
# Politika olarak Kod, AI ile Buluşuyor: Otomatik Uyumluluk‑kodü Oluşturma için Soru Formu Yanıtları

SaaS dünyasının hızlı temposunda **güvenlik soru formları** ve **uyumluluk denetimleri**, her yeni sözleşmenin giriş kapısını oluşturdu. Ekipler, politikaları bulmak, hukuki jargonları sade İngilizce’ye çevirmek ve yanıtları satıcı portallarına manuel olarak kopyalamak için sayısız saat harcıyor. Sonuç, satış döngülerini yavaşlatan ve insan hatasına yol açan bir darboğaz.

**Politika‑kod (PaC)** — güvenlik ve uyumluluk kontrollerini sürüm‑kontrol edilen, makine‑okunabilir biçimlerde (YAML, JSON, HCL vb.) tanımlama uygulaması — aynı zamanda **Büyük Dil Modelleri (LLM)** artık karmaşık düzenleyici metinleri anlayabilir, kanıtları sentezleyebilir ve denetçileri tatmin edecek doğal‑dil yanıtları üretebilir. Bu iki paradigma bir araya geldiğinde ortaya yeni bir yetenek çıkıyor: **Otomatik Uyumluluk‑kodü (CaaC)**, talep üzerine soru formu yanıtlarını, izlenebilir kanıtlarla birlikte *oluşturabiliyor*.

Bu makalede şunları öğreneceksiniz:

1. Politika‑kodun temel kavramları ve güvenlik soru formları için neden kritik olduğu.  
2. Bir LLM’nin PaC deposuna nasıl bağlanarak **dinamik, denetim‑hazır yanıtlar** üretebileceği.  
3. **Procurize** platformunu örnek alarak pratik bir uygulama üzerinden adım adım ilerleme.  
4. En iyi uygulamalar, güvenlik hususları ve sistemin güvenilirliğini koruma yolları.  

> **TL;DR** – Politikaları kodlaştırıp bir API aracılığıyla ortaya koyarak, ince ayar yapılmış bir LLM’nin bu politikaları soru formu yanıtlarına dönüştürmesine izin vermek, organizasyonların yanıt süresini günlerden saniyelere düşürürken uyumluluk bütünlüğünü korur.

---

## 1. Politika‑kodun Yükselişi

### 1.1 Politika‑kod Nedir?

Politika‑kod, güvenlik ve uyumluluk politikalarını geliştiricilerin uygulama kodunu ele alışıyla aynı şekilde yönetir:

| Geleneksel Politika Yönetimi | Politika‑Kod Yaklaşımı |
|------------------------------|------------------------|
| PDF, Word belgeleri, elektronik tablolar | Deklaratif dosyalar (YAML/JSON) Git’te saklanır |
| Elle sürüm takibi | Git commit’leri, çek‑request incelemeleri |
| Rastgele dağıtım | Otomatik CI/CD boru hatları |
| Arama zor metin | Yapılandırılmış alanlar, aranabilir indeksler |

Politikalar **tek bir gerçek kaynağında** yaşadığından, herhangi bir değişiklik sözdizimini doğrulayan, birim testleri çalıştıran ve alt sistemleri (ör. CI/CD güvenlik kapıları, uyumluluk panoları) güncelleyen otomatik bir boru hattını tetikler.

### 1.2 PaC’nin Soru Formlarına Doğrudan Etkisi

Güvenlik soru formları genellikle şu tarz ifadeler ister:

> “Verileri dinlenme halinde nasıl koruduğunuzu açıklayın ve şifreleme anahtarlarının döndürülmesini kanıtlayın.”

Temel politika kod olarak tanımlanmışsa:

```yaml
controls:
  data-at-rest:
    encryption: true
    algorithm: "AES‑256-GCM"
    key_rotation:
      interval_days: 90
      procedure: "KMS aracılığıyla otomatik döndürme"
evidence:
  - type: "config"
    source: "aws:kms:key-rotation"
    last_verified: "2025-09-30"
```

Bir araç, ilgili alanları **çıkarabilir**, doğal dile **formatlayabilir** ve referans kanıt dosyasını ekleyebilir — hiçbir insan kelime yazmadan.

---

## 2. Büyük Dil Modelleri Çeviri Motoru Olarak

### 2.1 Koddan Doğal Dile

LLM’ler **metin üretiminde** mükemmeldir, ancak halüsinasyonları önlemek için güvenilir bir bağlama ihtiyaç duyar. **Yapılandırılmış bir politika yükü** ve bir **soru şablonu** vererek deterministik bir eşleştirme oluştururuz.

