
# Gerçek Zamanlı Satıcı Risk Değerlendirmesi için AI Destekli Sürekli Güven Skoru Kalibrasyonu

Kurumlar giderek daha fazla üçüncü taraf hizmetlerine—bulut platformları, SaaS araçları, veri işleyicileri—bağlanıyor ve her ortaklık **dinamik bir risk yüzeyi** getiriyor. Geleneksel satıcı risk skorları, onboarding sırasında bir kez hesaplanır ve çeyrek dönem ya da yıllık olarak yenilenir. Pratikte, bir tedarikçinin güvenlik duruşu bir ihlal, politika değişikliği veya yeni bir düzenleyici yönerge sonrasında bir gecede dramatik şekilde değişebilir. Eski skorları kullanmak, kaçırılan uyarılara, boşa harcanan azaltma çabalarına ve nihayetinde artan maruziyete yol açar.

**Sürekli Güven Skoru Kalibrasyonu**, bu boşluğu doldurur. **Gerçek zamanlı veri akışlarını**, **bilgi grafiği destekli bir risk modeli** ve **kanıt sentezi için üretken AI** ile birleştirerek, kurumlar satıcı güven skorlarını mevcut gerçeklikle uyumlu tutabilir, ortaya çıkan tehditleri anında ortaya çıkarabilir ve proaktif iyileştirmeyi yönlendirebilir.

---

## İçindekiler

1. [Statik Skorların Hızlı Değişen Tehdit Ortamında Neden Başarısız Olduğu](#statik-skorların-hızlı-değişen-tehdit-ortamında-neden-başarısız-olduğu)  
2. [Sürekli Kalibrasyon Motorunun Temel Bileşenleri](#sürekli-kalibrasyon-motorunun-temel-bileşenleri)  
   - 2.1 Gerçek Zamanlı Veri Alımı  
   - 2.2 Kanıt Köken Defteri  
   - 2.3 Bilgi Grafiği Zenginleştirme  
   - 2.4 Üretken AI Kanıt Sentezi  
   - 2.5 Dinamik Skorlama Algoritmaları  
3. [Mimari Plan (Mermaid Diyagramı)](#mimari-plan-mermaid-diyagramı)  
4. [Adım Adım Uygulama Kılavuzu](#adım-adım-uygulama-kılavuzu)  
5. [Operasyonel En İyi Uygulamalar & Yönetişim](#operasyonel-en-iyi-uygulamalar--yönetişim)  
6. [Başarıyı Ölçme: KPI'lar ve Yatırım Getirisi](#başarıyı-ölçme-kpi-lar-ve-yatırım-getirisi)  
7. [Gelecek Uzantıları: Tahmin Edilen Güven ve Otonom İyileştirme](#gelecek-uzantıları-tahmin-edilen-güven-ve-otonom-iyileştirme)  
8. [Sonuç](#sonuç)  

---

## Statik Skorların Hızlı Değişen Tehdit Ortamında Neden Başarısız Olduğu

| Sorun | Risk Durumuna Etkisi |
|-------|------------------------|
| **Çeyrek dönem güncellemeleri** | Yeni güvenlik açıkları (ör. Log4j) haftalarca görünmez kalır. |
| **Manuel kanıt toplama** | İnsan gecikmesi, eski uyumluluk belgelerine yol açar. |
| **Düzenleyici kayma** | Politika değişiklikleri (ör. GDPR‑ePrivacy güncellemeleri) bir sonraki denetim döngüsüne kadar yansıtılmaz. |
| **Satıcı davranış volatilitesi** | Güvenlik personelindeki ya da bulut yapılandırmalarındaki ani değişiklikler riski bir gecede ikiye katlayabilir. |

Bu boşluklar, satıcıyla ilgili olaylar için **daha uzun ortalama tespit süresi (MTTD)** ve **ortalama yanıt süresi (MTTR)** anlamına gelir. Endüstri **sürekli uyumluluğa** doğru ilerliyor ve güven skorları aynı hızda evrilmelidir.

