
# AI‑poháněný engine pro automatické mapování důkazů pro harmonizaci dotazníků napříč více rámcemi

## Úvod

Bezpečnostní dotazníky jsou vstupní bránou každé B2B SaaS transakce. Zájemci požadují důkazy o shodě s rámci jako [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) a nově vznikajícími předpisy o lokalizaci dat. Přestože se základní kontroly často překrývají, každý rámec si stanoví vlastní terminologii, formát důkazů a stupnici závažnosti. Tradiční ruční procesy nutí bezpečnostní týmy duplicitu práce: najdou kontrolu v jednom rámci, přepíší odpověď tak, aby odpovídala jinému, a rizikují nesoulad.

**Evidence Auto‑Mapping Engine (EAME)** řeší tento problém tím, že automaticky překládá důkazy ze zdrojového rámce do jazyka libovolného cílového rámce. Poháněn velkými jazykovými modely (LLM), dynamickým grafem souhlasu a modulárním pipeline pro retrieval‑augmented generation (RAG), EAME poskytuje přesné, auditovatelné odpovědi během sekund.

V tomto článku:

* Rozebíráme architekturu EAME a datové toky, které ji dělají spolehlivou.  
* Vysvětlujeme, jak funguje LLM‑poháněné sémantické zarovnání bez ohrožení důvěrnosti.  
* Ukazujeme krok‑za‑krokem průvodce nasazením pro zákazníky Procurize.  
* Poskytujeme výkonnostní benchmarky a doporučené postupy.

## Hlavní problém: Roztříštěné důkazy napříč rámci

| Rámec | Typ typického důkazu | Příklad překryvu |
|-----------|----------------------|-----------------|
| [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) | Politiky, procesní dokumenty, screenshoty | Politika řízení přístupu |
| [ISO 27001](https://www.iso.org/standard/27001) | Prohlášení o použitelnosti, hodnocení rizik | Politika řízení přístupu |
| [GDPR](https://gdpr.eu/) | Záznamy o zpracování, DPIA | Záznamy o zpracování |
| [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) | Diagramy sítě, tokenizační zprávy | Diagram sítě |

I když **Politika řízení přístupu** může vyhovovat jak [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), tak [ISO 27001](https://www.iso.org/standard/27001), každý dotazník ji požaduje jiným způsobem:

* **SOC 2** požaduje **úryvek politiky** s verzí a datem poslední revize.  
* **ISO 27001** požaduje **odkaz na výrok o použitelnosti** a **skóre rizika**.  
* **GDPR** požaduje **záznam o činnostech zpracování**, který odkazuje na stejnou politiku.

Manuální týmy musí najít politiku, zkopírovat ji, přeformátovat citaci a manuálně vypočítat skóre rizika — činnost náchylná k chybám, která prodlužuje dobu vyřízení o 30‑50 %.

## Architektonický přehled engine pro automatické mapování

Engine stojí na třech pilířích:

1. **Compliance Knowledge Graph (CKG)** — orientovaný, značený graf, který zachycuje entity (kontroly, artefakty důkazů, rámce) a vztahy („pokrývá“, „vyžaduje“, „ekvivalent‑k“).  
2. **LLM‑Enhanced Semantic Mapper** — vrstva promptování, která překládá uzel zdrojového důkazu do šablony odpovědi cílového rámce.  
3. **Retrieval‑Augmented Generation Loop (RAG‑Loop)** — zpětná smyčka, která validuje generované odpovědi vůči CKG a externím úložištím politik.

Níže je vysokou úrovní diagram v Mermaid znázorňující datový tok.

```mermaid
graph LR
  A[Uživatel odešle dotazník] --> B[Analyzátor otázek]
  B --> C{Identifikovat cílový rámec}
  C -->|SOC2| D[Vyhledání v CKG: uzel SOC2]
  C -->|ISO27001| E[Vyhledání v CKG: uzel ISO]
  D --> F[Načíst zdrojový důkaz]
  E --> F
  F --> G[LLM semantický mapovač]
  G --> H[Vygenerovaná odpověď]
  H --> I[Validátor souladu]
  I -->|Pass| J[Odpověď uložena v databázi Procurement]
  I -->|Fail| K[Kontrola člověka v cyklu]
  K --> G
```

### 1. Compliance Knowledge Graph (CKG)

CKG se naplňuje ze tří zdrojů:

* **Taxonomie rámců** — oficiální knihovny kontrol importované jako sady uzlů.  
* **Enterprise Policy Repository** — Markdown/Confluence soubory indexované pomocí embeddingů.  
* **Evidence Metadata Store** — soubory, screenshoty a auditní logy označené identifikátory ve stylu SPDX.

