
# Gerçek Zamanlı Güvenlik Anketi Denetimleri için Dinamik Kanıt Zaman Çizelgesi Motoru

SaaS dünyasının hızlı temposunda, güvenlik anketleri kurumsal anlaşmaların kapılarını açan bir filtre haline geldi. Ancak, birden fazla uyumluluk çerçevesi arasında kanıt bulma, birleştirme ve doğrulama süreci hâlâ büyük bir darboğaz. **Procurize**, bu sıkıntıyı **Dinamik Kanıt Zaman Çizelgesi Motoru (DETE)** ile gideriyor — bilgi‑grafiği‑tabanlı, gerçek zamanlı bir sistem, sorulara verilen yanıtları destekleyen her kanıtı bir araya getiriyor, zaman damgalıyor ve denetliyor.

Bu makale, DETE’nin teknik temellerini, mimari bileşenlerini, mevcut tedarik süreçlerine nasıl entegre edildiğini ve sağladığı ölçülebilir iş etkisini inceliyor. Sonunda, dinamik bir kanıt zaman çizelgesinin sadece hoş bir özellik olmadığını, ölçeklenebilir güvenlik uyumluluğu operasyonları isteyen her organizasyon için stratejik bir ayırt edici faktör olduğunu anlayacaksınız.

---

## 1. Geleneksel Kanıt Yönetiminin Yetersizliği

| Sorun | Geleneksel Yaklaşım | Sonuç |
|------------|----------------------|-------------|
| **Parçalanmış depolar** | Politikalar SharePoint, Confluence, Git ve yerel sürücülerde saklanır | Ekipler doğru belgeyi bulmak için zaman kaybeder |
| **Statik sürümleme** | Manuel dosya sürüm kontrolü | Denetimlerde eski kontrollerin kullanılma riski |
| **Kanıt yeniden kullanımının denetim izi yok** | Kaynağı belirtilmeden kopyala‑yapıştır | Denetçiler iddianın kaynağını doğrulayamaz |
| **Çerçeve çapraz eşleştirmesi manuel** | Elle tutulan tablo | [ISO 27001](https://www.iso.org/standard/27001), [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) ve [GDPR](https://gdpr.eu/) kontrollerinin eşleştirilmesinde hatalar |

Bu eksiklikler **uzun cevap süreleri**, **yüksek insan hatası oranı** ve **kurumsal alıcıların güven kaybı**na yol açar. DETE, kanıtları yaşamayan, sorgulanabilir bir grafa dönüştürerek bu boşlukların her birini ortadan kaldırmak için tasarlandı.

---

## 2. Dinamik Kanıt Zaman Çizelgesinin Temel Kavramları

### 2.1 Kanıt Düğümleri

Her atomik kanıt – politika maddesi, denetim raporu, yapılandırma ekran görüntüsü veya dış onay – bir **Kanıt Düğümü** olarak temsil edilir. Her düğüm şunları saklar:

* **Benzersiz tanımlayıcı** (UUID)
* **İçerik karma değeri** (değişmezliği sağlar)
* **Kaynak meta verileri** (kaynak sistem, yazar, oluşturulma zaman damgası)
* **Düzenleyici eşleme** (karşılayabildiği standartların listesi)
* **Geçerlilik penceresi** (başlangıç / bitiş tarihleri)

### 2.2 Zaman Çizelgesi Kenarları

Kenarlar **zaman ilişkilerini** kodlar:

* **“DerivedFrom”** – türetilen raporu ham veri kaynağına bağlar.
* **“Supersedes”** – bir politikanın sürüm ilerlemesini gösterir.
* **“ValidDuring”** – bir kanıt düğümünü belirli bir uyumluluk döngüsüne bağlar.

Bu kenarlar, herhangi bir cevabın tam soy ağacını yeniden oluşturmak için dolaşılabilecek **yönlendirilmiş asiklik grafik (DAG)** oluşturur.

### 2.3 Gerçek‑Zaman Grafik Yenilemesi

**Olay‑tabanlı bir pipeline** (Kafka → Flink → Neo4j) sayesinde, kaynak depolardan gelen her değişiklik anında grafiğe yansır, zaman damgalarını günceller ve yeni kenarlar oluşturur. Bu, bir anket açıldığında zaman çizelgesinin kanıtların mevcut durumunu yansıtmasını garanti eder.

