
# Gerçek Zamanlı Güvenlik Anketleri için AI Destekli Uyarlamalı Kanıt Özeti

Güvenlik anketleri, SaaS anlaşmalarının **kapı bekçileri**dir. Alıcılar, bir satıcının kontrollerinin SOC 2, ISO 27001, GDPR ve sektör‑spesifik çerçeveler gibi düzenleyici standartları karşıladığını kanıtlamak için politika alıntıları, denetim raporları, yapılandırma ekran görüntüleri gibi **detaylı kanıtlar** talep eder. Geleneksel olarak, uyum ekipleri **saatler** boyunca belge depolarını karıştırır, alıntıları birleştirir ve her bir anketin bağlamına uygun hâle getirir. Sonuç, satış döngülerini yavaşlatan, hataya açık bir süreç ve artan operasyonel maliyetlerdir.

**AI Destekli Uyarlamalı Kanıt Özeti Motoru (AAE‑SE)** devreye girer—ham uyum belgelerini özlü, düzenleyici‑özel yanıtlar **saniyeler içinde** dönüştüren bir sonraki nesil bileşen. Retrieval‑Augmented Generation (RAG), Graph Neural Networks (GNN) ve dinamik prompt mühendisliği kombinasyonunu kullanan hibrit bir mimari üzerine inşa edilmiştir. AAE‑SE sadece en ilgili kanıtları çıkarmakla kalmaz, aynı zamanda her anket sorusunun gerektirdiği **tam sözcük ve tonlamaya** uygun hâle getirir.

Bu makalede şunları inceleyeceğiz:

1. Kanıt özeti yapmayı zorlaştıran temel zorlukları açıklamak.  
2. AAE‑SE’nin teknik yığınını detaylandırmak.  
3. Bir Mermaid diyagramı ile gerçek‑dünya iş akışını adım adım göstermek.  
4. Yönetişim, denetlenebilirlik ve gizlilik korumalarını tartışmak.  
5. AAE‑SE’yi mevcut uyum yığınınıza entegre ederken pratik yönergeler sunmak.

---

## 1. Özetlemenin Göründüğünden Daha Zor Olmasının Nedenleri

### 1.1 Çeşitli Kanıt Kaynakları  
Uygunluk kanıtları pek çok biçimde bulunur: PDF denetim raporları, Markdown politika dosyaları, JSON yapılandırma dosyaları, kod‑düzeyi güvenlik kontrolleri ve hatta video yürütmeleri. Her kaynak **farklı ayrıntı seviyeleri** içerir—yüksek‑seviye politika beyanları ile alçak‑seviye yapılandırma parçacıkları arasında.

### 1.2 Bağlamsal Eşleme  
Tek bir kanıt, birden fazla anket sorusunu tatmin edebilir, ancak her soru genellikle **farklı bir çerçeve** gerektirir. Örneğin, bir SOC 2 “Dinlenirken Şifreleme” politika alıntısı, GDPR “Veri Azaltma” sorusuna yanıt verirken *amaç sınırlaması* yönüne vurgu yapacak şekilde yeniden ifade edilmelidir.

### 1.3 Düzenleyici Kayma (Regulatory Drift)  
Mevzuatlar sürekli evrim geçirir. Altı ay önce geçerli olan bir yanıt şimdi eski olabilir. Özetleme motoru **politik kayması** konusunda farkındalığa sahip olmalı ve çıktısını otomatik olarak uyarlamalıdır. Bizim kayma‑tespiti rutinimiz, [NIST Cybersecurity Framework (CSF)](https://www.nist.gov/cyberframework) ve ISO güncellemeleri gibi kaynakları izler.

### 1.4 Denetim İzleri Gereksinimi  
Denetçiler, hangi belge, hangi paragraf ve hangi sürümün belirli bir yanıtı oluşturduğunu **kaynak gösterimi** olarak istemektedir. Özetlenmiş metin, orijinal esere geri izlenebilirliği **korumalı**dır.

Bu kısıtlamalar, (ör. genel LLM özetleyicileri) gibi basit metin‑özetleme yöntemlerini **uygunsuz** kılar. Yapının **anlaşılması**, **anlamların hizalanması** ve **soyunun korunması** gereken bir sistem gerekir.

---

## 2. AAE‑SE Mimarisi

Aşağıda Uyarlamalı Kanıt Özeti Motoru’nun bileşenlerini gösteren yüksek‑seviye bir diyagram yer alıyor.

```mermaid
graph LR
    subgraph "Knowledge Ingestion"
        D1["Document Store"]
        D2["Config Registry"]
        D3["Code Policy DB"]
        D4["Video Index"]
    end

    subgraph "Semantic Layer"
        KG["Dynamic Knowledge Graph"]
        GNN["Graph Neural Network Encoder"]
    end

    subgraph "Retrieval"
        R1["Hybrid Vector+Lexical Search"]
        R2["Policy‑Clause Matcher"]
    end

    subgraph "Generation"
        LLM["LLM with Adaptive Prompt Engine"]
        Summ["Evidence Summarizer"]
        Ref["Reference Tracker"]
    end

    D1 --> KG
    D2 --> KG
    D3 --> KG
    D4 --> KG
    KG --> GNN
    GNN --> R1
    KG --> R2
    R1 --> LLM
    R2 --> LLM
    LLM --> Summ
    Summ --> Ref
    Ref --> Output["Summarized Answer + Provenance"]
```

