
# Extrakce důkazů bez zásahu pomocí Document AI pro zabezpečenou automatizaci dotazníků

## Úvod

Bezpečnostní dotazníky — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), dodatky ke zpracování GDPR, hodnocení rizik dodavatelů — se staly úzkým hrdlem pro rychle rostoucí SaaS společnosti. Týmy stráví **30 % až 50 %** svého času bezpečnostních inženýrů jen hledáním správného důkazu, kopírováním do dotazníku a ručním potvrzením jeho relevance.  

**Extrakce důkazů bez zásahu** eliminuje ruční smyčku „vyhledat‑a‑vložit“ tím, že umožní **Document AI** engine načíst každý artefakt související s shodou, pochopit jeho význam a vystavit strojově čitelný graf důkazů, který lze dotazovat v reálném čase. V kombinaci s LLM‑orchestrovanou vrstvou odpovědí (např. Procurize AI) se celý životní cyklus dotazníku — od ingestování po doručení odpovědi — stane plně automatizovaným, auditovatelným a okamžitě aktuálním.

Tento článek pokrývá:

1. Základní architekturu pipeline pro extrakci důkazů bez zásahu.  
2. Klíčové AI techniky (OCR, layout‑aware transformery, sémantické označování, propojení napříč dokumenty).  
3. Jak začlenit ověřovací kontroly (digitální podpisy, hash‑based provenance).  
4. Integrační vzory s existujícími huby pro shodu.  
5. Výkonnostní čísla z praxe a doporučení nejlepších praktik.

> **Závěr:** Investicí do vrstvy důkazů postavené na Document‑AI mohou organizace zkrátit dobu zpracování dotazníků z **týdnů na minuty**, zatímco získají **auditní stopu důkazů**, které regulátoři důvěřují.

---

## 1. Proč tradiční správa důkazů selhává

| Problém | Manuální proces | Skrytý náklad |
|------------|----------------|-------------|
| **Objevování** | Prohledávání souborových sdílených úložišť, e‑mailových vláken, knihoven SharePoint. | 8–12 hodin na auditní cyklus. |
| **Správa verzí** | Hádanice; často se šíří zastaralé PDF. | Mezery v souladu, přepracování. |
| **Mapování kontextu** | Lidé mapují „policy‑X“ na „question‑Y“. | Nekonzistentní odpovědi, vynechané kontroly. |
| **Ověřování** | Spoléhání se na vizuální kontrolu podpisů. | Vysoké riziko manipulace. |

Tyto neefektivity pramení z toho, že se důkazy považují za **statické dokumenty** místo **strukturálních objektů znalostí**. Přechod na graf znalostí je první krok k automatizaci bez zásahu.

---

## 2. Architektonický návrh

Níže je Mermaid diagram zachycující end‑to‑end tok engine pro extrakci důkazů bez zásahu.

```mermaid
graph LR
    A["Služba ingestování dokumentů"] --> B["OCR & Layout Engine"]
    B --> C["Sémantický extraktor entit"]
    C --> D["Graf znalostí důkazů"]
    D --> E["Ověřovací vrstva"]
    E --> F["LLM Orchestrátor"]
    F --> G["UI/ API dotazníku"]
    subgraph Úložiště
        D
        E
    end
```

**Klíčové komponenty vysvětleny:**

| Komponenta | Role | Hlavní technologie |
|-----------|------|--------------------|
| **Služba ingestování dokumentů** | Načítá PDF, DOCX, obrázky, diagramy draw.io z úložišť, CI pipeline nebo uživatelských nahrávek. | Apache NiFi, AWS S3 EventBridge |
| **OCR & Layout Engine** | Převádí rastrové obrázky na prohledávatelný text, zachovává hierarchický layout (tabulky, nadpisy). | Tesseract 5 + Layout‑LM, Google Document AI |
| **Sémantický extraktor entit** | Identifikuje politiky, kontroly, názvy dodavatelů, data, podpisy. Generuje embeddingy pro downstream párování. | Layout‑aware Transformers (např. LayoutLMv3), Sentence‑BERT |
| **Graf znalostí důkazů** | Ukládá každý artefakt jako uzel s atributy (typ, verze, hash, mapování na shodu). | Neo4j, GraphQL‑lite |
| **Ověřovací vrstva** | Připojuje digitální podpisy, počítá SHA‑256 hashe, ukládá neodvolatelný důkaz v blockchain ledgeru nebo WORM úložišti. | Hyperledger Fabric, AWS QLDB |
| **LLM Orchestrátor** | Načítá relevantní uzly důkazů, sestavuje narativní odpovědi, provádí citace ve stylu odkazování. | OpenAI GPT‑4o, LangChain, Retrieval‑Augmented Generation |
| **UI/ API dotazníku** | Front‑end pro bezpečnostní týmy, portály dodavatelů nebo automatizované API volání. | React, FastAPI, OpenAPI spec |

