
# Tablero Interactivo de Evidencias Basado en Mermaid para Auditorías de Cuestionarios en Tiempo Real

## Introducción  

Los cuestionarios de seguridad, auditorías de cumplimiento y evaluaciones de riesgo de proveedores han sido tradicionalmente cuellos de botella para las compañías SaaS de rápido crecimiento. Aunque la IA puede redactar respuestas en segundos, auditores y revisores internos siguen preguntando: *“¿De dónde proviene esa respuesta? ¿Ha cambiado desde la última auditoría?”* La respuesta reside en la **proveniencia de la evidencia**, es decir, la capacidad de rastrear cada respuesta hasta su origen, versión y cadena de aprobación.

La nueva pila de funcionalidades de Procurize introduce un **tablero interactivo Mermaid** que visualiza la proveniencia de la evidencia en tiempo real. El tablero está impulsado por un **Grafo de Conocimiento de Cumplimiento Dinámico (DCKG)**, sincronizado continuamente con repositorios de políticas, almacenes de documentos y fuentes externas de cumplimiento. Al renderizar el grafo como un diagrama Mermaid intuitivo, los equipos de seguridad pueden:

* **Navegar** por la genealogía de cada respuesta con un clic.  
* **Validar** la frescura de la evidencia mediante alertas automáticas de desviación de políticas.  
* **Exportar** instantáneas listas para auditoría que incorporan la visualización de proveniencia en los informes de cumplimiento.  

Las siguientes secciones desglosan la arquitectura, el modelo Mermaid, los patrones de integración y los pasos recomendados para su despliegue.

---

## 1. Por Qué la Proveniencia es Importante en los Cuestionarios Automatizados  

| Punto de Dolor | Solución Tradicional | Riesgo Residual |
|----------------|----------------------|-----------------|
| **Obsolescencia de la Respuesta** | Notas manuales de “última actualización” | Cambios de política no detectados |
| **Origen Opaco** | Notas al pie de página textuales | Los auditores no pueden verificar |
| **Caos de Control de Versiones** | Repositorios Git separados para documentos | Instantáneas inconsistentes |
| **Sobrecarga de Colaboración** | Hilos de correo para aprobaciones | Aprobaciones perdidas, trabajo duplicado |

La proveniencia elimina estas brechas al **vincular cada respuesta generada por IA a un nodo de evidencia único** en un grafo que registra:

* **Documento Fuente** (archivo de política, atestación de tercero, evidencia de control)  
* **Hash de Versión** (huella criptográfica que garantiza inmutabilidad)  
* **Propietario / Aprobador** (identidad humana o de bot)  
* **Marca de Tiempo** (hora UTC automática)  
* **Indicador de Deriva de Política** (generado automáticamente por el Motor de Deriva en Tiempo Real)

Cuando un auditor hace clic en una respuesta dentro del tablero, el sistema expande instantáneamente el nodo, revelando todos los metadatos anteriores.

---

## 2. Arquitectura Central  

A continuación se muestra un diagrama Mermaid de alto nivel del pipeline de proveniencia. El diagrama utiliza **etiquetas de nodo entre comillas dobles** como exige la especificación.

```mermaid
graph TD
    subgraph AI Engine
        A["LLM Answer Generator"]
        B["Prompt Manager"]
    end
    subgraph Knowledge Graph
        KG["Dynamic Compliance KG"]
        V["Evidence Version Store"]
        D["Drift Detection Service"]
    end
    subgraph UI Layer
        UI["Interactive Mermaid Dashboard"]
        C["Audit Export Service"]
    end
    subgraph Integrations
        R["Policy Repo (Git)"]
        S["Document Store (S3)"]
        M["External Compliance Feed"]
    end

    B --> A
    A --> KG
    KG --> V
    V --> D
    D --> KG
    KG --> UI
    UI --> C
    R --> V
    S --> V
    M --> KG
```

**Flujos clave**

1. **Prompt Manager** selecciona un prompt contextual que hace referencia a los nodos relevantes del KG.  
2. **LLM Answer Generator** produce una respuesta preliminar.  
3. La respuesta se **registra** en el KG como un nuevo *Nodo de Respuesta* con enlaces a los *Nodos de Evidencia* subyacentes.  
4. **Evidence Version Store** escribe un hash criptográfico de cada documento fuente.  
5. **Drift Detection Service** compara continuamente los hashes almacenados contra instantáneas de políticas en vivo; cualquier discrepancia marca automáticamente la respuesta para revisión.  
6. **Interactive Dashboard** consulta el KG mediante un endpoint GraphQL, generando código Mermaid en tiempo real.  
7. **Audit Export Service** empaqueta el SVG Mermaid actual, el JSON de proveniencia y el texto de la respuesta en un único paquete PDF.

