
# Uyarlanabilir Güvenlik Anketi Otomasyonu için Bileşenli İstemci Pazaryeri

*Her hafta bir SaaS satıcısının gelen kutusuna düzinelerce güvenlik anketi geldiği bir dünyada, AI‑tarafından üretilen yanıtların hızı ve doğruluğu, bir anlaşmayı kazanmak ile bir potansiyeli kaybetmek arasındaki fark olabilir.*  

Bugün çoğu ekip, her anket için ad‑hoc istemciler yazar, politika metinlerinden parçalar kopyalar‑yapıştırır, ifadesi değiştirir ve LLM‘nin uyumlu bir yanıt döndürmesini umar. Bu manuel “istemci‑istemci” yaklaşımı tutarsızlık, denetim riski ve anket sayısı arttıkça lineer artan gizli bir maliyet getirir.  

Bir **Bileşenli İstemci Pazaryeri** senaryoyu tersine çevirir. Her soruya yeniden tekerleği icat etmek yerine, ekipler yeniden kullanılabilir istemci bileşenleri oluşturur, inceler, sürümleştirir ve talep üzerine birleştirir. Pazaryeri, **istemci mühendisliği**, **kod‑olarak‑politika** ve **yönetişim**i tek bir aranabilir arayüzde birleştiren ortak bir bilgi tabanı haline gelir—daha hızlı, daha güvenilir yanıtlar sunarken uyumluluk denetim izini korur.

---

## Neden Bir İstemci Pazaryeri Önemli

| Sorun Noktası | Geleneksel Yaklaşım | Pazaryeri Çözümü |
|---------------|---------------------|------------------|
| **Tutarsız dil** | Her mühendis kendi ifadesini yazar. | Merkezi istemci standartları, tüm yanıtlar arasında aynı terminolojiyi uygular. |
| **Gizli bilgi siloları** | Uzmanlık bireysel gelen kutularında yaşar. | İstemciler keşfedilebilir, aranabilir ve yeniden kullanılmak üzere etiketlenir. |
| **Sürüm kayması** | Politika güncellemelerinden sonra eski istemciler hâlâ kullanılır. | Semantik sürümleme, değişiklikleri izler ve politika evrildiğinde yeniden incelemeyi zorunlu kılar. |
| **Denetim zorluğu** | Hangi istemcinin belirli bir yanıtı ürettiği kanıtlanamaz. | Her istemci çalıştırması, kesin istemci kimliği, sürümü ve politika anlık görüntüsünü kaydeder. |
| **Hız darboğazı** | Yeni istemciler oluşturmak her anket için dakikalar ekler. | Önceden hazırlanmış istemci kütüphaneleri, soru başına çabayı saniyelere indirger. |

Bu yüzden pazaryeri, **stratejik uyumluluk varlığı** hâline gelir—regülasyon değişiklikleri, iç politika güncellemeleri ve LLM iyileştirmeleriyle birlikte evrilen yaşayan bir kütüphane.

---

## Temel Kavramlar

### 1. İstemci Birinci‑Sınıf Bir Varlık
Bir istemci, aşağıdaki alanları içeren bir JSON nesnesi olarak saklanır:
- **id** – küresel benzersiz tanımlayıcı.
- **title** – kısa, insan‑okunur ad (örn. “ISO 27001‑Control‑A.9.2.1 Özeti”).
- **version** – semantik sürüm dizesi (`1.0.0`).
- **description** – amaç, hedef düzenleme ve kullanım notları.
- **template** – dinamik veri için Jinja‑stil yer tutucular (`{{control_id}}`).
- **metadata** – etiketler, gerekli politika kaynakları, risk seviyesi ve sorumlu kişi.

```json
{
  "id": "prompt-iso27001-a9-2-1",
  "title": "ISO 27001 Control A.9.2.1 Summary",
  "version": "1.0.0",
  "description": "Generates a concise answer for the access control policy described in ISO 27001 A.9.2.1.",
  "template": "Provide a brief description of how {{company}} enforces {{control_id}} according to ISO 27001. Reference policy {{policy_ref}}.",
  "metadata": {
    "tags": ["iso27001", "access‑control", "summary"],
    "risk": "low",
    "owner": "security‑lead"
  }
}
```