---

## 3. Hloubkový pohled: Od PDF ke grafu znalostí

### 3.1 OCR + Layout Awareness

Standardní OCR ztrácí **tabulkovou logiku**, která je klíčová pro mapování „Control ID“ na „Implementation Detail“. Layout‑LM modely přijímají jak vizuální tokeny, tak poziční embeddingy, čímž zachovávají původní strukturu dokumentu.

```python
from transformers import LayoutLMv3Processor, LayoutLMv3ForTokenClassification

processor = LayoutLMv3Processor.from_pretrained("microsoft/layoutlmv3-base")
model = LayoutLMv3ForTokenClassification.from_pretrained("custom/evidence-ner")
inputs = processor(images, documents, return_tensors="pt")
outputs = model(**inputs)
```

Model vrací entity tagy jako `B-POLICY`, `I-POLICY`, `B-CONTROL`, `B-SIGNATURE`. Trénováním na kurátorském shodovém korpusu (SOC 2 reporty, ISO 27001 dodatky, smluvní klauzule) dosahujeme **F1 > 0.92** na neviděných PDF.

### 3.2 Sémantické označování a embedding

Každá extrahovaná entita je vektorizována pomocí fine‑tuned Sentence‑BERT modelu, který zachycuje regulační sémantiku. Výsledné embeddingy jsou uloženy v grafu jako **vektorové vlastnosti**, což umožňuje **přibližné vyhledávání sousedů**, když se dotazník ptá: „Uveďte důkaz o šifrování dat v klidovém stavu.“

```python
from sentence_transformers import SentenceTransformer

embedder = SentenceTransformer('all-MiniLM-L6-v2')
vector = embedder.encode("AES‑256 šifrování pro všechna úložiště")
```

### 3.3 Konstrukce grafu

```cypher
MERGE (e:Evidence {id: $doc_hash})
SET e.title = $title,
    e.type = $type,
    e.version = $version,
    e.embedding = $embedding,
    e.createdAt = timestamp()
WITH e
UNWIND $mappings AS map
MATCH (c:Control {id: map.control_id})
MERGE (e)-[:PROVES]->(c);
```

Každý uzel `Evidence` je spojen s konkrétními uzly `Control`, které splňuje. Tento **orientovaný okraj** umožňuje okamžitý průchod od položky dotazníku k podpořujícímu artefaktu.

---

## 4. Ověřování a neměnný provenance

Audity požadují **prokazatelnost**. Po ingestování důkazu:

1. **Generování hash** — vypočítá se SHA‑256 původního binárního souboru.  
2. **Digitální podpis** — bezpečnostní manažer podepíše hash pomocí X.509 certifikátu.  
3. **Zápis do ledgeru** — uloží se `{hash, signature, timestamp}` do neměnného ledgeru.

```javascript
const crypto = require('crypto');
const hash = crypto.createHash('sha256').update(fileBuffer).digest('hex');
// Sign with private key (PKCS#12)
```

Během generování odpovědi LLM načte důkaz a připojí citační blok:

```
Důkaz: Policy‑A.pdf (SHA‑256: 3f5a…c8e2) – Podepsáno CFO, 2025‑10‑12
```

Regulátoři mohou nezávisle ověřit hash oproti nahranému souboru, čímž se zajistí **zero‑trust** přístup k důkazům.

---

## 5. LLM‑orchestrované generování odpovědí

LLM získá **strukturovaný prompt**, který zahrnuje:

- Text dotazníku.  
- Seznam kandidátních ID důkazů získaných pomocí vektorové podobnosti.  
- Ověřovací metadata.

```markdown
**Otázka:** "Popište svůj proces reakce na incidenty týkající se úniku dat."
**Kandidáti na důkaz:**
1. Incident_Response_Playbook.pdf (Control: IR‑01)
2. Run‑Book_2025.docx (Control: IR‑02)
**Ověření:** Všechny soubory podepsány a hash‑ově ověřeny.
```

Pomocí **Retrieval‑Augmented Generation (RAG)** model sestaví stručnou odpověď a **automaticky vloží citace**. Tento přístup zaručuje:

- **Přesnost** (odpovědi jsou zakotveny ve verify‑ovaných dokumentech).  
- **Konzistenci** (stejný důkaz se používá ve více dotaznících).  
- **Rychlost** (latence pod sekundu na otázku).

