
# AI-põhine automatiseeritud ISO 27001 kontrollide kaardistamine turvaküsimustikute jaoks

Turvaküsimustikud on kitsaskoht võrgutöö riskihindamistes. Audiitorid nõuavad tihti tõendeid selle kohta, et SaaS‑pakkuja vastab [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) nõuetele, kuid õige kontrolli leidmiseks, toetava poliitika ekstraheerimiseks ja lühikese vastuse sõnastamiseks kuluv käsitsi töö võib venida päevadeks. Uus AI‑põhiste platvormide põlvkond muudab selle paradigmi **reaktiivsetest, inimtööga intensiivsetest** protsessidest **ennustavaks, automatiseeritud** töövoogudeks.

Selles artiklis tutvustame **esmast tüüpi mootorit**, mis:

1. **Sööb sisse kogu ISO 27001 kontrollide komplekti** ja kaardistab iga kontroli organisatsiooni sisemise poliitikarepositooriumiga.  
2. **Loob teadmiste graafi**, mis seob kontrolid, poliitikad, tõendusmaterjalid ja sidusrühmade omanikud.  
3. **Kasutab Retrieval‑Augmented Generation (RAG) torujuhet**, et luua küsimustikule vastused, mis on *vastav, kontekstuaalne ja ajakohane*.  
4. **Tuvastab poliitika driftid reaalajas**, käivitades automaatse uuendamise, kui kontrolli allikas muutub.  
5. **Pakub madala koodiga kasutajaliidest** auditoritele, et genereeritud vastuseid enne esitust täpsustada või kinnitada.  

Allpool õpite arhitektuursete komponentide, andmevoo, aluseks olevate AI‑tehnikate ning varajastes pilootides täheldatud mõõdetavate eeliste kohta.

---

## 1. Miks ISO 27001 kontrollide kaardistamine on oluline

[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) pakub universaalselt tunnustatud raamistikku teabe turvalisuse haldamiseks. Selle **Lisand A** sisaldab 114 kontrolli, millest igaühel on alukohtade ja rakendusjuhised. Kui kolmanda osapoole turvaküsimustik küsib näiteks:

> “Kirjeldage, kuidas haldate krüptograafilist võtmeelu tsüklit (Control A.10.1).”

peab turvateam ning leidma vastava poliitika, ekstraheerima konkreetse protsessi kirjelduse ja kohandama selle küsimustiku sõnastusele. Seda korrata mõneteist kontrolli kohta mitmes küsimustikus loob:

* **Korduv töö** – identsed vastused kirjutatakse iga päringu korral ümber.  
* **Ebaühtlane keel** – väikesed sõnastuselt erinevused võivad tõlgendada lünkadena.  
* **Vana tõendusmaterjal** – poliitikad arenevad, kuid küsimustiku mustandid jäävad sageli muutumatuks.  

ISO 27001 kontrollide kaardistamine korduvkasutatavate vastuse fragmentideks automatiseerides kõrvaldab need probleemid massiliselt.

---

## 2. Põhitarhitektuuri ülevaade

Mootor põhineb kolmel sambal:

| Põhimõte | Eesmärk | Peamised tehnoloogiad |
|----------|---------|-----------------------|
| **Kontroll‑Poliitika Teadmiste Graafik** | Normaliseerib ISO 27001 kontrollid, sisemised poliitikad, artefaktid ja omanikud päringute jaoks sobivaks graafikuks. | Neo4j, RDF, Graph Neural Networks (GNN) |
| **RAG‑Vastuse Generatsioon** | Toob esile kõige asjakohasema poliitikatekstijupi, täiendab seda kontekstiga ja genereerib viimistletud vastuse. | Retrieval (BM25 + Vector Search), LLM (Claude‑3, Gemini‑Pro), Prompt Templates |
| **Poliitika driftide tuvastamine & automaatne värskendamine** | Jälgib allikapoliitikaid muutuste suhtes, käivitab genereerimise uuesti ja teavitab sidusrühmi. | Change Data Capture (CDC), Diff‑Auditing, Event‑Driven Pub/Sub (Kafka) |

Allpool on Mermaid‑diagramm, mis visualiseerib andmevoogu sisestamisest vastuse kohaletoimetamiseni.

```mermaid
graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer
```

*Kõik sõlme nimed on topelt jutumärkides, nagu Mermaid'i süntaks nõuab.*

---

## 3. Kontroll‑Poliitika Teadmiste Graafi ehitamine

### 3.1 Andmemudel

* **Kontrolli Sõlmed** – iga ISO 27001 kontroll (nt “A.10.1”) muutub sõlmeksi atribuutidega: `title`, `description`, `reference`, `family`.  
* **Poliitika Sõlmed** – sisemised turvapoliitikad imporditakse Markdown‑, Confluence‑ või Git‑põhistest repositooriumitest. Atribuudid: `version`, `owner`, `last_modified`.  
* **Tõendusmaterjali Sõlmed** – viited auditilogidele, konfiguratsioonisõnumitele või kolmandate osapoolte sertifikaatidele.  
* **Omamine‑Eedge** – `MANAGES`, `EVIDENCE_FOR`, `DERIVES_FROM`.  

