
# Gizli Bilgi İşlemeyi ve AI'yı Kullanarak Güvenli Anket Otomasyonu

SaaS dünyasının hızla hareket ettiği ortamda, güvenlik anketleri her B2B anlaşmanın ön koşulu haline geldi. [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CMMC ve sayısız satıcı‑özel kontrol listesi gibi çerçevelerin devasa hacmi, güvenlik ve hukuk ekipleri için büyük bir manuel yük oluşturuyor. Procurize, AI‑tarafından üretilen yanıtlar, gerçek‑zamanlı iş birliği ve bütünleşik kanıt yönetimi sayesinde bu yükü zaten azalttı.  

Ancak bir sonraki sınır **bu AI modellerini besleyen verilerin korunması**dır. Bir şirket iç politikalarını, konfigürasyon dosyalarını veya denetim loglarını yüklediğinde, bu bilgiler genellikle son derece hassastır. AI hizmeti standart bir bulut ortamında işlenirse, veriler iç tehditlere, hatalı yapılandırmalara ya da hatta sofistike dış saldırılara maruz kalabilir.

**Gizli bilgi işlemesi**—donanım‑tabanlı Güvenilir Çalışma Ortamı (TEE) içinde kod çalıştırma uygulaması—verinin *işlenirken* şifreli kalmasını sağlayan bir yol sunar. TEE'leri Procurize’in üretken AI boru hatlarıyla birleştirerek, hem hız hem de güvenlik gereksinimlerini karşılayan **uçtan‑uca şifreli anket otomasyonu** elde edebiliriz.

Aşağıda bu yeni yeteneğin teknik temelleri, iş akışı entegrasyonu, uyumluluk faydaları ve gelecek yol haritası inceleniyor.

---

## 1. Anket Otomasyonu İçin Gizli Bilgi İşlemeyi Neden Önemsiyoruz?

| Tehdit Vektörü | Geleneksel AI Boru Hattı | Gizli Bilgi İşlemeyiyle Azaltma |
|----------------|--------------------------|---------------------------------|
| **Dinlen Veri** | Dosyalar şifreli depolanır, ancak işlenmek için çözülür. | Veri diskte şifreli kalır; çözülme yalnızca enclave içinde gerçekleşir. |
| **İletimde Veri** | TLS ağ trafiğini korur, ancak işleme düğümü açıktır. | Enclave‑den‑enclave iletişimi kanıtlı kanallar üzerinden yapılır, ortadaki insan saldırısı önlenir. |
| **İçeriden Erişim** | Bulut operatörleri çıkarım sırasında düz metni görebilir. | Operatörler yalnızca şifreli veri görür; enclave, düz metni ana işletim sisteminden izole eder. |
| **Model Sızıntısı** | Model ağırlıkları bellekten çıkarılabilir. | Model ve veri aynı enclave içinde bulunur; bellek dışarıda şifreli durumdadır. |
| **Denetlenebilirlik** | Loglar değiştirilebilir ya da eksik olabilir. | Enclave, her çıkarım adımı için kriptografik imzalı kanıtlar üretir. |

Sonuç, **sıfır‑güven işleme katmanı**dır: altyapı ele geçirilse bile hassas içerik korunan bellek bölgesinden dışarı çıkmaz.

---

## 2. Mimari Genel Görünümü

Aşağıda Procurize’in gizli AI boru hattının yüksek‑seviyeli bir görünümü yer alıyor. Diyagram Mermaid sözdizimiyle hazırlanmıştır; her düğüm etiketi çift tırnak içinde verilmiştir.

```mermaid
graph TD
    A["Kullanıcı kanıtları yükler (PDF, JSON, vb.)"] --> B["İstemci‑tarafı şifreleme (AES‑256‑GCM)"]
    B --> C["Procurize Nesne Depolama’ya güvenli yükleme"]
    C --> D["Kanıtlanmış TEE örneği (Intel SGX / AMD SEV)"]
    D --> E["Enclave içinde şifre çözme"]
    E --> F["Ön‑işleme: OCR, şema çıkarımı"]
    F --> G["Üretken AI çıkarımı (RAG + LLM)"]
    G --> H["Yanıt sentezi & kanıt bağlama"]
    H --> I["Enclave‑imzalı yanıt paketi"]
    I --> J["İsteyen tarafa şifreli teslimat"]
    J --> K["Değiştirilemez deftere kaydedilen denetim logu"]
```

