
# AI Destekli Uyumluluk Oyun Kitabı Oluşturma Anket Yanıtlarından

**Anahtar Kelimeler:** uyumluluk otomasyonu, güvenlik anketleri, üretken AI, oyun kitabı oluşturma, sürekli uyumluluk, AI‑destekli iyileştirme, RAG, tedarik riski, kanıt yönetimi  

SaaS dünyasının hızlı temposunda, satıcılar müşteriler, denetçiler ve düzenleyiciler tarafından bombardımana tutulur. Geleneksel manuel süreçler bu anketleri bir darboğaza dönüştürür, anlaşmaları geciktirir ve hatalı yanıt riskini artırır. Birçok platform zaten **yanıt verme aşamasını otomatikleştiriyor** olsa da yeni bir sınır ortaya çıkıyor: **yanıtlanan anketi, ekipleri iyileştirme, politika güncellemeleri ve sürekli izleme konusunda yönlendiren eyleme dönüştürülebilir bir uyumluluk oyun kitabına dönüştürmek**.

> **Uyumluluk oyun kitabı nedir?**  
> Belirli bir güvenlik kontrolü veya yasal gerekliliğin nasıl karşılandığını, kim tarafından sahiplenildiğini ve zaman içinde nasıl doğrulandığını tanımlayan, yapılandırılmış bir talimat, görev ve kanıt koleksiyonudur. Oyun kitapları statik yanıtları canlı süreçlere dönüştürür.

Bu makale, yanıtlanan anketleri doğrudan dinamik oyun kitaplarına bağlayan **benzersiz bir AI‑destekli iş akışı** tanıtıyor ve organizasyonların reaktif uyumluluktan proaktif risk yönetimine geçmesini sağlıyor.

---

## İçindekiler

1. [Oyun Kitabı Oluşturmanın Önemi](#why-playbook-generation-matters)  
2. [Temel Mimari Bileşenler](#core-architectural-components)  
3. [Adım‑Adım İş Akışı](#step-by-step-workflow)  
4. [Güvenilir Oyun Kitapları İçin Prompt Mühendisliği](#prompt-engineering)  
5. [Retrieval‑Augmented Generation (RAG) Entegrasyonu](#integrating-rag)  
6. [Denetlenebilir İzlenebilirlik Sağlama](#auditable-traceability)  
7. [Vaka Çalışması Özeti](#case-study)  
8. [En İyi Uygulamalar ve Tuzaklar](#best-practices)  
9. [Gelecek Yönelimleri](#future-directions)  
10. [Sonuç](#conclusion)  

---

## Neden Oyun Kitabı Oluşturma Önemlidir {#why-playbook-generation-matters}

| Geleneksel İş Akışı | AI‑Artırılmış Oyun Kitabı İş Akışı |
|----------------------|-----------------------------------|
| **Girdi:** Manuel anket yanıtı. | **Girdi:** AI‑tarafından oluşturulan yanıt + ham kanıt. |
| **Çıktı:** Depolama deposunda statik belge. | **Çıktı:** Görevler, sahipler, son tarih ve izleme kancaları içeren yapılandırılmış oyun kitabı. |
| **Güncelleme Döngüsü:** Yeni bir denetimle tetiklenen ad‑hoc. | **Güncelleme Döngüsü:** Politika değişiklikleri, yeni kanıtlar veya risk uyarılarıyla sürekli. |
| **Risk:** Bilgi siloları, kaçırılan iyileştirme, eski kanıt. | **Risk Azaltma:** Gerçek‑zaman kanıt bağlantısı, otomatik görev oluşturma, denetim‑hazır değişiklik günlükleri. |

### Başlıca Fayda

- **Hızlandırılmış İyileştirme:** Yanıtlar otomatik olarak Jira, ServiceNow gibi biletleme araçlarında net kabul kriterleriyle bilet oluşturur.  
- **Sürekli Uyumluluk:** Oyun kitapları, AI‑destekli fark (diff) tespitiyle politika değişikliklerine senkronize kalır.  
- **Ekipler Arası Görünürlük:** Güvenlik, hukuk ve mühendislik aynı canlı oyun kitabını görür, iletişimsizlik azalır.  
- **Denetim Hazırlığı:** Her eylem, kanıt sürümü ve karar izlenir, değişmez bir denetim izi oluşturur.