---

## 3. Construcción del Tablero Mermaid  

### 3.1 Transformación de Datos a Diagrama  

La capa UI consulta el KG para un ID de cuestionario específico. La respuesta incluye una estructura anidada:

```json
{
  "questionId": "Q-101",
  "answer": "We encrypt data at rest using AES‑256.",
  "evidence": [
    {
      "docId": "policy-iso27001",
      "versionHash": "0x9f2c...",
      "approvedBy": "alice@example.com",
      "timestamp": "2025-11-20T14:32:00Z",
      "drift": false
    },
    {
      "docId": "cloud‑kbs‑report",
      "versionHash": "0x4c1a...",
      "approvedBy": "bob@example.com",
      "timestamp": "2025-09-05T09:10:00Z",
      "drift": true
    }
  ]
}
```

Un **renderizador del lado del cliente** convierte cada entrada de evidencia en un sub‑grafo Mermaid:

```mermaid
graph LR
    A["Answer Q‑101"] --> E1["policy‑iso27001"]
    A --> E2["cloud‑kbs‑report"]
    E1 -->|hash: 0x9f2c| H1["Hash"]
    E2 -->|hash: 0x4c1a| H2["Hash"]
    E2 -->|drift| D["⚠️ Drift Detected"]
```

La UI superpone indicadores visuales:

* **Nodo verde** – evidencia al día.  
* **Nodo rojo** – deriva detectada.  
* **Icono de candado** – hash criptográfico verificado.

> **Nota:** La referencia a *policy‑iso27001* se alinea con la norma ISO 27001 — para más detalles consulte la especificación oficial: [ISO 27001](https://www.iso.org/standard/27001).

### 3.2 Funcionalidades Interactivas  

| Funcionalidad | Interacción | Resultado |
|---------------|--------------|-----------|
| **Clic en Nodo** | Hacer clic en cualquier nodo de evidencia | Abre un modal con vista previa del documento, diferencias de versión y comentarios de aprobación |
| **Alternar Vista de Deriva** | Interruptor en la barra de herramientas | Resalta solo los nodos con `drift = true` |
| **Exportar Instantánea** | Pulsar el botón “Exportar” | Genera un paquete SVG + JSON de proveniencia para los auditores |
| **Buscar** | Escribir ID de documento o correo del propietario | Enfoca automáticamente el sub‑grafo coincidente |

Todas las interacciones se ejecutan **en el cliente**, evitando viajes adicionales al servidor. El código Mermaid subyacente se guarda en un `<textarea>` oculto para facilitar la copia/pega.

---

## 4. Integración de la Proveniencia en Flujos de Trabajo Existentes  

### 4.1 Puerta de Cumplimiento CI/CD  

Añada un paso en su pipeline que **falle la compilación** si alguna respuesta en la versión próxima tiene una bandera de deriva sin resolver. Ejemplo de GitHub Action:

```yaml
name: Evidence Provenance Gate
on: [pull_request]
jobs:
  provenance-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Drift Scanner
        run: |
          curl -s https://api.procurize.io/drift?pr=${{ github.event.pull_request.number }} \
          | jq '.drifted | length > 0' && exit 1 || exit 0
```

### 4.2 Alertas en Slack / Teams  

Configure el **Drift Detection Service** para enviar un fragmento Mermaid conciso a un canal cuando se detecte una deriva. Los bots compatibles renderizan automáticamente el fragmento, ofreciendo a los responsables de seguridad visibilidad instantánea.

### 4.3 Automatización de Revisión Legal  

Los equipos legales pueden añadir un borde **“Legal Sign‑Off”** a los nodos de evidencia. El tablero muestra entonces un icono de candado junto al nodo, indicando que la evidencia ha superado una lista de verificación legal.

