Merkezi Kimlik Tabanlı Otomatik Güvenlik Anketleri İçin Güvenli Kanıt Değişimi

SaaS‑ilk satın alma döneminde, güvenlik anketleri her sözleşmenin birincil kapısı haline gelmiştir. Şirketler aynı kanıtları—SOC 2 raporları, ISO 27001 sertifikaları, penetrasyon testi sonuçları—tekrarlayarak sunmak zorundadır ve bu verilerin gizli, müdahale‑kanıtlı ve denetlenebilir kalmasını sağlamalıdır.

 
Merkezi Tanımlayıcılar (DID) ve Doğrulanabilir Kimlik Bilgileri (VC) devreye giriyor.
Bu W3C standartları, herhangi bir tek otoritenin dışındaki kimliklerin kriptografik sahipliğini mümkün kılar. AI‑destekli platformlar (ör. Procurize) ile birleştirildiğinde, DID’ler kanıt değişim sürecini güven‑ankrajlı, otomatik bir iş akışı hâline getirir ve onlarca tedarikçi ve birden çok düzenleyici çerçeve üzerinde ölçeklenir.

Aşağıda ele alacağız:

1. Geleneksel kanıt değişiminin neden kırılgan olduğu.
2. DID ve VC temel prensipleri.
3. DID‑tabanlı değişimi Procurize’e bağlayan adım‑adım mimari.
4. Üç Fortune 500 SaaS sağlayıcısı ile gerçekleştirilen pilotun ölçülen gerçek dünya faydaları.
5. En iyi uygulamalar ve güvenlik hususları.

1. Geleneksel Kanıt Paylaşımının Sorunları

Bu zorluklar, anketler gerçek zamanlı olduğunda artar: bir tedarikçinin güvenlik ekibi saatler içinde yanıt beklerken, kanıtın toplanması, incelenmesi ve güvenli bir şekilde iletilmesi gerekir.

2. Temeller: Merkezi Tanımlayıcılar & Doğrulanabilir Kimlik Bilgileri

2.1 DID Nedir?

DID, DID Belgesi’ne çözümlenen küresel olarak benzersiz bir tanımlayıcıdır; bu belge şunları içerir:

• Kimlik doğrulama ve şifreleme için ortak anahtarlar.
• Kanıt değişimi için güvenli bir API gibi hizmet uç noktaları.
• Kimlik doğrulama yöntemleri (ör. DID‑Auth, X.509 bağlama).

{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}

Hiçbir merkezi kayıt kimliği kontrol etmez; sahip, DID belgesini bir defterde (herkesin görebileceği blokzincir, izinli DLT ya da merkeziyetsiz depolama ağı) yayınlar ve döndürür.

2‑2 Doğrulanabilir Kimlik Bilgileri (VC)

VC, bir veren tarafından bir konu hakkında verilen müdahale‑kanıtlı ifadelerdir. Bir VC şunları kapsayabilir:

• Bir kanıt nesnesinin (ör. bir SOC 2 PDF) hash’i.
• Geçerlilik süresi, kapsam ve uygulanabilir standartlar.
• İlgili konunun belirli kontrol setini karşıladığını gösteren veren‑imzalı beyanlar.

{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}

Sahip (tedarikçi) VC’yi saklar ve doğrulayıcı (anket yanıtlayan) ile, açıkça yetkilendirilmedikçe, altta yatan belgeyi ifşa etmeden sunar.

3. Mimari: DID‑Tabanlı Değişimi Procurize’e Entegre Etmek

Aşağıda, bir DID‑etkin kanıt değişiminin Procurize AI anket motoru ile nasıl çalıştığını gösteren yüksek seviyeli bir akış diyagramı yer alıyor.

  flowchart TD
    A["Tedarikçi Anket Talebini Başlatır"] --> B["Procurize AI Taslak Yanıtı Oluşturur"]
    B --> C["AI Gerekli Kanıtı Tespit Eder"]
    C --> D["Tedarikçi DID Kasasında VC’yi Arar"]
    D --> E["VC İmzası ve Kanıt Hash’i Doğrulanır"]
    E --> F["Geçerliyse, DID Servis Uç Noktasından Şifreli Kanıt Çekilir"]
    F --> G["Tedarikçi Sağladığı Oturum Anahtarıyla Çözülür"]
    G --> H["Kanıt Referansı Yanıta Eklenir"]
    H --> I["AI, Kanıt Bağlamıyla Metni Geliştirir"]
    I --> J["Tamamlanmış Yanıt Talep Sahibine Gönderilir"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px