---

## Temel Mimari Bileşenler {#core-architectural-components}

Aşağıda, anket yanıtlarını oyun kitaplarına dönüştürmek için gereken bileşenlerin yüksek seviyeli görünümü yer alıyor.

```mermaid
graph LR
    Q[Anket Yanıtları] -->|LLM Çıkarımı| P1[Oyun Kitabı Taslak Oluşturucu]
    P1 -->|RAG Getirimi| R[Kanıt Deposu]
    R -->|Alıntı| P1
    P1 -->|Doğrulama| H[İnsan‑Döngüsü]
    H -->|Onay/Reddet| P2[Oyun Kitabı Versiyonlama Servisi]
    P2 -->|Eşitle| T[Görev Yönetim Sistemi]
    P2 -->|Yayınla| D[Uyumluluk Gösterge Paneli]
    D -->|Geri Bildirim| AI[Sürekli Öğrenme Döngüsü]
```

- **LLM Çıkarım Motoru:** Yanıtlanan sorulara dayanarak ilk oyun kitabı iskeletini üretir.  
- **RAG Getirme Katmanı:** Politika bölümleri, denetim günlükleri ve kanıtları bir Bilgi Grafiğinden çeker.  
- **İnsan‑Döngüsü (HITL):** Güvenlik uzmanları AI taslağını inceler ve iyileştirir.  
- **Versiyonlama Servisi:** Her oyun kitabı revizyonunu meta veriyle saklar.  
- **Görev Yönetim Eşitlemesi:** Oyun kitabı adımlarına bağlı iyileştirme biletleri otomatik oluşturur.  
- **Uyumluluk Gösterge Paneli:** Denetçiler ve paydaşlar için canlı görünüm sağlar.  
- **Sürekli Öğrenme Döngüsü:** Kabul edilen değişiklikleri geri besleyerek gelecekteki taslakları iyileştirir.

---

## Adım‑Adım İş Akışı {#step-by-step-workflow}

### 1. Anket Yanıtlarını Al

Procurize AI, gelen anketi (PDF, Word ya da web formu) ayrıştırır ve **soru‑cevap çiftlerini** güven puanlarıyla çıkarır.

### 2. Bağlamsal Getirme (RAG)

Her yanıt için sistem aşağıdaki kaynaklarda **semantik arama** yapar:

- Politika belgeleri ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/))  
- Önceki kanıt varlıkları (ekran görüntüleri, günlükler)  
- Tarihsel oyun kitapları ve iyileştirme biletleri  

Elde edilen alıntılar, LLM’ye **atıf** (citation) olarak beslenir.

### 3. Prompt Oluşturma

Özenle hazırlanmış bir prompt, LLM’ye şu görevleri verir:

- Belirli kontrol için **oyun kitabı bölümü** üret.  
- **Eyleme dönüştürülebilir görevler**, **sahipler**, **KPI’lar** ve **kanıt referansları** ekle.  
- **YAML** (ya da JSON) formatında çıktı üret, böylece sonraki aşamalarda kullanılabilir.

**Örnek Prompt (basitleştirilmiş):**

```
You are a compliance architect. Using the following answer and retrieved evidence, create a playbook fragment for the control "Encryption at Rest". Structure the output in YAML with fields: description, tasks (list with title, owner, due), evidence (list with ref IDs).
Answer: {{answer}}
Evidence: {{retrieved_snippets}}
```

### 4. LLM Taslak Oluşturma

LLM, aşağıdaki gibi bir YAML parçacığı döndürür:

```yaml
control_id: "ENCR-01"
description: "Tüm müşteri verileri, PostgreSQL kümelerimizde AES‑256 ile şifrelenmiş olarak depolanmalıdır."
tasks:
  - title: "Üretim kümelerinde Transparent Data Encryption (TDE) etkinleştir"
    owner: "DBA Ekibi"
    due: "2025-11-30"
  - title: "Şifreleme durumunu otomatik script ile doğrula"
    owner: "DevSecOps"
    due: "2025-12-07"
evidence:
  - ref_id: "EV-2025-001"
    description: "RDS örneklerine eklenmiş AWS KMS anahtar politikası"
    link: "s3://compliance-evidence/EV-2025-001.pdf"
```

### 5. İnsan İncelemesi

Güvenlik mühendisleri taslağı şu kriterlere göre kontrol eder:

- **Doğruluk:** Görevlerin uygulanabilirliği ve önceliği.  
- **Tamlık:** Alıntıların eksiksizliği.  
- **Politika Uyumluğu:** Örneğin, ISO 27001 A.10.1 ile tutarlılık.  