---

## 6. Integrační vzory

| Integrace | Jak to funguje | Výhody |
|-------------|----------------|----------|
| **CI/CD gate pro shodu** | Krok v pipeline spouští ingest službu při každém commitu změny politiky. | Okamžitá aktualizace grafu, žádný drift. |
| **Hook ticketovacího systému** | Při vytvoření nového ticketu dotazníku systém volá LLM Orchestrator API. | Automatizované ticketové odpovědi, méně ručního třídění. |
| **SDK portálu dodavatele** | Exponuje endpoint `/evidence/{controlId}`; externí dodavatelé mohou získat aktuální hash důkazů. | Transparentnost, rychlejší onboarding dodavatelů. |

Všechny integrace používají kontrakty definované v **OpenAPI**, což zaručuje jazykovou nezávislost.

---

## 7. Reálný dopad: Čísla z pilotu

| Metrika | Před automatizací | Po implementaci |
|--------|-------------------|-----------------|
| Průměrná doba vyhledání důkazu | 4 hodiny na dotazník | 5 minut (auto‑retrieval) |
| Manuální úpravy | 12 hodin na audit | < 30 minut (LLM‑generované) |
| Nesoulad verzí důkazů | 18 % odpovědí | 0 % (hash‑ověřování) |
| Skóre důvěry auditorů (1‑10) | 6 | 9 |
| Úspora nákladů (FTE) | 2,1 FTE za čtvrtletí | 0,3 FTE za čtvrtletí |

Pilot zahrnoval **3 SOC 2 Type II** a **2 ISO 27001** interní audity napříč SaaS platformou s **200+** politickými dokumenty. Graf důkazů narostl na **12 k uzlů**, zatímco latence vyhledávání zůstala pod **150 ms** na dotaz.

---

## 8. Kontrolní seznam nejlepších praktik

1. **Standardizujte pojmenování** – Používejte jednotné schéma (`<typ>_<systém>_<datum>.pdf`).  
2. **Uzamkněte verze souborů** – Ukládejte nezměnitelné snapshoty v WORM úložištích.  
3. **Udržujte autoritu podpisů** – Centralizujte privátní klíče v hardwarových bezpečnostních modulech (HSM).  
4. **Doladěte NER modely** – Pravidelně retrénujte na nově ingestovaných politikách pro zachycení měnící se terminologie.  
5. **Monitorujte zdraví grafu** – Nastavte alarmy pro „osamělé“ uzly (bez okrajů kontrol).  
6. **Auditujte ledger** – Plánujte čtvrtletní kontrolu hash podpisů vůči zdrojovým souborům.

---

## 9. Budoucí směřování

- **Multimodální důkazy** — rozšíření pipeline o screenshoty, architektonické diagramy a video‑walkthroughy s využitím vision‑LLM.  
- **Federované učení** — umožnit více organizacím sdílet anonymizované embeddingy entit, čímž se zlepší přesnost NER bez odhalení proprietárního obsahu.  
- **Samoopravující se kontroly** — spouštět automatické aktualizace politik, když graf detekuje chybějící důkaz pro nově požadovanou kontrolu.  

Tyto inovace posunou extrakci důkazů bez zásahu z **zvýšení produktivity** na **dynamický engine shody**, který se vyvíjí společně s regulačními požadavky.

---

## Závěr

Extrakce důkazů bez zásahu převádí úzké hrdlo shody na **kontinuální, auditovatelný, AI‑řízený workflow**. Převodem statických dokumentů na bohatě provázaný graf znalostí, kryptografickým ověřením každého artefaktu a spojením grafu s LLM orchestrátorem mohou společnosti:

- Odpovídat na bezpečnostní dotazníky **během minut**, ne dnů.  
- Poskytnout **neporušitelný důkaz**, který uspokojí auditory.  
- Snížit manuální práci a uvolnit bezpečnostní týmy k strategickému řízení rizik.

Přijetí Document AI pro správu důkazů již není jen „nice‑to‑have“ — stává se **základním standardem** pro každou SaaS organizaci, která chce zůstat konkurenčnější v roce 2025 a dále.

---

## Další zdroje

- [Pochopení Retrieval‑Augmented Generation pro shodu](https://arxiv.org/abs/2302.00784)  
- [Hyperledger Fabric: Budování neměnných ledgerů pro důkazy](https://www.hyperledger.org/use/fabric)  
- [LayoutLMv3: Porozumění dokumentům pomocí vision‑language transformerů](https://arxiv.org/abs/2204.08387)