
# AI Destekli Anket Otomasyonu ile GitOps Tarzı Uyumluluk Yönetimi

*Geliştiricilerin yanıtlayabildiğinden daha hızlı bir şekilde birikerek güvenlik anketlerinin dolup taştığı bir dünyada, organizasyonların uyumluluk varlıklarını yönetmek için sistematik, tekrarlanabilir ve denetlenebilir bir yönteme ihtiyacı var. **GitOps**—altyapı için tek gerçek kaynağı Git olarak kullanma uygulamasını **üretken AI** ile birleştirerek, şirketler anket yanıtlarını sürümlenebilir, fark‑kontrolü yapılabilir ve düzenleyici bir değişiklik önceki yanıtı geçersiz kıldığında otomatik olarak geri döndürülebilen kod‑gibi varlıklara dönüştürebilir.*

---  

## Geleneksel Anket İş Akışlarının Neden Yetersiz Olduğu

| Sorun Noktası | Geleneksel Yaklaşım | Gizli Maliyet |
|----------------|----------------------|----------------|
| **Dağınık kanıt depolama** | Dosyalar SharePoint, Confluence, e‑posta gibi farklı yerlerde dağınık. | Çift çalışma, kaybolan bağlam |
| **Manuel yanıt taslağı** | Uzmanlar yanıtları elle yazar. | Tutarsız dil, insan hatası |
| **Sınırlı denetim izi** | Değişiklik günlükleri izole araçlarda. | “Kim, ne, ne zaman” kanıtı zorluğu |
| **Düzenleyici güncellemelere yavaş yanıt** | Takımlar PDF’leri revize etmek için koşuşturur. | İş gecikmeleri, uyumluluk riski |

Bu verimsizlikler, **haftada onlarca satıcı anketine yanıt vermesi gereken hızlı büyüyen SaaS şirketleri** için özellikle belirgindir.

## Uyumluluk İçin GitOps’a Geçiş

GitOps üç temel üzerine kuruludur:

1. **Deklaratif niyet** – İstenen durum kod (YAML, JSON vb.) ile ifade edilir.  
2. **Sürüm‑kontrol edilen gerçek kaynak** – Tüm değişiklikler bir Git deposuna işlenir.  
3. **Otomatik uzlaştırma** – Bir kontrolcü, gerçek dünya durumunun depodakiyle eşleşmesini sürekli sağlar.

Bu prensipleri güvenlik anketlerine uygulamak, **her yanıt, kanıt dosyası ve politika referansını Git içinde deklaratif bir varlık olarak tutmak** demektir. Sonuç, şu özelliklere sahip bir uyumluluk deposu olur:

* **Pull request ile incelenebilir** – Güvenlik, hukuk ve mühendislik paydaşları birleştirmeden önce yorum yapar.  
* **Fark‑kontrolü yapılır** – Her değişiklik görünür, regresyonları tespit etmek çok kolaydır.  
* **Geri döndürülebilir** – Yeni bir düzenleme eski bir yanıtı geçersiz kıldığında, basit bir `git revert` önceki güvenli durumu geri getirir.

## AI Katmanı: Yanıt Üretimi ve Kanıt Bağlantısı

GitOps yapı sağlar, **üretken AI** içeriği temin eder:

* **Komut‑güdümlü taslak oluşturma** – Bir LLM, anket metnini, şirket‑politikası deposunu ve önceki yanıtları tüketerek ilk taslağı önerir.  
* **Kanıt otomatik eşleştirme** – Model, her yanıtı aynı Git deposunda saklanan ilgili varlıklarla (ör. [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) raporları, mimari diyagramlar) etiketler.  
* **Güven puanı** – AI, taslak ile kaynak politika arasındaki uyumu değerlendirir ve CI içinde kapı kontrolü yapılabilen sayısal bir güven puanı üretir.

AI‑tarafından oluşturulan varlıklar **uyumluluk deposuna işlenir** ve ardından alışılmış GitOps akışı devreye girer.