### Önemli Bileşenler

| Bileşen | Rol |
|---------|-----|
| **İstemci‑tarafı şifreleme** | Verinin hiçbir zaman düz metin olarak gönderilmemesini sağlar. |
| **Nesne Depolama** | Şifreli blokları tutar; bulut sağlayıcısı okuyamaz. |
| **Kanıtlanmış TEE** | Enclave içinde çalışan kodun hash’i (uzak kanıtlama) doğrulanır. |
| **Ön‑işleme motoru** | OCR ve şema çıkarımı aynı enclave içinde çalışarak ham içerikleri korur. |
| **RAG + LLM** | İlgili politika parçalarını çekip doğal dilde yanıtlar üretir. |
| **İmzalı yanıt paketi** | AI‑tarafından üretilen yanıt, kanıt işaretçileri ve enclave yürütme kanıtını içerir. |
| **Değiştirilemez denetim defteri** | Genellikle bir blok zinciri ya da sadece eklenebilir günlük; düzenleyici uyumluluk ve adli analiz için kullanılır. |

---

## 3. Uçtan‑Uca İş Akışı

1. **Güvenli Alım**  
   - Kullanıcı, dosyaları yerel olarak bir seferlik anahtar ile şifreler.  
   - Anahtar, Procurize’in kanıtlanmış anahtarıyla paketlenerek yükleme ile birlikte gönderilir.

2. **Uzak Kanıt (Remote Attestation)**  
   - Şifre çözülmeden önce istemci, TEE’den bir kanıtlama raporu talep eder.  
   - Rapor, enclave kodunun hash’ini ve donanım kök güvenini imzalayan bir nonce içerir.  
   - İstemci yalnızca raporu doğruladıktan sonra paketlenmiş şifre çözme anahtarını gönderir.

3. **Gizli Ön‑işleme**  
   - Enclave içinde şifreli veriler çözülür.  
   - OCR, PDF’lerden metin çıkarır; ayrıştırıcılar JSON/YAML şemalarını tanır.  
   - Tüm ara ürünler korumalı bellek içinde kalır.

4. **Güvenli Retrieval‑Augmented Generation**  
   - LLM (ör. özelleştirilmiş Claude veya Llama modeli) enclave içinde, şifreli model paketinden yüklenir.  
   - Retrieval bileşeni, şifreli bir vektör deposunda indekslenmiş politika parçalarını sorgular.  
   - LLM, yanıtları sentezler, kanıtları referans gösterir ve bir güven skorü üretir.

5. **Kanıtlı Çıktı**  
   - Son yanıt paketi enclave’in özel anahtarı ile imzalanır.  
   - İmza, denetçiler tarafından enclave’in ortak anahtarıyla doğrulanarak yanıtın güvenilir bir ortamda üretildiği kanıtlanır.

6. **Teslim ve Denetim**  
   - Paket, istekte bulunanın ortak anahtarıyla yeniden şifrelenir ve geri gönderilir.  
   - Paketin hash’i ve kanıtlama raporu, bir değiştirilemez deftere (ör. Hyperledger Fabric) kaydedilir; böylece gelecekteki uyumluluk denetimlerinde kullanılabilir.

---

## 4. Uyumluluk Faydaları

| Yönetmelik | Gizli AI Nasıl Yardımcı Olur |
|------------|-----------------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) (Güvenlik Prensibi)** | “Kullanım Halinde Şifreli Veri” ve müdahale‑kanıtlı logları gösterir. |
| **[ISO 27001](https://www.iso.org/standard/27001) (A.12.3)** | İşleme sırasında gizli verileri koruyarak “kriptografik kontroller”i karşılar. |
| **GDPR Madde 32** | “En yeni teknoloji” güvenlik önlemlerini (gizli işleme) uygular. |
| **CMMC Seviye 3** | “Kontrollü Sınıflandırılmamış Bilgi (CUI)” nin donanım‑güvenli enclave içinde işlenmesini destekler. |

Ayrıca, imzalı kanıt raporu denetçiler için **gerçek‑zamanlı kanıt** görevi görür; ayrı ekran görüntüsü ya da manuel log çıkarımı gerekmez.

---

## 5. Performans Hususları

Gizli bir TEE içinde AI modeli çalıştırmak bazı ek yükler getirir:

| Ölçüt | Geleneksel Bulut | Gizli Bilgi İşleme |
|------|------------------|--------------------|
| **Gecikme (ortalama anket başına)** | 2–4 saniye | 3–6 saniye |
| **İşlem Hızı (sorgu/saniye)** | 150 qps | 80 qps |
| **Bellek Kullanımı** | 16 GB (sınırsız) | 8 GB (enclave sınırı) |

Procurize bu etkileri şu yöntemlerle azaltır:

* **Model distilasyonu**: Enclave yürütmesi için daha küçük ama yüksek doğruluklu LLM varyantları.  
* **Batch çıkarım**: Birden fazla soru bağlamını gruplayarak iste başına maliyeti düşürme.  
* **Yatay enclave ölçekleme**: Yük dengeleyicinin arkasında birden çok SGX örneği dağıtma.

