil eden) ve yeni ortaya çıkan veri‑egemenlik yasaları gibi düzenleyici çerçevelerin devasa hacmi, manuel yanıt süreçlerini hızla bunaltan hareketli bir hedef oluşturmaktadır. Birçok satıcı zaten yanıtları taslaklamak için **üretken AI** kullanıyor olsa da, çoğu çözüm kanıtları statik bloklar olarak ele alır ve politikalar, kontroller ve satıcı varlıkları arasındaki **dinamik ilişkileri** göz ardı eder.

Bu noktada **Uyarlanabilir Bilgi Grafiği (AKG)** devreye girer: politikaları, denetim günlüklerini ve satıcı‑tarafından sağlanan kanıtları sürekli olarak içe aktarabilen, kendini iyileştiren bir AI‑destekli grafik veritabanıdır; daha sonra bunları tek bir, anlamsal olarak zengin modele dönüştürür. **Retrieval‑Augmented Generation (RAG)**, **reinforcement learning (RL)** ve **federated learning (FL)**’i birden çok kiracıda birleştirerek AKG, düzenlemeler değiştikçe ve yeni kanıtlar ortaya çıktıkça evrilen **gerçek zamanlı, bağlam‑duyarlı anket yanıtları** sunar.

Aşağıda, güvenlik anketi otomasyonu için Uyarlanabilir Bilgi Grafiği’ni dağıtmanın mimarisi, çekirdek algoritmaları, operasyonel iş akışı ve pratik faydalarını inceliyoruz.

---

## 1. Neden Bir Bilgi Grafiği Önemlidir

Geleneksel kural‑tabanlı motorlar, uyumluluk kontrollerini ilişkisel tablolar veya düz JSON şemalarında saklar. Bu yaklaşım şu sorunlarla karşılaşır:

| Kısıtlama | Etki |
|-----------|------|
| **Veri siloları** | Tek bir kontrolün birden çok çerçeveyi nasıl karşıladığını göremez. |
| **Statik eşleştirmeler** | Düzenlemeler değiştiğinde manuel güncellemeler gerekir. |
| **Zayıf izlenebilirlik** | Denetçiler, oluşturulan yanıtların kökenini kolayca takip edemez. |
| **Sınırlı bağlamsal akıl yürütme** | AI modelleri, doğru kanıt seçimi için ihtiyaç duyduğu yapısal bağlamdan yoksundur. |

Bir bilgi grafiği, **varlıkları** (ör. politikalar, kontroller, kanıt varlıkları) **düğümler** olarak ve **ilişkileri** (ör. “uygular”, “kapsar”, “kaynak‑alındı”) **kenarlar** olarak temsil ederek bu problemleri çözer. Grafik dolaşım algoritmaları, herhangi bir anket maddesi için en alakalı kanıtları otomatik olarak ortaya çıkarabilir; çerçeve‑aralarında eşdeğerlik ve politika kayması otomatik olarak hesaba katılır.

---

## 2. Yüksek‑Seviye Mimari

Uyarlanabilir Bilgi Grafiği platformu dört mantıksal katmandan oluşur:

1. **Veri Alma & Normalleştirme** – Politika, sözleşme, denetim raporu ve satıcı gönderilerini Document AI ile işler, yapılandırılmış üçlüler (subject‑predicate‑object) çıkarır.  
2. **Graf Çekirdeği** – Üçlüleri bir **özellik grafı** (Neo4j, TigerGraph veya açık kaynak bir alternatif) içinde depolar ve sürümlü anlık görüntüler tutar.  
3. **AI Akıl Yürütme Motoru** – **RAG**’ı dil üretimiyle, **graf sinir ağları (GNN)** ile alaka puanlamasını ve **RL** ile sürekli iyileştirmeyi birleştirir.  
4. **Federated Collaboration Hub** – **Federated learning** sayesinde güvenli çok‑kiracılı öğrenmeyi mümkün kılar; böylece her kuruluşun gizli verileri sınır dışına çıkmaz.

