
# Güvenli Güvenlik Anketi Yanıtları için Doğrulanabilir Kimlik Destekli AI Otomasyonu

B2B SaaS tedarikinde yüksek riskli bir ortamda, güvenlik anketleri bir satıcı ile potansiyel müşterisi arasındaki kapı görevi görür. Geleneksel manuel yaklaşımlar yavaştır, hata yapmaya açıktır ve modern işletmelerin talep ettiği kriptografik güvenceden yoksun olabilir. Öte yandan üretken AI, politika‑odaklı yanıtları ölçekli bir şekilde sentezleme yeteneğini kanıtlamıştır; ancak AI’nın cazip kılan bu hız, kaynağın kökeni, müdahale direnci ve düzenleyici uyumluluk konusunda sorular gündeme getirir.

**Doğrulanabilir Kimlikler (VC)** — bir W3C standardı olarak varlıklar hakkında kriptografik olarak imzalanmış, gizliliği koruyan iddiaları mümkün kılar. VC’leri AI‑yönlendirmeli anket akışına entegre ederek, organizasyonlar **gerçek‑zamanlı, müdahale‑korumalı, denetlenebilir yanıtlar** elde eder; bu yanıtlar hem iş çevikliğini hem de sıkı yönetişim gereksinimlerini karşılar.

Bu makale, bir VC‑destekli AI otomasyon motorunun mimari şemasını, teknik bileşenlerini ve güvenlik anketleri için uygulanabilir dikkate alınması gereken hususları derinlemesine inceliyor. Okuyucular şunları öğrenecek:

* VC’lerin üretken AI ile nasıl bütünleştiğine dair net bir anlayış.
* Mermaid diyagramı ile gösterilen adım‑adım referans mimarisi.
* Ana bileşenlerin (AI yanıt oluşturucu, VC üretici, merkeziyetsiz tanımlayıcı (DID) yönetimi ve kanıt defteri) uygulanma detayları.
* GDPR, SOC 2 ve ISO 27001 gibi standartlarla uyum, güvenlik ve gizlilik etkileri.
* Pilot aşamasından kurumsal ölçeğe kadar kademeli benimseme yol haritası.

> **TL;DR:** Doğrulanabilir Kimlikler ile AI’ı birleştirmek, anket yanıtlarını “hızlı ama belirsiz”den “anlık, kanıtlanabilir doğru ve denetim‑hazır”a dönüştürür.

---

## 1. Neden Güvenlik Anketleri Sadece AI’dan Daha Fazlasını Gerektirir?

### 1.1 Hız‑Doğruluk Ticareti

Üretken AI modelleri (ör. GPT‑4‑Turbo, Claude‑3) yanıtları saniyeler içinde taslak haline getirerek anket dönüş süresini günlerden dakikalara indirir. Ancak AI‑tarafından üretilen içerik şu sorunları taşır:

* **Halüsinasyonlar** – kaynak depozitede bulunmayan, uydurulmuş politikalar.
* **Sürüm sürüklenmesi** – yanıtlar, güncel olmayan bir politika anlık görüntüsüne dayanabilir.
* **Kanıt eksikliği** – denetçiler, bir iddianın resmi politika belgesinden türediğini doğrulayamaz.

### 1.2 Kanıt İçin Düzenleyici Baskı

**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)** ve **[GDPR](https://gdpr.eu/)** gibi çerçeveler her kontrol beyanı için *kanıt* talep eder. Denetçiler, bir iddianın belirli bir politika sürümünden belirli bir zaman noktasında türetilmiş olduğunu kriptografik olarak kanıtlayacak belgeler ister.

### 1.3 Hizmet Olarak Güven

Satıcı, **dijital olarak imzalanmış bir kimlik** sunarak AI‑yaratılmış yanıtı değişmez bir politika varlığına bağlayabildiğinde, müşterinin güven puanı anında artar. Bu kimlik, temel politika metnini paylaşmadan programatik olarak doğrulanabilen bir “güven rozeti” işlevi görür.

