
# İşbirlikli Güvenlik Anketleri için AI Destekli Gerçek Zamanlı Çatışma Tespiti

**TL;DR** – Güvenlik anketleri ürün, hukuk ve güvenlik ekipleri arasında paylaşılan bir sorumluluk haline geldikçe, çelişkili yanıtlar ve güncel olmayan kanıtlar uyumluluk riski oluşturur ve anlaşma hızını yavaşlatır. AI‑destekli bir çatışma tespit motorunu doğrudan anket düzenleme UI'sine entegre ederek, kuruluşlar tutarsızlıkları ortaya çıktığı anda gösterebilir, düzeltici kanıt önerir ve tüm uyumluluk bilgi grafiğini tutarlı bir durumda tutabilir. Sonuç; daha hızlı yanıt süreleri, daha yüksek yanıt kalitesi ve denetlenebilir bir iz, düzenleyicileri ve müşterileri memnun eder.

---

## 1. Gerçek Zamanlı Çatışma Tespitinin Önemi

### 1.1 İşbirliği Paradoksu  

Modern SaaS şirketleri güvenlik anketlerini **canlı belgeler** olarak değerlendirir; birden fazla paydaşa göre evrilir:

| Paydaş | Tipik Eylem | Potansiyel Çatışma |
|--------|--------------|-------------------|
| Ürün Yöneticisi | Ürün özelliklerini günceller | Veri saklama beyanlarını ayarlamayı unutabilir |
| Hukuk Danışmanı | Sözleşme dilini iyileştirir | Listelenen güvenlik kontrolleriyle çelişebilir |
| Güvenlik Mühendisi | Teknik kanıt sağlar | Eski tarama sonuçlarına referans verebilir |
| Satın Alma Sorumlusu | Anketi satıcılara atar | Görevleri ekipler arasında tekrarlayabilir |

Her katılımcı aynı anketi **aynı anda**—genellikle ayrı araçlarda—düzenlediğinde çatışmalar ortaya çıkar:

* **Yanıt çelişkileri** (örn., “Veri dinlenirken şifrelenmiştir” vs. “Legacy DB için şifreleme etkin değil”)
* **Kanıt uyumsuzluğu** (örn., 2022 [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) raporunu 2024 [ISO 27001](https://www.iso.org/standard/27001) sorgusuna eklemek)
* **Sürüm kayması** (örn., bir ekip kontrol matrisini güncellerken başka bir ekip eski matrisi referans alır)

Geleneksel iş akışı araçları bu sorunları yakalamak için manuel incelemelere veya gönderim sonrası denetimlere dayanır; bu da yanıt sürecine günler ekler ve kuruluşu denetim bulgularına açık hale getirir.

### 1.2 Etkinin Sayısallaştırılması  

250 B2B SaaS firmasının katıldığı son bir anket şunları ortaya koydu:

* **%38** güvenlik anketi gecikmesinin nedeni, yalnızca satıcı incelemesinden sonra ortaya çıkan çelişkili yanıtlar idi.
* **%27** uyumluluk denetçileri, kanıt uyumsuzluklarını “yüksek riskli öğeler” olarak işaretledi.
* **Otomatik doğrulama** uygulayan ekipler, ortalama dönüş süresini **12 günden 5 güne** düşürdü.

Bu rakamlar, **AI‑destekli, gerçek zamanlı bir çatışma tespit edicisinin** işbirlikli düzenleme ortamı içinde çalışmasının açık bir YG fırsatı sunduğunu gösteriyor.

---

## 2. AI Çatışma Tespit Motorunun Temel Mimarisi

Aşağıda, teknoloji bağımsız bir mimari diyagramı Mermaid ile görselleştirilmiştir. Tüm düğüm etiketleri çift tırnak içinde yer almaktadır.

```mermaid
graph TD
    "User Editing UI" --> "Change Capture Service"
    "Change Capture Service" --> "Streaming Event Bus"
    "Streaming Event Bus" --> "Conflict Detection Engine"
    "Conflict Detection Engine" --> "Knowledge Graph Store"
    "Conflict Detection Engine" --> "Prompt Generation Service"
    "Prompt Generation Service" --> "LLM Evaluator"
    "LLM Evaluator" --> "Suggestion Dispatcher"
    "Suggestion Dispatcher" --> "User Editing UI"
    "Knowledge Graph Store" --> "Audit Log Service"
    "Audit Log Service" --> "Compliance Dashboard"
```