*Not: “ISO 27001” resmi standarda bağlanır – bkz. [ISO 27001](https://www.iso.org/standard/27001) ve daha geniş bilgi‑güvenliği yönetim çerçevesi [ISO/IEC 27001 Information Security Management](https://www.iso.org/isoiec-27001-information-security.html).*  

### 2. İstemci Grafikleri ile Bileşenleme
Karmaşık anket maddeleri genellikle birden çok veri noktasına ihtiyaç duyar (politika metni, kanıt URL’leri, risk puanları). Tek bir büyük istemci yerine, **Yönlendirilmiş Asiklik Grafik (DAG)** modelini kullanırız; her düğüm bir istemci bileşenidir ve kenarlar veri akışını tanımlar.

```mermaid
graph TD
    A["Policy Retrieval Prompt"] --> B["Risk Scoring Prompt"]
    B --> C["Evidence Link Generation Prompt"]
    C --> D["Final Answer Assembly Prompt"]
```

DAG, yukarıdan aşağıya yürütülür; her düğüm bir JSON yükü döndürür ve bir sonraki düğüme besler. Bu, **düşük seviyeli bileşenlerin** (“Politika maddesini getir”) birçok yüksek seviyeli yanıtta yeniden kullanılmasını sağlar.

### 3. Sürüm‑Kontrollü Politika Anlık Görüntüleri
Her istemci çalıştırması bir **politika anlık görüntüsü** yakalar: referans verilen politika belgelerinin o andaki tam sürümü. Bu, sonraki denetimlerde AI yanıtının aynı politika temelli üretildiğini doğrulamayı garanti eder.

### 4. Yönetişim İş Akışı
- **Taslak** – İstemci yazar, bileşeni özel bir dalda oluşturur.
- **İnceleme** – Uyumluluk incelemecisi, dil, politika uyumu ve riski doğrular.
- **Test** – Otomatik test paketi, örnek anket maddeleriyle istemciyi çalıştırır.
- **Yayın** – Onaylanan istemci, yeni bir sürüm etiketiyle ortak pazaryereye birleştirilir.
- **Arşiv** – Kullanımdan kaldırılan istemciler “archived” olarak işaretlenir, ancak tarihsel izlenebilirlik için değişmez kalır.

---

## Mimari Şema

Aşağıda pazaryerinin Procurize’ın mevcut AI motoru ile nasıl bütünleştiğine dair üst‑seviye bir görünüm bulabilirsiniz.

```mermaid
flowchart LR
    subgraph UI [Kullanıcı Arayüzü]
        A1[İstemci Kütüphanesi UI] --> A2[İstemci Oluşturucu]
        A3[Anket Oluşturucu] --> A4[AI Yanıt Motoru]
    end
    subgraph Services
        B1[İstemci Kayıt Servisi] --> B2[Sürüm & Metaveri DB]
        B3[Politika Deposu] --> B4[Anlık Görüntü Servisi]
        B5[Çalıştırma Motoru] --> B6[LLM Sağlayıcı]
    end
    subgraph Auditing
        C1[Çalıştırma Günlüğü] --> C2[Denetim Panosu]
    end
    UI --> Services
    Services --> Auditing
```

**Ana Etkileşimler**

1. **İstemci Kütüphanesi UI**, **İstemci Kayıt Servisi**’nden istemci meta verilerini çeker.  
2. **İstemci Oluşturucu**, sürükle‑bırak arayüzüyle DAG’ları birleştirir; ortaya çıkan grafik JSON manifestosu olarak saklanır.  
3. Bir anket maddesi işlendiğinde, **AI Yanıt Motoru**, **Çalıştırma Motoru**’na DAG’ı gönderir; motor, **Anlık Görüntü Servisi** aracılığıyla politika anlık görüntülerini alır ve her bileşen için **LLM Sağlayıcı**’yı çağırır.  
4. Her çalıştırma, istemci kimliği, sürüm, politika anlık görüntüsü ID’si ve LLM yanıtını **Çalıştırma Günlüğü**’ne kaydeder; bu veri **Denetim Panosu**’na beslenerek uyumluluk takımlarına şeffaflık sağlar.