Onaylanan bölümler **Oyun Kitabı Versiyonlama Servisi**’ne kaydedilir.

### 6. Otomatik Görev Oluşturma

Versiyonlama servisi, bir **Görev Orkestrasyon API**’si (Jira, Asana) aracılığıyla oyun kitabını yayınlar. Her görev, orijinal anket yanıtına geri bağlanan meta veriyle bir bilet haline gelir.

### 7. Canlı Gösterge Paneli & İzleme

**Uyumluluk Gösterge Paneli** tüm aktif oyun kitaplarını bir araya getirir ve şunları gösterir:

- Her görev için mevcut durum (açık, devam ediyor, tamamlandı).  
- Kanıt sürüm numaraları.  
- Yaklaşan son tarihler ve risk ısı haritaları.

### 8. Sürekli Öğrenme

Bir bilet kapatıldığında sistem, **gerçek iyileştirme adımlarını** kaydeder ve **bilgi grafiğini** günceller. Bu veri, LLM’nin ince ayar (fine‑tuning) sürecine beslenir, gelecekteki oyun kitabı taslaklarını iyileştirir.

---

## Güvenilir Oyun Kitapları İçin Prompt Mühendisliği {#prompt-engineering}

Eyleme dönük oyun kitapları üretmek **kesinlik** gerektirir. İşte kanıtlanmış teknikler:

| Teknik | Açıklama | Örnek |
|--------|----------|-------|
| **Few‑Shot Demonstrations** | LLM’ye yeni isteğe geçmeden 2‑3 tam oluşmuş oyun kitabı örneği gösterilir. | `---\ncontrol_id: "IAM-02"\ntasks: ...\n---` |
| **Çıktı Şema Zorlaması** | LLM’den sadece YAML/JSON çıktısı istemek ve geçersiz çıktıyı reddetmek. | `"Sadece geçerli YAML yanıt ver. Başka açıklama yazma."` |
| **Kanıt Bağlama** | `{{EVIDENCE_1}}` gibi yer tutucular eklenir, daha sonra gerçek bağlantılar eklenir. | `"Kanıt: {{EVIDENCE_1}}"` |
| **Risk Ağırlığı** | Prompt’a bir risk skoru eklenir, böylece LLM yüksek riskli kontrolere öncelik verir. | `"Etkiye göre 1‑5 arası bir risk skoru ata."` |

Bir **doğrulama süiti** (100+ kontrol) ile prompt’ları test etmek, sahte (hallucination) durumlarını %30 civarında azaltır.

---

## Retrieval‑Augmented Generation (RAG) Entegrasyonu {#integrating-rag}

RAG, AI yanıtlarını **gerçeğe bağlamada** kilit rol oynar. Uygulama adımları:

1. **Semantik İndeksleme** – Politika maddeleri ve kanıtları vektör deposuna (Pinecone, Weaviate vb.) gömmek.  
2. **Hibrit Arama** – ISO 27001 gibi anahtar kelime filtreleriyle vektör benzerliğini birleştirerek doğruluk sağlamak.  
3. **Parça Boyutu Optimizasyonu** – Bağlam taşmasını önlemek için 2‑3 ilgili parçayı (300‑500 token) getir.  
4. **Alıntı Haritalaması** – Her getirilen parçaya benzersiz bir `ref_id` atanır; LLM bu ID’leri çıktısında belirtmek zorundadır.  

LLM’nin **atıf** yapması, denetçilerin her görevin kaynağını doğrulamasını mümkün kılar.

---

## Denetlenebilir İzlenebilirlik Sağlama {#auditable-traceability}

Denetim görevlileri değişmez bir izleme izi talep eder. Sistem şu önlemleri almalıdır:

- **Her LLM taslağını**, kullanılan prompt, model sürümü ve getirilen kanıtların hash’i ile sakla.  
- **Git‑benzeri versiyonlama** (v1.0, v1.1‑patch) uygula.  
- **Kriptografik imza** (Ed25519 gibi) her versiyona ekle.  
- **Provenance API** sun, böylece herhangi bir oyun kitabı düğümü için tam köken JSON’u alınabilir.