### 2.1 Bilgi Yutma (Knowledge Ingestion)  
Tüm uyum belgeleri **merkezi bir Belge Deposu**na alınır. PDF’ler OCR‑işleme, Markdown dosyaları ayrıştırma ve JSON/YAML yapılandırmaları normalleştirme adımlarından geçer. Her belge, kaynak sistem, sürüm, gizlilik seviyesi ve düzenleyici etiketler gibi **meta veriler** ile zenginleştirilir.

### 2.2 Dinamik Bilgi Grafiği (KG)  
KG, **düzenlemeler**, **kontrol aileleri**, **politik maddeleri** ve **kanıt varlıkları** arasındaki ilişkileri modeller. Düğümler “Dinlenirken Şifreleme”, “Erişim İncelemesi Sıklığı” veya “Veri Saklama Politikası” gibi kavramları temsil eder. Kenarlar *tatmin eder*, *referans verir* ve *sürüm‑olur* ilişkilerini yakalar. KG **kendini iyileştirir**: yeni bir politika sürümü yüklendiğinde, GNN kodlayıcı sayesinde kenarlar otomatik olarak yeniden bağlanır.

### 2.3 Hibrit Getirme (Hybrid Retrieval)  
Bir anket sorusu geldiğinde, motor **semantik sorgu**yu hem kelime‑tabanlı anahtar kelimeler hem de LLM’den gelen gömme (embedding) vektörleriyle oluşturur. İki getirme yolu paralel çalışır:

* **Vektör Arama** – yüksek‑boyutlu gömme uzayında yakın‑komşu araması.  
* **Politika‑Maddesi Eşleştiricisi** – düzenleyici referanslarını (örn. “ISO 27001 A.10.1”) KG düğümleriyle eşleştiren kural‑tabanlı eşleştirici.

Her iki yolun sonuçları, **ilişkililik**, **yenilik** ve **gizlilik** dengesini sağlayan öğrenilmiş bir puanlama fonksiyonuyla **sıralı birleştirilir**.

### 2.4 Uyarlamalı Prompt Motoru (Adaptive Prompt Engine)  
Seçilen kanıt parçacıkları, aşağıdaki faktörlere göre **dinamik olarak uyarlanmış** bir prompt şablonuna beslenir:

* Hedef düzenleme (SOC 2 vs. GDPR).  
* İstenen yanıt tonu (resmi, özlü veya anlatımsal).  
* Uzunluk sınırları (ör. “200 kelimenin altında”).

Prompt, LLM’ye **kaynak gösterimlerini** standart bir işaretleme (`[source:doc_id#section]`) kullanarak korumasını açıkça talimat verir.

### 2.5 Kanıt Özetleyici & Referans İzleyici (Evidence Summarizer & Reference Tracker)  
LLM bir taslak yanıt üretir. **Kanıt Özetleyici** bu taslağı aşağıdaki adımlarla işler:

1. Gereksiz tekrarları **sıkıştırır**, ana kontrol detaylarını korur.  
2. Satıcıya ait terminoloji sözlüğüne göre **normalleştirir**.  
3. Her kullanılan kaynağı listeleyen bir **kaynak bloğu** ekler.

Tüm işlemler **değişmez bir denetim günlüğüne** (ek‑sadece‑ekleme defteri) kaydedilir; bu sayede uyum ekipleri herhangi bir yanıt için tam soyuş bilgisini geri alabilir.

---

## 3. Gerçek‑Dünya İş Akışı: Sorudan Cevaba

Alıcı şu soruyu sorduğunu varsayalım:  
> “AWS S3’te saklanan müşteri verileri için dinlenirken şifrelemeyi nasıl uygularsınız?”

### Adım‑Adım Çalışma

| Adım | Eylem | Sistem |
|------|-------|--------|
| 1 | API üzerinden anket öğesini al | Anket Ön‑Ucu |
| 2 | Düzenleyici etiketlerini çıkar (örn. “[SOC 2] CC6.1”) | NLP Ön‑İşleyici |
| 3 | Semantik sorgu oluştur ve hibrit getirme yap | Getirme Servisi |
| 4 | En iyi 5 kanıt parçasını (politika alıntısı, AWS yapılandırması, denetim raporu) getir | KG + Vektör Deposu |
| 5 | Düzenleyici, uzunluk ve tonlama bilgileriyle prompt oluştur | Prompt Motoru |
| 6 | LLM (ör. GPT‑4o) ile taslak cevap üret | LLM Servisi |
| 7 | Özetleyici tekrarı sıkıştırıp terminolojiyi standartlaştırır | Özetleyici Modülü |
| 8 | Referans İzleyici, kaynak meta verilerini ekler | Kaynak Servisi |
| 9 | Son cevabı + kaynak gösterimini UI’ya gönder, gözden geçirilmek üzere | API Ağ Geçidi |
|10| Gözden geçiren onay verir, cevap satıcı‑yanıt deposuna kaydedilir | Uyum Hub |

Bu tüm süreç tipik olarak **3 saniyenin altında** tamamlanır, böylece uyum ekipleri yüksek hacimli anketlere gerçek zamanlı yanıt verebilir.

