
# Инженер за подсказки, базиран на онтология, за хармонизиране на въпросници за сигурност

> **TL;DR** – Онтология‑центриран двигател за подсказки създава семантичен мост между конфликтни рамки за съответствие, позволявайки на генеративния ИИ да предоставя еднородни, проверяеми отговори на всеки въпросник за сигурност, като съхранява контекстуалната релевантност и регулаторната точност.

---

## 1. Защо е необходим нов подход

Въпросниците за сигурност остават сериозно задръстване за SaaS доставчиците. Дори и с инструменти като Procurize, които централизират документи и автоматизират работни потоци, *семантичната разлика* между различните стандарти все още принуждава екипите по сигурност, правни екипи и инженери да пренаписват същите доказателства многократно:

| Рамка | Типичен въпрос | Примерен отговор |
|-------|----------------|-------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Опишете криптирането на данните във вашето съхранение.* | “Всички клиентски данни са криптирани с AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Как защитавате съхранената информация?* | “Ние прилагаме криптиране с AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *Обяснете техническите мерки за защита на личните данни.* | “Данните се криптират с AES‑256 и се въртят на тримесечна база.” |

Въпреки че основният контрол е идентичен, формулировката, обхватът и очакванията за доказателства се различават. Съществуващите AI конвейери решават това чрез **тъмпинг на подсказки за всяка рамка**, което бързо става непрактично, докато броят на стандартите се увеличава.

**Онтология‑базираният двигател за подсказки** решава проблема в основата: създава **единствено, формално представяне** на понятията за съответствие, след което **картира** езика на всеки въпросник към този споделен модел. AI трябва да разбира само една “канонична” подсказка, докато онтологията се грижи за тежката работа по превод, версииране и обосновка.

---

## 2. Основни компоненти на архитектурата

```mermaid
graph TD
    A["Хранилище на регулаторна онтология"] --> B["Картографи на рамки"]
    B --> C["Генератор на канонична подсказка"]
    C --> D["LLM Инферентен енджин"]
    D --> E["Рендерер на отговори"]
    E --> F["Регистратор на одитен път"]
    G["Хранилище за доказателства"] --> C
    H["Услуга за откриване на промени"] --> A
```

1. **Хранилище на регулаторна онтология** – граф на знания, който улавя концепции (например *криптиране*, *контрол за достъп*), отношения (*изисква*, *наследява*) и юрисдикционни атрибути.  
2. **Картографи на рамки** – леки адаптери, които анализират входящите елементи от въпросници, идентифицират съответстващите онтологични възли и присвояват ниво на увереност.  
3. **Генератор на канонична подсказка** – конструира една единствена, богата на контекст подсказка за LLM, използвайки нормализираните дефиниции от онтологията и свързаните доказателства.  
4. **LLM Инферентен енджин** – който и да е генеративен модел (GPT‑4o, Claude 3 и др.), който произвежда естествен езиков отговор.  
5. **Рендерер на отговори** – форматира суровия изход от LLM в изискваната структура на въпросника (PDF, markdown, JSON).  
6. **Регистратор на одитен път** – съхранява решенията за картографиране, версията на подсказката и отговора от LLM за проверка на съответствието и бъдещо обучение.  
7. **Хранилище за доказателства** – съхранява политики, одиторски доклади и линкове към артефакти, използвани в отговорите.  
8. **Услуга за откриване на промени** – следи актуализации в стандартите или вътрешните политики и автоматично разпространява промените през онтологията.

---

## 3. Създаване на онтологията

### 3.1 Данни източници

| Източник | Примерни субекти | Метод за извличане |
|----------|-------------------|--------------------|
| **ISO 27001 Приложение A** | “Криптографски контрол”, “Физическа сигурност” | Правилно‑базиран синтактичен анализ на клаузите от ISO |
| **SOC 2 Критерии за доверителни услуги** | “Наличност”, “Конфиденциалност” | NLP класификация върху документацията на SOC |
| **GDPR Претенции и статии** | “Минимизация на данните”, “Право на изтриване” | Извличане на съотношения чрез spaCy + персонални шаблони |
| **Вътрешно хранилище за политики** | “Корпоративна политика за криптиране” | Директен импорт от YAML/Markdown файлове с политики |

Всеки източник допринася за *възли* (`C`) и *релационни ребра* (`R`). Например, **“AES‑256”** е *техника* (`C`) която *прилага* контролата “Криптиране на данни в покой” (`C`). Връзките са анотирани с произход (източник, версия) и увереност.

### 3.2 Правила за нормализация

| Суров термин | Нормализирана форма |
|--------------|----------------------|
| Encryption at Rest | `encryption_at_rest` |
| Data Encryption | `encryption_at_rest` |
| AES‑256 Encryption | `aes_256` (подвид на `encryption_algorithm`) |

Нормализацията се извършва чрез **речник‑задвижван фъзи съвпадач** който се обучава от одобрени от човека съпоставки.

