
# AI Tarafından Oluşturulan Güvenlik Anketi Kanıtları için Gerçek Zamanlı Veri Soğuk Zinciri Kontrol Paneli

## Giriş

Güvenlik anketleri, B2B SaaS satışları, durum tespiti ve düzenleyici denetimlerde kritik bir darboğaz haline gelmiştir. Şirketler, yanıtları taslaklamak, destekleyici kanıtları çıkarmak ve politikaları gelişen standartlarla uyumlu tutmak için giderek daha fazla üretken AI’ye yönelmektedir. AI yanıt sürelerini büyük ölçüde kısaltsa da, şu sorunu ortaya çıkarır: **Her kanıt parçasını kim oluşturdu? Hangi politika, belge ya da sistemden kaynaklanıyor?**

Bir veri soğuk zinciri kontrol paneli, her AI‑tarafından oluşturulan kanıt eserinin tam izlenebilirlik zincirini gerçek zamanlı görselleştirerek bu sorunu çözer. Uyumluluk sorumlularına, bir yanıtı orijinal maddesine geri izleyebilecekleri, dönüşüm adımlarını görebilecekleri ve hiçbir politika kaymasının yaşanmadığını doğrulayabilecekleri tek bir görünüm sunar.

Bu makalede:

* Veri soğuk zincirinin uyum açısından neden bir zorunluluk olduğunu açıklayacağız.
* Gerçek‑zamanlı bir soğuk zincir kontrol panelini destekleyen mimariyi tanıtacağız.
* Bilgi grafiği, olay akışı ve mermaid görselleştirmelerinin nasıl birlikte çalıştığını göstereceğiz.
* Adım‑adım bir uygulama kılavuzu sunacağız.
* En iyi uygulamaları ve gelecek yönlerini vurgulayacağız.

## AI Tarafından Oluşturulan Yanıtlar İçin Veri Soğuk Zinciri Neden Önemlidir

| Risk | Soğuk Zinciri Nasıl Hafifletir |
|------|-------------------------------|
| **Eksik Kaynak Atıfı** | Her kanıt düğümü, kaynak belge kimliği ve zaman damgası ile etiketlenir. |
| **Politika Kayması** | Otomatik kayma tespiti, kaynak politika ile AI çıktısı arasındaki sapmaları işaretler. |
| **Denetim Başarısızlıkları** | Denetçiler bir izlenebilirlik yolunu talep edebilir; kontrol paneli hazır bir dışa aktarma sağlar. |
| **İstenmeyen Veri Sızması** | Hassas kaynak verileri soğuk zinciri görünümünde otomatik olarak işaretlenir ve kırpılır. |

Ham politika belgelerinden ön işleme, vektör gömme, retrieval‑augmented generation (RAG) ve son yanıt sentezine kadar tam dönüşüm hattını ortaya koyarak ekipler, AI’nin **yönetişimi artırdığını**, %bypass etmediğini güvenle teyit eder.

## Mimari Genel Bakış

Sistem dört temel katman üzerine kuruludur:

1. **Alım Katmanı** – Politika depolarını (Git, S3, Confluence) izler ve değişim olaylarını Kafka‑benzeri bir veri yolu aracılığıyla yayar.
2. **İşleme Katmanı** – Belge ayrıştırıcıları çalıştırır, maddeleri çıkarır, gömmeler oluşturur ve **Kanıt Bilgi Grafiği (EKG)**’yi günceller.
3. **RAG Katmanı** – Bir anket isteği geldiğinde, Retrieval‑Augmented Generation motoru ilgili grafik düğümlerini getirir, bir prompt oluşturur ve yanıt ile kanıt kimlikleri listesi üretir.
4. **Görselleştirme Katmanı** – RAG çıktısı akışını tüketir, gerçek‑zamanlı bir soğuk zincir grafiği oluşturur ve Mermaid kullanarak web UI’da render eder.

```
graph TD
    A["Policy Repository"] -->|Change Event| B["Ingestion Service"]
    B -->|Parsed Clause| C["Evidence KG"]
    D["Questionnaire Request"] -->|Prompt| E["RAG Engine"]
    E -->|Answer + Evidence IDs| F["Lineage Service"]
    F -->|Mermaid JSON| G["Dashboard UI"]
    C -->|Provides Context| E
```