Aşağıdaki diyagram, bileşenlerin Mermaid sözdizimiyle etkileşimini gösterir.

```mermaid
graph LR
    A["Veri Alma ve Normalleştirme"] --> B["Özellik Grafiği Deposu"]
    B --> C["GNN İlgililik Skorlayıcı"]
    C --> D["RAG Oluşturma Servisi"]
    D --> E["Anket Yanıt Motoru"]
    E --> F["Denetim İzleme ve Köken Günlüğü"]
    subgraph Federated Learning Loop
        G["Kiracı Model Güncellemesi"] --> H["Güvenli Toplama"]
        H --> C
    end
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px
    style C fill:#bfb,stroke:#333,stroke-width:2px
    style D fill:#ffb,stroke:#333,stroke-width:2px
    style E fill:#fbf,stroke:#333,stroke-width:2px
    style F fill:#cff,stroke:#333,stroke-width:2px
    style G fill:#c9f,stroke:#333,stroke-width:2px
    style H fill:#9cf,stroke:#333,stroke-width:2px
```

---

## 3. Çekirdek Algoritmaların Açıklaması

### 3.1 Retrieval‑Augmented Generation (RAG)

RAG, **vektör araması** ile **LLM üretimini** birleştirir. İş akışı:

1. **Soru Gömülmesi** – Anket sorusunu, uyumluluk diline özel olarak ince ayar yapılmış bir cümle dönüştürücüyle yoğun bir vektöre çevirir.  
2. **Graf‑Tabanlı Getirme** – **Vektör benzerliği** ile **graf yakınlığı** (ör. sorgu düğümünden 2 kenar içinde olan düğümler) birleştiren **hibrit arama** yürütülür. Bu, kanıt düğümlerinin sıralı bir listesini getirir.  
3. **Prompt Oluşturma** – Orijinal soru, en üst‑k kanıt alıntısı ve meta veriler (kaynak, sürüm, güvenilirlik) birleştirilerek bir prompt hazırlanır.  
4. **LLM Üretimi** – Kontrollü bir LLM (ör. GPT‑4‑Turbo) **sistem‑seviyesi politikalar** ile beslenerek ton ve uyumluluk ifadelerini garanti eder.  
5. **Son‑İşleme** – **Kod‑olarak‑politika doğrulayıcı** çalıştırılarak zorunlu maddeler (ör. veri saklama süreleri, şifreleme standartları) uygulanır.

### 3.2 Graph Neural Network (GNN) İlgililik Puanlaması

**GraphSAGE** modeli, geçmiş anket sonuçlarından (kabul edildi / reddedildi) öğrenir. Özellikler:

- Düğüm nitelikleri (kontrol olgunluğu, kanıt yaşı)  
- Kenar ağırlıkları (“kapsar” ilişkisinin gücü)  
- Politika kayması için zamansal azalma faktörleri  

GNN, her aday kanıt düğümü için bir **ilgili puan** tahmin eder ve bu puan doğrudan RAG getirme adımına beslenir. Zamanla model, denetçiler için hangi kanıt varlıklarının en ikna edici olduğunu öğrenir.

### 3.3 Reinforcement Learning (RL) Geri Bildirim Döngüsü

Her anket döngüsünden sonra sistem **geri bildirim** alır (ör. “kabul edildi”, “açıklama istendi”). Bir RL ajanı, **yanıt üretimini** bir eylem, **geri bildirimi** ödül olarak görerek **politika ağı**nı günceller; bu da prompt mühendisliğini ve düğüm sıralamasını etkiler. Böylece AKG, insan‑etiketlemesi gerektirmeden yanıt kalitesini sürekli iyileştiren bir **kendini optimize eden döngü** oluşturur.

