
# AI řízené automatické mapování kontrol ISO 27001 pro bezpečnostní dotazníky

Bezpečnostní dotazníky jsou úzkým místem při hodnocení rizik dodavatelů. Auditoři často požadují důkazy, že poskytovatel SaaS splňuje [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html), ale manuální úsilí potřebné k nalezení správné kontroly, získání podpůrné politiky a formulaci stručné odpovědi může trvat dny. Nová generace AI‑poháněných platforem posouvá tento paradigmát z **reaktivních, lidsky náročných** procesů na **prediktivní, automatizované** workflow.

V tomto článku představujeme **první svého druhu engine**, který:

1. **Načte celý soubor kontrol ISO 27001** a namapuje každou kontrolu na interní úložiště politik organizace.  
2. **Vytvoří znalostní graf** spojující kontroly, politiky, artefakty důkazů a vlastníky.  
3. **Použije pipeline Retrieval‑Augmented Generation (RAG)** k vytvoření odpovědí na dotazníky, které jsou *shodné, kontextové a aktuální*.  
4. **Detekuje posun politiky v reálném čase** a spouští automatické pře‑generování, když se změní zdrojová politika kontroly.  
5. **Poskytuje low‑code UI** pro auditory, aby mohli doladit nebo schválit generované odpovědi před odesláním.  

Níže se dozvíte o architektonických komponentách, datovém toku, použité AI technice a měřitelných výhodách zaznamenaných v raných pilotních projektech.

---

## 1. Proč je mapování kontrol ISO 27001 důležité

[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) poskytuje celosvětově uznávaný rámec pro řízení informační bezpečnosti. Jeho **Příloha A** uvádí 114 kontrol, z nichž každá má podkontroly a doporučení pro implementaci. Když dotazník třetí strany například zeptá:

> „Popište, jak spravujete životní cyklus kryptografických klíčů (Control A.10.1).“

bezpečnostní tým musí najít příslušnou politiku, vyjmout konkrétní popis procesu a přizpůsobit jej formulaci dotazníku. Opakování tohoto kroku pro desítky kontrol napříč mnoha dotazníky vytváří:

* **Duplicitní práci** – stejné odpovědi jsou přepisovány pro každou žádost.  
* **Nekonzistentní jazyk** – drobné změny ve formulaci mohou být interpretovány jako mezery.  
* **Zastaralé důkazy** – politiky se vyvíjejí, ale návrhy dotazníků často zůstávají beze změny.  

Automatizace mapování ISO 27001 kontrol na opakovaně použitelné fragmenty odpovědí tyto problémy na velkém měřítku eliminuje.

---

## 2. Hlavní architektonický nákres

Engine je postaven na třech pilířích:

| Pilíř | Účel | Klíčové technologie |
|--------|------|-----------------------|
| **Graf znalostí kontrol‑politiky** | Normalizuje ISO 27001 kontroly, interní politiky, artefakty a vlastníky do dotazovatelného grafu. | Neo4j, RDF, Graph Neural Networks (GNN) |
| **RAG generování odpovědí** | Načte nejrelevantnější úryvek politiky, doplní jej kontextem a vytvoří upravenou odpověď. | Retrieval (BM25 + Vector Search), LLM (Claude‑3, Gemini‑Pro), Prompt Templates |
| **Detekce posunu politiky & automatické obnovení** | Monitoruje změny zdrojových politik, spouští znovu‑generování a upozorňuje zainteresované. | Change Data Capture (CDC), Diff‑Auditing, Event‑Driven Pub/Sub (Kafka) |

Níže je Mermaid diagram, který vizualizuje datový tok od ingestu po doručení odpovědi.

```mermaid
graph LR
    A[ISO 27001 katalog kontrol] -->|Import| KG[Graf znalostí kontrol‑politiky]
    B[Úložiště interních politik] -->|Synchronizace| KG
    C[Repozitář důkazů] -->|Propojení| KG
    KG -->|Dotaz| RAG[Engine pro generování s rozšířeným vyhledáváním]
    RAG -->|Generovat| Answer[Návrh odpovědi na dotazník]
    D[Kanál změn politik] -->|Událost| Drift[Detektor posunu politiky]
    Drift -->|Spustit| RAG
    Answer -->|Recenze UI| UI[Dashboard analytika zabezpečení]
    UI -->|Schválit/Odmítnout| Answer
```