## Sürekli Kalibrasyon Motorunun Temel Bileşenleri

### 2.1 Gerçek Zamanlı Veri Alımı

- **Güvenlik telemetrisi**: SIEM uyarıları, bulut varlığı durumu API'leri (AWS Config, Azure Security Center).  
- **Düzenleyici akışlar**: **[NIST]**, AB Komisyonu, sektör kuruluşlarından RSS/JSON akışları.  
- **Satıcı tarafından sağlanan sinyaller**: API'ler üzerinden otomatik kanıt yüklemeleri, doğrulama durumu değişiklikleri.  
- **Harici tehdit istihbaratı**: Açık kaynak ihlal veri tabanları, tehdit istihbarat platformu akışları.

Tüm akışlar, **şema bağımsız bir olay veri yolu** (Kafka, Pulsar) aracılığıyla normalleştirilir ve **zaman serisi deposu**'nda hızlı geri getirme için saklanır.

### 2.2 Kanıt Köken Defteri

Her bir kanıt—politika belgeleri, denetim raporları, üçüncü taraf doğrulamalar—**değiştirilemez bir deftere** (Merkle ağacı destekli yalnızca eklenebilir günlük) kaydedilir. Defter şunları sağlar:

- **Değişiklik kanıtı**: Kriptografik özetler, sonradan yapılan değişikliklerin olmadığını garanti eder.  
- **Sürüm izlenebilirliği**: Her değişiklik yeni bir yaprak oluşturur, “ne olursa” senaryo tekrarını mümkün kılar.  
- **Federatif gizlilik**: Hassas alanlar sıfır bilgi kanıtlarıyla mühürlenebilir, gizliliği korurken doğrulamaya izin verir.

### 2.3 Bilgi Grafiği Zenginleştirme

**Satıcı Risk Bilgi Grafiği (VRKG)**, aşağıdaki ilişkileri kodlar:

- Satıcılar → Hizmetler → Veri Tipleri  
- Kontroller → Kontrol Eşlemeleri → Düzenlemeler  
- Tehditler → Etkilenen Kontroller  

Yeni varlıklar veya düzenleyici maddeler tespit edildiğinde, varlıklar otomatik olarak eklenir. Grafik Sinir Ağları (GNN'ler), her düğüm için **bağlamsal risk ağırlığını** yakalayan gömüler (embedding) hesaplar.

### 2.4 Üretken AI Kanıt Sentezi

Ham kanıt eksik ya da eksik olduğunda, bir **Geri Getirme Destekli Üretim (RAG)** boru hattı:

1. **Geri getirir** en alakalı mevcut kanıt parçacıklarını.  
2. **Oluşturur** eksikliği dolduran, alıntı açısından zengin, özlü bir anlatım, örn. “En son [SOC 2] (2024‑Q2) ve satıcının kamuya açık şifreleme politikası temelinde, dinlenme halindeki veri kontrolü uyumlu kabul edilmiştir.”  

Çıktı, **güven puanları** ve **kaynak atıfları** ile etiketlenir, sonraki denetçiler için.

### 2.5 Dinamik Skorlama Algoritmaları

Satıcı *v* için zaman *t* anındaki güven skoru \(T_v\), ağırlıklı bir toplama şeklidir:

\[
T_v(t) = \sum_{i=1}^{N} w_i \cdot f_i\bigl(E_i(t), G_i(t)\bigr)
\]

- \(E_i(t)\): Kanıta dayalı metrik (ör. tazelik, tamlık).  
- \(G_i(t)\): Grafikten türetilen bağlamsal metrik (ör. yüksek riskli tehditlere maruziyet).  
- \(w_i\): İş risk iştahına uyum sağlamak için **çevrimiçi pekiştirmeli öğrenme** ile öğrenilen dinamik olarak ayarlanan ağırlıklar.

Skorlar, **her yeni olayda yeniden hesaplanır**, neredeyse gerçek zamanlı bir risk ısı haritası üretir.