### 3.3 Стратегия за версииране

Стандартите за съответствие се развиват; онтологията използва **семантично версииране** (`MAJOR.MINOR.PATCH`). При появата на нова клауза се прави *минор* актуализация, което задейства преоценка на засегнатите подсказки. Регистраторът на одитен път запазва точно използваната версия на онтологията за всеки отговор, осигурявайки проследимост.

---

## 4. Генериране на подсказки на практика

### 4.1 От въпросник към онтологичен възел

Когато доставчик получи въпрос като:

> *„Криптирате ли бекъпите, съхранявани извън площадството?“*

**Картографът на рамки** изпълнява търсене по сходство срещу онтологията и връща възела `encryption_at_rest` със увереност 0.96. Освен това извлича уточнения като “бекъпи”, “извън площадството” като *атрибут* етикети.

### 4.2 Шаблон за канонична подсказка

```text
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Български вариант:

```text
Вие сте експерт по съответствие. Отговорете на следния въпрос, използвайки документираните политики на компанията.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Дайте кратък отговор (не повече от 150 думи) и добавете списък с точки, съдържащи подкрепящи артефакти.
```

Това позволява на LLM‑а да получи **единакъв контекст**, премахвайки вариациите, причинени от различните формулировки.

### 4.3 Примерен изход от LLM

> **Отговор:** Да, всички бекъпи, съхранявани извън площадството, са криптирани с AES‑256, като за всеки набор от бекъпи се използва уникален ключ. Ключовете се управляват в нашия HSM‑защитен съхранилник и се въртят тримесечно.  
> **Подкрепящи артефакти:**  
> - *Политика за криптиране на бекъпи* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *Лог за въртене на ключове в HSM* – `https://repo.company.com/audit/hsm-rotation.json`

**Рендерерът на отговори** след това форматира този текст в конкретния формат на въпросника (например таблица за ISO, свободно поле за SOC 2).

---

## 5. Предимства пред традиционния тъмпинг на подсказки

| Метрика | Традиционно тъмпинг на подсказки | Онтология‑базиран двигател |
|---------|-----------------------------------|------------------------------|
| **Мащабируемост** | Един подсказка за всяка рамка → линейно разрастване | Един каноничен подсказка → константен растеж |
| **Последователност** | Различно формулиране в различни рамки | Униформен отговор, генериран от един източник |
| **Одитоспособност** | Ръчно следене на версии на подсказките | Автоматично проследяване на версия на онтологията + одитен журнал |
| **Адаптивност** | Препрограмиране при всяка актуализация на стандарта | Откриване на промени автоматично чрез онтология |
| **Натоварване по поддръжка** | Високо – десетки файлове с подсказки | Нискo – един слой за картографиране и граф на знания |

В реални тестове в Procurize, онтология‑двигателят намали **средното време за генериране на отговор** от 7 секунди (тъмпинг) до 2 секунди, като същевременно **подобри сходството между рамките** (повишение с 18 % по BLEU скор).

---

## 6. Съвети за внедряване

1. **Започнете със скромно** – попълнете онтологията с най‑често срещаните контроли (криптиране, контрол за достъп, логване) преди да разширите.  
2. **Използвайте готови графи** – проекти като **Schema.org**, **OpenControl** и **CAPEC** предлагат предварително изградени речници, които могат да се разширят.  
3. **Изберете графова база** – Neo4j или Amazon Neptune се справят добре със сложни преживявания и версииране.  
4. **Интегрирайте CI/CD** – третирайте промените в онтологията като код; изпълнявайте автоматизирани тестове, проверяващи точността на съвпаденията върху пробен набор от въпросници.  
5. **Човешка проверка** – осигурете UI, където анализатори по сигурност одобряват или коригират съвпаденията, като така захранват фъзи съвпадача.

---

## 7. Бъдещи разширения

- **Синхронизация на федеративна онтология** – компании могат да споделят анонимизирани части от онтологиите си, създавайки обща база за съответствие.  
- **Обясним слой за ИИ** – прикачете графи на обосновка към всеки отговор, визуализирайки как конкретните онтологични възли са допринесли за генерирания текст.  
- **Интеграция със Zero‑Knowledge доказателства** – за силно регулирани индустрии вграждайте zk‑SNARK доказателства, които потвърждават коректността на картографирането, без да разкриват чувствителни политики.

---

## 8. Заключение

Онтология‑базиран двигател за подсказки представлява парадигмен преход в автоматизацията на въпросници за сигурност. Като унифицира различните стандарти под един, версииран граф на знания, организациите могат да:

- **Елиминират излишната ръчна работа** между рамки.  
- **Гарантират последователност** и проверяемост на отговорите.  
- **Адаптират се бързо** към регулаторни промени с минимални усилия от инженерния екип.  

В комбинация с колаборативната платформа на Procurize, този подход позволява на екипите по сигурност, правни и продуктовите отдели да реагират на оценки от доставчици за минути, вместо за дни, превръщайки съответствието от разходен център в конкурентно предимство.

---

## <span class='highlight-content'>Вижте</span> Also

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Отворен код за политики‑като‑код и дефиниции за съответствие.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Структурирана таксономия на техники за атака, полезна при изграждане на онтологии за сигурност.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Последната версия на стандарта за управление на информационната сигурност.