**Prompt örüntüsü** (basitleştirilmiş):

```
Sen bir uyumluluk asistanısın. Aşağıdaki politika parçasını “<soru>” sorusuna öz bir cevap olarak dönüştür. Referans edilen kanıt kimliklerini ekle.
Politika:
<YAML bloğu>
```

LLM bu bağlamı aldığında tahmin yürütmez; zaten depo içinde var olan veriyi **yansıtır**.

### 2.2 Alan‑Özel Doğruluk İçin İnce‑Ayarlama

Genel bir LLM (ör. GPT‑4), geniş bilgiye sahiptir ancak hâlâ belirsiz ifadeler üretebilir. **Geçmiş soru‑yanıt verileri** ve iç stil kılavuzlarını içeren bir veri kümesiyle **ince‑ayarlama** yaparak şunları elde ederiz:

- Tutarlı ton (resmi, risk‑farkındalıklı).  
- Uyumluluk‑özel terminoloji (ör. “SOC 2”, “ISO 27001”).  
- Daha düşük token kullanımı, düşük çıkarım maliyeti.

### 2.3 Güvenlik Önlemleri ve Retrieval‑Augmented Generation (RAG)

Güvenilirliği artırmak için **RAG** ile birleştiririz:

1. **Retriever**, PaC deposundan tam politika parçasını çeker.  
2. **Generator** (LLM), hem parçayı hem de soruyu alır.  
3. **Post‑processor**, belirtilen kanıt kimliklerinin kanıt deposunda varlığını doğrular.

Eşleşme bulunmazsa sistem yanıtı insan incelemesi için otomatik olarak işaretler.

---

## 3. Procurize Üzerinde Bütün‑Uç İş Akışı

Aşağıda Procurize’ın PaC ve LLM entegrasyonunu gösteren yüksek‑seviye bir görünüm bulunmaktadır; **gerçek‑zamanlı, otomatik olarak oluşturulmuş soru formu yanıtları** sunar.

```mermaid
flowchart TD
    A["Politika‑Kod Deposu (Git)"] --> B["Değişiklik Algılama Servisi"]
    B --> C["Politika Dizinleyici (Elasticsearch)"]
    C --> D["Retriever (RAG)"]
    D --> E["LLM Motoru (İnce‑Ayarlı)"]
    E --> F["Yanıt Biçimlendirici"]
    F --> G["Soru Formu UI (Procurize)"]
    G --> H["İnsan İncelemesi & Yayınlama"]
    H --> I["Denetim Günlüğü & İzlenebilirlik"]
    I --> A
```

### 3.1 Adım‑adım Açıklama

| Adım | Eylem | Teknoloji |
|------|-------|-----------|
| **1** | Güvenlik ekibi, Git’te bir politika dosyasını günceller. | Git, CI boru hattı |
| **2** | Değişiklik Algılama, politikaların yeniden indekslenmesini tetikler. | Webhook, Elasticsearch |
| **3** | Satıcı soru formu geldiğinde UI, ilgili soruyu gösterir. | Procurize Gösterge Tablosu |
| **4** | Retriever, eşleşen politika parçalarını sorgular. | RAG Retrieval |
| **5** | LLM, parça + soru prompt’u alarak bir taslak yanıt üretir. | OpenAI / Azure OpenAI |
| **6** | Yanıt Biçimlendirici, markdown ekler, kanıt bağlantıları ekler ve hedef portal için formatlar. | Node.js mikroservisi |
| **7** | Güvenlik sorumlusu yanıtı inceler (isteğe bağlı, güven puanı yüksekse otomatik onay). | UI İnceleme Modülü |
| **8** | Son yanıt satıcı portalına gönderilir; değişmez bir denetim günlüğü kaynak kaynağını kaydeder. | Satın Alma API’si, Blokzincir‑benzeri günlük |

Bu döngü tipik bir soru için **10 saniyenin altında** tamamlanabilir, bu da bir analistin politikayı bulup, yanıtı tasarlayıp, doğrulamasını 2‑4 saat sürmesiyle kıyaslandığında çarpıcı bir farktır.

---

## 4. Kendi CaaC Boru Hattınızı Oluşturma

Aşağıda bu deseni yeniden oluşturmak isteyen ekipler için pratik bir kılavuz verilmiştir.

