
# Dinamik Anket Kanıt Yaşam Döngüsü için Sıfır‑Güven AI Orkestra Yöneticisi

SaaS dünyasının hızlı temposunda, güvenlik anketleri her yeni sözleşme için belirleyici bir kapı görevi görmektedir. Ekipler, kanıt toplama, bunları yasal çerçevelere eşleştirme ve politikalar değiştikçe yanıtları güncelleme konusunda sayısız saat harcar. Geleneksel araçlar kanıtları statik PDF’ler veya dağınık dosyalar olarak ele alır; bu da saldırganların sömürmekte olduğu ve denetçilerin işaretlediği boşluklar bırakır.

Bir **sıfır‑güven AI orkestratörü** bu anlatıyı değiştirir. Her kanıt parçasını **dinamik, politika‑tabanlı mikro‑servis** olarak ele alarak platform, değiştirilemez erişim kontrolleri uygular, geçerliliği sürekli doğrular ve düzenlemeler evrimleştiğinde yanıtları otomatik olarak yeniler. Bu makale, mimari sütunları, pratik iş akışlarını ve ölçülebilir faydaları, Procurize’ın en yeni AI yeteneklerini somut bir örnek olarak kullanarak anlatır.

---

## 1. Kanıt Yaşam Döngüsü Neden Sıfır‑Güven’e İhtiyaç Duyar

### 1.1 Statik kanıtların gizli riski

- **Eski belgeler** – Altı ay önce yüklü bir [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) denetim raporu artık mevcut kontrol ortamınızı yansıtmayabilir.
- **Aşırı maruz kalma** – Kanıt depolarına sınırsız erişim, yanlışlıkla sızma veya kötü niyetli çıkarma riskini artırır.
- **Manuel darboğazlar** – Anket değiştiğinde ekiplerin belgeleri bulması, kırpması ve yeniden yüklemesi gerekir.

### 1.2 Sıfır‑güven prensiplerinin uyumluluk verilerine uygulanması

| Prensip | Uyumluluk‑özel yorum |
|---------|----------------------|
| **Asla güvenme, her zaman doğrula** | Her kanıt isteği çalışma zamanında kimlik doğrulanır, yetkilendirilir ve bütünlüğü doğrulanır. |
| **En az ayrıcalık erişimi** | Kullanıcılar, botlar ve üçüncü taraf araçlar yalnızca belirli anket maddesi için gereken veri dilimini alır. |
| **Mikro‑segmentasyon** | Kanıt varlıkları mantıksal bölgelere (politika, denetim, operasyonel) ayrılır ve her biri kendi politika motoru ile yönetilir. |
| **İhlal varsayımı** | Tüm eylemler kaydedilir, değiştirilemez ve adli analiz için yeniden oynatılabilir. |

Bu kuralları AI‑tabanlı bir orkestratöre entegre ederek, kanıt artık statik bir nesne olmaktan çıkar ve **akıllı, sürekli doğrulanan bir sinyal** hâline gelir.

---

## 2. Yüksek‑Seviye Mimari

Mimari üç temel katmanı birleştirir:

1. **Politika Katmanı** – Declarative kurallar (örn. OPA, Rego) ile kim neyi görebileceğini tanımlayan sıfır‑güven politikaları.
2. **Orkestrasyon Katmanı** – Kanıt isteklerini yönlendiren, yanıtları üreten veya zenginleştiren ve aşağı akış eylemlerini tetikleyen AI ajanları.
3. **Veri Katmanı** – Değiştirilemez depolama (içerik‑adresli blob’lar, blokzincir denetim izleri) ve aranabilir bilgi grafikleri.

