Sıfır Güven Federatif Bilgi Grafiği ile Çok Kiracılı Anket Otomasyonu

Giriş

Güvenlik ve uyum anketleri, SaaS satıcıları için sürekli bir darboğazdır. Her satıcı, birden fazla çerçeveyi kapsayan (örneğin SOC 2, ISO 27001, GDPR ve sektöre özgü standartlar) yüzlerce soruya yanıt vermek zorundadır. Kanıt bulma, geçerliliğini doğrulama ve her müşteri için yanıtları özelleştirme amacıyla harcanan manuel çaba hızla maliyet merkezi haline gelir.

Federatif bir bilgi grafiği (FKG)—kanıt, politika ve kontrollerin dağıtık, şema‑zengin temsili—bu darboğazı aşmanın bir yolunu sunar. Sıfır‑güven güvenliği ile birleştirildiğinde, FKG başka bir kiracının verilerini hiç ortaya çıkarmadan birçok kiracıyı (farklı iş birimleri, bağlı şirketler ya da ortak organizasyonlar) güvenli bir şekilde hizmet edebilir. Sonuç, şu özelliklere sahip bir çok‑kiracılı, AI‑destekli anket otomasyon motoru olur:

• Kanıtları farklı depolardan (Git, bulut depolama, CMDB’ler) toplar.
• Erişim politikalarını düğüm ve kenar seviyesinde (sıfır‑güven) zorunlu kılar.
• RAG (Retrieval‑Augmented Generation) kullanarak AI‑üretimli yanıtları orkestre eder, sadece kiracının izin verilen bilgiden faydalanır.
• Değişmez bir defter aracılığıyla kökeni ve denetlenebilirliği izler.

Bu makalede, bu sistemi Procurize AI platformu üzerinde nasıl inşa edebileceğinizi, mimariyi, veri akışını ve uygulama adımlarını derinlemesine inceleyeceğiz.

1. Temel Kavramlar

2. Mimari Genel Bakış

Aşağıda, ana bileşenleri ve etkileşimlerini gösteren yüksek seviyeli bir Mermaid diyagramı bulunuyor.

  graph LR
    subgraph Tenant A
        A1[Policy Store] --> A2[Evidence Nodes]
        A2 --> A3[Access Control Engine<br>(Zero Trust)]
    end
    subgraph Tenant B
        B1[Policy Store] --> B2[Evidence Nodes]
        B2 --> B3[Access Control Engine<br>(Zero Trust)]
    end
    subgraph Federated Layer
        A3 <--> FK[Federated Knowledge Graph] <--> B3
        FK --> RAG[Retrieval‑Augmented Generation]
        RAG --> AI[LLM Engine]
        AI --> Resp[Answer Generation Service]
    end
    subgraph Audit Trail
        FK --> Ledger[Immutable Ledger]
        Resp --> Ledger
    end
    User[Questionnaire Request] -->|Auth Token| RAG
    Resp -->|Answer| User

Diyagramdan çıkan temel noktalar

1. Kiracı izolasyonu – Her kiracı, kendi Politika Deposunu ve Kanıt Düğümlerini çalıştırır; ancak Erişim Kontrol Motoru, çapraz‑kiracı istekleri yönetir.
2. Federatif Grafik – FK düğümü şema meta verilerini toplar, ham kanıtları şifreli ve silo halinde tutar.
3. Sıfır‑Güven Kontrolleri – Her erişim isteği, rol, cihaz durumu ve istek amacını değerlendiren Erişim Kontrol Motorundan geçer.
4. AI Entegrasyonu – RAG, kiracının yetkili olduğu sadece kanıt düğümlerini çeker, ardından bir LLM’e yanıt sentezi için verir.
5. Denetlenebilirlik – Tüm veri çekme ve üretilen yanıtlar, uyum denetçileri için değişmez bir deftere kaydedilir.

3. Veri Modeli

3.1 Evrensel Şema

Tüm varlıklar özellik grafikleri (Neo4j, JanusGraph vb.) olarak saklanır ve GraphQL‑uyumlu bir API aracılığıyla sunulur.

3.2 Sıfır‑Güven Politika Dili

İnce taneli kuralları ifade eden hafif bir DSL:

allow(user.email =~ "*@tenantA.com")
  where action == "read"
    and entity.type == "Evidence"
    and entity.tenant_id == "tenantA"
    and device.trust_score > 0.8;

Bu kurallar, Erişim Kontrol Motoru tarafından gerçek‑zaman politikalarına derlenir.

4. İş Akışı: Sorudan Yanıta

1. Soru Alımı – Bir güvenlik denetçisi anketi (PDF, CSV ya da API JSON) yükler. Procurize, bunu tek tek sorulara ayırır ve her birini bir ya da daha çok çerçeve kontrolüyle eşleştirir.

2. Kontrol‑Kanıt Eşlemesi – Sistem, hedef kontrolü ile aynı kiracıya ait kanıt düğümlerine bağlayan kenarları FKG üzerinden sorgular.

3. Sıfır‑Güven Yetkilendirmesi – Her kanıtın çekilmesinden önce, Erişim Kontrol Motoru, kullanıcı, cihaz, konum ve zaman gibi bağlamı doğrular.

4. Kanıt Çekimi – Yetkilendirilmiş kanıt, RAG modülüne akıtılır. RAG, hibrit TF‑IDF + gömme (embedding) benzerliği modelini kullanarak kanıtı alaka düzeyine göre sıralar.