---

## Uygulama Adımları

### Adım 1: İstemci Kayıt Sistemini Oluşturun
- PostgreSQL gibi ilişkisel bir DB kullanın; tablolar `prompts`, `versions`, `tags` ve `audit_log` içersin.  
- OAuth2 kapsamlarıyla korunan bir REST API (`/api/prompts`, `/api/versions`) sunun.

### Adım 2: İstemci Oluşturucu UI’yı Geliştir
- React + D3 kombinasyonu ile istemci DAG’larını görselleştirin.  
- Gerçek‑zaman Jinja doğrulaması ve politika yer tutucu otomatik tamamlama sağlayan bir **şablon editörü** ekleyin.

### Adım 3: Politika Anlık Görüntülerini Entegre Edin
- Her politika belgesini sürüm‑kontrollü bir nesne deposunda (S3 + versioning) tutun.  
- **Anlık Görüntü Servisi**, çalıştırma anında verilen `policy_ref` için içerik hash’i ve zaman damgası döndürür.

### Adım 4: Çalıştırma Motorunu Genişletin
- Procurize’ın mevcut RAG hattını, **istemci grafik manifestosu** kabul edecek şekilde güncelleyin.  
- Bir **düğüm yürütücüsü** oluşturun; bu:
  1. Jinja şablonunu bağlamla render eder,  
  2. LLM (OpenAI, Anthropic vb.) çağrısı yapar,  
  3. Sonraki düğüm için yapılandırılmış JSON döndürür.

### Adım 5: Yönetişimi Otomatikleştirin
- GitHub Actions tabanlı CI/CD pipeline’ları kurun; şablon lint’i, DAG birim testleri ve “izin verilmemiş ifadeler yok” gibi uyumluluk kuralları çalıştırılsın.  
- Kamu dalına birleştirmeden önce en az bir uyumluluk sorumlusunun onayı zorunlu kılın.

### Adım 6: Denetlenebilir Arama Özelliğini Sağlayın
- Prompt meta verileri ve çalıştırma günlüklerini Elasticsearch’te indeksleyin.  
- Kullanıcıların düzenleme, risk seviyesi veya sorumlu kişi gibi kriterlerle filtrasyon yapabileceği bir **arama UI** sunun.  
- “Geçmişi göster” butonu, tam sürüm geçmişi ve ilgili politika anlık görüntülerini görüntülesin.

---

## Gerçekleşen Kazanımlar

| Ölçüt | Pazaryeri Öncesi | Pazaryeri Sonrası (6‑ay pilot) |
|------|------------------|--------------------------------|
| **Ortalama yanıt hazırlama süresi** | Soru başına 7 dakika | Soru başına 1.2 dakika |
| **Uyumluluk denetim bulguları** | Çeyrekte 4 küçük bulgu | 0 bulgu (tam izlenebilirlik) |
| **İstemci yeniden kullanım oranı** | %12 | %68 (çoğu kütüphaneden çekildi) |
| **Ekip memnuniyeti (NPS)** | -12 | +38 |

Beta müşterileriyle yapılan pilot, pazaryerinin yalnızca operasyonel maliyeti düşürmekle kalmadığını, aynı zamanda **savunulabilir bir uyumluluk duruşu** oluşturduğunu gösterdi. Her yanıt, belirli bir istemci sürümü ve politika anlık görüntüsüyle ilişkilendirildiği için denetçiler, geçmiş yanıtları istedikleri zaman yeniden üretebilir.

---

## En İyi Uygulamalar ve Kaçınılması Gereken Hatalar

### En İyi Uygulamalar
1. **Küçük Başlayın** – “Veri Saklama”, “Şifreleme” gibi yüksek frekanslı kontrollerle başlayıp zamanla niş düzenlemelere genişleyin.  
2. **Etiketlemeyi Şiddetle Kullanın** – `region:EU`, `framework:PCI-DSS` gibi ayrıntılı etiketler keşfedilebilirliği artırır.  
3. **Çıktı Şemalarını Kilitleyin** – Her düğümün döndürdüğü JSON şemasını kesin tanımlayın; sonraki adımlarda hataları önler.  
4. **LLM Kayması İzleyin** – Kullanılan model sürümünü kaydedin; LLM sağlayıcı yükseltildiğinde üç aylık yeniden doğrulama planlayın.

