Üretken AI ile Kendini İyileştiren Uyumluluk Bilgi Tabanı

Büyük kuruluşlara yazılım gönderen şirketler, sürekli bir güvenlik anketi, uyumluluk denetimi ve tedarikçi değerlendirme akışıyla karşı karşıyadır. Geleneksel yaklaşım—politikalardan manuel kopyala‑yapıştır, elektronik tablo takibi ve ad-hoc e‑posta zincirleri—üç kritik soruna yol açar:

Procurize’in yeni Kendini İyileştiren Uyumluluk Bilgi Tabanı (SH‑CKB), uyumluluk deposunu yaşayan bir organizmaya dönüştürerek bu sorunları çözer. Üretken AI, gerçek zamanlı doğrulama motoru ve dinamik bilgi grafiği sayesinde sistem, sapmaları otomatik algılar, kanıtları yeniden üretir ve güncellemeleri her anket üzerine yayar.

1. Temel Kavramlar

1.1 Kanıt Oluşturucu Olarak Üretken AI

Kuruluşunuzun politika belgeleri, denetim günlükleri ve teknik varlıkları üzerinde eğitilmiş büyük dil modelleri (LLM’ler), talep üzerine tam yanıtlar oluşturabilir. Model, aşağıdaki gibi yapılandırılmış bir istemle yönlendirilir:

• Kontrol referansı (örn. ISO 27001 A.12.4.1)
• Mevcut kanıt varlıkları (örn. Terraform durumu, CloudTrail günlükleri)
• İstenen ton (kısa, yönetim‑seviyesi)

Model, inceleme için hazır bir taslak yanıt üretir.

1.2 Gerçek Zamanlı Doğrulama Katmanı

Kural‑tabanlı ve ML‑destekli doğrulayıcılar sürekli olarak şunları kontrol eder:

• Varlık yeniliği – zaman damgaları, sürüm numaraları, hash kontrol değerleri.
• Regülasyon uyumu – yeni düzenleme sürümlerinin mevcut kontrollere haritalanması.
• Anlamsal tutarlılık – üretilen metin ile kaynak belgeler arasındaki benzerlik skoru.

Bir doğrulayıcı uyumsuzluk tespit ettiğinde, bilgi grafiği ilgili düğümü “eski” olarak işaretler ve yeniden üretimi tetikler.

1.3 Dinamik Bilgi Grafiği

Tüm politikalar, kontroller, kanıt dosyaları ve anket maddeleri düğümler hâlinde yönlendirilmiş bir grafiğe dönüşür. Kenarlar, “kanıtı”, “kaynağı” ya da “güncelleme gerektiğinde” gibi ilişkileri yakalar. Grafik şu yetenekleri sağlar:

• Etkileşim analizi – değişen bir politika hangi anket yanıtlarını etkiler, belirlenir.
• Sürüm geçmişi – her düğüm zaman damgası taşır, denetimler için izlenebilirlik sunar.
• Sorgu federasyonu – CI/CD boru hatları veya bilet sistemleri gibi alt sistemler, GraphQL üzerinden en güncel uyumluluk görünümünü alabilir.

2. Mimari Şema

Aşağıda, SH‑CKB veri akışını görselleştiren yüksek‑seviye bir Mermaid diyagramı yer alıyor.

  flowchart LR
    subgraph "Input Layer"
        A["Policy Repository"]
        B["Evidence Store"]
        C["Regulatory Feed"]
    end

    subgraph "Processing Core"
        D["Knowledge Graph Engine"]
        E["Generative AI Service"]
        F["Validation Engine"]
    end

    subgraph "Output Layer"
        G["Questionnaire Builder"]
        H["Audit Trail Export"]
        I["Dashboard & Alerts"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H

Düğümler çift tırnak içinde olduğu gibi kullanılmalıdır; kaçış gerekmez.

2.1 Veri Alımı

1. Policy Repository Git, Confluence veya politika‑as‑code depoları olabilir.
2. Evidence Store, CI/CD, SIEM veya bulut denetim günlüklerinden gelen varlıkları tüketir.
3. Regulatory Feed, NIST CSF, ISO ve GDPR izleme listeleri gibi sağlayıcılardan güncellemeler alır.

2.2 Bilgi Grafiği Motoru

• Varlık çıkarımı, belge AI kullanarak yapılandırılmamış PDF’leri düğümlere dönüştürür.
• Bağlantı algoritmaları (anlamsal benzerlik + kural‑tabanlı filtre) ilişkileri oluşturur.
• Sürüm damgaları düğüm öznitelikleri olarak saklanır.

2.3 Üretken AI Servisi

• Güvenli bir enclave içinde çalışır (ör. Azure Confidential Compute).
• Retrieval‑Augmented Generation (RAG) kullanır: grafik bağlamı sunar, LLM yanıtı üretir.
• Çıktı, kaynak düğümlere geri bağlanan atıf kimlikleri içerir.

2.4 Doğrulama Motoru

• Kural motoru, zaman damgası tazeliğini (now - artifact.timestamp < TTL) kontrol eder.
• ML sınıflandırıcı, anlamsal sapmayı (gömme mesafesi > eşik) işaretler.
• Geri besleme döngüsü: geçersiz yanıtlar, LLM için takviye öğrenme güncelleyicisine beslenir.

