
# Adaptivní kontextualizace rizika pro dotazníky dodavatelů s informacemi o hrozbách v reálném čase

Ve světě SaaS, kde se tempo neustále zrychluje, je každý požadavek dodavatele na bezpečnostní dotazník potenciální překážkou v uzavření obchodu. Tradiční compliance týmy stráví **hodiny** – někdy **dny** – manuálním hledáním správných úryvků politik, kontrolou nejnovějších auditních zpráv a křížovým ověřováním posledních bezpečnostních upozornění. Výsledkem je pomalý, chybový proces, který brzdí prodejní rychlost a vystavuje společnosti riziku únavy v oblasti compliance.

Vstupuje **Adaptivní kontextualizace rizika** (ARC), rámec řízený generativní AI, který **vkládá informace o hrozbách v reálném čase (TI) do pipeline generování odpovědí**. ARC ne jen tahá statický text politik; **vyhodnocuje aktuální rizikové prostředí**, upravuje formulaci odpovědí a připojuje aktuální důkazy – vše bez toho, aby člověk napsal jediný řádek.

V tomto článku se podíváme na:

* Vysvětlení základních konceptů ARC a proč tradiční AI‑only nástroje na dotazníky selhávají.
* Projdeme end‑to‑end architekturu se zaměřením na integrační body s hrozbovými kanály, znalostními grafy a LLM.
* Ukážeme praktické vzory implementace, včetně **Mermaid diagramu** datového toku.
* Probereme bezpečnostní, auditovatelnostní a compliance dopady.
* Poskytneme konkrétní kroky pro týmy připravené nasadit ARC ve svém stávajícím compliance hubu (např. Procurize).

---

## 1. Proč konvenční AI odpovědi míjí cíl

Většina AI‑poháněných platforem pro dotazníky spoléhá na **statickou znalostní bázi** – sbírku politik, auditních zpráv a předpřipravených šablon odpovědí. Zatímco generativní modely dokáží parafrázovat a spojovat tato aktiva, postrádají **situational awareness**. Dva časté způsoby selhání jsou:

| Režim selhání | Příklad |
|--------------|---------|
| **Zastaralé důkazy** | Platforma cituje zprávu o **SOC 2** od poskytovatele cloudu z roku 2022, přestože byl v dodatku 2023 odebrán kritický kontrolní prvek. |
| **Slepota kontextu** | Dotazník klienta se ptá na ochranu proti „malwaru, který využívá CVE‑2025‑1234.“ Odpověď odkazuje na obecnou anti‑malware politiku, ale ignoruje nově zveřejněné CVE. |

Oba problémy podkopávají důvěru. Compliance manažeři potřebují jistotu, že každá odpověď odráží **nejnovější rizikový postoj** a **aktuální regulatorní očekávání**.

---

## 2. Základní pilíře Adaptivní kontextualizace rizika

ARC stojí na třech pilířích:

1. **Live Threat‑Intel Stream** – kontinuální ingestace CVE feedů, bulletinu o zranitelnostech a odvětvově specifických hrozbových kanálů (např. ATT&CK, STIX/TAXII).
2. **Dynamic Knowledge Graph** – graf, který propojuje klauzule politik, důkazní artefakty a TI entity (zranitelnosti, hrozby, techniky útoku) s verzovanými vztahy.
3. **Generative Context Engine** – Retrieval‑Augmented Generation (RAG) model, který při dotazu načte nejrelevantnější uzly grafu a sestaví odpověď s odkazy na data v reálném čase.

Tyto komponenty fungují v **uzavřené zpětné smyčce**: nově ingestované TI automaticky spouští přehodnocení grafu, což následně ovlivňuje další generování odpovědí.

---

## 3. End‑to‑End architektura

Níže je high‑level Mermaid diagram znázorňující datový tok od ingestace hrozeb po doručení odpovědi.

```mermaid
flowchart LR
    subgraph "Vrstva hrozeb"
        TI["\"Live TI Feed\""] -->|Ingest| Parser["\"Parser & Normalizer\""]
    end

    subgraph "Vrstva znalostního grafu"
        Parser -->|Enrich| KG["\"Dynamic KG\""]
        Policies["\"Policy & Evidence Store\""] -->|Link| KG
    end

    subgraph "RAG Engine"
        Query["\"Questionnaire Prompt\""] -->|Retrieve| Retriever["\"Graph Retriever\""]
        Retriever -->|Top‑K Nodes| LLM["\"Generative LLM\""]
        LLM -->|Compose Answer| Answer["\"Contextual Answer\""]
    end

    Answer -->|Publish| Dashboard["\"Compliance Dashboard\""]
    Answer -->|Audit Log| Audit["\"Immutable Audit Trail\""]
```