### 4.1 Politika Şemasını Tanımlayın

İlk adım, gerekli alanları kapsayan bir **JSON Şeması** oluşturmaktır:

```json
{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "title": "Compliance Control",
  "type": "object",
  "properties": {
    "id": { "type": "string" },
    "category": { "type": "string" },
    "description": { "type": "string" },
    "evidence": {
      "type": "array",
      "items": {
        "type": "object",
        "properties": {
          "type": { "type": "string" },
          "source": { "type": "string" },
          "last_verified": { "type": "string", "format": "date" }
        },
        "required": ["type", "source"]
      }
    }
  },
  "required": ["id", "category", "description"]
}
```

Her politika dosyası, CI adımında (`ajv-cli` gibi) bu şemaya göre doğrulanmalıdır.

### 4.2 Arama Katmanını Kurun

- YAML/JSON dosyalarını **Elasticsearch** veya **OpenSearch** üzerine indeksleyin.  
- Anlamsal eşleşme için **BM25** veya **Sentence‑Transformer** tabanlı yoğun vektör gömme kullanın.

### 4.3 LLM’yi İnce‑Ayarlayın

1. Tarihsel soru‑cevap çiftlerini (kanıt kimlikleri dahil) dışa aktarın.  
2. Bu verileri, LLM sağlayıcınızın istediği `prompt‑completion` biçimine dönüştürün.  
3. **Süpervizörlü ince‑ayarlama** yapın (OpenAI `v1/fine-tunes`, Azure `deployment`).  
4. **BLEU** skorları ve özellikle **insan denetimi** ile değerlendirin; uyumluluk açısından hatasız olduğundan emin olun.

### 4.4 Güvenlik Önlemlerini Uygulayın

- **Güven Puanı:** En yüksek token olasılık puanı %0.9’dan büyükse otomatik onay.  
- **Kanıt Doğrulama:** Post‑processor, her `source` kimliğinin kanıt deposunda bulunup bulunmadığını kontrol eder.  
- **Prompt Enjeksiyon Koruması:** Kullanıcı‑girişli metinleri birleştirmeden önce kaçış/temizleme yapın.

### 4.5 Procurize ile Entegre Edin

Procurize, gelen soru formları için **webhook** sağlar. Bu webhook’u bir **sunucusuz fonksiyon**a (AWS Lambda, Azure Functions) bağlayarak, Bölüm 3’teki akışı tetikleyin.

---

## 5. Faydalar, Riskler ve Önlemler

| Faydalar | Açıklama |
|----------|----------|
| **Hız** | Yanıtlar saniyelerde üretilir, satış döngüsü gecikmeleri büyük ölçüde azalır. |
| **Tutarlılık** | Tek bir politika kaynağı, tüm satıcılarda aynı ifadeyi garanti eder. |
| **İzlenebilirlik** | Her yanıt, politika ID’si ve kanıt hash’i ile bağlanır, denetçiler için şeffaflık sağlar. |
| **Ölçeklenebilirlik** | Politikadaki bir değişiklik, bekleyen tüm soru formlarına otomatik olarak yansır. |

| Riskler | Azaltma Stratejileri |
|---------|----------------------|
| **Halüsinasyon** | RAG ve kanıt doğrulama katmanları zorunlu. |
| **Eski Kanıt** | Kanıtların yenilik kontrolü (örn. >30 gün) için otomatik uyarı. |
| **Erişim Kontrolü** | Politika deposu, IAM‑tabanlı izinlerle korunur; sadece yetkili roller commit yapabilir. |
| **Model Kayması** | Model, yeni test setleriyle periyodik olarak yeniden değerlendirilir. |

---

## 6. Gerçek Dünya Etkisi – Kısa Bir Vaka Çalışması

**Şirket:** SyncCloud (orta ölçekli bir SaaS veri analiz platformu)  
**CaaC Öncesi:** Ortalama soru formu yanıt süresi 4 gün, %30 manuel yeniden çalışma.  
**CaaC Sonrası:** Ortalama yanıt süresi 15 dakika, %0 yeniden çalışma, denetim günlüklerinde %100 izlenebilirlik.  
**Önemli Metri̇kler:**  

- **Zaman Tasarrufu:** Analist başına haftada ~2 saat tasarruf.  
- **Anlaşma Hızı:** Kapalı‑kazanç oranı %12 artışı.  
- **Uyumluluk Puanı:** Üçüncü taraf değerlendirmelerinde “orta”dan “yüksek”e yükseldi.  