5. LLM Üretimi – LLM, soruyu, çekilen kanıtları ve yalnızca sağlanan kanıtları kullanmasını zorunlu kılan bir prompt şablonunu alır. Örnek prompt:

   You are a compliance specialist for {tenant_name}. Answer the following security questionnaire item using ONLY the supplied evidence. Do not fabricate details.
   Question: {question_text}
   Evidence: {evidence_snippet}
   

   Türkçe çevirisi

   Siz {tenant_name} için bir uyumluluk uzmanısınız. Aşağıdaki güvenlik anket sorusunu SADECE sağlanan kanıtları kullanarak yanıtlayın. Detay uydurmayın.
   Soru: {question_text}
   Kanıt: {evidence_snippet}
   

6. Yanıt Gözden Geçirme & İş Birliği – Oluşturulan yanıt, Procurize’ın gerçek‑zaman iş birliği arayüzünde uzmanların yorum yapıp, düzenleyip onaylayabileceği bir alanda gösterilir.

7. Denetim Günlüğü – Her veri çekme, üretim ve düzenleme olayı, orijinal kanıt sürümüne bağlayan kriptografik bir özetle Değişmez Deftere eklenir.

5. Güvenlik Garantileri

6. Procurize Üzerinde Uygulama Adımları

1. Kiracı Grafik Düğümlerini Kur

   • Her kiracı için ayrı bir Neo4j örneği dağıt (veya satır‑düzeyi güvenlikli çok‑kiracılı bir veri tabanı kullan).
   • Mevcut politika belgelerini ve kanıtları Procurize’ın içe aktarma boru hatlarıyla yükle.

2. Sıfır‑Güven Kurallarını Tanımla

   • Procurize politika editörünü kullanarak DSL kurallarını oluştur.
   • Cihaz durumu entegrasyonunu (MDM, uç nokta tespiti) etkinleştirerek dinamik risk puanlaması ekle.

3. Federatif Senkronizasyonu Yapılandır

   • procurize-fkg-sync mikro hizmetini kur.
   • Şemayı ortak bir şema kayıt defterine yayınlarken, verileri şifreli ve izole tut.

4. RAG Boru Hattını Entegre Et

   • procurize-rag konteynerini dağıt (vektör deposu, Elasticsearch ve ince ayarlı bir LLM içerir).
   • RAG uç noktasını FKG GraphQL API’sine bağla.

5. Değişmez Defteri Aktive Et

   • procurize-ledger modülünü (Hyperledger Fabric veya hafif ekleme‑sadece log) etkinleştir.
   • Uyum gereksinimlerine göre saklama politikalarını ayarla (örn. 7‑yıllık denetim izi).

6. İş Birliği UI’sını Aç

   • Gerçek‑zaman İş Birliği özelliğini aç.
   • Rol‑bazlı görüntüleme izinlerini tanımla (İnceleyen, Onaylayan, Denetçi).

7. Pilot Çalıştır

   • Yüksek hacimli bir anket (ör. SOC 2 Type II) seç ve şu ölçütleri izle:
     • Yanıt süresi: manuel vs. AI‑destekli.
     • Doğruluk: denetçi onayının geçtiği yanıt yüzdesi.
     • Uyum maliyeti: tasarruf edilen FTE saatleri.

7. Fayda Özeti

8. Gelecek Geliştirmeler

1. Federatif Öğrenme ile LLM İnce Ayarı – Her kiracı, ham veriyi ifşa etmeden anonimleştirilmiş gradyan güncellemeleriyle alan‑özel LLM’yi iyileştirebilir.
2. Kod‑olarak‑Politika Üretimi – Aynı sıfır‑güven kurallarını bulut altyapısında (Terraform, Pulumi) zorunlu kılan otomatik politikalar oluşturulabilir.
3. Açıklanabilir AI Katmanları – Kanıt → prompt → yanıt yolunu doğrudan UI’da Mermaid sekans diyagramlarıyla görselleştir.
4. Zero‑Knowledge Proof (ZKP) Entegrasyonu – Denetçilere, belirli bir kontrolün sağlandığını kanıt sunmadan ispatlayabilen ZKP’ler eklenebilir.

9. Sonuç

Sıfır‑Güven Federatif Bilgi Grafiği, güvenlik anket yönetiminin sıkıcı ve silo‑tabanlı dünyasını, güvenli, iş birliğine dayalı ve AI‑güçlendirilmiş bir iş akışına dönüştürür. Kiracı‑izole grafiği, ince taneli erişim politikaları, Retrieval‑Augmented Generation ve değişmez bir denetim defteri birleştirilerek, organizasyonlar soruları daha hızlı, daha doğru ve tam uyum içinde yanıtlayabilir.

Bu mimariyi Procurize AI platformu üzerinde hayata geçirmek, mevcut veri alma boru hatlarından, iş birliği araçlarına ve güvenlik primitiflerine kadar tüm bileşenleri bir araya getirir—ekiplerin tekrar veri toplama yerine stratejik risk yönetimine odaklanmasını sağlar.

Uyumluluğun geleceği federatif, güvenilir ve zekidir. Bugün bu yaklaşımı benimseyerek denetçiler, ortaklar ve regülatörler karşısında bir adım önde olun.

Ayrıca Bakınız

• Zero Trust Architecture – NIST SP 800‑207
• Federated Learning: Collaborative Machine Learning without Centralized Data
• Retrieval‑Augmented Generation for Knowledge‑Intensive NLP Tasks (Paper)