
# Gerçek Zamanlı Güvenlik Anketleri için AI Destekli Dinamik Kanıt Orkestrasyonu

## Giriş

Güvenlik anketleri, her B2B SaaS anlaşmasının geçiş kapılarıdır. SOC 2, ISO 27001, GDPR ve yeni düzenlemeler gibi çerçeveler için kesin, güncel kanıt talep ederler. Geleneksel süreçler, statik politika depolarından manuel kopyala‑yapıştır işlemlerine dayanır ve şu sorunlara yol açar:

* **Uzun dönüş süresi** – haftalar ila aylar.  
* **Tutarsız yanıtlar** – farklı ekip üyeleri çelişkili sürümler alıntılar.  
* **Denetim riski** – bir yanıtın kaynağına bağlanan değişmez bir iz yok.  

Procurize’in sonraki evrimi, **Dinamik Kanıt Orkestrasyonu Motoru (DEOE)**, bu sorunları uyumluluk bilgi tabanını **adaptif, AI‑driven bir veri dokusuna** dönüştürerek çözer. **Retrieval‑Augmented Generation (RAG)**, **Graph Neural Networks (GNN)** ve **gerçek‑zamanlı federated bilgi grafiği** kombinasyonuyla motor şunları yapabilir:

1. **Konumlandırma** – En ilgili kanıtı anında bulur.  
2. **Sentez** – Kısa, düzenlemeye duyarlı bir yanıt üretir.  
3. **Ekleme** – Denetlenebilirlik için kriptografik kaynak meta verisi ekler.  

Sonuç, **politika, kontrol ve düzenlemeler değiştikçe evrilen tek‑tık, denetime hazır yanıt**dır.

---  

## Temel Mimari Sütunlar

DEOE, dört sıkı entegre katmandan oluşur:

| Katman | Sorumluluk | Ana Teknolojiler |
|-------|------------|-------------------|
| **Alım ve Normalleştirme** | Politika belgeleri, denetim raporları, bilet günlükleri ve üçüncü‑taraf onaylarını çek. Tek bir anlamsal modele dönüştür. | Document AI, OCR, şema eşlemesi, OpenAI gömme |
| **Federated Knowledge Graph (FKG)** | Normalleştirilmiş varlıkları (kontroller, varlıklar, süreçler) düğüm olarak sakla. Kenarlar *depends‑on*, *implements*, *audited‑by* gibi ilişkileri temsil eder. | Neo4j, JanusGraph, RDF‑tabanlı sözcük dağarcıkları, GNN‑uyumlu şemalar |
| **RAG Alım Motoru** | Bir anket isteği alındığında, grafikten en iyi k bağlam pasajını getir ve yanıt üretimi için bir LLM’ye geçir. | ColBERT, BM25, FAISS, OpenAI GPT‑4o |
| **Dinamik Orkestrasyon & Kaynak** | LLM çıktısını grafik‑türevi atıflarla birleştir, sonucu sıfır‑bilgi kanıtı defteriyle imzala. | GNN çıkarımı, dijital imzalar, Değişmez Defter (örn. Hyperledger Fabric) |

### Mermaid Genel Görünüm

```mermaid
graph LR
  A[Document Ingestion] --> B[Semantic Normalization]
  B --> C[Federated Knowledge Graph]
  C --> D[Graph Neural Network Embeddings]
  D --> E[RAG Retrieval Service]
  E --> F[LLM Answer Generator]
  F --> G[Evidence Orchestration Engine]
  G --> H[Signed Audit Trail]
  style A fill:#f9f,stroke:#333,stroke-width:2px
  style H fill:#9f9,stroke:#333,stroke-width:2px
```

## Retrieval‑Augmented Generation DEOE’da Nasıl Çalışır

1. **İstem Parçalama** – Gelen anket öğesi *niyet* (ör. “Veri şifrelemenizi at‑rest açıklayın”) ve *kısıtlama* (ör. “CIS 20‑2”) olarak ayrılır.  
2. **Vektörleştirilmiş Arama** – Niyet vektörü, FAISS kullanılarak FKG gömmeleriyle eşleştirilir; en iyi k pasaj (politika maddeleri, denetim bulguları) getirilir.  
3. **Bağlam Füzyonu** – Getirilen pasajlar orijinal istekle birleştirilerek LLM’ye verilir.  
4. **Yanıt Üretimi** – LLM, ton, uzunluk ve gerekli atıfları dikkate alarak kısa, uyumluluk‑bilinçli bir yanıt üretir.  
5. **Atıf Haritalama** – Üretilen her cümle, bir benzerlik eşiği aracılığıyla orijinal düğüm kimliklerine bağlanır, **izlenebilirlik** sağlanır.  

