
# AI poháněný engine pro mapování politik napříč regulacemi pro sjednocené odpovědi na dotazníky

Organizace, které prodávají SaaS řešení globálním zákazníkům, musí odpovídat na bezpečnostní dotazníky pokrývající desítky regulačních rámců — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS a mnoho dalších specifických standardů.  
Tradičně se s každým rámcem pracuje odděleně, což vede k duplikaci úsilí, nekonzistentním důkazům a vysokému riziku auditních zjištění.

**Engine pro mapování politik napříč regulacemi** tento problém řeší tím, že automaticky překládá jedinou definici politiky do jazyka každého požadovaného standardu, připojí odpovídající důkazy a uloží celý řetězec přiřazení do neměnného ledžeru. Níže rozebíráme základní komponenty, tok dat a praktické výhody pro týmy compliance, security a právní oddělení.

---

## Obsah

1. [Proč je mapování napříč regulacemi důležité](#proč-je-mapování-napříč-regulacemi-důležité)  
2. [Přehled hlavní architektury](#přehled-hlavní-architektury)  
3. [Dynamické vytváření znalostního grafu](#dynamické-vytváření-znalostního-grafu)  
4. [LLM‑řízený překlad politik](#llm‑řízený-překlad-politik)  
5. [Přiřazení důkazů a neměnný ledžer](#přiřazení-důkazů-a-neměnný-ledžer)  
6. [Smyčka aktualizací v reálném čase](#smyčka-aktualizací-v-reálném-čase)  
7. [Bezpečnostní a soukromí úvahy](#bezpečnostní-a-soukromí-úvahy)  
8. [Scénáře nasazení](#scénáře-nasazení)  
9. [Klíčové přínosy a ROI](#klíčové-přínosy-a-roi)  
10. [Kontrolní seznam implementace](#kontrolní-seznam-implementace)  
11. [Budoucí vylepšení](#budoucí-vylepšení)  

---

## Proč je mapování napříč regulacemi důležité

| Problém | Tradiční přístup | AI‑řízené řešení |
|---------|------------------|-----------------|
| **Duplicitní politiky** | Ukládání samostatných dokumentů pro každý rámec | Jediný zdroj pravdy (SSOT) → automatické mapování |
| **Fragmentace důkazů** | Manuální kopírování ID důkazů | Automatické propojení důkazů pomocí grafu |
| **Mezery v auditním řetězci** | PDF auditní logy bez kryptografického důkazu | Neměnný ledžer s kryptografickými haši |
| **Zastarání regulací** | Čtvrtletní ruční revize | Detekce odchylek v reálném čase + automatické opravy |
| **Délka odezvy** | Dny‑týdny | Sekundy až minuty na dotazník |

Sjednocením definic politiky týmy snižují metrický ukazatel „compliance overhead“ — času stráveného na dotaznících za čtvrtletí — až o **80 %**, podle prvotních pilotních studií.

---

## Přehled hlavní architektury

```mermaid
graph TD
    A["Policy Repository"] --> B["Knowledge Graph Builder"]
    B --> C["Dynamic KG (Neo4j)"]
    D["LLM Translator"] --> E["Policy Mapping Service"]
    C --> E
    E --> F["Evidence Attribution Engine"]
    F --> G["Immutable Ledger (Merkle Tree)"]
    H["Regulatory Feed"] --> I["Drift Detector"]
    I --> C
    I --> E
    G --> J["Compliance Dashboard"]
    F --> J
```