### Yaygın Hatalar
- **Aşırı Mühendislik** – Basit sorular için karmaşık DAG’lar gereksiz gecikme getirir; grafiği mümkün olduğunca sığ tutun.  
- **İnsan İncelemesini İhmal Etmek** – Tüm anketi otomatikleştirmek regülasyon dışı sonuçlar doğurabilir. Pazaryerisini **karar‑destek** aracı olarak görmek, nihai onayın insan tarafından yapılması gerekir.  
- **Politika Sürüm Karmaşası** – Politika belgeleri sürümlenmezse anlık görüntüler anlamsız olur. Zorunlu bir politika sürümleme iş akışı uygulayın.

---

## Gelecek Geliştirmeler

1. **Pazaryeri içinde Pazaryeri** – Üçüncü‑taraf satıcıların, FedRAMP, HITRUST gibi niş standartlar için sertifikalı istemci paketleri yayınlamasına ve gelir elde etmesine izin verin.  
2. **AI‑Destekli İstemci Oluşturma** – Meta‑LLM, doğal dil tanımlamadan temel istemciler önerir; ardından inceleme akışına yönlendirilir.  
3. **Dinamik Risk‑Bazlı Yönlendirme** – İstemci pazaryerisini risk motoruyla birleştirerek yüksek etkili anket maddeleri için daha yüksek güvenlikli istemciler otomatik seçilsin.  
4. **Ortak Kullanım İçin Federasyon** – Ortak bir defter (blockchain) aracılığıyla ortaklar arasında istemcileri paylaşın; aynı anda kaynak ve izlenebilirliği koruyun.

---

## Bugün Nasıl Başlayabilirsiniz

1. **Procurize yönetim konsolunda** İstemci Pazaryeri özelliğini etkinleştirin.  
2. **İlk istemcinizi oluşturun**: “[SOC 2 CC5.1 Data Backup Summary](https://secureframe.com/hub/soc-2/what-is-soc-2)”. `draft` dalına commit edin.  
3. **Uyumluluk sorumlusunu** inceleme için davet edin; onaylayınca yayımlayın.  
4. **Anket öğesine** sürükle‑bırak oluşturucuyla bağlayın.  
5. **Test çalıştırması** yapın, yanıtı kontrol edin ve ardından yayınlayın.

Birkaç hafta içinde, saatler süren anketler artık dakikalar içinde yanıtlanır—*tam bir denetim izine sahip* olarak.

---

## Sonuç

Bir **Bileşenli İstemci Pazaryeri**, istemci mühendisliğini gizli, manuel bir zahmetten stratejik, yeniden kullanılabilir bir bilgi varlığına dönüştürür. İstemcileri sürüm‑kontrollü, bileşen‑bazlı parçalar olarak ele alarak kuruluşlar şunları elde eder:

* **Hız** – Doğrulanmış yapı taşlarından anında yanıtlar oluşturma.  
* **Tutarlılık** – Tüm anket yanıtlarında aynı dil ve terminoloji.  
* **Yönetişim** – Yanıtların aynı politika sürümüne dayandığını kanıtlayan değişmez iz.  
* **Ölçeklenebilirlik** – Güvenlik anketlerinin artan hacmiyle orantılı personel artışı olmadan başa çıkma.

AI‑destekli uyumluluğun hâkim olduğu bir dönemde, pazaryeri, SaaS sağlayıcılarının yoğun regülasyon taleplerine ayak uydururken müşterilerine güvenilir, otomatik bir deneyim sunmalarını sağlayan eksik halkayı tamamlar.

---

## <span class='highlight-content'>Bak</span> Also

- https://www.procurize.com/blog/zero-touch-evidence-generation-with-generative-ai  
- https://cloud.google.com/architecture/knowledge-graph-architecture  
- https://www.nist.gov/publications/framework-improving-accuracy-llm-based-compliance-tools  
- https://moritzschwizer.medium.com/prompt-engineering-best-practices-2025-6e5b2a1d9c4f