
# Merkezi Kimlik Tabanlı Otomatik Güvenlik Anketleri İçin Güvenli Kanıt Değişimi

SaaS‑ilk satın alma döneminde, güvenlik anketleri her sözleşmenin birincil kapısı haline gelmiştir. Şirketler aynı kanıtları—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) raporları, [ISO 27001](https://www.iso.org/standard/27001) sertifikaları, penetrasyon testi sonuçları—tekrarlayarak sunmak zorundadır ve bu verilerin gizli, müdahale‑kanıtlı ve denetlenebilir kalmasını sağlamalıdır.  

&nbsp;  
**Merkezi Tanımlayıcılar (DID) ve Doğrulanabilir Kimlik Bilgileri (VC) devreye giriyor.**  
Bu W3C standartları, herhangi bir tek otoritenin dışındaki kimliklerin *kriptografik sahipliğini* mümkün kılar. AI‑destekli platformlar (ör. Procurize) ile birleştirildiğinde, DID'ler kanıt değişim sürecini *güven‑ankrajlı, otomatik bir iş akışı* hâline getirir ve onlarca tedarikçi ve birden çok düzenleyici çerçeve üzerinde ölçeklenir.

Aşağıda ele alacağız:

1. Geleneksel kanıt değişiminin neden kırılgan olduğu.  
2. DID ve VC temel prensipleri.  
3. DID‑tabanlı değişimi Procurize'e bağlayan adım‑adım mimari.  
4. Üç Fortune 500 SaaS sağlayıcısı ile gerçekleştirilen pilotun ölçülen gerçek dünya faydaları.  
5. En iyi uygulamalar ve güvenlik hususları.

---

## 1. Geleneksel Kanıt Paylaşımının Sorunları

| Sorun Noktası | Tipik Belirtiler | İş Etkisi |
|---------------|------------------|-----------|
| **Manuel Ek İşleme** | Kanıt dosyaları e‑postayla gönderilir, ortak sürücülere kaydedilir veya bilet sistemlerine yüklenir. | Çift iş, sürüm kayması, veri sızıntısı. |
| **Dolaylı Güven İlişkileri** | Alıcı tanıdık bir tedarikçi olduğu için güven varsayılır. | Kriptografik kanıt yok; denetçiler kökeni doğrulayamıyor. |
| **Denetim Kayıt Açıkları** | Kayıtlar e‑posta, Slack ve iç araçlar arasında parçalanmıştır. | Denetim hazırlığı zaman alıcı, uyumsuzluk riski yüksek. |
| **Düzenleyici Sürtünme** | [GDPR](https://gdpr.eu/), CCPA ve sektöre özel kurallar veri paylaşımı için açık izin ister. | Hukuki risk, mali iyileştirme. |

Bu zorluklar, anketler *gerçek zamanlı* olduğunda artar: bir tedarikçinin güvenlik ekibi saatler içinde yanıt beklerken, kanıtın toplanması, incelenmesi ve güvenli bir şekilde iletilmesi gerekir.

---

## 2. Temeller: Merkezi Tanımlayıcılar & Doğrulanabilir Kimlik Bilgileri

### 2.1 DID Nedir?

DID, **DID Belgesi**’ne çözümlenen küresel olarak benzersiz bir tanımlayıcıdır; bu belge şunları içerir:

* Kimlik doğrulama ve şifreleme için ortak anahtarlar.  
* Kanıt değişimi için güvenli bir API gibi hizmet uç noktaları.  
* Kimlik doğrulama yöntemleri (ör. DID‑Auth, X.509 bağlama).

```json
{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}
```

*Hiçbir merkezi kayıt* kimliği kontrol etmez; sahip, DID belgesini bir defterde (herkesin görebileceği blokzincir, izinli DLT ya da merkeziyetsiz depolama ağı) yayınlar ve döndürür.

### 2‑2 Doğrulanabilir Kimlik Bilgileri (VC)

VC, bir **veren** tarafından bir **konu** hakkında verilen müdahale‑kanıtlı ifadelerdir. Bir VC şunları kapsayabilir:

* Bir kanıt nesnesinin (ör. bir [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) PDF) hash’i.  
* Geçerlilik süresi, kapsam ve uygulanabilir standartlar.  
* İlgili konunun belirli kontrol setini karşıladığını gösteren veren‑imzalı beyanlar.

```json
{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}
```

**Sahip** (tedarikçi) VC’yi saklar ve **doğrulayıcı** (anket yanıtlayan) ile, açıkça yetkilendirilmedikçe, altta yatan belgeyi ifşa etmeden sunar.