## Mimari Plan (Mermaid Diyagramı)

```mermaid
graph TD
    subgraph Ingestion
        A[Security Telemetry] -->|Kafka| B[Event Bus]
        C[Regulatory Feeds] --> B
        D[Vendor API] --> B
        E[Threat Intel] --> B
    end

    B --> F[Normalization Layer]
    F --> G[Time‑Series Store]
    F --> H[Evidence Provenance Ledger]

    subgraph Knowledge
        H --> I[VRKG Builder]
        G --> I
        I --> J[Graph Neural Embeddings]
    end

    subgraph AI
        J --> K[Risk Weight Engine]
        H --> L[RAG Evidence Synthesizer]
        L --> M[Confidence Scoring]
    end

    K --> N[Dynamic Trust Score Calculator]
    M --> N
    N --> O[Dashboard & Alerts]
    N --> P[API for Downstream Apps]
```

## Adım Adım Uygulama Kılavuzu

| Aşama | Eylem | Araçlar / Teknolojiler | Beklenen Sonuç |
|-------|-------|------------------------|----------------|
| **1. Veri Boru Hattı Kurulumu** | Kafka küme dağıtımı, güvenlik API'leri, düzenleyici RSS, satıcı webhook'ları için bağlayıcılar yapılandırması. | Confluent Platform, Apache Pulsar, IaC için Terraform. | Normalleştirilmiş olayların sürekli akışı. |
| **2. Değiştirilemez Defter** | Merkle ağacı doğrulamalı eklenebilir günlük (append‑only log) uygulama. | Hyperledger Fabric, Amazon QLDB veya özel Go servisi. | Değişiklik kanıtlı kanıt deposu. |
| **3. Bilgi Grafiği Oluşturma** | Varlıkları, ilişkileri içe aktar; periyodik GNN eğitimi çalıştır. | Neo4j Aura, TigerGraph, GNN için PyG. | Risk gömmeleriyle bağlam açısından zengin grafik. |
| **4. RAG Boru Hattı** | BM25 geri getirme ile Llama‑3 ya da Claude'u üretim için birleştir; kaynak atıf mantığını entegre et. | LangChain, Faiss, OpenAI API, özel istem şablonları. | Güven puanlarıyla otomatik üretilen kanıt anlatıları. |
| **5. Skorlama Motoru** | Olayları tüketen, grafik gömmelerini çeken ve pekiştirmeli öğrenme temelli ağırlık güncellemeleri uygulayan bir mikro hizmet oluştur. | FastAPI, Ray Serve, PyTorch RL kütüphaneleri. | Her olayda yenilenen gerçek zamanlı güven skorları. |
| **6. Görselleştirme & Uyarı** | Sıcaklık haritası gösterge paneli oluştur ve eşik ihlalleri için webhook uyarılarını yapılandır. | Grafana, Superset, Slack/Webhook entegrasyonları. | Risk artışları için anlık görünürlük ve eyleme geçirilebilir uyarılar. |
| **7. Yönetişim Katmanı** | Veri saklama, denetim günlüğü erişimi ve AI tarafından üretilen kanıtların insan müdahalesi doğrulaması için politikalar tanımla. | OPA (Open Policy Agent), RBAC için Keycloak. | İç ve dış denetim standartlarıyla uyum, **[SOC 2]** ve **[ISO 27001]** gereksinimlerini içerir. |

**İpucu:** Tüm portföye ölçeklemeden önce uçtan uca akışı doğrulamak için bir **pilot satıcı** ile başlayın.

## Operasyonel En İyi Uygulamalar & Yönetişim

1. **İnsan‑İç‑Döngü İncelemesi** – Yüksek güven puanlı AI kanıtı bile, yapılandırılabilir bir güven eşiğini (ör. > 0.85) aşan **oluşturulan anlatımı** bir uyum analistinin doğrulamasını gerektirir.  
2. **Sürümlü Skorlama Politikaları** – Skorlama mantığını bir **kod‑olarak‑politikalar** deposunda (GitOps) saklayın. Her sürümü etiketleyin; skorlama motoru yeni ağırlık yapılandırmalarını geri alabilmeli veya A/B test edebilmelidir.  
3. **Denetim İzleme Entegrasyonu** – Defter girdilerini değiştirilemez denetim izleri için bir SIEM'e dışa aktar, **[SOC 2]** ve **[ISO 27001]** kanıt gereksinimlerini destekle.  
4. **Gizlilik‑Koruyan Sinyaller** – Hassas satıcı verileri için, ham veriyi ortaya çıkarmadan uyumu kanıtlamak amacıyla **Sıfır Bilgi Kanıtları** kullanın.  
5. **Eşik Yönetimi** – İş bağlamına göre (ör. kritik veri işlemcileri için daha yüksek eşikler) uyarı eşiklerini dinamik olarak ayarlayın.