*Všechny popisky uzlů jsou v uvozovkách, jak vyžaduje syntax Mermaid.*

**Klíčové moduly**

1. **Policy Repository** – Centrální úložiště verzí (GitOps) pro všechny interní politiky.  
2. **Knowledge Graph Builder** – Parsuje politiky, extrahuje entity (kontroly, kategorie dat, úrovně rizik) a vztahy.  
3. **Dynamic KG (Neo4j)** – Semantické jádro, neustále obohacováno regulačními feedy.  
4. **LLM Translator** – Velký jazykový model (např. Claude‑3.5, GPT‑4o), který přepisuje klauzule politiky do jazyka cílového rámce.  
5. **Policy Mapping Service** – Porovnává přeložené klauzule s ID kontrol rámce pomocí podobnosti v grafu.  
6. **Evidence Attribution Engine** – Stahuje důkazní objekty (dokumenty, logy, skenovací zprávy) z Evidence Hub, označuje je metadaty provenance.  
7. **Immutable Ledger** – Uchovává kryptografické haše vazeb důkaz‑politika; používá Merkle‑strom pro efektivní generování důkazů.  
8. **Regulatory Feed & Drift Detector** – Spotřebovává RSS, OASIS a vendor‑specifické changelogy; označuje nesoulady.  

---

## Dynamické vytváření znalostního grafu

### 1. Extrakce entit

- **Uzly kontrol** — např. „Access Control – Role‑Based“  
- **Uzly datových aktiv** — např. „PII – Email Address“  
- **Uzly rizik** — např. „Confidentiality Breach“

### 2. Typy vztahů

| Vztah | Význam |
|-------|--------|
| `ENFORCES` | Control → Data Asset |
| `MITIGATES` | Control → Risk |
| `DERIVED_FROM` | Policy → Control |

### 3. Pipeline obohacování grafu (pseudokód v Go)

```goat
def ingest_policy(policy_file):
    doc = parse_markdown(policy_file)
    controls = extract_controls(doc)
    for ctrl in controls:
        node = KG.upsert("Control", name=ctrl.name)
        for asset in ctrl.assets:
            asset_node = KG.upsert("DataAsset", name=asset)
            KG.create_rel(node, "ENFORCES", asset_node)
        for risk in ctrl.risks:
            risk_node = KG.upsert("Risk", name=risk)
            KG.create_rel(node, "MITIGATES", risk_node)
```

Graf se vyvíjí s příchodem nových regulací; nové uzly jsou automaticky propojeny pomocí lexikální podobnosti a zarovnání ontologií.

---

## LLM‑řízený překlad politik

Engine pracuje ve dvou fázích:

1. **Generování promptu** – Systém vytvoří strukturovaný prompt obsahující zdrojovou klauzuli, ID cílového rámce a kontextová omezení (např. „zachovat povinné období uchovávání auditních logů“).  
2. **Sémantická validace** – Výstup LLM projde pravidlovou validací, která kontroluje chybějící povinné podkontroly, zakázaný jazyk a délkové limity.

### Ukázkový prompt

```
Přeložte následující interní kontrolu do jazyka ISO 27001 Annex A.7.2, zachovejte všechny aspekty mitigace rizik.

Control: “All privileged access must be reviewed quarterly and logged with immutable timestamps.”
```

LLM vrátí ISO‑kompatibilní klauzuli, která je následně indexována zpět do znalostního grafu, čímž vznikne hrana `TRANSLATES_TO`.

---

## Přiřazení důkazů a neměnný ledžer

### Integrace Evidence Hub

- **Zdroje**: CloudTrail logy, S3 inventáře, zprávy o zranitelnostech, třetí strany attestace.  
- **Zachycení metadat**: SHA‑256 hash, časová značka sběru, systém zdroje, štítek compliance.

### Tok přiřazení

```mermaid
sequenceDiagram
    participant Q as Questionnaire Engine
    participant E as Evidence Hub
    participant L as Ledger
    Q->>E: Request evidence for Control “RBAC”
    E-->>Q: Evidence IDs + hashes
    Q->>L: Store (ControlID, EvidenceHash) pair
    L-->>Q: Merkle proof receipt
```

Každý pár (ControlID, EvidenceHash) se stane listovým uzlem v Merkle‑stromu. Kořenový hash je denně podepsán hardware security module (HSM), což auditorům poskytuje kryptografický důkaz, že předložené důkazy odpovídají zaznamenanému stavu.

---

## Smyčka aktualizací v reálném čase

1. **Regulatory Feed** načte nejnovější změny (např. aktualizace [NIST CSF](https://www.nist.gov/cyberframework), revize ISO).  
2. **Drift Detector** vypočítá diff grafu; chybějící hrany `TRANSLATES_TO` vyvolají úlohu překladu.  
3. **Policy Mapper** okamžitě aktualizuje ovlivněné šablony dotazníků.  
4. **Dashboard** upozorní vlastníky compliance s váhovým skóre.

