
# Güvenlik Anketlerini Uyumlu Hale Getirmek İçin Ontoloji Tabanlı İstem Motoru

> **TL;DR** – Ontoloji odaklı bir istem motoru, çelişkili uyumluluk çerçeveleri arasında anlamsal bir köprü oluşturarak, üretken AI’nin herhangi bir güvenlik anketine bağlamsal uygunluk ve düzenleyici doğruluk sağlayan tutarlı, denetlenebilir yanıtlar üretmesine olanak tanır.

---

## 1. Neden Yeni Bir Yaklaşıma İhtiyaç Var

Güvenlik anketleri, SaaS satıcıları için büyük bir darboğaz olmaya devam ediyor. Belgeleri merkezileştiren ve iş akışlarını otomatikleştiren Procurize gibi araçlar olsa bile, farklı standartlar arasındaki *anlamsal boşluk* güvenlik, hukuk ve mühendislik ekiplerinin aynı kanıtı birden çok kez yeniden yazmasını zorunlu kılıyor:

| Çerçeve | Tipik Soru | Örnek Cevap |
|-----------|------------------|----------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Veri şifrelemenizi dinlenme halinde nasıl tanımlarsınız?* | “Tüm müşteri verileri AES‑256 ile şifrelenir…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Depolanan bilgiyi nasıl koruyorsunuz?* | “AES‑256 şifrelemesi uyguluyoruz…” |
| **[GDPR](https://gdpr.eu/)** | *Kişisel veriler için teknik önlemleri açıklayın.* | “Veri, AES‑256 ile şifrelenir ve üç ayda bir döndürülür.” |

Temel kontrol aynı olmasına rağmen, ifade biçimi, kapsam ve kanıt beklentileri farklılık gösterir. Mevcut AI hatları bu sorunu **çerçeve bazlı istem‑ayarları** ile çözer; bu yöntem, standart sayısı artınca sürdürülemez bir hâl alır.

Bir **ontoloji‑tabanlı istem motoru** sorunu kökünden çözer: **uyumluluk kavramlarının tek bir resmi temsili** oluşturur, ardından her anket dilini bu ortak modele **eşler**. AI yalnızca tek bir “kanonik” istemi anlamak zorundadır, ontoloji ise çeviri, versiyonlama ve gerekçelendirmeyi üstlenir.

---

## 2. Mimari’nin Temel Bileşenleri

Aşağıda, çözümün yüksek‑seviye görünümü bir Mermaid diyagramı olarak sunulmuştur. Tüm düğüm etiketleri gerektiği gibi çift tırnak içinde verilmiştir.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – Kavramları (ör. *şifreleme*, *erişim kontrolü*), ilişkileri (*gerektirir*, *miras alır*) ve yargı özelliklerini yakalayan bir bilgi grafiği.  
2. **Framework Mappers** – Gelen anket öğelerini ayrıştıran, karşılık gelen ontoloji düğümlerini belirleyen ve güven puanları ekleyen hafif adaptörler.  
3. **Canonical Prompt Generator** – Ontolojinin normalleştirilmiş tanımları ve bağlantılı kanıtları kullanarak LLM için tek bir bağlam‑zengin istem oluşturur.  
4. **LLM Inference Engine** – Doğal dil yanıtı üreten herhangi bir üretken model (GPT‑4o, Claude 3 vb.).  
5. **Answer Renderer** – Ham LLM çıktısını gereken anket yapısına (PDF, markdown, JSON) biçimlendirir.  
6. **Audit Trail Logger** – Eşleme kararlarını, istem sürümünü ve LLM yanıtını uyumluluk incelemesi ve gelecekteki eğitim için kalıcı hale getirir.  
7. **Evidence Repository** – Yanıtlarda referans verilen politika belgeleri, denetim raporları ve artefakt bağlantılarını saklar.  
8. **Change Detection Service** – Standartlar veya iç politikalar üzerindeki güncellemeleri izler ve değişiklikleri otomatik olarak ontolojiye yansıtır.