### Canlı Gösterim (Pseudo‑code)

```goat
// pseudocode illustrating the flow
question := fetchQuestionFromAPI()
tags := extractRegulatoryTags(question)
evidence := hybridRetrieve(question, tags, topK=5)
prompt := buildPrompt(question, evidence, tone="concise")
draft := callLLM(prompt)
summary := summarizeEvidence(draft)
answer := attachProvenance(summary, evidence)
storeAnswer(answer)
```

---

## 4. Yönetişim, Denetlenebilirlik ve Gizlilik

### 4.1 Değişmez Kaynak İzleme Defteri  
Her cevap bir **ek‑sadece‑ekleme blok zinciri** ya da bulut‑tabanlı değişmez depoya kaydedilir. Defter, şu bilgileri tutar:

* Anket ID’si  
* Cevap hash’i  
* Kaynak belge ID’leri ve bölümleri  
* Zaman damgası ve LLM sürümü  

Denetçiler, defter girdilerini yeniden oynatarak ve bir sandbox ortamında cevabı yeniden üreterek her yanıtı doğrulayabilir.

### 4.2 Diferansiyel Gizlilik & Veri Azaltma  
Motor, birden fazla müşterinin kanıtlarını toplarken **diferansiyel gizlilik** gürültüsü ekleyerek özel politika detaylarının sızmasını önler.

### 4.3 Rol‑Based Erişim Kontrolü (RBAC)  
Yalnızca **Kanıt Düzenleyici** rolündeki kullanıcılar kaynak belgeleri değiştirebilir veya KG ilişkilerini güncelleyebilir. Özetleme servisi **en az yetki** hizmet hesabı altında çalışır; böylece belge deposuna yazma izni yoktur.

### 4.4 Politik Kayma Tespiti  
Arka planda çalışan bir iş, [NIST CSF](https://www.nist.gov/cyberframework), ISO vb. düzenleyici güncellemelerinden gelen RSS beslemelerini izler. Bir kayma algılandığında, ilgili KG düğümleri işaretlenir ve önbelleğe alınmış yanıtlar **otomatik olarak yeniden üretilir**, böylece uyum durumu her zaman güncel kalır.

---

## 5. Takımlar İçin Uygulama Kontrol Listesi

| ✅ Kontrol Maddesi | Neden Önemli |
|-------------------|--------------|
| **Tüm uyum belgelerini merkezileştir** PDF, Markdown, JSON vb. bir arama‑deposunda topla. | Motorun kapsamlı bir KG oluşturmasını sağlar. |
| **Düzenleyici kavram taksonomisi belirle** (Kontrol Ailesi → Kontrol → Alt‑kontrol). | KG kenarlarının doğru şekilde bağlanmasını garantiler. |
| **LLM’yi şirketinizin uyum diliyle ince ayar yap** (ör. dahili politika üslubu). | Yanıtların ilgili ve düzenleme gereksinimlerine uygun olmasını artırır. |
| **Kaynak gösterim günlüğünü baştan etkinleştir**. | Denetimlerde zaman kazandırır, düzenleyici gereksinimleri karşılar. |
| **NIST CSF, ISO gibi standartların RSS beslemeleriyle kayma uyarıları kur**. | Eski yanıtların kullanımını önler. |
| **Gizlilik Etki Değerlendirmesi (PIA) yap** gizli müşteri verileri yüklendikten önce. | GDPR, CCPA vb. düzenlemelere uyumu temin eder. |
| **İlk aşamada tek bir anket (örn. SOC 2) pilotla** genişletmeden önce. | ROI ölçümü ve köşe durumlarını tespit eder. |

---

## 6. Gelecek Yönelimleri

AAE‑SE platformu, araştırma ve ürün yeniliği için geniş bir alan sunuyor:

* **Çok‑Modlu Kanıt** – ekran görüntüleri, video transkriptleri ve altyapı‑kod parçacıklarını özetleme döngüsüne entegre etme.  
* **Açıklanabilir Özetleme** – her cümlenin hangi kaynak parçacığından geldiğini gösteren görsel katmanlar.  
* **Kendini Öğrenen Prompt Optimizatörü** – gözden geçirme geri bildirimiyle otomatik olarak promptları iyileştiren pekiştirmeli öğrenme ajanları.  
* **Çapraz‑Kiracı Federatif KG** – birden fazla SaaS satıcısının anonimleştirilmiş KG iyileştirmelerini paylaşarak veri egemenliğini koruma.  

Bu yetenekleri sürekli geliştirerek, organizasyonlar uyumu bir **engelleme** değil, **stratejik avantaj** hâline dönüştürebilir; daha hızlı, güvenilir yanıtlar sunar, anlaşmaları kazanır ve denetçilerle sorunsuz bir ilişki kurar.