Každý uzel nese atributy jako `framework`, `control_id`, `evidence_type`, `version` a `confidence_score`. Vztahy vyjadřují ekvivalenci (`equivalent_to`), hierarchii (`subcontrol_of`) a provenance (`generated_by`).

#### Příklad grafu (Mermaid)

```mermaid
graph TD
  A["Politika řízení přístupu"]:::evidence -->|covers| B["SOC2 CC6.1"]:::control
  A -->|covers| C["ISO27001 A.9.2.1"]:::control
  A -->|covers| D["GDPR Art.32"]:::control
  classDef control fill:#f9f,stroke:#333,stroke-width:2px;
  classDef evidence fill:#bbf,stroke:#333,stroke-width:2px;
```

### 2. LLM‑Enhanced Semantic Mapper

Mapper přijímá **payload zdrojového důkazu** (např. politiku) a **šablonu cílového rámce** (např. formát odpovědi SOC 2). Pomocí few‑shot promptu navrženého pro souladové kontexty LLM generuje strukturovanou odpověď:

```json
{
  "framework": "SOC2",
  "control_id": "CC6.1",
  "answer": "Naše Politika řízení přístupu (v3.2, revize 2024‑12‑01) omezuje přístup k systému na oprávněný personál na základě principu nejmenších oprávnění. Viz příloha pro úplný text politiky.",
  "evidence_refs": ["policy_v3.2.pdf"]
}
```

Klíčové složky promptu:

* **System Prompt** — nastavuje tón souhlasu a omezuje halucinace.  
* **Few‑Shot Examples** — reálné odpovědi z minulých auditů (anonimizované).  
* **Constraint Tokens** — vyžadují, aby odpověď odkazovala alespoň na jeden `evidence_refs`.

LLM běží za **privátním inference endpointem**, čímž se zachovává důvěrnost dat a soulad s GDPR.

### 3. Retrieval‑Augmented Generation Loop (RAG‑Loop)

Po generování prochází odpověď **validátorem**, který:

1. **Křížově ověří** `evidence_refs` vůči CKG, aby se ujistil, že citovaný artefakt skutečně pokrývá požadovanou kontrolu.  
2. **Zkontroluje** konzistenci verzí (např. že verze politiky odpovídá nejnovější uložené verzi).  
3. **Vypočítá** podobnost mezi vygenerovaným textem a původním zdrojem; skóre pod 0.85 spustí **Human‑in‑the‑Loop (HITL)** revizi.

Smyčka se opakuje, dokud validace neprojde, čímž se zajišťuje stopovatelnost a auditovatelnost.

## Nasazení engine v Procurize

### Požadavky

| Položka | Minimální specifikace |
|------|--------------|
| Kubernetes Cluster | 3 uzly, 8 vCPU každý |
| Trvalé úložiště | 200 GB SSD (pro CKG) |
| LLM Provider | Privátní endpoint podporující OpenAI‑compatible API |
| IAM Policy | Přístup ke čtení/zápisu do repozitáře politik a bucketu s důkazy |

### Kroky instalace

1. **Provision CKG Service** – Nasadit grafovou databázi (Neo4j nebo Amazon Neptune) pomocí přiloženého Helm chartu.  
2. **Ingest Framework Taxonomies** – Spustit `ckg-import` CLI s nejnovějšími JSON schématy SOC 2, ISO 27001, GDPR.  
3. **Index Enterprise Policies** – Spustit `policy-indexer`, který vytvoří husté vektorové embeddingy (SBERT) a uloží je do grafu.  
4. **Deploy LLM Inference** – Spustit zabezpečený kontejner (např. `private-llm`) za VPC‑izolovaným load balancerem. Nastavit env‑proměnné `LLM_API_KEY`.  
5. **Configure RAG‑Loop** – Aplikovat manifest `rag-loop.yaml`, který definuje webhook validátoru, HITL frontu (Kafka) a Prometheus metriky.  
6. **Integrate with Procurize UI** – Povolte přepínač **Auto‑Map** v editoru dotazníků. UI pošle POST na `/api/auto-map` s `source_framework`, `target_framework` a `question_id`.  
7. **Run a Smoke Test** – Odeslat testovací dotazník obsahující známou kontrolu (např. SOC 2 CC6.1) a ověřit, že odpověď obsahuje správný odkaz na politiku.