### 3.1. Ingestace hrozeb

* **Zdroje** – NVD, MITRE ATT&CK, vendor‑specifické advisory a vlastní feedy.
* **Parser** – normalizuje různé schémata do **společné TI ontologie** (např. `ti:Vulnerability`, `ti:ThreatActor`).
* **Scoring** – přiřazuje **rizikové skóre** na základě CVSS, zralosti exploitu a obchodní relevance.

### 3.2. Enrichment znalostního grafu

* Uzly představují **klauzule politik**, **důkazní artefakty**, **systémy**, **zranitelnosti** a **techniky hrozeb**.
* Hrany zachycují vztahy jako `covers`, `mitigates`, `impactedBy`.
* **Versioning** – každá změna (update politiky, nový důkaz, TI entry) vytvoří nový snapshot grafu, což umožňuje dotazy “v čase” pro audit.

### 3.3. Retrieval‑Augmented Generation

1. **Prompt** – položka dotazníku se převede na přirozený jazykový dotaz (např. „Popište, jak chráníme před ransomware útoky na Windows servery“).
2. **Retriever** – spustí **graf‑strurovaný dotaz**, který:
   * Najde politiky, které `mitigate` relevantní `ti:ThreatTechnique`.
   * Načte nejnovější důkazy (např. logy endpoint detection) propojené s identifikovanými kontrolami.
3. **LLM** – získá načtené uzly jako kontext spolu s původním promptem a vygeneruje odpověď, která:
   * **Citáruje** konkrétní klauzuli politiky a ID důkazu.
   * **Odkazuje** na aktuální CVE nebo techniku hrozby včetně CVSS skóre.
4. **Post‑processor** – formátuje odpověď dle šablony dotazníku (markdown, PDF…) a aplikuje **filtry soukromí** (např. redakci interních IP).

---

## 4. Budování ARC pipeline v Procurize

Procurize už nabízí **centrální repozitář**, přiřazování úkolů a integrační háčky. Pro zapojení ARC:

| Krok | Akce | Nástroje / API |
|------|------|----------------|
| 1 | **Připojit TI feedy** | Použijte Procurize `Integration SDK` k registraci webhook endpointů pro NVD a ATT&CK streamy. |
| 2 | **Instancovat Graph DB** | Nasadit Neo4j (nebo Amazon Neptune) jako managed službu; vystavit GraphQL endpoint pro Retriever. |
| 3 | **Vytvořit enrichment joby** | Naplánovat noční úlohy, které spustí parser, aktualizují graf a označí uzly `last_updated` timestampem. |
| 4 | **Konfigurovat RAG model** | Využít OpenAI `gpt‑4o‑r` s Retrieval Plugin, nebo hostovat open‑source LLaMA‑2 s LangChain. |
| 5 | **Hook do UI dotazníku** | Přidat tlačítko „Generovat AI odpověď“, které spustí RAG workflow a zobrazí výsledek v náhledu. |
| 6 | **Audit logging** | Zapsat vygenerovanou odpověď, ID načtených uzlů a verzi TI snapshotu do immutable logu Procurize (např. AWS QLDB). |

---

## 5. Bezpečnostní a compliance úvahy

### 5.1. Ochrana dat

* **Zero‑Knowledge Retrieval** – LLM nevidí surové důkazní soubory; do modelu putují jen odvozené souhrny (hash, metadata).
* **Filtrace výstupu** – Deterministický pravidlový engine odstraňuje PII a interní identifikátory před tím, než odpověď dorazí k zadavateli.

### 5.2. Vysvětlitelnost

* Každá odpověď je doplněna **panelou sledovatelnosti**:
  * **Klauzule politiky** – ID, datum poslední revize.
  * **Důkaz** – Odkaz na uložený artefakt, verze hash.
  * **TI kontext** – CVE ID, závažnost, datum publikace.

Uživatelé mohou kliknout na libovolný prvek a zobrazit podkladový dokument – to splňuje auditorům požadavek na **explainable AI**.