---

## 2. Temel Kavramlar: Doğrulanabilir Kimlikler, DID’ler ve Sıfır‑Bilgi Kanıtları

| Kavram | Anket Akışındaki Rolü |
|--------|-----------------------|
| **Doğrulanabilir Kimlik (VC)** | Bir iddiayı (ör. “Veri disk üzerinde şifrelenmiştir”) ve bu iddianın yayıncısının dijital imzasını içeren JSON‑LD belgesi. |
| **Merkeziyetsiz Tanımlayıcı (DID)** | Yayıncı (uyumluluk hizmetiniz) ve sahibi (satıcı) için küresel olarak benzersiz, kendi‑kontrolündeki tanımlayıcı. |
| **Sıfır‑Bilgi Kanıtı (ZKP)** | İçeriği ifşa etmeden bir iddianın doğru olduğunu gösteren opsiyonel kriptografik kanıt; gizlilik‑hassas alanlar için ideal. |
| **Kimlik Durum Kayıt Defteri** | Bir blokzincir ya da dağıtık defter üzerine kurulmuş iptal listesi; doğrulayıcıya bir VC’nin hâlâ geçerli olup olmadığını söyler. |

---

## 3. Referans Mimari

Aşağıdaki diyagram, bir satıcının anket talebinden denetlenebilir, AI‑yaratılmış yanıtın saniyeler içinde denetlenebilmesine kadar olan uç‑uç akışı gösterir.

```mermaid
graph LR
    A["Kullanıcı / Satıcı Portalı"] --> B["AI Yanıt Oluşturucu"]
    B --> C["Politika Getirme Servisi"]
    C --> D["Belge Karma ve Sürümleme"]
    D --> E["VC Üretici"]
    E --> F["Kimlik Deposu (IPFS/Blokzincir)"]
    F --> G["Doğrulayıcı (Müşteri Güvenlik Ekibi)"]
    G --> H["Denetim İzleme Panosu"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px
    style C fill:#bbf,stroke:#333,stroke-width:2px
    style D fill:#bbf,stroke:#333,stroke-width:2px
    style E fill:#cfc,stroke:#333,stroke-width:2px
    style F fill:#cfc,stroke:#333,stroke-width:2px
    style G fill:#fc9,stroke:#333,stroke-width:2px
    style H fill:#fc9,stroke:#333,stroke-width:2px
```

### 3.1 Bileşen Açıklamaları

| Bileşen | İşlevi | Uygulama İpuçları |
|---------|--------|-------------------|
| **Kullanıcı / Satıcı Portalı** | Anket maddelerini toplar ve imzalı yanıtları gösterir. | OIDC ile kimlik doğrulamalı bir React SPA kullanın. |
| **AI Yanıt Oluşturucu** | Politika gömme temelli doğal dil yanıtları üretir. | Organizasyonunuzun politika külliyatı üzerinde LLM’i ince ayar yapın; deterministik çıktı için `temperature = 0` kullanın. |
| **Politika Getirme Servisi** | Politika deposundan en güncel sürümü çeker. | GitHub Actions + OPA ile “policy‑as‑code” modelini benimseyin; GraphQL üzerinden sunun. |
| **Belge Karma ve Sürümleme** | Yanıtta referans verilen politika parçasının SHA‑256 karmasını oluşturur. | Toplu doğrulama için Merkle ağacı kullanın. |
| **VC Üretici** | Yanıt, karma, zaman damgası ve DID’yi bağlayan imzalı kimlik oluşturur. | İç hizmetler için `did:web`, halka açık kimlikler için `did:ion` tercih edin; imzalama algoritması `ECDSA‑secp256k1` olsun. |
| **Kimlik Deposu** | VC’yi değiştirilemez bir deftere (IPFS + Filecoin, ya da Ethereum L2) kalıcı olarak yazar. | CID’yi on‑chain bir kayıt defterine yayınlayarak iptal kontrolünü etkinleştirin. |
| **Doğrulayıcı** | İmza doğrulaması, durum listesi kontrolü ve karma eşleşmesini yapar. | CI/CD boru hatlarından çağrılabilecek bir mikro‑servis olarak implemente edin. |
| **Denetim İzleme Panosu** | Kimlik kökeni, süresi ve iptal olaylarını görselleştirir. | Grafana ya da Supabase üzerine inşa edip güvenlik SOC’unuza entegre edin. |

---

## 4. Ayrıntılı Veri Akışı

1. **Soru Gönderimi** – Satıcı, portal üzerinden bir anket JSON dosyası yükler.  
2. **Prompt Oluşturma** – Platform, soru metnini ve ilgili politika alanını (“Veri Saklama”) içeren bir prompt hazırlar.  
3. **AI Üretimi** – LLM, kısa bir yanıt ve kaynak politika bölümüne bir iç referans verir.  
4. **Politika Dilimi Çıkarma** – Politika Getirme Servisi, Git deposundan ilgili politika dosyasını alır, kesin bölümü çıkarır ve SHA‑256 karmasını hesaplar.  
5. **VC Oluşturma** – VC Üretici aşağıdaki gibi bir kimlik birleştirir:  