Uygulamada, çoğu güvenlik anketi yanıtı hâlâ bir dakikadan kısa sürede tamamlanır; bu, satış döngüleri için kabul edilebilir bir süredir.

---

## 6. Gerçek Dünya Çalışma Örneği: FinTechCo

**Arka Plan**  
FinTechCo, işlem logları ve şifreleme anahtarları gibi son derece hassas verilerle çalışıyor. Güvenlik ekipleri, iç politikaları bir SaaS AI hizmetine yüklemek konusunda tereddütlüydu.

**Çözüm**  
FinTechCo, Procurize’in gizli bilgi işleme boru hattını benimsedi. Pilot aşamasında üç yüksek riskli SOC 2 anketi üzerinde deneme yapıldı.

**Sonuçlar**

| KPI | Gizli AI Öncesi | Gizli AI Sonrası |
|-----|-----------------|------------------|
| **Ortalama yanıt süresi** | 45 dakika (manuel) | 55 saniye (otomatik) |
| **Veri sızma olayları** | 2 (iç) | 0 |
| **Denetim hazırlık çabası** | 12 saat/denetim | 1 saat (otomatik kanıt) |
| **Paydaş güveni (NPS)** | 48 | 84 |

İmzalı kanıt raporu, hem iç denetçiler hem de dış düzenleyiciler tarafından kabul gördü; ek veri işleme anlaşmalarına ihtiyaç kalmadı.

---

## 7. Dağıtıcılar İçin Güvenlik En İyi Uygulamaları

1. **Şifreleme Anahtarlarını Düzenli Olarak Döndürün** – Bir anahtar yönetim hizmeti (KMS) kullanarak her 30 günde bir per‑yükleme anahtarını yenileyin.  
2. **Kanıt Zincirlerini Doğrulayın** – Enclave güncellemeleri için CI/CD boru hattına uzaktan kanıt doğrulamasını entegre edin.  
3. **Değiştirilemez Defter Yedeklerini Etkinleştirin** – Denetim defterinin periyodik anlık görüntülerini ayrı bir write‑once depolama kovasına alın.  
4. **Enclave Sağlık İzlemesi** – TPM tabanlı metriklerle enclave roll‑back ya da firmware anormalliklerini tespit edin.  
5. **Model Paketlerini Güvenli Yükleyin** – Yeni LLM sürümlerini imzalı model paketleri olarak yayınlayın; enclave, yüklemeden önce imzaları doğrular.

---

## 8. Gelecek Yol Haritası

| Çeyrek | Hedef |
|--------|-------|
| **2026 Q1** | AMD SEV‑SNP enclave desteği eklenerek donanım uyumluluğu genişletilecek. |
| **2026 Q2** | Çok‑taraflı hesaplama (MPC) entegrasyonu; organizasyonlar arasında ham veri paylaşmadan ortak anket yanıtları üretilecek. |
| **2026 Q3** | Sıfır‑bilgi kanıtı (ZKP) oluşturma; “Uygun bir politikam var” mesajı içerik ifşa etmeden kanıtlanacak. |
| **2026 Q4** | Gerçek‑zamanlı kuyruk derinliğine göre otomatik enclave ölçekleme; Kubernetes + SGX cihaz eklentileri kullanılacak. |

Bu gelişmeler, Procurize’i **AI verimliliği ve kriptografik gizliliği bir arada garantileyen tek platform** haline getirecek.

---

## 9. Başlarken

1. **Procurize hesabınızdan bir Gizli Bilgi İşleme deneme isteği** gönderin.  
2. **İstemci‑tarafı şifreleme aracını** (çapraz platform CLI) kurun.  
3. **İlk kanıt paketiniz**i yükleyin ve kanıt panosunda yeşil durumunu izleyin.  
4. **Test anketi** çalıştırın—sistemin size imzalı bir yanıt paketi döndüğünü ve bu paketi UI’da verilen ortak anahtarla doğrulayabileceğinizi göreceksiniz.  

Ayrıntılı adım‑adım talimatlar için *Secure AI Pipelines → Confidential Computing Guide* bölümündeki Procurize dokümantasyon portalına bakın.

---

## 10. Sonuç

Gizli bilgi işleme, AI‑destekli uyumluluğun güven modelini kökten değiştiriyor. Hassas politika belgeleri ve denetim logları şifreli bir enclave’den dışarı çıkmadığı sürece, Procurize organizasyonlara **kanıtlanabilir güvenli, denetlenebilir ve ışık hızında** bir yol sunuyor. TEE’ler, RAG‑güçlendirilmiş LLM’ler ve değiştirilemez denetim loglarının sinerjisi sadece manuel çabayı azaltmakla kalmaz, aynı zamanda en katı düzenleyici gereksinimleri de karşılar—bugünün yüksek bahisli B2B ekosisteminde belirleyici bir avantaj sağlar.