## Uçtan Uca GitOps‑AI İş Akışı  

```mermaid
graph LR
    A["Yeni Anket Geldi"] --> B["Soruları Ayrıştır (LLM)"]
    B --> C["Taslak Yanıtları Üret"]
    C --> D["Kanıtı Otomatik Bağla"]
    D --> E["Uyumluluk Deposunda PR Aç"]
    E --> F["İnsan İncelemesi & Onaylar"]
    F --> G["Main Dalına Birleştir"]
    G --> H["Yayın Botu Yanıtları Yayınlar"]
    H --> I["Regülasyon Değişikliklerini Sürekli İzle"]
    I --> J["Gerekirse Yeniden Üretimi Tetikle"]
    J --> C
```

*Mermaid spesifikasyonuna uygun olarak tüm düğümler çift tırnak içinde verilmiştir.*

### Adım‑adım Açıklama  

1. **Alım** – Procurize gibi araçlardan gelen webhook veya basit bir e‑posta ayrıştırıcı pipeline’ı tetikler.  
2. **LLM ayrıştırması** – Model anahtar terimleri çıkarır, dahili politika kimlikleriyle eşleştirir ve bir yanıt taslağı hazırlar.  
3. **Kanıt eşleştirme** – Vektör benzerliği kullanılarak AI, repodaki en ilgili uyumluluk belgelerini bulur.  
4. **Pull request oluşturma** – Taslak yanıt ve kanıt bağlantıları bir commit haline getirilir; bir PR açılır.  
5. **İnsan kapısı** – Güvenlik, hukuk veya ürün sahipleri yorum ekler, düzenleme ister veya onay verir.  
6. **Birleştirme & yayın** – CI işi son markdown/JSON yanıtını oluşturur ve satıcı portalına ya da halka açık güven sayfasına gönderir.  
7. **Regülasyon takibi** – Ayrı bir hizmet ([NIST CSF](https://www.nist.gov/cyberframework), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) vb.) değişiklikleri izler; bir değişiklik bir yanıtı etkilerse pipeline adımdan 2’ye geri döner.

## Ölçülen Fayda  

| Ölçüt | GitOps‑AI Öncesi | Benimseme Sonrası |
|--------|-------------------|--------------------|
| Ortalama yanıt süresi | 3‑5 gün | 4‑6 saat |
| Manuel düzenleme süresi | 12 saat / anket | < 1 saat (sadece inceleme) |
| Denetime hazır sürüm geçmişi | Parçalı, rast‑gele loglar | Tam Git commit izi |
| Geçersiz yanıtın geri alınma süresi | Günlerce bulup değiştirme | Dakikalar (`git revert`) |
| Uyumluluk güven skoru (iç) | %70 | %94 (AI puanı + insan onayı) |

## Mimariyi Nasıl Uygularız?  

### 1. Depo Yapısı  

```
compliance/
├── policies/
│   ├── soc2.yaml
│   ├── iso27001.yaml          # deklaratif ISO 27001 kontrolleri
│   └── gdpr.yaml
├── questionnaires/
│   ├── 2025-11-01_vendorA/
│   │   ├── questions.json
│   │   └── answers/
│   │       ├── q1.md
│   │       └── q2.md
│   └── 2025-11-07_vendorB/
└── evidence/
    ├── soc2_report.pdf
    ├── architecture_diagram.png
    └── data_flow_map.svg
```

*Her yanıt (`*.md`) aşağıdaki meta‑verileri içeren front‑matter’e sahiptir: `question_id`, `source_policy`, `confidence`, `evidence_refs`.*

### 2. CI/CD Boru Hattı (GitHub Actions Örneği)

```yaml
name: Compliance Automation

on:
  pull_request:
    paths:
      - 'questionnaires/**'
  schedule:
    - cron: '0 2 * * *' # gecelik regülasyon taraması

jobs:
  generate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run LLM Prompt Engine
        env:
          OPENAI_API_KEY: ${{ secrets.OPENAI_API_KEY }}
        run: |
          python scripts/generate_answers.py \
            --repo . \
            --target ${{ github.event.pull_request.head.ref }}

  review:
    needs: generate
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Confidence Threshold Check
        run: |
          python scripts/check_confidence.py \
            --repo . \
            --threshold 0.85

  publish:
    if: github.event_name == 'push' && github.ref == 'refs/heads/main'
    needs: review
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Deploy to Trust Center
        run: |
          ./scripts/publish_to_portal.sh
```