### 3.4 Federated Learning ile Çok‑Kiracılı Gizlilik

Şirketler, ham kanıtlarını diğer kuruluşlarla paylaşmakta isteksizdir. Federated learning bunu çözer:

- Her kiracı, kendi özel grafik dilimi üzerinde **yerel bir GNN** eğitir.  
- Model güncellemeleri (gradyanlar) **homomorfik şifreleme** ile şifrelenir ve merkezi bir toplayıcıya gönderilir.  
- Toplayıcı, **küresel bir model** oluşturur; bu model, “dinlenme sırasında şifreleme” gibi ortak kanıtları yakalar fakat ham verileri gizli tutar.  
- Küresel model tüm katılımcılara dağıtılır ve alaka puanlamasını artırır.

---

## 4. Operasyonel İş Akışı

1. **Politika & Kanıt Alımı** – Günlük cron görevleri, yeni politika PDF’lerini, Git‑takipli politikaları ve satıcı kanıtlarını S3 kovalarından çeker.  
2. **Anlamsal Üçlü Çıkarma** – Document AI boru hattı, “[ISO 27001](https://www.iso.org/standard/27001):A.10.1 — gerektirir — şifreleme‑in‑transit” gibi konu‑eylem‑nesne üçlüleri üretir.  
3. **Graf Güncelleme & Versiyonlama** – Her alım, **sorgulanabilir bir anlık görüntü** (değiştirilemez) oluşturur; bu, denetim amaçlı referans alınır.  
4. **Soru Gelişi** – Güvenlik anketi maddesi API veya UI üzerinden sisteme girilir.  
5. **Hibrit Getirme** – RAG, vektör‑graf benzerliğini birleştirerek en üst‑k kanıt düğümlerini alır.  
6. **Yanıt Üretimi** – LLM, kısa ve denetçi‑dostu bir yanıt oluşturur.  
7. **Köken Günlüğü** – Kullanılan her düğüm, zaman damgası ve hash ID’leriyle **değiştirilemez bir deftere** (blockchain veya ek‑ekleme günlüğü) kaydedilir.  
8. **Geri Bildirim Toplama** – Denetçilerin yorumları saklanır ve RL ödül hesabını tetikler.  
9. **Model Yenileme** – Gece federated learning işleri, güncellemeleri birleştirir, GNN’yi yeniden eğitir ve yeni ağırlıkları dağıtır.

---

## 5. Güvenlik Ekipleri İçin Faydalar

| Fayda | AKG Nasıl Sağlar? |
|-------|-------------------|
| **Hız** | Ortalama yanıt üretimi 12 dk’dan < 30 sn’ye düşer. |
| **Doğruluk** | İlgili puanlı kanıt, kabul oranını %28 artırır. |
| **İzlenebilirlik** | Değişmez köken, **SOC 2‑CC6** ve **ISO 27001‑A.12.1**‑i karşılar. |
| **Ölçeklenebilirlik** | Federated learning, veri sızıntısı olmadan yüzlerce kiracıyı ölçeklendirir. |
| **Gelecek‑Güvence** | Otomatik politika kayması algısı, düzenleyici yayınlandıktan saatler içinde graf düğümlerini yeniler. |
| **Maliyet Azaltma** | Analist başına manuel kanıt toplama iş yükü %70’e kadar düşer. |

---

## 6. Gerçek‑Dünya Kullanım Örneği: FinTech Satıcı Risk Programı

**Arka plan**: Orta ölçekli bir FinTech platformu, üç büyük bankadan üç aylık **SOC 2** Type II anketleri alıyordu. Mevcut süreç her döngüde 2‑3 hafta sürüyor, denetçiler sık sık ek kanıt talep ediyordu.

**Uygulama**:

- **Veri Alma**: Bankaların politika portallarını ve şirketin iç politika deposunu webhook’lar aracılığıyla entegre ettik.  
- **Graf Oluşturma**: **SOC 2**, **ISO 27001** ve **NIST CSF** kapsamındaki 1.200 kontrol, tek bir graf içinde birleştirildi.  
- **Model Eğitimi**: 6 aylık tarihsel anket geri bildirimleri RL için kullanıldı.  
- **Federated Learning**: İki rakip FinTech firmasıyla ortak GNN alaka puanlaması geliştirildi; ham veriler hiçbir zaman dışarı akmadı.