Örnek provenance kesiti:

```json
{
  "playbook_id": "ENCR-01",
  "version": "v1.2",
  "model": "gpt‑4‑turbo‑2024‑08",
  "prompt_hash": "a1b2c3d4e5",
  "evidence_refs": ["EV-2025-001", "EV-2025-014"],
  "signature": "0x9f1e..."
}
```

Denetçiler, AI üretiminden sonra manuel düzenleme olmadığını bu şekilde doğrular.

---

## Vaka Çalışması Özeti {#case-study}

**Şirket:** CloudSync Corp (orta ölçekli SaaS, 150 çalışan)  
**Zorluk:** Çeyrek başına 30 güvenlik anketi, ortalama dönüş süresi 12 gün.  
**Uygulama:** Yukarıda tanımlanan AI‑Destekli Oyun Kitabı Motoru ile Procurize AI entegrasyonu.  

| Ölçüt | Önce | 3 ay Sonra |
|-------|------|------------|
| Ortalama Dönüş Süresi | 12 gün | 2,1 gün |
| Manuel İyileştirme Bileti Sayısı | 112/ay | 38/ay |
| Denetim Bulgusu Oranı | %8 | %1 |
| Mühendis Memnuniyeti (1‑5) | 2,8 | 4,5 |

Ana çıktılar, **otomatik oluşturulan iyileştirme biletlerinin** manuel çabayı azaltması ve **politikalarla senkronize bir oyun kitabının** eski kanıtları ortadan kaldırması oldu.

---

## En İyi Uygulamalar & Tuzaklar {#best-practices}

### En İyi Uygulamalar
1. **Küçük Başla:** İlk olarak yüksek etkili bir kontrol (ör. Veri Şifreleme) pilot uygulaması yap.  
2. **İnsan Denetimini Sürdür:** İlk 20‑30 taslakta modeli kalibre etmek için HITL kullan.  
3. **Ontolojileri Kullanın:** Uyumluluk terimlerini standartlaştırmak için bir uyumluluk ontolojisi (ör. [NIST CSF](https://www.nist.gov/cyberframework)) benimseyin.  
4. **Kanıt Toplamayı Otomatikleştir:** CI/CD pipeline’larıyla her build’da kanıt üretilmesini sağlayın.  

### Yaygın Tuzaklar
- **LLM sahte (hallucination) bağımlılığı:** Her zaman atıf zorunluluğu koyun.  
- **Versiyon Kontrolünü İhmal Etmek:** Denetim izni için git‑benzeri tarihçeyi asla atlamayın.  
- **Yerelleştirmeyi Göz Ardı Etmek:** Bölgesel düzenlemeler için dil‑spesifik oyun kitapları hazırlayın.  
- **Model Güncellemelerini Atlamak:** Güvenlik kontrolleri evrimleşir; LLM ve bilgi grafiğini çeyrek‑çeyrek güncelleyin.

---

## Gelecek Yönelimleri {#future-directions}

1. **Sıfır‑Dokun Kanıt Üretimi:** Gerçek veriyi korurken denetim gereksinimlerini karşılayan sahte günlükler üretmek için sentetik veri üreticileri ve AI birleştirilsin.  
2. **Dinamik Risk Skorlama:** Oyun kitabı tamamlama verilerini bir Grafik Sinir Ağı (GNN) ile besleyerek gelecekteki denetim riskini tahmin edin.  
3. **AI‑Destekli Müzakere Asistanları:** Anket yanıtları iç politikalarla çeliştiğinde, AI’ler satıcıya önerilen bir dil önerisi sunsun.  
4. **Regülasyon Öngörüsü:** EU Digital Services Act gibi dış regülasyon akışlarını entegre edip, regülasyon zorunlu olmadan oyun kitabı şablonlarını otomatik güncelleyin.

---

## Sonuç {#conclusion}

Güvenlik anket yanıtlarını **eyleme dönüştürülebilir, denetlenebilir uyumluluk oyun kitaplarına** dönüştürmek, Procurize gibi AI‑destekli uyumluluk platformları için doğal bir bir sonraki adımdır. **RAG**, **prompt mühendisliği** ve **sürekli öğrenme** kombinasyonu sayesinde, her anket sadece bir soru listesi olmaktan çıkıp, **kontrolün uygulanmasını sağlayan bir eylem planına** dönüşür. Sonuç; daha hızlı dönüş süresi, azalan manuel bilet sayısı ve politika değişiklikleriyle senkronize bir uyumluluk duruşu.

Bugün oyun kitabı paradigmasını benimseyin ve her anketi sürekli güvenlik gelişimi için bir katalizör haline getirin.