### Temel Bileşenler

| Bileşen | Rol |
|-----------|------|
| **Ingestion Service** | Dosya ekleme/güncellemelerini algılar, üst verileri çıkarır ve `policy.updated` olaylarını yayınlar. |
| **Document Parser** | PDF, Word, markdown’ları normalleştirir; madde kimliklerini (örn. `SOC2-CC5.2`) çıkarır. |
| **Embedding Store** | Anlamsal arama için vektör temsillerini saklar (FAISS veya Milvus). |
| **Evidence KG** | Neo4j tabanlı grafik; `Document`, `Clause`, `Evidence`, `Answer` düğümlerine sahiptir. “derived‑from” ilişkileri yakalanır. |
| **RAG Engine** | LLM (örn. GPT‑4o) ile KG’dan retrieval yapar; yanıt ve izlenebilirlik kimliklerini döndürür. |
| **Lineage Service** | `rag.response` olaylarını dinler, her kanıt kimliğini sorgular, Mermaid diyagramı JSON’u oluşturur. |
| **Dashboard UI** | React + Mermaid; arama, filtre, PDF/JSON dışa aktarımı sunar. |

## Gerçek‑Zamanlı Alım Boru Hattı

1. **Depoları İzle** – Hafif bir dosya sistemi izleyicisi (veya Git webhook) itme (push) olaylarını yakalar.  
2. **Üst Veri Çıkar** – Dosya türü, versiyon hash’i, yazar ve zaman damgası kaydedilir.  
3. **Madde Ayrıştır** – Düzenli ifadeler ve NLP modelleri madde numaralarını ve başlıklarını tanımlar.  
4. **Grafik Düğümleri Oluştur** – Her madde için `Clause` düğümü `id`, `title`, `sourceDocId`, `version` özellikleriyle oluşturulur.  
5. **Olay Yayınla** – `clause.created` olayları veri yoluna gönderilir.

```mermaid
flowchart LR
    subgraph Watcher
        A[File Change] --> B[Metadata Extract]
    end
    B --> C[Clause Parser]
    C --> D[Neo4j Create Node]
    D --> E[Kafka clause.created]
```

## Bilgi Grafiği Entegrasyonu

**Evidence KG** üç temel düğüm tipini saklar:

* **Document** – Ham politika dosyası, sürümlenmiş.  
* **Clause** – Tek tek uyum gereksinimi.  
* **Evidence** – Çıkarılmış kanıt öğeleri (loglar, ekran görüntüleri, sertifikalar).

İlişkiler:

* `Document` **HAS_CLAUSE** `Clause`  
* `Clause` **GENERATES** `Evidence`  
* `Evidence` **USED_BY** `Answer`

RAG bir yanıt ürettiğinde, katkı sağlayan tüm `Evidence` düğüm kimliklerini ekler. Bu, anında görselleştirilebilen belirli bir yol oluşturur.

## Mermaid Soğuk Zincir Diyagramı

Aşağıda, hayali bir **“Verileriniz dinlenirken nasıl şifrelenir?”** sorusuna yönelik bir SOC 2 yanıtının örnek diyagramı verilmiştir.

```mermaid
graph LR
    A["Answer: Data is encrypted using AES‑256 GCM"] --> B["Evidence: Encryption Policy (SOC2‑CC5.2)"]
    B --> C["Clause: Encryption at Rest"]
    C --> D["Document: SecurityPolicy_v3.pdf"]
    B --> E["Evidence: KMS Key Rotation Log"]
    E --> F["Document: KMS_Audit_2025-12.json"]
    A --> G["Evidence: Cloud Provider Encryption Settings"]
    G --> H["Document: CloudConfig_2026-01.yaml"]
```

Kontrol paneli bu diyagramı dinamik olarak işler; kullanıcılar herhangi bir düğüme tıklayarak ilgili belge, sürüm ve ham veriyi görüntüleyebilir.

## Uyumluluk Takımları İçin Faydalar

* **Anında Denetlenebilir İz** – Tüm soğuk zinciri JSON‑LD dosyası olarak dışa aktararak düzenleyicilere sunabilirsiniz.  
* **Etki Analizi** – Bir politika değiştiğinde, sistem tüm ilişkili yanıtları yeniden hesaplar ve etkilenen anket öğelerini vurgular.  
* **Azaltılmış Manuel Çalışma** – Madde referanslarını elle kopyala‑yapıştır gerekmez; grafik bunu otomatik yapar.  
* **Risk Şeffaflığı** – Veri akışını görselleştirmek, güvenlik mühendislerinin zayıf halkaları (ör. eksik loglar) tespit etmesine yardımcı olur.