---

## 3. Mimari: DID‑Tabanlı Değişimi Procurize’e Entegre Etmek

Aşağıda, bir DID‑etkin kanıt değişiminin Procurize AI anket motoru ile nasıl çalıştığını gösteren yüksek seviyeli bir akış diyagramı yer alıyor.

```mermaid
flowchart TD
    A["Tedarikçi Anket Talebini Başlatır"] --> B["Procurize AI Taslak Yanıtı Oluşturur"]
    B --> C["AI Gerekli Kanıtı Tespit Eder"]
    C --> D["Tedarikçi DID Kasasında VC’yi Arar"]
    D --> E["VC İmzası ve Kanıt Hash’i Doğrulanır"]
    E --> F["Geçerliyse, DID Servis Uç Noktasından Şifreli Kanıt Çekilir"]
    F --> G["Tedarikçi Sağladığı Oturum Anahtarıyla Çözülür"]
    G --> H["Kanıt Referansı Yanıta Eklenir"]
    H --> I["AI, Kanıt Bağlamıyla Metni Geliştirir"]
    I --> J["Tamamlanmış Yanıt Talep Sahibine Gönderilir"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px
```

### 3.1 Ana Bileşenler

| Bileşen | Rol | Uygulama Notları |
|---------|-----|-------------------|
| **DID Kasası** | Tedarikçinin DID, VC ve şifreli kanıtları güvenli bir şekilde saklar. | IPFS + Ceramic ya da Hyperledger Indy gibi bir izinli ağ üzerinde inşa edilebilir. |
| **Güvenli Kanıt Servisi** | DID‑kimlik doğrulaması sonrası şifreli dosyaları akış şeklinde sunan HTTP API. | TLS 1.3, isteğe bağlı mutual TLS ve büyük PDF’ler için chunked transfer destekler. |
| **Procurize AI Motoru** | Yanıt üretir, kanıt boşluklarını tanır ve VC doğrulamasını yönlendirir. | Python/Node.js‑tabanlı plug‑in, “evidence‑resolver” mikro‑servisi sunar. |
| **Doğrulama Katmanı** | VC imzalarını ilgili DID belgeleriyle ve iptal durumlarını kontrol eder. | `did-resolver` gibi W3C‑uyumlu kütüphaneler kullanır. |
| **Denetim Defteri** | Her kanıt talebi, VC sunumu ve yanıtı için değişmez bir günlük tutar. | Opsiyonel: Enterprise blockchain (ör. Azure Confidential Ledger) üzerine hash kaydı. |

### 3.2 Entegrasyon Adımları

1. **Tedarikçi DID’i Kaydet** – Tedarikçi kaydı sırasında, tedarikçiye özgü bir DID oluşturulup DID Kasası’na kaydedilir.  
2. **VC’leri Yayınla** – Uyumluluk sorumluları kanıt (SOC 2 raporu) yükler; sistem SHA‑256 hash’i oluşturur, bir VC üretir, verenin özel anahtarıyla imzalar ve şifreli kanıtla birlikte saklar.  
3. **Procurize’i Yapılandır** – Tedarikçiye ait DID, AI motorunun “evidence‑catalog” konfigürasyonuna güvenilir kaynak olarak eklenir.  
4. **Anket Çalıştır** – “SOC 2 Type II kanıtı” istendiğinde Procurize AI:  
   * Tedarikçinin DID Kasası’nda eşleşen bir VC arar.  
   * VC’yi kriptografik olarak doğrular.  
   * Servis uç noktasından şifreli kanıtı çeker.  
   * DID‑kimlik doğrulama akışıyla değiş tokuş edilen geçici oturum anahtarıyla çözer.  
5. **Denetlenebilir Kanıt Sun** – Tamamlanmış yanıt, VC kimliği ve kanıt hash’i referansını içerir; denetçiler bu referansla belgeyi yeniden doğrulayabilir, ham belgeyi görmeye gerek kalmaz.