Graafi skeem võimaldab SPARQL‑laadseid päringuid, näiteks:

```cypher
MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1
```

### 3.2 GNN rikastamine

Graafineuronivõrk treenitakse ajalooliste küsimustike‑vastuse paaride põhjal, et õppida **semantilist sarnasuse skoori** kontrollide ja poliitikafragmentide vahel. See skoor salvestatakse serva atribuudina `relevance_score`, mis parandab oluliselt täpsemat tõmbamist lihtsa märksõnaotsingu asemel.

---

## 4. Retrieval‑Augmented Generation torujuhe

### 4.1 Tõmbamise etapp

1. **Märksõnaotsing** – BM25 poliitikateksti üle.  
2. **Vektortõmbamine** – Sentence‑Transformers'ite põhised embeddingud semantilise sobivuse jaoks.  
3. **Hübriid‑järjestus** – Kombineerib BM25 ja GNN `relevance_score` linearise segamisega (α = 0.6 semantilisele, 0.4 leksikaalsele).  

Parimad‑k (tavaliselt 3) poliitika tsitaadi fragmenti saadetakse LLM‑ile koos küsimustiku promptiga.

### 4.2 Prompt‑insenerlus

**Dünaamiline prompt‑mall** kohandub kontrolli perekonnaga:

```
You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.
```

LLM täidab kohatäitjad tõmmatud fragmentidega ja toodab **viidetega rikastatud mustandi**.

### 4.3 Järeltöötlus

* **Faktikontrolli kiht** – Kerge verifitseerija käivitab teise LLM‑sammu, et tagada kõigi väidete paikapidavus tõmmatud tekstis.  
* **Redigeerimisfilter** – Tuvastab ja peidab kõik konfidentsiaalsed andmed, mida ei tohiks avaldada.  
* **Vormindusmoodul** – Konverteerib väljundi küsimustiku eelistatud märgistuse (HTML, PDF või lihttekst) vormingusse.

---

## 5. Reaalajas poliitika driftide tuvastamine

Poliitikad harva püsivad muutumatult. **Change Data Capture (CDC) ühendus** jälgib lähtehoidlat commitide, merge'ide või kustutamiste suhtes. Kui muutus puudutab ISO‑kontrolliga seotud sõlme, siis driftidetektor:

1. Arvutab **diff‑hashi** vana ja uue poliitika fragmentide vahel.  
2. Saadab **drift‑sündmuse** Kafka teemale `policy.drift`.  
3. Käivitab RAG‑torujuhtme, et uuesti genereerida mõjutatud vastused.  
4. Saadab **teavituse** poliitika omanikule ja analüütikute armatuurlauale ülevaatamiseks.  

See suletud tsükkel tagab, et iga avaldatud küsimustiku vastus on kooskõlas viimaste sisemiste kontrollidega.

---

## 6. Kasutajakogemus: Analüütiku armatuur

UI esitab **rahulolematute küsimuste ristsõlme** värvikoodiga staatusega:

* **Roheline** – Vastus genereeritud, drift puudub, valmis eksportimiseks.  
* **Kollane** – Hiljutine poliitika muutus, uuendamine ootel.  
* **Punane** – Vajalik inimlik ülevaade (nt ebamäärane poliitika või redigeerimisviip).  

Funktsioonid:

* **Ühe‑klõpsuga eksport** PDF‑i või CSV‑faili.  
* **Otse‑redigeerimine** erijuhul.  
* **Versiooniajalugu**, mis näitab täpset poliitikaversiooni, mida iga vastuse loomisel kasutati.  

Lühike videodemo (platvormi sees) näitab tüüpilist töövoogu: kontrolli valimine, automaatselt loodud vastuse ülevaatamine, kinnitamine ja eksportimine.