## Uygulama Adımları

1. **Alım Katmanını Kur**  
   * Git webhook ya da CloudWatch event kuralı dağıtın.  
   * `policy‑parser` mikroservisini (Docker imgesi `procurize/policy‑parser:latest`) kurun.  

2. **Neo4j’i Sağla**  
   * Neo4j Aura ya da kendi barındırdığınız küme kullanın.  
   * `Clause.id` ve `Document.id` üzerindeki kısıtlamaları oluşturun.  

3. **Veri Yolunu Yapılandır**  
   * Apache Kafka ya da Redpanda dağıtın.  
   * `policy.updated`, `clause.created`, `rag.response` konularını tanımlayın.  

4. **RAG Servisini Dağıt**  
   * LLM sağlayıcısı seçin (OpenAI, Anthropic vb.).  
   * Neo4j’e Cypher sorguları ile erişen bir Retrieval API uygulayın.  

5. **Soğuk Zincir Servisini Oluştur**  
   * `rag.response` konusuna abone olun.  
   * Her kanıt kimliği için Neo4j’den tam yolu sorgulayın.  
   * Mermaid JSON üretin ve `lineage.render` konusuna yayınlayın.  

6. **Kontrol Paneli UI’sını Geliştir**  
   * React, `react‑mermaid2` ve hafif bir auth katmanı (OAuth2) kullanın.  
   * Tarih aralığı, kaynak belge, risk seviyesi gibi filtreler ekleyin.  

7. **Test ve Doğrulama**  
   * Her mikroservis için birim testleri yazın.  
   * Sentetik anket verileriyle uç‑uç testler yürütün.  

8. **Devreye Al**  
   * Pilot ekip (ör. SOC 2 uyumu) ile başlayın.  
   * Geri bildirim toplayıp UI/UX’i iyileştirin, ardından ISO 27001, GDPR modüllerine genişletin.  

## En İyi Uygulamalar

| Uygulama | Gerekçe |
|----------|----------|
| **Değiştirilemeyen Belge Kimlikleri** | Soğuk zincirin asla değiştirilmiş bir dosyaya yönlendirilmemesini garantiler. |
| **Sürümlü Düğümler** | “Altı ay önce hangi kanıt kullanıldı?” gibi tarihsel sorgulara olanak tanır. |
| **Grafik Düzeyinde Erişim Kontrolleri** | Hassas kanıtlar yetkisiz kullanıcılar tarafından gizlenebilir. |
| **Otomatik Kayma Uyarıları** | Bir madde değiştiğinde ancak mevcut yanıtlar yeniden üretilmediğinde tetiklenir. |
| **Düzenli Yedeklemeler** | Neo4j anlık görüntüleri her gece alınarak veri kaybı önlenir. |
| **Performans İzleme** | Soru‑isteğinden panel render’ına kadar gecikme izlenir; hedef < 2 saniye. |

## Gelecek Yönelimler

1. **Federated Bilgi Grafikleri** – Zero‑Knowledge Proof (Sıfır Bilgi Kanıtı) kullanarak çoklu kiracı grafiklerini veri izolasyonu sağlayarak birleştirme.  
2. **Açıklanabilir AI Katmanları** – Her kenara güven skorları ve LLM açıklama izleri ekleme.  
3. **Proaktif Politika Önerileri** – Kayma tespit edildiğinde, endüstri benchmark’larına dayanarak madde güncellemeleri önerme.  
4. **Ses‑İlk Etkileşim** – Görme engelliler için soğuk zinciri adım adım sesli okuyan bir asistan entegrasyonu.  

## Sonuç

Gerçek‑zamanlı bir veri soğuk zinciri kontrol paneli, AI‑tarafından oluşturulan güvenlik anketi kanıtlarını bir kara kutudan şeffaf, denetlenebilir ve eyleme dönüştürülebilir bir varlığa dönüştürür. Olay‑güdümlü alım, anlamsal bilgi grafiği ve dinamik Mermaid görselleştirmelerini birleştirerek uyumluluk ekipleri, AI’ye güvenebilir, denetimlerden başarıyla geçebilir ve anlaşma hızını artırabilir. Yukarıda özetlenen adımları uygulamak, herhangi bir SaaS organizasyonunu sorumlu AI‑destekli uyumun ön saflarına taşıyacaktır.