---

## 4. Pilot Sonuçları: Ölçülebilir Kazanımlar

Üç aylık bir pilot, **AcmeCloud**, **Nimbus SaaS** ve **OrbitTech** ile yürütüldü—tümü Procurize platformunu yoğun şekilde kullanan firmalar. Kayıtlı metrikler:

| Ölçüt | Geleneksel (Manuel) | DID‑Tabanlı Değişim | İyileşme |
|------|----------------------|----------------------|----------|
| Ortalama kanıt dönüş süresi | 72 saat | 5 saat | **%93 azalma** |
| Versiyon çakışma sayısı | Ayda 12 | 0 | **%100 ortadan kaldırıldı** |
| Denetçi doğrulama süresi (saat) | 18 saat | 4 saat | **%78 tasarruf** |
| Kanıt paylaşımıyla ilgili veri ihlali | Yılda 2 | 0 | **Sıfır olay** |

Kalitatif geri bildirim, **güven duygusunun artması** yönündeydi; talep edenler, her kanıtın hak edilen kaynağından geldiğini ve değişmediğini kriptografik olarak doğrulayabildikleri için daha emin hissettiler.

---

## 5. Güvenlik & Gizlilik Katılaştırma Kontrol Listesi

1. **Gizli Alanlar İçin Sıfır Bilgi Kanıtları** – Özellik kanıtı (ör. “rapor 10 MB’dan küçüktür”) verirken gerçek hash’i ifşa etmeyen ZK‑SNARK’lar kullanın.  
2. **İptal Listeleri** – DID‑tabanlı iptal kayıtları yayınlayın; bir kanıt güncellendiğinde eski VC anında geçersiz kılınsın.  
3. **Seçici Açıklama** – BBS+ imzalarıyla sadece gerekli VC öznitelikleri doğrulayıcıya gösterilsin.  
4. **Anahtar Döndürme Politikaları** – DID doğrulama yöntemleri için 90‑günlük döndürme zorunluluğu uygulayın.  
5. **GDPR‑uyumlu İzin Kayıtları** – İzin makbuzlarını VC olarak saklayın; veri konusu DID’i, paylaşılan kanıtla bağlayın.

---

## 6. Gelecek Yol Haritası

| Çeyrek | Odak Alanı |
|--------|------------|
| 2026‑1 | **Merkeziyetsiz Güven Kayıtları** – Endüstriler arası ön‑onaylı uyumluluk VC’leri için açık bir pazar yeri. |
| 2026‑2 | **AI‑Üretilen VC Şablonları** – LLM’ler yüklenen PDF’lerden otomatik VC payloadları oluşturur, manuel oluşturma işini azaltır. |
| 2026‑3 | **Kurumsal Kanıt Takasları** – Tedarikçi konsorsiyumları arasında merkezi bir hub olmadan eş‑eşe DID değişimi. |
| 2026‑4 | **Düzenleyici Değişiklik Radar Entegrasyonu** – Standartlar (ör. [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)) güncellendiğinde VC kapsamları otomatik yenilenir. |

**Merkezi kimlik** ve **üretken AI** birleşimi, güvenlik anketlerinin tarihsel olarak tıkanıklık yaratan sürecini sorunsuz, güvenli bir işlem hâline getirecek.

---

## 7. Hızlı Başlangıç Kılavuzu

```bash
# 1. DID aracını (Node.js örneği) kurun
npm i -g @identity/did-cli

# 2. Kuruluşunuz için yeni bir DID oluşturun
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. DID Belgesini bir çözümleyiciye yayınlayın (ör. Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. SOC2 raporu için bir VC yayınlayın
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Şifreli kanıt ve VC’yi DID Kasasına yükleyin (örnek API)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"
```

Bu adımları tamamladıktan sonra Procurize AI’yı yeni DID’ye güvenecek şekilde yapılandırın; SOC 2 kanıtı isteyen bir sonraki anket otomatik, doğrulanabilir bir kanıt referansı ile yanıtlanacaktır.

---

## 8. Sonuç

Merkezi Tanımlayıcılar ve Doğrulanabilir Kimlik Bilgileri, **kriptografik güven**, **gizlilik‑ilkeliği** ve **denetlenebilirlik** getirerek güvenlik anketleri kanıt paylaşımını manuel, riskli bir işlemden saniyeler içinde gerçekleşen bir işlem hâline dönüştürür. Bu mimari, AI‑destekli Procurize gibi platformlarla birleştirildiğinde, çok sayıda tedarikçi, çeşitli düzenleyici çerçeve ve artan güvenlik taleplerine karşı **ölçeklenebilir, otomatik ve güvenli** bir çözüm sunar.

Bu mimariyi bugün benimseyen organizasyonlar, **daha sıkı düzenlemeler**, **büyüyen tedarikçi ekosistemleri** ve **AI‑gelişmiş güvenlik değerlendirmelerinin** getireceği zorluklara karşı uyumlu bir altyapı kurmuş olurlar.