Bu dönüşüm, 150 politika belgesinin PaC’e dönüştürülmesi, 2 k tarihli geçmiş yanıtlar üzerine bir 6 milli parametreli LLM’nin ince‑ayar yapılması ve sürecin Procurize UI’ye entegrasyonu ile sağlandı.

---

## 7. Gelecek Yönelimleri

1. **Sıfır‑Güven Kanıt Yönetimi** – CaaC’i blokzincir notasyonu ile birleştirerek değiştirilemez kanıt izlenebilirliği.  
2. **Çok‑Bölge Dil Desteği** – **GDPR** – bkz. [GDPR](https://gdpr.eu/), **CCPA** – bkz. [CCPA](https://oag.ca.gov/privacy/ccpa) ve **CPRA** – bkz. [CPRA](https://thecpra.org/) gibi yasal çerçeveler için çok‑dilli modeller.  
3. **Kendini‑İyileştiren Politikalar** – Denetçi geri bildirimiyle pekiştirme öğrenmesi (RL) kullanarak model, politika önerileri sunar ve otomatik iyileştirmeler önerir.  

Bu yenilikler, CaaC’i sadece bir **verimlilik aracı** olmaktan **stratejik uyumluluk motoru**na dönüştürerek güvenlik duruşunu proaktif olarak şekillendirecek.

---

## 8. Başlangıç Kontrol Listesi

- [ ] Politika‑kod şemasını tanımlayın ve sürüm‑kontrol edin.  
- [ ] Tüm mevcut politikaları ve kanıt meta verilerini depo içine yükleyin.  
- [ ] Arama hizmetini (Elasticsearch/OpenSearch) kurun.  
- [ ] Geçmiş Q&A veri seti toplayıp LLM’yi ince‑ayarlayın.  
- [ ] Güven puanı ve kanıt doğrulama sarmalayıcısını oluşturun.  
- [ ] Boru hattını soru formu platformu (ör. Procurize) ile entegre edin.  
- [ ] Düşük riskli bir vendor soru formu ile pilot çalıştırın, tekrarlayın ve iyileştirin.  

Bu yol haritasını izleyerek, **reaktif manuel çabadan** **AI‑güdümlü, otomatik uyumluluk** yapısına geçiş yapabilirsiniz.

---

## Yaygın Çerçeveler & Standartlara Hızlı Referanslar

- **SOC 2** – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)  
- **ISO 27001** – [ISO 27001](https://www.iso.org/standard/27001) & [ISO/IEC 27001 Information Security Management](https://www.iso.org/isoiec-27001-information-security.html)  
- **GDPR** – [GDPR](https://gdpr.eu/)  
- **HIPAA** – [HIPAA](https://www.hhs.gov/hipaa/index.html)  
- **NIST CSF** – [NIST CSF](https://www.nist.gov/cyberframework)  
- **DPAs** – [DPAs](https://www.dpocentre.com/what-is-a-dpa-and-why-do-you-need-one/)  
- **Cloud Security Alliance STAR** – [Cloud Security Alliance STAR](https://cloudsecurityalliance.org/star/)  
- **PCI‑DSS** – [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)  
- **CCPA** – [CCPA](https://oag.ca.gov/privacy/ccpa)  
- **CPRA** – [CPRA](https://thecpra.org/)  
- **Gartner Security Automation Trends** – [Gartner Security Automation Trends](https://www.gartner.com/en/documents/5202463)  
- **Gartner Sales Cycle Benchmarks** – [Gartner Sales Cycle Benchmarks](https://www.gartner.com/en/sales)  
- **MITRE AI Security** – [MITRE AI Security](https://www.mitre.org/)  
- **EU AI Act Compliance** – [EU AI Act Compliance](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)  
- **SLAs** – [SLAs](https://www.ibm.com/think/topics/service-level-agreement)  
- **NYDFS** – [NYDFS](https://www.dfs.ny.gov/industry_guidance/cybersecurity)  
- **DORA** – [DORA](https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en)  
- **BBB Trust Seal** – [BBB Trust Seal](https://www.bbb.org/)  
- **Google Trust & Safety** – [Google Trust & Safety](https://safety.google/)  
- **FedRAMP** – [FedRAMP](https://www.fedramp.gov/)  
- **CISA Cybersecurity Best Practices** – [CISA Cybersecurity Best Practices](https://www.cisa.gov/topics/cybersecurity-best-practices)  
- **EU Cloud Code of Conduct** – [EU Cloud Code of Conduct](https://eucoc.cloud/en/home)