   ```json
   {
     "@context": ["https://www.w3.org/2018/credentials/v1"],
     "type": ["VerifiableCredential", "SecurityAnswerCredential"],
     "id": "urn:uuid:9f8c7e2b-3d1a-4c6f-9a1f-2e5b9c7d6e4a",
     "issuer": "did:web:compliance.example.com",
     "issuanceDate": "2026-02-25T12:34:56Z",
     "credentialSubject": {
       "id": "did:web:vendor.example.org",
       "questionId": "Q-2026-001",
       "answer": "All customer data is encrypted at rest using AES‑256‑GCM.",
       "policyHash": "0x3a7f5c9e...",
       "policyVersion": "v2.4.1",
       "reference": "policies/encryption.md#section-2.1"
     },
     "proof": {
       "type": "EcdsaSecp256k1Signature2019",
       "created": "2026-02-25T12:34:56Z",
       "verificationMethod": "did:web:compliance.example.com#key-1",
       "jws": "eyJhbGciOiJFUzI1NiJ9..."
     }
   }
   ```

6. **Depolama & Dizinleme** – Kimlik JSON’u IPFS’e gönderilir; oluşan CID (`bafy...`) on‑chain bir kayıt defterine (revocation flag = `false`) yayılır.  
7. **Sunum** – Portal yanıtı gösterir ve “Doğrula” düğmesi ekler; bu düğme Doğrulayıcı mikro‑servisine istek gönderir.  
8. **Doğrulama** – Doğrulayıcı VC’yi alır, yayıncının DID Belgesi’yle imzayı kontrol eder, politika karmasını kaynak depoyla karşılaştırır ve kimliğin iptal edilmediğini teyit eder.  
9. **Denetim Günlüğü** – Tüm doğrulama olayları değiştirilemez bir denetim izine kaydedilir; bu sayede denetçiler kanıtı anında sunabilir.

---

## 5. Güvenlik ve Gizlilik İyileştirmeleri

### 5.1 Hassas Yanıtlar İçin Sıfır‑Bilgi Kanıtları

Politika bölümü tescilli bir mantık içeriyorsa, VC, ZKP kullanarak yanıtın politikayı karşıladığını gösterebilir; fakat gerçek bölüm ifşa edilmez. `snarkjs` veya `circom` gibi kütüphaneler, VC’nin `proof` kısmına sığacak kadar kısa kanıtlar üretir.

### 5.2 GDPR ve Veri Azaltma

VC’ler **kendini tanımlayan** belgeler olduğundan yalnızca doğrulama için gerekli iddia tutulur; tam politika metni iletilmez. Bu yaklaşım veri azaltma ilkesine uygundur. Sahip (satıcı) kimlik’in yaşam döngüsünü kontrol eder; “unutulma hakkı” iptal mekanizmasıyla sağlanır.

### 5.3 İptal ve Tazelik

Her kimlik bir `expirationDate` içerir; bu tarih politika gözden geçirme döngüsüyle (ör. 90 gün) eşleşir. On‑chain bir iptal defteri, politika güncellendiğinde kimliğin anında geçersiz kılınmasını sağlar.

### 5.4 Anahtar Yönetimi

Yayıncının özel anahtarını bir HSM (Hardware Security Module) ya da bulut KMS (AWS CloudHSM vb.) içinde saklayın. Anahtarları yılda bir döndürün ve geçişi sorunsuz yapmak için DID Belgesi’nde geçmiş anahtarları da tutun.

---

## 6. Uyum Uyumu

| Çerçeve | VC‑AI Katkısı |
|---------|----------------|
| **[SOC 2 – Security](https://secureframe.com/hub/soc-2/what-is-soc-2)** | Her kontrol beyanının onaylı bir politika sürümünden türediğine dair kriptografik kanıt. |
| **[ISO 27001 – A.12.1](https://www.iso.org/standard/27001)** | Değiştirilemez politika belgelerine bağlanan kanıtlarla konfigürasyon yönetimi. |
| **[GDPR – Madde 32](https://gdpr.eu/)** | İmzalı kimlikler sayesinde teknik ve örgütsel önlemlerin kanıtlanması, veri koruma etki değerlendirmelerini kolaylaştırır. |
| **CMMC Seviye 3** | Otomatik kanıt toplama ve değiştirilemez denetim izi, “sürekli izleme” gereksinimini karşılar. |

---

## 7. Uygulama Planı (Adım‑Adım)

### 7.1 DID’leri ve VC Üreticiyi Kurun

```bash
# did:web yöntemiyle bir DID oluşturun (HTTPS destekli bir alan adı gerekir)
curl -X POST https://did:web:compliance.example.com/.well-known/did.json \
     -d '{"publicKeyJwk": {...}}'
```

Özel anahtarı bir HSM’e yerleştirin. `/issue` uç noktasını aşağıdaki parametreleri kabul edecek şekilde implemente edin:

* `questionId`
* `answerText`
* `policyRef` (dosya yolu + satır aralığı)

Uç nokta, yukarıdaki örnek gibi bir VC oluşturup CID’yi döndürür.