Aşağıda veri akışını gösteren bir Mermaid diyagramı bulunmaktadır.

```mermaid
graph LR
    subgraph Policy
        P1["\"Zero‑Trust Policy Engine\""]
    end
    subgraph Orchestration
        O1["\"AI Routing Agent\""]
        O2["\"Evidence Enrichment Service\""]
        O3["\"Real‑Time Validation Engine\""]
    end
    subgraph Data
        D1["\"Immutable Blob Store\""]
        D2["\"Knowledge Graph\""]
        D3["\"Audit Ledger\""]
    end

    User["\"Security Analyst\""] -->|Request evidence| O1
    O1 -->|Policy check| P1
    P1 -->|Allow| O1
    O1 -->|Fetch| D1
    O1 -->|Query| D2
    O1 --> O2
    O2 -->|Enrich| D2
    O2 -->|Store| D1
    O2 --> O3
    O3 -->|Validate| D1
    O3 -->|Log| D3
    O3 -->|Return answer| User
```

*Diagram, bir isteğin politika doğrulaması, AI yönlendirmesi, bilgi‑grafiği zenginleştirmesi, gerçek‑zamanlı doğrulaması ve sonunda analiste güvenilir bir yanıt olarak ulaşmasını göstermektedir.*

---

## 3. Temel Bileşenler Ayrıntılı

### 3.1 Sıfır‑Güven Politika Motoru

- **Declarative kurallar** Rego’da ifade edilir ve belge, paragraf ve alan seviyesinde ince erişim kontrolü sağlar.
- **Dinamik politika güncellemeleri** anında yayılır; bu sayede yeni bir [GDPR](https://gdpr.eu/) maddesi gelince erişim hemen kısıtlanır veya genişletilir.

### 3.2 AI Yönlendirme Ajanı

- **Kontekstüel anlama** – LLM’ler anket maddesini çözümler, gereken kanıt türlerini tanımlar ve en uygun veri kaynağını bulur.
- **Görev atama** – Ajan, sorumlu ekipler için otomatik alt görevler oluşturur (örn. “Gizlilik Etki Analizi için Hukuk ekibi onayı”).

### 3.3 Kanıt Zenginleştirme Servisi

- **Multimodal çıkarım** – OCR, belge AI ve görüntü‑metin modelleri kullanarak PDF, ekran görüntüsü ve kod depolarından yapılandırılmış gerçekler elde eder.
- **Bilgi‑grafiği eşleme** – Çıkarılan gerçekler bir **uyumluluk KG**’ye bağlanır; `HAS_CONTROL`, `EVIDENCE_FOR`, `PROVIDER_OF` gibi ilişkiler kurulur.

### 3.4 Gerçek‑Zamanlı Doğrulama Motoru

- **Hash‑tabanlı bütünlük kontrolleri** kanıt blob’unun alındığı andan itibaren değiştirilmediğini doğrular.
- **Politika kayması tespiti** mevcut kanıtı en son uyumluluk politikasıyla karşılaştırır; eşleşmezse otomatik iyileştirme iş akışı tetiklenir.

### 3.5 Değiştirilemez Denetim Defteri

- Her istek, politika kararı ve kanıt dönüşümü **kriptografik olarak mühürlenmiş bir deftere** (örn. Hyperledger Besu) kaydedilir.
- **Değiştirilemez denetimler** sağlar ve birçok standart için “değiştirilemez iz” gereksinimini karşılar.