*Všechny popisky uzlů jsou uvozeny dvojitými uvozovkami, jak vyžaduje syntaxe Mermaid.*

---

## 3. Vytvoření grafu znalostí kontrol‑politiky

### 3.1 Modelování dat

* **Uzly Kontrola** – Každá ISO 27001 kontrola (např. „A.10.1“) se stane uzlem s atributy: `title`, `description`, `reference`, `family`.  
* **Uzly Politika** – Interní bezpečnostní politiky jsou načteny z Markdownu, Confluence nebo Git‑repozitářů. Atributy zahrnují `version`, `owner`, `last_modified`.  
* **Uzly Důkaz** – Odkazy na auditní logy, snímky konfigurací nebo certifikace třetích stran.  
* **Hrany Vlastnictví** – `MANAGES`, `EVIDENCE_FOR`, `DERIVES_FROM`.  

Schéma grafu umožňuje SPARQL‑podobné dotazy, například:

```cypher
MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1
```

### 3.2 Enrichment pomocí GNN

Grafový neuronový síť (GNN) je natrénována na historických párech dotazníků a odpovědí, aby se naučila **skóre sémantické podobnosti** mezi kontrolami a úryvky politik. Toto skóre je uloženo jako vlastnost hrany `relevance_score` a výrazně zlepšuje přesnost vyhledávání oproti pouhému klíčovému vyhledávání.

---

## 4. Pipeline Retrieval‑Augmented Generation

### 4.1 Fáze vyhledávání

1. **Keyword Search** – BM25 nad textem politik.  
2. **Vector Search** – Embeddingy (Sentence‑Transformers) pro sémantické párování.  
3. **Hybrid Ranking** – Kombinace BM25 a GNN `relevance_score` pomocí lineárního mixu (α = 0.6 pro sémantiku, 0.4 pro lexikální).  

Nejlepší k (typicky 3) úryvky politik jsou předány LLM spolu s promptem dotazníku.

### 4.2 Prompt Engineering

**Dynamický šablonový prompt** se přizpůsobuje familii kontroly:

```
You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.
```

LLM doplní placeholdery vybranými úryvky a vytvoří **draft s citacemi**.

### 4.3 Post‑processing

* **Fact‑Check vrstva** – Lehký ověřovací průchod druhou LLM, aby zajistila, že veškerá tvrzení jsou podložena načteným textem.  
* **Redakční filtr** – Detekuje a maskuje citlivá data, která by neměla být zveřejněna.  
* **Formátovací modul** – Převádí výstup do požadovaného formátu dotazníku (HTML, PDF nebo prostý text).

---

## 5. Detekce posunu politiky v reálném čase

Politiky se málokdy mění jen jednou. **Connector Change Data Capture (CDC)** sleduje úložiště zdrojových politik na commity, merge requesty nebo smazání. Když změna zasáhne uzel spojený s ISO kontrolou, detektor posunu:

1. Vypočítá **diff hash** mezi starým a novým úryvkem politiky.  
2. Vytvoří **událost posunu** na Kafka topic `policy.drift`.  
3. Spustí RAG pipeline k pře‑generování postižených odpovědí.  
4. Odešle **oznámení** vlastníkovi politiky i do analytického dashboardu ke kontrole.  

Tento uzavřený cyklus zajišťuje, že každá zveřejněná odpověď na dotazník zůstane synchronizovaná s nejnovějšími interními kontrolami.

---

## 6. Uživatelská zkušenost: analytický dashboard

UI zobrazuje **mřížku čekajících položek dotazníku** s barevným kódováním stavu:

* **Zelená** – Odpověď vygenerována, žádný posun, připravena k exportu.  
* **Žlutá** – Nedávná změna politiky, pře‑generování čeká.  
* **Červená** – Vyžaduje lidskou kontrolu (např. nejasná politika nebo redakční poplach).  

Funkce zahrnují:

* **Jedním kliknutím export** do PDF nebo CSV.  
* **Inline editaci** pro případné úpravy.  
* **Historii verzí**, zobrazující přesnou verzi politiky použitou pro každou odpověď.  

Krátké video demo (vložené v platformě) ukazuje typický postup: výběr kontroly, revize automaticky vygenerované odpovědi, schválení a export.