3.1 Ana Bileşenler

3.2 Entegrasyon Adımları

1. Tedarikçi DID’i Kaydet – Tedarikçi kaydı sırasında, tedarikçiye özgü bir DID oluşturulup DID Kasası’na kaydedilir.
2. VC’leri Yayınla – Uyumluluk sorumluları kanıt (SOC 2 raporu) yükler; sistem SHA‑256 hash’i oluşturur, bir VC üretir, verenin özel anahtarıyla imzalar ve şifreli kanıtla birlikte saklar.
3. Procurize’i Yapılandır – Tedarikçiye ait DID, AI motorunun “evidence‑catalog” konfigürasyonuna güvenilir kaynak olarak eklenir.
4. Anket Çalıştır – “SOC 2 Type II kanıtı” istendiğinde Procurize AI:
   • Tedarikçinin DID Kasası’nda eşleşen bir VC arar.
   • VC’yi kriptografik olarak doğrular.
   • Servis uç noktasından şifreli kanıtı çeker.
   • DID‑kimlik doğrulama akışıyla değiş tokuş edilen geçici oturum anahtarıyla çözer.
5. Denetlenebilir Kanıt Sun – Tamamlanmış yanıt, VC kimliği ve kanıt hash’i referansını içerir; denetçiler bu referansla belgeyi yeniden doğrulayabilir, ham belgeyi görmeye gerek kalmaz.

4. Pilot Sonuçları: Ölçülebilir Kazanımlar

Üç aylık bir pilot, AcmeCloud, Nimbus SaaS ve OrbitTech ile yürütüldü—tümü Procurize platformunu yoğun şekilde kullanan firmalar. Kayıtlı metrikler:

Kalitatif geri bildirim, güven duygusunun artması yönündeydi; talep edenler, her kanıtın hak edilen kaynağından geldiğini ve değişmediğini kriptografik olarak doğrulayabildikleri için daha emin hissettiler.

5. Güvenlik & Gizlilik Katılaştırma Kontrol Listesi

1. Gizli Alanlar İçin Sıfır Bilgi Kanıtları – Özellik kanıtı (ör. “rapor 10 MB’dan küçüktür”) verirken gerçek hash’i ifşa etmeyen ZK‑SNARK’lar kullanın.
2. İptal Listeleri – DID‑tabanlı iptal kayıtları yayınlayın; bir kanıt güncellendiğinde eski VC anında geçersiz kılınsın.
3. Seçici Açıklama – BBS+ imzalarıyla sadece gerekli VC öznitelikleri doğrulayıcıya gösterilsin.
4. Anahtar Döndürme Politikaları – DID doğrulama yöntemleri için 90‑günlük döndürme zorunluluğu uygulayın.
5. GDPR‑uyumlu İzin Kayıtları – İzin makbuzlarını VC olarak saklayın; veri konusu DID’i, paylaşılan kanıtla bağlayın.

6. Gelecek Yol Haritası

Merkezi kimlik ve üretken AI birleşimi, güvenlik anketlerinin tarihsel olarak tıkanıklık yaratan sürecini sorunsuz, güvenli bir işlem hâline getirecek.

7. Hızlı Başlangıç Kılavuzu

# 1. DID aracını (Node.js örneği) kurun
npm i -g @identity/did-cli

# 2. Kuruluşunuz için yeni bir DID oluşturun
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. DID Belgesini bir çözümleyiciye yayınlayın (ör. Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. SOC2 raporu için bir VC yayınlayın
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Şifreli kanıt ve VC’yi DID Kasasına yükleyin (örnek API)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"

Bu adımları tamamladıktan sonra Procurize AI’yı yeni DID’ye güvenecek şekilde yapılandırın; SOC 2 kanıtı isteyen bir sonraki anket otomatik, doğrulanabilir bir kanıt referansı ile yanıtlanacaktır.

8. Sonuç

Merkezi Tanımlayıcılar ve Doğrulanabilir Kimlik Bilgileri, kriptografik güven, gizlilik‑ilkeliği ve denetlenebilirlik getirerek güvenlik anketleri kanıt paylaşımını manuel, riskli bir işlemden saniyeler içinde gerçekleşen bir işlem hâline dönüştürür. Bu mimari, AI‑destekli Procurize gibi platformlarla birleştirildiğinde, çok sayıda tedarikçi, çeşitli düzenleyici çerçeve ve artan güvenlik taleplerine karşı ölçeklenebilir, otomatik ve güvenli bir çözüm sunar.

Bu mimariyi bugün benimseyen organizasyonlar, daha sıkı düzenlemeler, büyüyen tedarikçi ekosistemleri ve AI‑gelişmiş güvenlik değerlendirmelerinin getireceği zorluklara karşı uyumlu bir altyapı kurmuş olurlar.