---

## 4. Baştan Sona İş Akışı Örneği

1. **Anket girişi** – Bir satış mühendisi, *“Veri‑dinleme şifrelemesi kanıtı sağlayın”* maddesi içeren bir SOC 2 anketi alır.
2. **AI çözümlemesi** – AI Yönlendirme Ajanı `veri‑dinleme`, `şifreleme`, `kanıt` kavramlarını ayıklar.
3. **Politika doğrulaması** – Sıfır‑Güven Politika Motoru, analistin rolünü kontrol eder; analist şifreleme yapılandırma dosyalarına yalnızca **okuma‑sadece** erişim alır.
4. **Kanıt çekme** – Ajan, Bilgi Grafiği’nden en güncel şifreleme‑anahtar‑döndürme kaydını Değiştirilemez Blob Store’dan alır ve ilgili politika ifadesini KG’dan çeker.
5. **Gerçek‑zamanlı doğrulama** – Doğrulama Motoru dosyanın SHA‑256 hash’ini hesaplar, saklanan hash ile eşleştiğini ve SOC 2 için gereken 90‑günlük periyodu kapsadığını onaylar.
6. **Yanıt üretimi** – Retrieval‑Augmented Generation (RAG) kullanılarak güvenli bir indirme bağlantısı içeren özlü bir yanıt hazırlanır.
7. **Denetim kaydı** – Politika kontrolü, veri çekme, hash doğrulama gibi her adım **Denetim Defterine** yazılır.
8. **Teslimat** – Analist, yanıtı Procurize’ın anket UI’sinde alır, bir inceleme yorumu ekleyebilir ve müşteri kanıt‑hazır yanıtı alır.

Tüm döngü **30 saniyenin altında** tamamlanır; daha önce **saatler** süren süreç **dakikalara** indirilir.

---

## 5. Ölçülebilir Fayda

| Ölçüt | Geleneksel Manuel Süreç | Sıfır‑Güven AI Orkestra Yöneticisi |
|------|--------------------------|-----------------------------------|
| Maddeye ortalama yanıt süresi | 45 dk – 2 sa | ≤ 30 s |
| Kanıt eskiliği (gün) | 30‑90 gün | < 5 gün (otomatik yenileme) |
| Kanıt yönetimiyle ilgili denetim bulguları | Toplam bulguların %12’si | < %2 |
| Çeyrek başına tasarruf edilen personel saatı | — | 250 sa (≈ 10 tam zamanlı hafta) |
| Uyumluluk ihlal riski | Yüksek (aşırı maruz kalma) | Düşük (en az ayrıcalık + değiştirilemez kayıtlar) |

Sayıların ötesinde, platform **dış ortaklarla güveni artırır**. Her yanıtın yanına değiştirilemez bir denetim izi eklendiğinde, tedarikçinin güvenlik duruşuna olan güven artar ve satış döngüleri kısalır.

---

## 6. Takımlar İçin Uygulama Rehberi

### 6.1 Gereksinimler

1. **Politika deposu** – Sıfır‑güven politikalarını Git‑Ops uyumlu bir formatta (örn. Rego dosyaları `policy/` klasöründe) saklayın.
2. **Değiştirilemez depolama** – İçerik‑adresli tanımlayıcıları destekleyen bir nesne deposu kullanın (örn. IPFS, Amazon S3 Object Lock).
3. **Bilgi‑grafiği platformu** – Neo4j, Amazon Neptune veya RDF üçgenlerini içe aktarabilen bir özel grafik DB.

### 6.2 Adım‑Adım Dağıtım

| Adım | Eylem | Araç |
|------|-------|------|
| 1 | Politika motorunu başlatın ve temel politikaları yayınlayın | Open Policy Agent (OPA) |
| 2 | AI Yönlendirme Ajanını LLM uç noktası (OpenAI, Azure OpenAI) ile yapılandırın | LangChain entegrasyonu |
| 3 | Kanıt Zenginleştirme boru hatlarını (OCR, Document AI) kurun | Google Document AI, Tesseract |
| 4 | Gerçek‑Zamanlı Doğrulama mikro‑servisini dağıtın | FastAPI + PyCrypto |
| 5 | Servisleri Değiştirilemez Denetim Defterine bağlayın | Hyperledger Besu |
| 6 | Tüm bileşenleri bir olay‑veriyolu (Kafka) üzerinden entegre edin | Apache Kafka |
| 7 | Procurize anket modülünde UI bağlamalarını etkinleştirin | React + GraphQL |

### 6.3 Yönetim Kontrol Listesi

- [ ] Tüm kanıt blob’ları **kriptografik hash** ile saklanır.
- [ ] Her politika değişikliği **pull‑request incelemesi** ve otomatik politika testi geçer.
- [ ] Erişim günlükleri **en az üç yıl** süreyle tutulur (çoğu düzenleme gereği).
- [ ] Politika‑kayması tespiti için **günlük** taramalar planlanır.