*Pipeline, sadece güven puanı eşik değerinin üstünde olan yanıtların birleştirilmesini sağlar; ancak insan incelemeleri gerektiğinde bu eşik aşılabilir.*

### 3. Otomatik Geri Dönüş Stratejisi  

Regülasyon taraması bir politika çakışması tespit ettiğinde, bot bir **revert PR** oluşturur:

```bash
git revert <commit‑sha> --no-edit
git push origin HEAD:rollback‑<date>
```

Revert PR, aynı inceleme sürecinden geçer; böylece geri dönüş de belgelenir ve onaylanır.

## Güvenlik & Yönetişim Hususları  

| Endişe | Önlem |
|--------|-------|
| **Model halüsinasyonu** | Katı kaynak‑politika bağlama zorunluluğu; üretim sonrası gerçek kontrol scriptleri çalıştır. |
| **Gizli bilgi sızıntısı** | API anahtarları GitHub Secrets’ta tutulur; ham anahtarlar asla commit edilmez. |
| **AI sağlayıcısının uyumluluğu** | SOC 2 Type II raporu olan sağlayıcılar seçilir; API çağrıları için denetim logları tutulur. |
| **Değişmez denetim izi** | `git commit -S` ile imzalı commitler ve her sürüm için imzalı tag’ler kullanılır. |

## Gerçek Dünya Örneği: İşlem Süresini %70 Azaltma  

*Acme Corp., orta ölçekli bir SaaS girişimi, Mart 2025’te GitOps‑AI iş akışını Procurize’a entegre etti. Entegrasyon öncesinde bir [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) anketine yanıt süresi ortalama **4 gün** idi. Altı haftalık kullanım sonrası:*

* **Ortalama yanıt süresi** **8 saat**e düştü.  
* **İnsan inceleme süresi** anket başına **10 saat**’ten **45 dakikaya** indirildi.  
* **Denetim günlüğü**, dağınık e‑posta ve sohbet dizilerinden **tek bir Git commit geçmişi**ne evrildi; dış denetçiler için talep edilen bilgiler çok daha hızlı sağlandı.

Bu başarı, **süreç otomasyonu + AI = ölçülebilir ROI** olduğunu kanıtlıyor.

## En İyi Uygulamalar Listesi  

- [ ] Tüm politikaları **deklaratif YAML** formatında sakla (ISO 27001, GDPR vb.).  
- [ ] **AI istem (prompt) kütüphanesini** repo içinde sürümle.  
- [ ] CI’da **minimum güven eşiği** zorunlu kıl.  
- [ ] **İmzalı commitler** kullanarak yasal dayanıklılığı sağla.  
- [ ] Gecelik **regülasyon değişikliği taramaları** planla (örn. [NIST CSF](https://www.nist.gov/cyberframework) güncellemeleri).  
- [ ] **Geri dönüş politikası** oluştur; ne zaman ve kim geri alabilir açıkla.  
- [ ] Müşteriler için **salt‑okunur halka açık bir görünüm** sun (ör. Trust Center sayfası).

## Geleceğe Yönelik Adımlar  

1. **Çok‑kiracılı yönetişim** – Her ürün hattı için ayrı uyumluluk akışları ve CI boru hatları sağlayarak depo modelini genişlet.  
2. **Federated LLM’ler** – Politikaları üçüncü taraf API’lerine göndermeden gizli bir hesaplama ortamında LLM çalıştır.  
3. **Risk‑bazlı inceleme kuyruğu** – AI güven puanını kullanarak insan incelemelerini önceliklendir, modelin daha az emin olduğu yanıtları öne çıkar.  
4. **Çift‑yönlü senkronizasyon** – Git repo güncellemelerini Procurize UI’ye geri iterek tek gerçek kaynağı sağlayıcıya taşı.

---

## İlgili Bağlantılar  

- [NIST CSF Versiyon 2 – Çerçeve Belgeleri](https://www.nist.gov/cyberframework)