**Sonuçlar**:

| Ölçüt | AKG Öncesi | AKG Sonrası |
|-------|------------|--------------|
| Ortalama yanıt süresi | 2,8 hafta | 1,2 gün |
| Denetçi kabul oranı | %62 | %89 |
| Manuel kanıt çekme adedi | 340 / çeyrek | 45 / çeyrek |
| Uyumluluk denetim maliyeti | $150 k | $45 k |

Yeni bir düzenleyici “veri‑in‑transit şifreleme” şartı ortaya çıktığında AKG’nin **kendi‑iyileşme** yeteneği, ekipleri maliyetli bir yeniden denetime sürüklemeden sorunu otomatik olarak çözdü.

---

## 7. Uygulama Kontrol Listesi

- **Veri Hazırlığı**: Tüm politika belgelerinin makine‑okunur olduğundan (PDF → metin, markdown veya yapılandırılmış JSON) emin olun. Sürümlerini net şekilde etiketleyin.  
- **Graf Motoru Seçimi**: **Sürüm kontrolü** ve **yerel GNN entegrasyonu** destekleyen bir grafik DB seçin.  
- **LLM Koruma Katmanı**: **Kod‑olarak‑politikalar** motoru (ör. OPA) ile LLM’yi denetleyerek uyumluluk kısıtlamalarını zorunlu kılın.  
- **Güvenlik Kontrolleri**: Graf verisini dinlenirken AES‑256, aktarımda TLS 1.3 ile şifreleyin. Denetim doğrulaması için **Zero‑Knowledge Proofs** kullanın.  
- **Gözlemlenebilirlik**: Grafik mutasyonları, RAG gecikmesi ve RL ödül sinyallerini Prometheus ve Grafana panelleriyle izleyin.  
- **Yönetişim**: Yüksek riskli anket maddeleri (ör. veri ikametgahını etkileyen) için **insan‑iç‑döngü** inceleme aşaması oluşturun.

---

## 8. Gelecek Yönelimler

1. **Çok‑Modal Kanıt** – Taranmış diyagramlar, video walkthrough’lar ve konfigürasyon anlık görüntüleri gibi görsel kanıtları **Vision‑LLM** boru hatlarıyla entegre edin.  
2. **Dinamik Politika‑kod Üretimi** – Graf içinde yakalanan kontrolleri otomatik olarak Pulumi/Terraform modüllerine dönüştürerek aynı politikayı kod olarak da uygulayın.  
3. **Açıklanabilir AI (XAI) Katmanları** – Hangi kanıt düğümünün neden tercih edildiğini gösteren **dikkat haritaları** ile görselleştirin.  
4. **Kenar‑Yerel Dağıtım** – Gerçek zamanlı uyumluluk kontrolleri için hafif grafik ajanlarını şirket içi veri merkezlerine taşıyarak gecikmeyi en aza indirin.

---

## 9. Sonuç

Uyarlanabilir Bilgi Grafiği, güvenlik anketi otomasyonunu **statik, kırılgan bir süreç**den **canlı, kendini optimize eden bir ekosisteme** dönüştürür. **Graf‑merkezli semantik**, **üretken AI** ve **gizlilik‑koruyucu federated learning**i birleştirerek organizasyonlar, düzenleyici ortamla eşzamanlı, anında, doğru ve denetlenebilir yanıtlar elde eder. Uyumluluk gereksinimleri daha karmaşık hâle gelmekte ve denetim döngüleri kısalmaktadır; bu yüzden AKG, güvenlik ekiplerinin stratejik risk azaltma üzerine odaklanmasını sağlayacak temel teknoloji olacaktır.