2.5 Çıktı Katmanı

• Questionnaire Builder, yanıtları tedarikçi‑özel formatlarda (PDF, JSON, Google Forms) oluşturur.
• Audit Trail Export, denetim denetçileri için değişmez bir defter (ör. zincir‑üstü hash) üretir.
• Dashboard & Alerts, sağlık metriklerini gösterir: % eski düğüm, yeniden üretim gecikmesi, risk skorları.

3. Kendini İyileştiren Döngü Uygulamada

Adım‑Adım Açıklama

Bu döngü otomatik olarak tekrarlanır ve uyumluluk deposunu kendini onaran bir sistem hâline getirir; böylece eski kanıtların denetimlerde ortaya çıkması önlenir.

4. Güvenlik ve Hukuk Takımları İçin Faydaları

1. Azaltılmış Yanıt Süresi – Ortalama yanıt üretimi günlerden dakikalara düşer.
2. Yüksek Doğruluk – Gerçek zamanlı doğrulama, insan hatasını ortadan kaldırır.
3. Denetim‑Hazır Kayıt – Her yeniden üretim olayı, kriptografik hash’lerle kaydedilir; SOC 2 ve ISO 27001 kanıt gereksinimlerini karşılar.
4. Ölçeklenebilir İş Birliği – Birden çok ürün takımı, birbirini ezmeden kanıt ekleyebilir; grafik çakışmaları otomatik çözer.
5. Gelecek‑Hazırlıklı – Sürekli regülasyon beslemesi, bilgi tabanını yeni standartlarla (ör. EU AI Act Compliance, gizlilik‑by‑design zorunlulukları) uyumlu tutar.

5. Kurumsal Uygulama Yol Haritası

5.1 Önkoşullar

5.2 Aşamalı Yayılma

5.3 Başarı Metrikleri

• Ortalama Yanıt Süresi (MTTA) – hedef < 5 dakika.
• Eski Düğüm Oranı – gecelik çalışmadan sonra < %2.
• Regülasyon Kapsamı – aktif çerçevelerin %95’inin güncel kanıta sahip olması.
• Denetim Bulguları – kanıt‑ile ilgili bulgu sayısında ≥ %80 azalma.

6. Gerçek Dünya Vaka Çalışması (Procurize Beta)

Şirket: Bankacılık hizmeti sunan bir FinTech SaaS
Zorluk: Çeyrekte 150+ güvenlik anketi, eski politika referansları nedeniyle %30 SLA kaçırması.
Çözüm: SH‑CKB, Azure Confidential Compute üzerinde dağıtıldı; Terraform durum deposu ve Azure Policy ile entegre edildi.
Sonuç:

• MTTA 3 gün → 4 dakika seviyesine düştü.
• Eski kanıt %12 → %0.5’e geriledi (ilk ay).
• SOC 2 denetiminde kanıt‑ile ilgili hiçbir bulgu rapor edilmedi.

Bu vaka, kendini iyileştiren bilgi tabanının sadece bir gelecekteki konsept değil, bugünün rekabet avantajı olduğunu gösteriyor.

7. Riskler ve Azaltma Stratejileri

8. Gelecek Yönelimleri

1. Kurumsallar Arası Federatif Öğrenme – Şirketler, öz‑veri paylaşmadan sürüklenme kalıplarını anonimleştirerek doğrulama modellerini iyileştirebilir.
2. Açıklanabilir AI (XAI) Açıklamaları – Her oluşturulan cümleye güven puanı ve mantık açıklaması eklenerek denetçilerin karar süreci şeffaflaştırılır.
3. Sıfır‑Bilgi Kanıt Entegrasyonu – Yanıtın doğruluğu, kanıtın kendisini ifşa etmeden kanıtlamak için kriptografik kanıtlarla desteklenir.
4. ChatOps Entegrasyonu – Güvenlik takımları, Slack/Teams üzerinden bilgi tabanını doğrudan sorgulayarak anında, doğrulanmış yanıt alabilir.

9. Başlamanın İlk Adımları

1. Referans uygulamayı klonlayın – git clone https://github.com/procurize/sh-ckb-demo.
2. Politika deponuzu yapılandırın – .policy klasörüne YAML veya Markdown dosyaları ekleyin.
3. Azure OpenAI kurulumunu yapın – confidential compute bayrağı etkin bir kaynak oluşturun.
4. Neo4j’i dağıtın – depodaki Docker‑compose dosyasını kullanın.
5. Alım boru hattını çalıştırın – ./ingest.sh.
6. Doğrulama zamanlayıcısını başlatın – crontab -e → 0 * * * * /usr/local/bin/validate.sh.
7. Panoyu açın – http://localhost:8080 adresinde kendini iyileştiren süreci izleyin.

İlgili Bağlantılar

• ISO 27001:2022 Standardı – Genel Bakış ve Güncellemeler (https://www.iso.org/standard/75281.html)
• Bilgi Grafiği Akıl Yürütme İçin Grafik Sinir Ağları (2023) (https://arxiv.org/abs/2302.12345)