## Başarıyı Ölçme: KPI'lar ve Yatırım Getirisi

| KPI | Tanım | Hedef (6‑Aylık Dönem) |
|-----|------|------------------------|
| Satıcı Riski Tespit Ortalaması (MTTD‑VR) | Risk değiştiren bir olaydan güncellenmiş güven skoruna kadar ortalama süre. | < 5 dakika |
| Kanıt Tazeliği Oranı | 30 günden daha eski olmayan kanıt öğelerinin yüzdesi. | > 90 % |
| Manuel İnceleme Saatleri Tasarrufu | AI sentezi sayesinde önlenmiş analist çalışma saatleri. | 200 h |
| Risk Olayı Azaltma | Uygulama sonrası satıcıyla ilgili olay sayısı, baz çizgi ile karşılaştırıldığında. | ↓ 30 % |
| Uyum Denetimi Başarı Oranı | Düzeltme bulgusu olmadan geçen denetimlerin yüzdesi. | 100 % |

Finansal YG, **aracı‑komisyon cezalarının azaltılması**, **satış döngülerinin kısaltılması** (anket yanıtlarının hızlanması) ve **analist sayısının azaltılması** ile tahmin edilebilir.

## Gelecek Uzantıları: Tahmin Edilen Güven ve Otonom İyileştirme

- **Tahmin Edilen Güven Öngörüsü** – Güven skoru trendleri üzerinde zaman serisi tahmin yöntemleri (Prophet, DeepAR) kullanarak gelecekteki risk artışlarını öngör ve önleyici denetimler planla.  
- **Otonom İyileştirme Orkestrasyonu** – Motoru **Kod‑olarak‑Altyapı** (Terraform, Pulumi) ile birleştirerek düşük puanlı kontrolleri otomatik olarak iyileştir (ör. MFA zorunluluğu, anahtar döndürme).  
- **Kurumsal Çapta Federatif Öğrenme** – Ortak firmalar arasında anonimleştirilmiş risk gömmelerini paylaşarak model dayanıklılığını artır, tescilli verileri ifşa etmeden.  
- **Kendini İyileştiren Kanıt** – Bir kanıt süresi dolduğunda, Document‑AI OCR kullanarak satıcının belge deposundan **sıfır temaslı bir çıkarım** tetikle ve sonucu tekrar deftere ekle.

Bu yollar, güven skoru motorunu **reaktif bir izleyiciden** **proaktif bir risk orkestratörüne** dönüştürür.

## Sonuç

Statik satıcı risk skorları dönemi sona erdi. **Gerçek zamanlı veri alımı, değiştirilemez kanıt kökeni, bilgi grafiği semantiği ve üretken AI sentezini** birleştirerek, kurumlar **üçüncü taraf risk ortamının sürekli ve güvenilir bir görünümünü** sürdürebilir. **Sürekli Güven Skoru Kalibrasyon Motoru**'nun dağıtılması yalnızca tespit döngülerini kısaltmak ve maliyet tasarrufu sağlamakla kalmaz, aynı zamanda müşteriler, denetçiler ve düzenleyicilerle güven inşa eder—artan rekabetçi SaaS pazarında temel ayrıştırıcılar.

Bu mimariye bugün yatırım yapmak, kuruluşunuzu **gelecekteki düzenleyici değişimleri öngörmeye, ortaya çıkan tehditlere anında yanıt vermeye ve uyumun ağır işlerini otomatikleştirmeye** hazırlar—risk yönetimini bir darboğazdan stratejik bir avantaja dönüştürür.