---

## 3. Ontolojinin Oluşturulması

### 3.1 Veri Kaynakları

| Kaynak | Örnek Varlıklar | Çıkarma Yöntemi |
|--------|------------------|-------------------|
| **ISO 27001 Annex A** | “Kriptografik Kontroller”, “Fiziksel Güvenlik” | ISO maddelerinin kural‑tabanlı ayrıştırılması |
| **SOC 2 Trust Services Criteria** | “Kullanılabilirlik”, “Gizlilik” | SOC belgelerinin NLP sınıflandırması |
| **GDPR Recitals & Articles** | “Veri Azaltma”, “Silme Hakkı” | spaCy + özel kalıplarla varlık‑ilişki çıkarımı |
| **Internal Policy Vault** | “Şirket‑geneli Şifreleme Politikası” | YAML/Markdown politika dosyalarından doğrudan ithalat |

Her kaynak *konsept düğümleri* (`C`) ve *ilişki kenarları* (`R`) katkısında bulunur. Örneğin, **“AES‑256”** bir *teknik* (`C`) olup *kontrol* “Veri Dinlenme Şifrelemesi” (`C`) *uygulamaktadır*. Bağlantılar kaynak, sürüm ve güven puanı gibi meta‑verilerle anotasyonlanır.

### 3.2 Normalizasyon Kuralları

Çoğaltmayı önlemek için kavramlar *kanonikleştir*:

| Ham Terim | Normalleştirilmiş Form |
|----------|-----------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` ( `encryption_algorithm` alt türü ) |

Normalizasyon, insan onaylı eşlemelerden öğrenen **sözlük‑güdümlü bulanık eşleştirici** ile gerçekleştirilir.

### 3.3 Versiyonlama Stratejisi

Uyumluluk standartları gelişir; ontoloji **semantik versiyonlama şeması** (`MAJOR.MINOR.PATCH`) benimser. Yeni bir madde eklendiğinde *minör* artış gerçekleşir ve bunun sonucunda ilgili istemler yeniden değerlendirilir. Denetim kaydı, her yanıt için kullanılan tam ontoloji sürümünü yakalar ve izlenebilirliği sağlar.

---

## 4. Gerçekte İstem Oluşturma

### 4.1 Anketten Ontoloji Düğümüne

Bir satıcı şu soruyu aldığında:

> *“Off‑site yedeklemeleriniz şifreleniyor mu?”*

**Framework Mapper**, ontolojiye karşı bir benzerlik araması yapar ve `%96` güvenle `encryption_at_rest` düğümünü döndürür. “yedeklemeler”, “off‑site” gibi nitelikler *öznitelik* etiketleri olarak çıkarılır.

### 4.2 Kanonik İstem Şablonu

Tekrar kullanılabilir bir şablon şu şekildedir (pseudo‑code):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Motor, eşlenen ontoloji düğümlerini ve **Evidence Repository**’den en son kanıt URL’lerini doldurur. Temel kontrol tüm çerçeveler için aynı olduğundan, LLM **tutarlı bir bağlam** alır; bu da ifadeler farkından kaynaklanan varyasyonları ortadan kaldırır.

### 4.3 LLM Çıktısı Örneği

> **Cevap:** Evet, tüm off‑site yedeklemeler AES‑256 ile şifrelenir ve yedek seti başına benzersiz bir anahtar kullanılır. Şifreleme anahtarları HSM‑korumalı kasamızda yönetilir ve üç ayda bir döndürülür.  
> **Destekleyici Artefaktlar:**  
> - *Yedekleme Şifreleme Politikası* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Anahtar Döndürme Logu* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer**, bu çıktıyı ISO için bir tablo hücresi, SOC 2 için serbest metin alanı gibi ilgili anket biçimlerine dönüştürür.