---

## 3. Mimari Plan

Aşağıda DETE’nin bileşenlerini ve veri akışını gösteren yüksek seviyeli bir Mermaid diyagramı yer alıyor.

```mermaid
graph LR
    subgraph Ingestion Layer
        A["Document Store A"] -->|Webhook| I1[Ingest Service]
        B["Git Repo"] -->|Git Hook| I2[Ingest Service]
        C["Cloud Storage"] -->|EventBridge| I3[Ingest Service]
    end

    subgraph Processing Layer
        I1 -->|Parse| P1[Extractor]
        I2 -->|Parse| P2[Extractor]
        I3 -->|Parse| P3[Extractor]
        P1 -->|Normalize| N1[Transformer]
        P2 -->|Normalize| N2[Transformer]
        P3 -->|Normalize| N3[Transformer]
        N1 -->|Enrich| E1[Enricher]
        N2 -->|Enrich| E2[Enricher]
        N3 -->|Enrich| E3[Enricher]
        E1 -->|Stream| G[Neo4j Graph DB]
        E2 -->|Stream| G
        E3 -->|Stream| G
    end

    subgraph Application Layer
        UI["Procurize UI"] -->|GraphQL| G
        AI["LLM Answer Engine"] -->|Query| G
    end
```

* **Ingestion Layer** – Webhook, git hook ve bulut olayları aracılığıyla kaynak sistemlerden ham öğeleri çeker.  
* **Processing Layer** – PDF, Markdown, JSON gibi formatları normalleştirir, yapılandırılmış meta verileri çıkarır ve AI destekli ontoloji servisleriyle düzenleyici eşlemeleri zenginleştirir.  
* **Neo4j Graph DB** – Kanıt DAG‑ını depolar, zaman çizelgesi yeniden yapılandırması için O(log n) dolaşım sağlar.  
* **Application Layer** – Denetçiler için görsel bir UI ve gerçek zamanlı sorgulama yapan bir LLM‑tabanlı yanıt motoru sunar.

---

## 4. Yanıt Oluşturma İş Akışı

1. **Soru Alındı** – Anket motoru bir güvenlik sorusu alır (örn. “Veri‑at‑rest şifrelemenizi açıklayın”).  
2. **Niyet Çıkarımı** – Bir LLM, niyeti ayrıştırır ve *şifreleme* ve ilgili çerçeve (ISO 27001 A.10.1) ile eşleşen kanıt düğümlerini hedefleyen bir **bilgi‑grafiği sorgusu** üretir.  
3. **Zaman Çizelgesi Oluşturma** – Sorgu, **ValidDuring** kenarlarıyla birlikte bir dizi düğüm döndürür; bu sayede motor, şifreleme politikasının oluşumundan güncel sürümüne kadar **kronolojik bir anlatı** oluşturur.  
4. **Kanıt Paketleme** – Her düğüm için orijinal belge (politika PDF, denetim raporu) bir indirme eki olarak eklenir, kriptografik hash ile bütünlüğü doğrulanabilir.  
5. **Denetim İzinin Oluşturulması** – Yanıt, kullanılan grafiğin anlık anını kaydeden bir **Response ID** ile kalıcı hâle getirilir; bu sayede denetçiler ileride yanıt sürecini yeniden oynatabilir.

Sonuç, soruyu karşılamanın ötesinde, şeffaf bir kanıt zaman çizelgesi sunan **tek, denetlenebilir bir yanıt** olur.

---

## 5. Güvenlik ve Uyumluluk Garantileri

| Garanti | Uygulama Detayı |
|-----------|------------------------|
| **Değişmezlik** | İçerik karmaları, Amazon QLDB’deki ek‑only defterle senkronize edilir ve Neo4j’ye yansıtılır. |
| **Gizlilik** | Kenar‑seviye şifreleme AWS KMS ile yapılır; sadece “Evidence Viewer” rolündeki kullanıcılar ekleri çözebilir. |
| **Bütünlük** | Her zaman çizelgesi kenarı, dönen bir RSA anahtar çifti ile imzalanır; denetçiler için imzaları doğrulama API’si sağlanır. |
| **Regülasyon Uyumluğu** | Ontoloji, NIST 800‑53, [ISO 27001](https://www.iso.org/standard/27001), [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [GDPR](https://gdpr.eu/) ve ISO 27701 gibi yeni standartlarla hizalanır. |

Bu önlemler, DETE’yi finans, sağlık ve kamu gibi yüksek düzenlemeli sektörler için uygun hâle getirir.

---

## 6. Gerçek Dünya Etkisi: Vaka Çalışması Özeti

*Şirket:* **FinCloud**, orta ölçekli bir fintech platformu  

*Problem:* Ortalama anket dönüş süresi **14 gün**, kanıtların %22’si eski sürümden kaynaklı hatalıydı.  

*Uygulama:* 3 politika deposuna DETE’yı entegre etti, mevcut CI/CD pipeline’larıyla politika‑as‑code güncellemelerini bağladı.  