### 7.2 LLM Entegrasyonu

```python
import openai

def generate_answer(question, policy_context):
    prompt = f"""You are a compliance expert. Answer the following security questionnaire item using ONLY the policy excerpt below. Return a concise answer.

    Question: {question}
    Policy Excerpt:
    {policy_context}
    """
    response = openai.ChatCompletion.create(
        model="gpt-4-turbo",
        messages=[{"role": "user", "content": prompt}],
        temperature=0
    )
    return response.choices[0].message.content.strip()
```

Politika alıntılarını önbelleğe alarak aynı dosya için birden çok istek sırasında tekrar okuma yükünü azaltın.

### 7.3 Politika Karma Servisi

```go
package hashutil

import (
    "crypto/sha256"
    "encoding/hex"
    "io/ioutil"
)

func ComputeHash(path string) (string, error) {
    data, err := ioutil.ReadFile(path)
    if err != nil {
        return "", err
    }
    sum := sha256.Sum256(data)
    return hex.EncodeToString(sum[:]), nil
}
```

Hash’i ve sürüm numarasını hızlı arama için PostgreSQL’de saklayın.

### 7.4 IPFS Üzerinde Kimlik Depolama

```bash
# IPFS CLI kurulduğunu varsayalım
ipfs add vc.json
# Çıktı: bafybeie6....
```

CID’yi akıllı sözleşmeye yayınlayın:

```solidity
pragma solidity ^0.8.0;

contract CredentialRegistry {
    mapping(bytes32 => bool) public revoked;
    event CredentialIssued(bytes32 indexed cid, address indexed issuer);

    function register(bytes32 cid) external {
        emit CredentialIssued(cid, msg.sender);
    }

    function revoke(bytes32 cid) external {
        revoked[cid] = true;
    }

    function isRevoked(bytes32 cid) external view returns (bool) {
        return revoked[cid];
    }
}
```

### 7.5 Doğrulama Servisi

```python
from pyld import jsonld
import didkit

def verify_vc(vc_json):
    # İmza doğrulaması
    proof_result = didkit.verify_credential(vc_json, "{}")
    if proof_result["warnings"] or proof_result["errors"]:
        return False, "İmza doğrulaması başarısız"

    # Politika karmasını kontrol et
    policy_path = vc_json["credentialSubject"]["reference"]
    stored_hash = get_hash_from_db(policy_path)
    if stored_hash != vc_json["credentialSubject"]["policyHash"]:
        return False, "Politika karması eşleşmiyor"

    # On‑chain iptal kontrolü (web3 ile)
    if is_revoked_on_chain(vc_json["id"]):
        return False, "Kimlik iptal edilmiş"

    return True, "Geçerli"
```

Bu mantığı `/verify` adlı bir REST uç noktasına açın; portal “Doğrula” düğmesine tıklandığında bu servise istek gönderilir.

---

## 8. Ölçekleme Hususları

| Zorluk | Çözüm |
|--------|-------|
| **Yüksek İşlem Hacmi** – Dakikada yüzlerce anket gönderimi | AI Oluşturucu ve VC Üreticiyi, Kafka kuyruğu önünde bağımsız, otomatik ölçeklenen konteynerler olarak çalıştırın. |
| **Kimlik Boyutu** – VC’ler birkaç kilobayt olabilir | Sıkıştırılmış JSON‑LD (`application/ld+json; profile="https://w3id.org/security/v1"`) kullanın ve istemci tarafında sadece CID’yi saklayın. |
| **Defter Maliyetleri** – Her VC’yi doğrudan zincire yazmak pahalıdır | Zincirde sadece CID ve iptal bayrağını tutun; tam VC IPFS/Filecoin gibi “pay‑as‑you‑go” depolama hizmetinde barındırılsın. |
| **Anahtar Döndürme** – Yayıncı anahtarları değiştiğinde eski VC’ler kırılabilir | DID Belgesi’ne `verificationMethod` dizisi ekleyin; mevcut ve önceki anahtarları aynı anda tutarak geriye dönük uyumluluğu sağlayın. |