**Açıklanan temel bileşenler**

| Bileşen | Sorumluluk |
|---------|------------|
| **User Editing UI** | Gerçek zamanlı işbirliği sağlayan web tabanlı zengin metin editörü (örn., CRDT veya OT). |
| **Change Capture Service** | Her düzenleme olayını dinler, kanonik *soru‑cevap* yüküne dönüştürür. |
| **Streaming Event Bus** | Sıralamayı garantileyen düşük gecikmeli mesaj aracısı (Kafka, Pulsar veya NATS). |
| **Conflict Detection Engine** | Kural‑tabanlı tutarlılık kontrolleri **ve** çelişki olasılığını puanlayan hafif bir transformer uygular. |
| **Knowledge Graph Store** | Soru taksonomisi, kanıt meta verileri ve sürümlü yanıtları tutan bir özellik‑graf (Neo4j, JanusGraph). |
| **Prompt Generation Service** | Çelişkili ifadeleri ve ilgili kanıtları içeren bağlam‑açık istemleri LLM’ye hazırlar. |
| **LLM Evaluator** | Barındırılan bir LLM (örn., OpenAI GPT‑4o, Anthropic Claude) üzerinde çalışarak çelişkiyi analiz eder ve çözüm önerir. |
| **Suggestion Dispatcher** | İç satır önerilerini UI’ye gönderir (vurgulama, araç ipucu veya otomatik birleştirme). |
| **Audit Log Service** | Tespit, öneri ve kullanıcı eylemlerini uyumluluk‑dereceli izlenebilirlik için kalıcı hâle getirir. |
| **Compliance Dashboard** | Çatışma metrikleri, çözüm süresi ve denetime hazır raporların görsel özetlerini sunar. |

---

## 3. Veriden Karara – AI Çatışmaları Nasıl Algılar

### 3.1 Kural‑Tabanlı Temeller  

Büyük dil modeli çağrılmadan önce motor, deterministik kontrolleri çalıştırır:

1. **Zamansal Tutarlılık** – Eklenen kanıtın zaman damgasının, politika sürüm referansından daha eski olmamasını doğrular.
2. **Kontrol Haritalama** – Her yanıtın KG içinde tam bir kontrol düğümüne bağlandığından emin olur; çift haritalama bir işaretçi oluşturur.
3. **Şema Doğrulama** – Yanıt alanlarına JSON‑Şema kısıtlamaları uygular (örn., Boolean yanıtlar “N/A” olamaz).

Bu hızlı kontroller, düşük riskli düzenlemelerin büyük bir kısmını filtreleyerek LLM kapasitesini yalnızca insan sezgisine ihtiyaç duyulan **semantik** çelişkiler için korur.

### 3.2 Semantik Çatışma Puanlama  

Bir kural‑tabanlı kontrol başarısız olduğunda motor bir **çelişki vektörü** oluşturur:

* **Yanıt A** – “Tüm API trafiği TLS‑şifreli.”
* **Yanıt B** – “Legacy HTTP uç noktaları şifreleme olmadan hâlâ erişilebilir.”

Vektör, her iki ifadenin token gömmelerini, ilişkili kontrol kimliklerini ve en yeni kanıt gömmelerini (PDF‑to‑text + cümle dönüştürücü) içerir. **0.85** üzerindeki kosinüs benzerliği, ters polarlıkla birleştiğinde **semantik çatışma** bayrağını tetikler.

### 3.3 LLM Akıl Yürütme Döngüsü  

**Prompt Generation Service** aşağıdaki gibi bir istem oluşturur (kodu değiştirmiyoruz, sadece örnek gösteriyoruz):

```
You are a compliance analyst reviewing two answers for the same security questionnaire.
Answer 1: "All API traffic is TLS‑encrypted."
Answer 2: "Legacy HTTP endpoints are still accessible without encryption."
Evidence attached to Answer 1: "2024 Pen‑Test Report – Section 3.2"
Evidence attached to Answer 2: "2023 Architecture Diagram"
Identify the conflict, explain why it matters for [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), and propose a single consistent answer with required evidence.
```

LLM şunları döndürür:

* **Çatışma Özeti** – Şifreleme iddiaları çelişiyor.
* **Düzenleyici Etkisi** – SOC 2 CC6.1 (Dinlenme ve Aktarımda Şifreleme) ihlali.
* **Önerilen Tek Bir Yanıt** – “Tüm API trafiği, legacy uç noktalar dahil, TLS‑şifreli. Destek kanıtı: 2024 Pen‑Test Raporu (Bölüm 3.2).”

Sistem bu öneriyi satır içi olarak sunar; yazar kabul, düzenle veya reddedebilir.

---

## 4. Mevcut Tedarik Platformları İçin Entegrasyon Stratejileri

### 4.1 API‑İlk Gömme  

Çoğu uyumluluk merkezi (örneğin Procurize) **REST/GraphQL** uç noktaları aracılığıyla anket nesnelerine erişir. Çatışma tespitini entegre etmek için:

1. **Webhook Kaydı** – `questionnaire.updated` olayına abone olun.
2. **Olay İletimi** – Yükleri Change Capture Service’e yönlendirin.
3. **Sonuç Geri Çağrısı** – Önerileri platformun `questionnaire.suggestion` uç noktasına gönderin.