*Sonuçlar (3 ay içinde):*

| Ölçüt | DETE Öncesi | DETE Sonrası |
|--------|------------|-----------|
| Ortalama yanıt süresi | 14 gün | 1,2 gün |
| Kanıt sürüm uyuşmazlığı | %18 | < %1 |
| Denetçi yeniden talep oranı | %27 | %4 |
| Uyumluluk ekibi harcaması | 120 saat/ay | 28 saat/ay |

**%70** manuel çaba azalması, **250 bin $** yıllık maliyet tasarrufu sağladı ve FinCloud’ın çeyrek başına iki yeni kurumsal anlaşma kapatmasını mümkün kıldı.

---

## 7. Entegrasyon Kalıpları

### 7.1 Policy‑as‑Code Senkronizasyonu

Politikalar bir Git deposunda tutulduğunda, **GitOps** akışı her PR birleştirildiğinde otomatik olarak bir **Supersedes** kenarı oluşturur. Böylece grafik, tam commit geçmişini yansıtır ve LLM yanıtına commit SHA’sı eklenebilir.

### 7.2 CI/CD Kanıt Üretimi

Infrastructure‑as‑Code pipeline’ları (Terraform, Pulumi) **konfigürasyon anlık görüntüleri** üretir; bu da bir güvenlik kontrolü değiştiğinde (ör. firewall kuralı) zaman çizelgesinde kesin dağıtım tarihini yakalar ve denetçilerin “kontrol X tarihinden itibaren geçerli” iddiasını doğrulamasını sağlar.

### 7.3 Üçüncü‑Taraf Onay Beslemeleri

Dış denetim raporları ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Type II) Procurize UI üzerinden yüklenir ve **DerivedFrom** kenarlarıyla dahili politika düğümlerine bağlanır; bu sayede tedarikçi sağladığı kanıt ile iç kontroller arasında bir köprü kurulur.

---

## 8. Gelecek Geliştirmeler

1. **Tahmini Zaman Çizelgesi Boşlukları** – Bir transformer modeli, politika süresi dolmadan önceki olası boşlukları işaretler.  
2. **Zero‑Knowledge Proof Entegrasyonu** – Kanıt setinden türetilen yanıtın, ham belgeleri ortaya çıkarmadan doğru olduğuna dair kriptografik kanıt sağlanır.  
3. **Çapraz‑Kiracı Graph Federasyonu** – Çok‑kiracı organizasyonların anonimleştirilmiş kanıt soy ağacını iş birliği birimlerinde paylaşmasını sağlar, veri egemenliğini korur.

Bu yol haritası öğeleri, DETE’nin düzenleyici değişimlerle birlikte evrimleşen bir uyumluluk omurgası olmasını pekiştirir.

---

## 9. Procurize’da DETE’yi Başlatma

1. Platform ayarlarından **Evidence Graph** özelliğini etkinleştirin.  
2. Veri kaynaklarınızı (Git, SharePoint, S3) yerleşik bağlayıcılarla bağlayın.  
3. Mevcut belgeleri desteklenen standartlara otomatik etiketlemek için **Ontology Mapper**’ı çalıştırın.  
4. **timelineQuery(...)** gibi zaman çizelgesi sorgu dilini referans alan yanıt şablonlarını yapılandırın.  
5. Denetçileri UI üzerinde test etmeye davet edin; her yanıtın üzerine tıklayarak tam kanıt zaman çizelgesini ve hash doğrulamasını görebilirler.

Procurize, hızlı prototipleme için kapsamlı dokümantasyon ve bir sandbox ortamı sunar.

---

## 10. Sonuç

**Dinamik Kanıt Zaman Çizelgesi Motoru**, statik uyumluluk belgelerini **gerçek‑zamanlı, sorgulanabilir bir bilgi grafiğine** dönüştürerek anlık, denetlenebilir anket yanıtlarını güçlendirir. Kanıt birleştirmeyi otomatikleştirir, kökeni korur ve kriptografik garantiler ekler; bu sayede uzun süredir güvenlik ve uyumluluk ekiplerini yoran manuel uğraşları ortadan kaldırır.

**Hızlı anlaşma kapama** ve **kanıt güvenilirliği**, rekabet avantajı sağlayan faktörler haline geldiği bir pazarda, dinamik bir zaman çizelgesi benimsemek artık isteğe bağlı değil, stratejik bir zorunluluktur.

---

## İlgili Makaleler

- AI Destekli Uyarlamalı Anket Orkestrasyonu  
- Güvenli Tedarikçi Soruları için Gerçek‑Zaman Kanıt Köken Defteri  
- Üretken AI Kullanan Tahmine Dayalı Uyumluluk Boşluk Tahmin Motoru  
- Gizlilik Koruma İçin Federated Learning ile Anket Otomasyonu