Bu süreç, çoğu anket öğesi için **2 saniyenin altında** gerçekleşir ve gerçek‑zamanlı iş birliğini mümkün kılar.

## Graph Neural Networks: Semantik Zekâ Katmanı

Standart anahtar kelime araması, her belgeyi izole bir kelime çantası gibi ele alır. GNN'ler motorun **yapısal bağlamı** anlamasını sağlar:

* **Düğüm Özellikleri** – Metinden türetilen gömmeler, kontrol‑tipi meta verileri (ör. “şifreleme”, “erişim‑kontrol”) ile zenginleştirilir.  
* **Kenar Ağırlıkları** – Düzenleyici ilişkileri yakalar (ör. *“ISO 27001 A.10.1”* *implements* *“SOC 2 CC6”*).  
* **Mesaj Geçirme** – İlgililik skorlarını grafikte yayar, dolaylı kanıtları ortaya çıkarır (ör. “veri‑saklama politikası”, “kayıt‑tutma” sorusunu dolaylı olarak karşılar).  

Geçmiş anket‑yanıt çiftleri üzerinde **GraphSAGE** modeli eğitilerek, motor geçmişte yüksek‑kaliteli yanıtlara katkı sağlayan düğümleri önceliklendirmeyi öğrenir ve böylece kesinliği büyük ölçüde artırır.

## Kaynak Defteri: Değişmez Denetim İzleri

Her üretilen yanıt şunları içerir:

* Kaynak kanıtın **Düğüm Kimlikleri**.  
* **Zaman Damgası**.  
* DEOE özel anahtarından **Dijital İmza**.  
* Ham belgeleri ifşa etmeden yanıtın kaynaktan türetildiğini kanıtlayan **Sıfır‑Bilgi Kanıtı (ZKP)**.  

Bu öğeler **değişmez bir defter** (Hyperledger Fabric) üzerinde saklanır ve denetçiler talep üzerine dışa aktarılabilir; “Bu yanıt nereden geldi?” sorusunu ortadan kaldırır.

## Mevcut Satın Alma İş Akışlarıyla Entegrasyon

| Entegrasyon Noktası | DEOE’nin Rolü |
|---------------------|----------------|
| **Ticket Sistemleri (Jira, ServiceNow)** | Yeni bir anket görevi oluşturulduğunda alım motorunu tetikleyen webhook. |
| **CI/CD Boru Hatları** | Politika‑as‑code depoları, GitOps‑stil senkronizasyon işiyle FKG’ye güncellenir. |
| **Satıcı Portalları (SharePoint, OneTrust)** | REST API aracılığıyla yanıtlar otomatik doldurulur, denetim‑izleri meta veri olarak eklenir. |
| **İş Birliği Platformları (Slack, Teams)** | Doğal dil sorgularına yanıt veren bir AI asistanı, DEOE’yi arka planda çalıştırır. |

## Nicel Faydalar

| Ölçüt | Geleneksel Süreç | DEOE‑Aktif Süreç |
|------|------------------|-------------------|
| **Ortalama Yanıt Süresi** | Anket başına 5‑10 gün | Maddе başına < 2 dakika |
| **Manuel Çalışma Saatleri** | Denetim döngüsü başına 30‑50 saat | 2‑4 saat (sadece gözden geçirme) |
| **Kanıt Doğruluğu** | %85 (insan hatasına açık) | %98 (AI + atıf doğrulama) |
| **Tutarsız Yanıtlara İlişkin Denetim Bulguları** | Toplam bulguların %12’si | %1’in altında |

Üç Fortune‑500 SaaS firmasında gerçekleştirilen pilotlar, **%70’lik dönüş süresi düşüşü** ve **%40’lık denetim‑bağlantılı iyileştirme maliyeti azalması** rapor etti.