---

## 5. Consideraciones de Seguridad y Privacidad  

| Preocupación | Mitigación |
|--------------|------------|
| **Exposición de Documentos Sensibles** | Almacene los documentos crudos en cubos S3 cifrados; el tablero solo muestra metadatos y hash, no el contenido del archivo. |
| **Manipulación de Datos de Proveniencia** | Utilice firmas estilo **EIP‑712** para cada transacción del grafo; cualquier modificación invalida el hash. |
| **Residencia de Datos** | Despliegue el KG y el almacén de evidencia en la misma región que sus datos de cumplimiento primarios (UE, US‑East, etc.). |
| **Control de Acceso** | Aproveche el modelo RBAC de Procurize: solo usuarios con `provenance:read` pueden ver el tablero; `provenance:edit` es necesario para aprobaciones. |

---

## 6. Impacto Real: Estudio de Caso  

**Empresa:** SecureFinTech Ltd.  
**Escenario:** Auditoría trimestral **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2/)** que requería evidencia para 182 controles de cifrado.  
**Antes del Tablero:** La recopilación manual tomó 12 días; los auditores cuestionaban la frescura de la evidencia.  
**Después del Tablero:**  

| Métrica | Línea Base | Con Tablero |
|---------|------------|-------------|
| Tiempo medio de respuesta | 4,2 horas | **1,1 horas** |
| Re‑trabajo por deriva | 28 % de respuestas | **3 %** |
| Puntuación de satisfacción del auditor (1‑5) | 2,8 | **4,7** |
| Tiempo para exportar paquete de auditoría | 6 horas | **45 minutos** |

La visualización de proveniencia redujo el tiempo de preparación de auditoría en **un 70 %** y las alertas automáticas de deriva ahorraron aproximadamente **160 horas‑persona al año**.

---

## 7. Guía de Implementación Paso a Paso  

1. **Habilitar la Sincronización del Grafo de Conocimiento** – Conecte su repositorio Git de políticas, almacén de documentos y fuentes externas de cumplimiento en la configuración de Procurize.  
2. **Activar el Servicio de Proveniencia** – Active “Versionado de Evidencia & Detección de Deriva” en la consola de administración de la plataforma.  
3. **Configurar el Tablero Mermaid** – Añada `dashboard.provenance.enabled = true` al archivo `procurize.yaml`.  
4. **Definir Flujos de Aprobación** – Utilice el “Constructor de Flujos” para adjuntar pasos “Legal Sign‑Off” y “Owner de Seguridad” a cada nodo de evidencia.  
5. **Capacitar a los Equipos** – Realice una demostración en vivo de 30 minutos que cubra la interacción con nodos, gestión de derivaciones y procedimientos de exportación.  
6. **Incrustar en Portales de Auditores** – Use el fragmento IFrame suministrado para alojar el tablero dentro de su portal de auditoría externo.  

```html
<iframe src="https://dashboard.procurize.io/q/2025-Q101"
        width="100%" height="800"
        style="border:none;"></iframe>
```

7. **Monitorizar Métricas** – Siga “Eventos de Deriva”, “Conteo de Exportaciones” y “Tiempo Promedio de Respuesta” en el panel de analíticas de Procurize para cuantificar el ROI.

---

## 8. Mejoras Futuras  

| Ítem de la Hoja de Ruta | Descripción |
|--------------------------|-------------|
| **Predicción de Deriva con IA** | Utilizar análisis de tendencias basado en LLM sobre los registros de cambios de política para anticipar derivaciones antes de que ocurran. |
| **Compartición de Proveniencia entre Inquilinos** | Modo KG federado que permite a compañías asociadas ver evidencia compartida sin exponer documentos crudos. |
| **Navegación por Voz** | Integrar con el Asistente de Voz de Procurize para que los revisores consulten “Muéstrame la fuente de la respuesta 34”. |
| **Colaboración en Tiempo Real** | Edición multi‑usuario simultánea de nodos de evidencia, con indicadores de presencia renderizados directamente en Mermaid. |

---

## 9. Conclusión  

El **tablero interactivo basado en Mermaid de Procurize para la proveniencia de evidencias** transforma el mundo opaco de la automatización de cuestionarios de seguridad en una experiencia transparente, auditada y colaborativa. Al combinar respuestas generadas por IA con un grafo de cumplimiento vivo, las organizaciones obtienen **visibilidad instantánea de la genealogía**, **mitigación automática de derivaciones** y **artefactos listos para auditoría**, todo sin sacrificar velocidad.

Adoptar esta capa visual de proveniencia no solo acorta los ciclos de auditoría, sino que también genera confianza entre reguladores, socios y clientes de que sus afirmaciones de seguridad están **respaldadas por evidencia inmutable y en tiempo real**.