Bu yöntem **UI değişikliği gerektirmez**; platform önerileri toast bildirimi veya yan panel mesajı olarak gösterebilir.

### 4.2 Zengin Metin Editörleri İçin SDK Eklentisi  

Platform TipTap veya ProseMirror gibi bir editör kullanıyorsa, hafif bir **conflict‑detection plug‑in** eklenebilir:

```javascript
import { ConflictDetector } from '@procurize/conflict-sdk';

const editor = new Editor({
  extensions: [ConflictDetector({
    apiKey: 'YOUR_ENGINE_KEY',
    // Çatışma tespit edildiğinde çalıştırılacak geri çağrı
    onConflict: (payload) => {
      // Satır içi vurgulama + araç ipucu göster
      showConflictTooltip(payload);
    }
  })],
});
```

### 4.3 SaaS‑to‑SaaS Federasyonu  

Birden fazla anket deposu (örneğin ayrı GovCloud ve EU sistemleri) bulunan kuruluşlar için **federe bir bilgi grafiği** köprü oluşturulabilir. Her kiracı, veri ikamet kurallarına uyacak şekilde merkezi çatışma tespit hub’ına normalleştirilmiş düğümler senkronize eden ince bir **edge ajan** çalıştırır; bu işlem homomorfik şifreleme ile gizlilik sağlar.

---

## 5. Başarıyı Ölçmek – KPI’lar & YG

| KPI | Temel (AI Yok) | Hedef (AI ile) | Hesaplama Yöntemi |
|-----|----------------|----------------|-------------------|
| **Ortalama Çözüm Süresi** | 3,2 gün | ≤ 1,2 gün | Çatışma işaretinden kabulüne kadar geçen süre |
| **Anket Dönüş Süresi** | 12 gün | 5–6 gün | Gönderimden teslimata kadar toplam zaman |
| **Çatışma Tekrarı Oranı** | %22 | < %5 | Çelişki tetiklenen yanıt yüzdesi |
| **Denetim Bulguları (Tutarsızlık)** | 4 / denetim | 0–1 / denetim | Denetçinin sorun listesi |
| **Kullanıcı Memnuniyeti (NPS)** | 38 | 65+ | Üç aylık anket |

Altı aylık bir sürede AI çatışma tespitini benimseyen orta ölçekli bir SaaS satıcısı, **%71 azalma** gösteren denetim tutarsızlığı buldu; bu da yıllık yaklaşık **250 bin $** danışmanlık ve iyileştirme maliyet tasarrufu anlamına geliyor.

---

## 6. Güvenlik, Gizlilik ve Yönetişim Hususları

1. **Veri Minimizasyonu** – LLM’ye yalnızca yanıtların *semantik temsil* (gömmeler) gönderilir; ham metin kiracının kasasında kalır.
2. **Model Yönetişimi** – Yalnızca onaylı LLM uç noktaları beyazlisteye alınır; her sorgu denetim kaydıyla izlenir.
3. **Erişim Kontrolü** – Çatışma önerileri, anketin mevcut RBAC politikalarıyla aynı yetkilere tabi olur; düzenleme izni olmayan bir kullanıcı yalnızca **okuma** uyarısı alır.
4. **Düzenleyici Uyumluluk** – Motor, **SOC 2 Type II** uyumlu olacak şekilde, dinleme sırasında şifrelenmiş depolama ve denetlenebilir loglama sağlar.

---

## 7. Gelecek Yönelimleri

| Yol Haritası Maddesi | Açıklama |
|----------------------|----------|
| **Çok‑dilli Çatışma Tespiti** | Çevirmen‑geçişli gömme modelleriyle 30+ dili destekleyerek küresel ekipler için kapsam genişletilecek. |
| **Proaktif Çatışma Tahmini** | Düzenleme kalıplarına dayalı zaman‑serisi analizi, bir çelişkinin ortaya çıkmadan önce tahmin edilmesini sağlar. |
| **Açıklanabilir AI Katmanı** | Çatışma puanına hangi bilgi‑grafı kenarlarının katkıda bulunduğunu gösteren insan‑okunur gerekçe ağaçları üretilecek. |
| **RPA Entegrasyonu** | belge depolarından (SharePoint, Confluence) kanıtları otomatik çekerek önerileri kendi‑kendine dolduran robotik süreç otomasyonu eklenerek tam otomasyon sağlanacak. |

Gerçek‑zamanlı işbirliği, bilgi‑grafı tutarlılığı ve üretken AI akıl yürütmesinin kesişimi, **her güvenlik anketi iş akışının doğal bir parçası** haline gelmek üzere.

---

## İlgili Bağlantılar

* *Platformda ek kaynaklar ve derinlemesine makaleler mevcuttur.*