## Uygulama Yol Haritası

1. **Veri Toplama (1‑2. Hafta)** – Document AI hatlarını politika depolarına bağlayın, JSON‑LD’ye aktarın.  
2. **Grafik Şema Tasarımı (2‑3. Hafta)** – Düğüm/kenar türlerini (Kontrol, Varlık, Düzenleme, Kanıt) tanımlayın.  
3. **Grafik Doldurma (3‑5. Hafta)** – Normalleştirilmiş veriyi Neo4j’e yükleyin, ilk GNN eğitimini çalıştırın.  
4. **RAG Servisi Dağıtımı (5‑6. Hafta)** – FAISS indeksini kurun, OpenAI API ile entegre edin.  
5. **Orkestrasyon Katmanı (6‑8. Hafta)** – Yanıt sentezi, atıf haritalama ve defter imzalama işlevlerini uygulayın.  
6. **Pilot Entegrasyonu (8‑10. Hafta)** – Tek bir anket iş akışına bağlayın, geri bildirim toplayın.  
7. **Yinelemeli Ayar (10‑12. Hafta)** – GNN’i ince ayar yapın, istem şablonlarını düzenleyin, ZKP kapsamını genişletin.  

Docker Compose ve Helm Chart içeren **Procurize açık‑kaynak SDK**’sı, Kubernetes üzerinde ortamı hızlıca başlatmayı mümkün kılar.

## Gelecek Yönelimler

* **Çok‑modlu Kanıt** – Ekran görüntüsü, mimari diyagram ve video açıklamaları CLIP‑tabanlı gömmelerle entegre et.  
* **Kiracılar Arası Federated Öğrenme** – Anonim GNN ağırlık güncellemelerini ortak şirketlerle paylaş, veri egemenliğini koru.  
* **Düzenleyici Tahmin** – Zamanlı grafik ve LLM‑tabanlı trend analiziyle yaklaşan standartlar için önceden kanıt üret.  
* **Sıfır‑Güven Erişim Kontrolleri** – Kaynağa yalnızca yetkili rollerin ham belgeyi görmesi için politika‑temelli şifre çözme uygula.  

## En İyi Uygulama Kontrol Listesi

- [ ] **Anlamsal Tutarlılığı Koruyun** – Tüm kaynak belgelerde ortak bir taksonomi (örn. [NIST CSF](https://www.nist.gov/cyberframework), ISO 27001) kullanın.  
- [ ] **Grafik Şemasını Sürüm Kontrol Edin** – Şema göçlerini Git’te saklayın, CI/CD ile uygulayın.  
- [ ] **Günlük Kaynak Denetimi Yapın** – Her yanıtın en az bir imzalı düğüme bağlandığını otomatik kontrol edin.  
- [ ] **Alım Gecikmesini İzleyin** – RAG sorgusu 3 saniyeyi aşarsa alarm ver.  
- [ ] **GNN’i Düzenli Yeniden Eğitin** – Yeni anket‑yanıt çiftlerini her çeyrekte modele ekleyin.  

## Sonuç

**Dinamik Kanıt Orkestrasyonu Motoru**, güvenlik anketlerine yanıt verme biçimini yeniden tanımlıyor. Statik politika belgelerini **canlı, grafik‑güçlü bir bilgi dokusuna** dönüştürerek ve modern LLM’lerin üretken gücünden yararlanarak organizasyonlar:

* **Anlaşma Hızını Artırır** – Yanıtlar saniyeler içinde hazır.  
* **Denetim Güvenini Yükseltir** – Her ifade kriptografik olarak kaynağına bağlanır.  
* **Uyumluluğu Geleceğe Hazırlar** – Sistem, düzenlemeler evrimleştikçe öğrenir ve uyum sağlar.  

DEOE’yu benimsemek bir lüks değil; hiper‑rekabetçi bir pazarda hız, güvenlik ve güveni korumak isteyen her SaaS şirketi için stratejik bir zorunluluktur.