---

## 7. Kvantifikovaný obchodní dopad

| Metrika | Před automatizací | Po automatizaci (pilot) |
|---------|-------------------|--------------------------|
| Průměrná doba vytvoření odpovědi | 45 min na kontrolu | 3 min na kontrolu |
| Doba vyřízení celého dotazníku | 12 dní | 1,5 dne |
| Skóre konzistence odpovědí (interní audit) | 78 % | 96 % |
| Latence detekce posunu politiky | 7 dní (manuální) | < 2 hodiny (automatické) |

Pilot provedený ve středně velké SaaS firmě (≈ 250 zaměstnanců) snížil týdenní pracovní zátěž bezpečnostního týmu o **≈ 30 hodin** a eliminoval 4 větší incidenty nesouladu způsobené zastaralými odpověďmi.

---

## 8. Bezpečnost a governance úvahy

* **Data residency** – Všechna data grafu znalostí zůstávají v soukromém VPC organizace; inference LLM probíhá na on‑premise hardware nebo privátním cloudovém endpointu.  
* **Řízení přístupu** – Role‑based permissions omezují, kdo může editovat politiky, spouštět pře‑generování nebo zobrazovat vygenerované odpovědi.  
* **Auditní stopa** – Každý draft odpovědi ukládá kryptografický hash, který ho spojuje s konkrétní verzí politiky, což umožňuje nezfalšovatelnou verifikaci během auditů.  
* **Vysvětlitelnost** – Dashboard zobrazuje **traceability view**, kde jsou uvedeny použité úryvky politik a jejich relevance skóre, což regulátorům ukazuje, že AI byla použita zodpovědným způsobem.

---

## 9. Rozšíření engine mimo ISO 27001

Ačkoliv je prototyp zaměřen na ISO 27001, architektura je **regulačně agnostická**:

* **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Trust Services Criteria** – Mapuje na stejný graf s odlišnými rodinami kontrol.  
* **[HIPAA](https://www.hhs.gov/hipaa/index.html) Security Rule** – Načte 18 standardů a propojí je se zdravotnickými politikami.  
* **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)** – Propojí s postupy manipulace s kartovními daty.  

Přidání nového rámce vyžaduje jen načtení jeho katalogu kontrol a vytvoření počátečních hran k existujícím uzlům politik. GNN se automaticky adaptuje, jakmile jsou nasbírány další trénovací páry.

---

## 10. První kroky: kontrolní seznam

1. **Shromáždit katalog ISO 27001** (stáhnout oficiální Annex A CSV).  
2. **Exportovat interní politiky** do strukturovaného formátu (Markdown s front‑matter pro versioning).  
3. **Nasadit graf znalostí** (Neo4j Docker image s předdefinovaným schématem).  
4. **Instalovat RAG službu** (Python FastAPI kontejner s LLM endpointem).  
5. **Konfigurovat CDC** (Git hook nebo file‑system watcher) pro napájení detektoru posunu.  
6. **Spustit analytický dashboard** (React front‑end, OAuth2 autentizace).  
7. **Provozně otestovat pilotní dotazník** a iterativně ladit šablony promptů.  

Podle tohoto postupu mohou většina organizací dosáhnout **plně automatizovaného pipeline pro mapování ISO 27001 během 4‑6 týdnů**.

---

## 11. Budoucí směřování

* **Federated Learning** – Sdílet anonymizované embeddings kontrol‑politik mezi partnery, aby se zlepšilo skóre relevance, aniž by byly odhaleny citlivé politiky.  
* **Multimodální důkazy** – Zapojit diagramy, konfigurační soubory a logy pomocí Vision‑LLM pro obohacení odpovědí.  
* **Generativní compliance playbooks** – Rozšířit od jednorázových odpovědí k end‑to‑end compliance narrativům, včetně tabulek důkazů a hodnocení rizik.  

Konvergence **znalostních grafů, RAG a detekce posunu politik** se stává novým standardem pro automatizaci všech bezpečnostních dotazníků. Raní adoptanti získají nejen rychlost, ale i jistotu, že každá odpověď je **traceable, current, and auditable**.

---

## Viz také
- [ISO 27001 – Oficiální Annex A Kontroly](https://www.iso.org/standard/54534.html)  
- [NIST SP 800‑53 mapování na ISO 27001](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [Retrieval‑Augmented Generation: Přehled technik a aplikací](https://arxiv.org/abs/2302.01279)