### 5.3. Change Management

Protože graf je verzován, lze automaticky provádět **analýzu dopadu změn**:

* Když se aktualizuje politika (např. nový **[ISO 27001](https://www.iso.org/standard/27001)** kontrolní bod), systém identifikuje všechny položky dotazníku, které předtím odkazovaly na změněnou klauzuli.
* Tyto položky jsou automaticky označeny k **přegenerování**, čímž se zajišťuje, že knihovna compliance nikdy nepropadá únavě.

---

## 6. Reálný dopad – rychlý ROI odhad

| Metrika | Manuální proces | ARC‑enabled proces |
|--------|----------------|--------------------|
| Průměrná doba na položku dotazníku | 12 min | 1,5 min |
| Lidská chybovost (nesprávně citovaný důkaz) | ~8 % | <1 % |
| Nálezy auditů související se zastaralými důkazy | 4 ročně | 0 |
| Čas na zapracování nového CVE (např. CVE‑2025‑9876) | 3‑5 dní | <30 sekund |
| Pokrytí regulatorních rámců | Primárně SOC 2, ISO 27001 | SOC 2, ISO 27001, **[GDPR](https://gdpr.eu/)**, **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)**, HIPAA (volitelné) |

Pro středně velkou SaaS firmu, která zpracovává **200 dotazníkových požadavků čtvrtletně**, může ARC ušetřit **≈400 hodin** manuální práce, což při sazbě $300/hodina představuje **≈ 120 000 USD** úsporu. Navíc zvýšená důvěra zkracuje prodejní cykly, což může přinést nárůst ARR o 5‑10 %.

---

## 7. 30‑denní plán adopce

| Den | Milník |
|-----|--------|
| 1‑5 | **Workshop požadavků** – Identifikace klíčových kategorií dotazníků, existujících politických aktiv a preferovaných TI feedů. |
| 6‑10 | **Nasazení infrastruktury** – Provisioning managed Graph DB, vytvoření bezpečného TI ingest pipeline (použít Procurize secrets manager). |
| 11‑15 | **Datové modelování** – Mapování klauzulí politik na uzly `compliance:Control`, důkazů na `compliance:Evidence`. |
| 16‑20 | **RAG prototyp** – Sestavit jednoduchý LangChain řetězec, který načte uzly grafu a zavolá LLM. Otestovat na 5 vzorových otázkách. |
| 21‑25 | **Integrace UI** – Přidat tlačítko „AI Generovat“ do editoru dotazníku v Procurize; embednout panel sledovatelnosti. |
| 26‑30 | **Pilotní běh a revize** – Spustit pipeline na živých požadavcích dodavatelů, sbírat zpětnou vazbu, doladit scoring retrieval a finalizovat audit logging. |

Po pilotu rozšířit ARC na všechny typy dotazníků (SOC 2, ISO 27001, GDPR, PCI‑DSS) a začít měřit KPI zlepšení.

---

## 8. Budoucí vylepšení

* **Federovaná Threat Intel** – kombinace interních SIEM alertů s externími feedy pro “company‑specific” kontext rizika.
* **Reinforcement Learning smyčka** – odměňovat LLM za odpovědi, které získají pozitivní auditorní zpětnou vazbu, čímž se postupně zlepšuje formulace a kvalita citací.
* **Vícejazyková podpora** – přidat překladovou vrstvu (např. Azure Cognitive Services) pro automatickou lokalizaci odpovědí pro globální zákazníky při zachování integrity důkazů.
* **Zero‑Knowledge Proofs** – poskytovat kryptografické důkazy, že odpověď vychází z aktuálních důkazů, aniž by se samotná data odhalila.

---

## 9. Závěr

Adaptivní kontextualizace rizika spojuje **statické compliance repozitáře** s **neustále se měnícím hrozbovým prostředím**. Díky splynutí informací o hrozbách v reálném čase, dynamického znalostního grafu a kontext‑aware generativního modelu mohou organizace:

* Poskytovat **přesné, aktuální** odpovědi na dotazníky v masovém měřítku.
* Udržovat **plně auditovatelný** řetězec důkazů.
* Zrychlit prodejní cykly a snížit režijní náklady spojené s compliance.

Nasazení ARC v platformách jako Procurize je nyní realistickou, vysoce výnosnou investicí pro každou SaaS společnost, která chce předčit regulatorní dohled a zachovat transparentní a důvěryhodný bezpečnostní postoj.

---

## Další související zdroje
- [AWS QLDB – Immutable Ledger for Auditing](https://aws.amazon.com/qldb/)