### Monitoring a observabilita

* **Latence** — cíl < 2 s na odpověď; alarm při > 5 s.  
* **Míra selhání validace** — cíl < 1 %; nárůst indikuje odklon v repozitáři politik.  
* **Spotřeba tokenů LLM** — sledovat náklady; aktivovat cache pro opakované otázky.

### Výkonnostní benchmarky

| Metrika | Manuální proces | Engine pro automatické mapování |
|--------|----------------|---------------------------------|
| Průměrná doba vyřízení otázky | 4,2 min | 1,3 s |
| Poměr opakovaně použitých důkazů* | 22 % | 78 % |
| Zátěž lidské revize | 30 % otázek | 4 % otázek |
| Náklady na dotazník (USD) | $12,40 | $1,75 |

\*Poměr opakovaně použitých důkazů měří, jak často stejný artefakt uspokojí více kontrol napříč rámci.

Engine poskytuje **≈ 86 % úsporu** manuální práce při zachování **audit‑grade validace 97 %**.

### Nejlepší praktiky pro udržitelné automatické mapování

1. **Udržujte CKG čerstvý** — naplánujte noční synchronizační úlohy, které stahují aktualizované knihovny kontrol z ISO, SOC a GDPR portálů.  
2. **Version‑Tagujte důkazy** — každý nahraný artefakt má mít semantickou verzi (např. `policy_v3.2.pdf`). Validator odmítne zastaralé odkazy.  
3. **Fine‑Tune LLM na doménová data** — použijte LoRA adaptér trénovaný na 5 k anonymizovaných odpovědí z dotazníků pro lepší tón souhlasu.  
4. **Implementujte RBAC** — omezte, kdo může schvalovat HITL přezkoumání; logujte každé schválení s ID uživatele a časovým razítkem.  
5. **Provádějte periodické drift testy** — náhodně vybírejte zodpovězené otázky, porovnejte je s lidsky vytvořenou referencí a vypočítejte BLEU/ROUGE skóre pro detekci regrese.

### Bezpečnost a soukromí

* **Datová rezidence** — nasazujte LLM endpoint ve stejné oblasti, kde je vaše úložiště politik, aby byly splněny požadavky na lokalizaci dat.  
* **Zero‑Knowledge Proof pro citlivé artefakty** — pro vysoce citlivé politiky může systém generovat kryptografický důkaz inkluze v CKG bez odhalení obsahu, využívající zk‑SNARKs.  
* **Differenciální soukromí** — při agregaci uživatelských měřítek přidejte kalibrovaný šum, aby nedošlo k úniku detailů konkrétních politik.

### Budoucí roadmapa

* **Multi‑Modal Evidence Support** — přidat OCR pro naskenované certifikáty a obrazové embeddingy pro diagramy sítí.  
* **Cross‑Tenant Federated Graph** — umožnit odvětvovým konsorciím sdílet anonymizované mapování ekvivalencí kontrol při zachování proprietárních důkazů každého člena.  
* **Continuous Regulatory Feed** — real‑time ingest nových regulací (např. AI Act), které automaticky vytvoří nové uzly v grafu a spustí retrénink promptu pro LLM mapování.

## Závěr

Engine pro automatické mapování důkazů poháněný AI transformuje oblast souladu z **reaktivního, manuálního úzkého místa** na **proaktivní, datově řízenou službu**. Sjednocením důkazů napříč SOC 2, ISO 27001, GDPR a dalšími rámci engine zkracuje dobu vyřízení dotazníků o více než 95 %, snižuje lidské chyby a poskytuje auditovatelnou stopu, která vyhovuje auditorům i regulátorům.

Nasazení EAME v Procurize poskytuje bezpečnostním, právním i produktovým týmům jediný zdroj pravdy, uvolňuje je pro strategické řízení rizik a urychluje obchodní cykly SaaS firem.

## <span class='highlight-content'>Viz</span> také
- https://www.iso.org/standard/54534.html  
- https://www.aicpa.org/interestareas/frc/assuranceadvisory/pages/soc2.aspx  
- https://gdpr.eu/  
- https://www.nist.gov/cyberframework