---

## 9. Üretime Geçiş Yol Haritası

| Faz | Hedefler | Başarı Ölçütleri |
|-----|----------|-----------------|
| **Pilot (1‑2. Ay)** | Tek bir yüksek değerli müşteride deneme; 10 soruya VC çıkarımı | %100 doğrulama başarısı; yanlış pozitif yok |
| **Beta (3‑5. Ay)** | 5 müşteriye yayılım; gizlilik‑hassas bölümler için ZKP ekleme | Denetim süresinde %95 azalma; %1‑in altında iptal oranı |
| **Genel Kullanıma (6‑9. Ay)** | CI/CD boru hatlarıyla tam entegrasyon; satıcılar için kendi‑kendine servis portalı | Anket yanıtlarının %80’i otomatik VC olarak çıkar; anlaşma süresi %30 hızlanır |
| **Sürekli İyileştirme (Sürekli)** | Geri bildirimle promptları iyileştirme; yeni DID yöntemlerine (`did:key`) geçiş | Çeyrek periyotlarda AI halüsinasyon oranı düşürülür; yeni düzenleyici çerçeveler (CCPA vb.) desteği eklenir |

---

## 10. Olabilecek Tuzaklar ve Önlemleri

1. **AI’ya Aşırı Bağlılık** – Yüksek riskli sorular için insan‑aşaması (HITL) tutun.  
2. **Kimlik Şişkinliği** – Kullanılmayan context’leri VC JSON‑LD’den çıkararak boyutu küçültün.  
3. **DID Yanlış Konfigürasyonu** – DID belgelerinizi resmi W3C doğrulayıcıyla yayınlamadan önce test edin.  
4. **Politika Sürüm Kayması** – Politika güncellemelerinde otomatik bildirim ve iptal mekanizması kurun.  
5. **Hukuki Kabul** – Hedef bölge dâhilinde bir doğrulanabilir kimliğin kanıt niteliğinde olduğundan emin olmak için hukuk danışmanınızla görüşün.

---

## 11. Gelecek Vizyonları

* **Dinamik Politika Şablonları** – LLM’leri, otomatik olarak kanıt‑hazır politika maddeleri üretip hemen VC’ye bağlayacak şekilde kullanın.  
* **Alanlar Arası Kimlik Uyumluluğu** – VC’lerinizi **OpenAttestation** ve **W3C VC Data Model 2.0** gibi gelişmekte olan standartlarla hizalayarak ekosistem benimsenmesini artırın.  
* **Merkeziyetsiz Denetim** – Üçüncü taraf denetçilerin VC’leri doğrudan defterden çekmesine izin vererek elle kanıt gönderme ihtiyacını ortadan kaldırın.  
* **AI‑Destekli Risk Skorlama** – Kimlik doğrulama verilerini bir risk motoru ile birleştirerek vendor risk seviyelerini gerçek zamanlı olarak otomatik güncelleyin.

---

## 12. Sonuç

**Doğrulanabilir Kimlikleri**, **AI‑yönlendirmeli güvenlik anketi iş akışı** içine entegre ederek şirketler **güvenilir, müdahaleye dayanıklı ve denetim‑hazır** yanıtlar elde eder; bu yanıtlar aynı anda modern düzenleyici beklentileri karşılar ve veri gizliliğini korur. Makalede sunulan mimari, yaygın kabul görmüş standartlar (VC, DID, IPFS), kanıtlanmış kriptografik yapı taşları ve bulut‑yerel ölçeklenebilir desenler üzerine kuruludur; bu da SaaS organizasyonlarının uyum süreçlerini geleceğe taşımak için pratik bir yol haritası sunar.

Bu şablonu benimseyin, bir pilotla başlayın ve anket dönüş sürenizin haftalardan saniyelere düştüğünü izleyin — *ve her yanıtın, kendi politika deponuzdan kanıtlanabilir bir şekilde desteklendiğinin rahatlığı*yla çalışın.

---

## İlgili Kaynaklar

- [W3C Doğrulanabilir Kimlik Veri Modeli 1.1](https://www.w3.org/TR/vc-data-model/)
- [IPFS Dokümantasyonu – Değiştirilemez Veri Depolama](https://docs.ipfs.io/concepts/ipfs-gateway/)
- [IBM Security – Gizlilik‑Odaklı Denetimler İçin Sıfır‑Bilgi Kanıtları](https://www.ibm.com/security/zero-knowledge-proofs)