---

## 5. Geleneksel İstem‑Ayarlamaya Göre Avantajlar

| Ölçüt | Geleneksel İstem‑Ayarlama | Ontoloji‑Tabanlı Motor |
|--------|---------------------------|-----------------------|
| **Ölçeklenebilirlik** | Çerçeve başına bir istem → doğrusal büyüme | Tek kanonik istem → sabit |
| **Tutarlılık** | Çerçeveler arası farklı ifadeler | Tek kaynaktan üretilen tek tip yanıt |
| **Denetlenebilirlik** | İstem sürümlerinin manuel takibi | Otomatik ontoloji sürümü + denetim kaydı |
| **Uyarlanabilirlik** | Her standart güncellemesi için yeniden eğitim | Değişiklik algılama, ontoloji üzerinden otomatik yayılım |
| **Bakım Yükü** | Yüksek – çok sayıda istem dosyası | Düşük – tek eşleme katmanı ve bilgi grafiği |

Gerçek dünyadaki Procurize testlerinde, ontoloji motoru **ortalama yanıt üretim süresini** 7 saniyeden (istem‑ayarlı) 2 saniyeye düşürmüş, **çerçeveler arası benzerliği** (BLEU skoru %18 artış) artırmıştır.

---

## 6. Uygulama İpuçları

1. **Küçük Başlayın** – En yaygın kontrol (şifreleme, erişim kontrolü, günlükleme) ile ontolojiyi doldurup ardından genişletin.  
2. **Mevcut Grafiklerden Yararlanın** – **Schema.org**, **OpenControl** ve **CAPEC** gibi projeler önceden hazırlanmış sözcük dağarcıkları sunar; bunları genişletebilirsiniz.  
3. **Bir Grafik Veritabanı Kullanın** – Neo4j veya Amazon Neptune, karmaşık geçişleri ve versiyonlamayı verimli yönetir.  
4. **CI/CD Entegre Edin** – Ontoloji değişikliklerini kod gibi ele alın; örnek anket paketleriyle eşleme doğruluğunu otomatik test edin.  
5. **İnsan‑İçinde‑Döngü** – Güvenlik analistlerinin eşlemeleri onaylaması veya düzeltmesi için bir UI sağlayın; bu geri beslemeyi fuzzy matcher’a aktarın.

---

## 7. Gelecek Genişletmeleri

- **Federated Ontology Sync** – Şirketler anonimleştirilmiş ontoloji bölümlerini paylaşarak topluluk temelli bir uyumluluk bilgi tabanı oluşturabilir.  
- **Explainable AI Katmanı** – Her yanıt için gerekçe grafiği ekleyerek hangi ontoloji düğümlerinin nihai metne katkıda bulunduğunu görselleştirin.  
- **Zero‑Knowledge Proof Entegrasyonu** – Yüksek düzenlemeli sektörler için, eşleme doğruluğunu hassas politika metni açığa çıkmadan kanıtlayan zk‑SNARK kanıtları ekleyin.  

---

## 8. Sonuç

Ontoloji‑driven bir istem motoru, güvenlik anketi otomasyonunda bir paradigma değişikliği sunar. Çeşitli uyumluluk standartlarını tek bir, sürümlenebilir bilgi grafiği altında birleştirerek kuruluşlar:

- **Çoklu çerçevelerde tekrarlanan manuel çalışmayı ortadan kaldırır.**  
- **Yanıt tutarlılığı ve denetlenebilirliğini garanti eder.**  
- **Regülasyon değişikliklerine hızlı adaptasyon sağlar, mühendislik çabasını minimuma indirir.**  

Procurize’in iş birliği platformu ile birleştirildiğinde, bu yaklaşım güvenlik, hukuk ve ürün ekiplerinin tedarikçi değerlendirmelerine günler yerine dakikalar içinde yanıt vermesini sağlayarak, uyumluluğu maliyet merkezinden rekabet avantajına dönüştürür.

---

## <span class='highlight-content'>Bak</span> Also

- [OpenControl GitHub Deposu](https://github.com/opencontrol) – Açık kaynak politika‑kod ve uyumluluk kontrol tanımları.  
- [MITRE ATT&CK® Bilgi Tabanı](https://attack.mitre.org) – Güvenlik ontolojileri oluşturmak için yararlı yapılandırılmış saldırı tekniği taksonomisi.  
- [ISO/IEC 27001:2025 Standardı Genel Bakış](https://www.iso.org/standard/82875.html) – Bilgi güvenliği yönetim standardının en son sürümü.