---

## 7. En İyi Uygulamalar & Kaçınılması Gereken Tuzaklar

### 7.1 Politikaları **insan‑okunur** tutun

Kurallar makine‑okunur olsa da, Rego dosyalarının yanına **markdown özetleri** ekleyerek teknik olmayan denetçilerin de incelemesini kolaylaştırın.

### 7.2 Kanıtları da sürüm kontrolüne tabi tutun

Yüksek değerli belgeleri (örn. penetrasyon testi raporları) **kod** gibi ele alın – sürümleyin, sürüm etiketleri ekleyin ve her sürümü belirli bir anket yanıtına bağlayın.

### 7.3 Aşırı otomasyondan kaçının

AI yanıt taslakları oluşturabilir, ancak **yüksek riskli maddeler** için insan onayı zorunludur. “İnsan‑dahil” aşamasını denetim‑hazır notasyonlarla donatın.

### 7.4 LLM halüsinasyonlarına karşı izleme

En gelişmiş modeller bile veri uydurabilir. Üretimi **retrieval‑augmented grounding** ile eşleştirin ve otomatik yayın öncesi bir **güven eşiği** zorunlu kılın.

---

## 8. Gelecek: Uyarlamalı Sıfır‑Güven Orkestrasyonu

Bir sonraki evrim, **sürekli öğrenme** ve **öngörücü düzenleme akışları** ile birleşecek:

- **Federated learning** birden fazla müşteriden ortaya çıkan yeni soru kalıplarını, ham kanıtları ifşa etmeden ortaya çıkarır.
- **Dijital düzenleme ikizleri** yaklaşan yasa değişikliklerini simüle eder, böylece orkestratör politikaları ve kanıt eşlemelerini önceden ayarlayabilir.
- **Zero‑knowledge proof (ZKP) entegrasyonu** sistemin, “şifreleme anahtarı 90 gün içinde döndürüldü” gibi uyumluluğu kanıtlamasını, gerçek günlükleri ortaya çıkarmadan mümkün kılar.

Bu yetenekler bir araya geldiğinde, kanıt yaşam döngüsü **kendini iyileştiren**, sürekli değişen uyumluluk ortamına hizalanan ve demir gibi bir güven garantisi sunan bir yapı haline gelir.

---

## 9. Sonuç

Bir **sıfır‑güven AI orkestratörü**, güvenlik anketi kanıtlarının yönetilme şeklini kökten değiştirir. Değiştirilemez politikalar, AI‑tabanlı yönlendirme ve gerçek‑zamanlı doğrulama üzerine kurulmuş yapı, manuel darboğazları ortadan kaldırır, denetim bulgularını büyük ölçüde azaltır ve ortaklara ve düzenleyicilere değiştirilemez bir güven izini sergiler. Düzenleyici baskı arttıkça, bu dinamik, politika‑öncelikli yaklaşımı benimsemek sadece rekabet avantajı değil, SaaS ekosisteminde sürdürülebilir büyümenin zorunlu bir koşuludur.

---

## <span class='highlight-content'>Ayrıca</span> Görülebilecekler

- [Bulut Güvenliği için Sıfır‑Güven Mimarisi – NIST SP 800‑207](https://csrc.nist.gov/publications/detail/sp/800-207/final)
- [OPA – Open Policy Agent Dokümantasyonu](https://www.openpolicyagent.org/docs/latest/)
- [Retrieval‑Augmented Generation: A Survey – arXiv](https://arxiv.org/abs/2312.02148)
- [Hyperledger Besu – Ethereum Enterprise Client](https://besu.hyperledger.org/)