Tato smyčka zkracuje „latenci politika‑k‑dotazníku“ z týdnů na sekundy.

---

## Bezpečnostní a soukromí úvahy

| Obava | Řešení |
|-------|--------|
| **Únik citlivých důkazů** | Šifrování v klidu (AES‑256‑GCM); dešifrování jen v zabezpečeném enclavu pro generování haše. |
| **Únik promptu modelu** | Použití on‑prem LLM inference nebo šifrovaného zpracování promptu (OpenAI Confidential Compute). |
| **Manipulace s ledžerem** | Kořenový hash podepsán HSM; jakákoliv změna invaliduje Merkle proof. |
| **Izolace dat mezi tenanty** | Multi‑tenantní oddíly grafu s řádkovou úrovní zabezpečení; tenant‑specifické klíče pro podpisy ledžeru. |
| **Soulad s regulacemi** | Systém je připraven na GDPR: minimalizace dat, právo na výmaz prostřednictvím revokace uzlů grafu. |

---

## Scénáře nasazení

| Scénář | Škála | Doporučená infrastruktura |
|--------|-------|---------------------------|
| **Malý SaaS startup** | < 5 rámců, < 200 politik | Hostovaný Neo4j Aura, OpenAI API, AWS Lambda pro Ledger |
| **Středně velká firma** | 10‑15 rámců, ~1 000 politik | Self‑hostovaný Neo4j cluster, on‑prem LLM (Llama 3 70B), Kubernetes pro mikro‑služby |
| **Globální poskytovatel cloudu** | > 30 rámců, > 5 000 politik | Federované shardované grafy, multi‑regionální HSM, edge‑cachované LLM inference |

---

## Klíčové přínosy a ROI

| Metrika | Před | Po (pilot) |
|---------|------|------------|
| **Průměrná doba odezvy na dotazník** | 3 dny | 2 hodiny |
| **Úsilí na tvorbu politik (os‑hod/měs)** | 120 h | 30 h |
| **Míra auditních zjištění** | 12 % | 3 % |
| **Poměr opětovného využití důkazů** | 0,4 | 0,85 |
| **Náklady na nástroje compliance** | 250 000 USD / rok | 95 000 USD / rok |

Redukce manuální práce se přímo promítá do rychlejších prodejních cyklů a vyšší míry úspěšnosti.

---

## Kontrolní seznam implementace

1. **Zavést GitOps repozitář politik** (ochrana větví, revize PR).  
2. **Nasadit Neo4j instanci** (nebo alternativní grafovou DB).  
3. **Integrovat regulační feedy** (SOC 2, ISO 27001, GDPR, CCPA, HIPAA, PCI‑DSS atd.).  
4. **Konfigurovat LLM inference** (on‑prem nebo managed).  
5. **Nastavit konektory Evidence Hub** (agregátory logů, skenovací nástroje).  
6. **Implementovat Merkle‑tree ledger** (vybrat poskytovatele HSM).  
7. **Vytvořit compliance dashboard** (React + GraphQL).  
8. **Spustit drift detection** (každou hodinu).  
9. **Školit interní revizory** v ověřování ledgerových důkazů.  
10. **Pilotovat s vybraným dotazníkem** (nízkorizikový zákazník).  

---

## Budoucí vylepšení

- **Federované znalostní grafy**: Sdílet anonymizované mapování kontrol napříč průmyslovými konsorcii, aniž by se odhalily proprietární politiky.  
- **Marketplace generativních promptů**: Umožnit týmům compliance publikovat šablony promptů, které automaticky optimalizují kvalitu překladu.  
- **Samouzdravující politiky**: Kombinovat detekci driftu s reinforcement learningem k automatickým návrhům revizí politik.  
- **Integrace Zero‑Knowledge Proof**: Nahradit Merkle proofy zk‑SNARKy pro ještě přísnější soukromí.  

---