---

## 7. Kvantifitseeritud äriline mõju

| Mõõdik | Enne automatiseerimist | Pärast automatiseerimist (piloot) |
|--------|-----------------------|-----------------------------------|
| Keskmine vastuse loomise aeg | 45 min kontrolli kohta | 3 min kontrolli kohta |
| Kogu küsimustiku läbilöök (täielik) | 12 päeva | 1,5 päeva |
| Vastuse kooskõla skoor (sisemine audit) | 78 % | 96 % |
| Poliitika driftide latentsus (aeg värskendada) | 7 päeva (käsitsi) | < 2 tundi (automaat) |

Piloot teostati keskmise suurusega SaaS‑ettevõttes (~250 töötajat), vähendades turvateami iganädalast töökoormust **≈ 30 tundi** ning elimineerides 4 suurt compliance‑intsidenti, mis tulenesid vananenud vastustest.

---

## 8. Turvalisus‑ ja valitsemisküsimused

* **Andmete paiknemine** – Kõik teadmiste‑graafi andmed püsivad organisatsiooni privaatse VPC sees; LLM‑inferenz toimub kohapeal või spetsiaalsel privaatpilve lõpp-punktil.  
* **Ligipääsukontroll** – Rollipõhised õigused piiravad, kes saavad poliitikaid muuta, generatsiooni käivitada või genereeritud vastuseid vaadata.  
* **Auditijälg** – Iga vastuse mustand salvestab krüptograafilise räsi, mis seob selle täpselt kasutatud poliitikaversiooniga, võimaldades auditeerimisel muutumatut verifitseerimist.  
* **Selgitatavus** – Armatuur näitab **jälgitavuse vaadet**, mis loetleb kasutatud poliitika tsitaadid ja relevantsus‑skoorid, rahuldades regulaatorite nõudeid AI‑vastutuse kohta.

---

## 9. Mootori laiendamine väljaspool ISO 27001

Kuigi prototüüp keskendub ISO 27001‑le, on arhitektuur **regulaatori‑agnostiline**:

* **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Trust Services Criteria** – Kaardistatakse sama graafi teistsuguste kontrolliperekondadega.  
* **[HIPAA](https://www.hhs.gov/hipaa/index.html) Security Rule** – Sisestatakse 18 standardit ja linkitakse tervishoiu‑spetsiifiliste poliitikatega.  
* **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)** – Ühendatakse kaardimaterjalidega, mis käsitlevad kaardipõhiseid andmeid.  

Uue raamistikku lisamine nõuab vaid kontrollikataloogi laadimist ja algsete servade loomist olemasolevate poliitika sõlmedega. GNN kohandub automaatselt, kui treeningpaare kogutakse.

---

## 10. Alustamise kontroll‑nimekiri

1. **Koguge ISO 27001 kontrollid** (laadige alla ametlik Annex A CSV).  
2. **Ekspordige sisemised poliitikad** struktureeritud formaadis (Markdown front‑matter‑versioonimine).  
3. **Halda teadmiste graafi** (Neo4j Docker‑pilt, eelseadistatud skeemiga).  
4. **Paigaldage RAG‑teenus** (Python FastAPI konteiner LLM‑lõpp‑punktiga).  
5. **Konfigureerige CDC** (Git‑hook või failisüsteemi vaatleja) driftidetektori toitmiseks.  
6. **Käivitage Analüütiku armatuur** (React front‑end, OAuth2 autentimine).  
7. **Käivitage piloot‑küsimustik** ja kohandage prompt‑mallid iteratiivselt.  

Selle teekonna järgides saavad enamik organisatsioone saavutada **täielikult automatiseeritud ISO 27001 kaardistamisvoo 4‑6 nädala jooksul**.

---

## 11. Tuleviku suunad

* **Föderatiivne õppimine** – Jagada anonüümseid kontroll‑poliitika embeddinguid partnerettevõtetega, et parandada relevantsus‑skaalaarseid ilma konfidentsiaalseid poliitikaid avaldamata.  
* **Multimodaalne tõendusmaterjal** – Kaasata diagrammid, konfiguratsioonifailid ja logi‑näited Vision‑LLM‑ide abil vastuste rikastamiseks.  
* **Generatiivsed compliance‑juhendmed** – Laiendada üksik‑küsimuse vastustest terviklike compliance‑narratiivide, tõendusmaterjalide tabelite ja riskihindamiste loomist.  

**Teadmiste graafide**, **RAG** ja **reaalajas driftide monitoorimise** sümbioos muutub uueks baasiks kõigile turvaküsimustike automatiseerimisele. Varajased kasutajad nautivad mitte ainult kiirust, vaid ka kindlust, et iga vastus on **jälgitav, ajakohane ja auditeeritav**.

---

## Vaata ka
- [ISO 27001 – Ametlik Annex A Kontrollid](https://www.iso.org/standard/54534.html)  
- [NIST SP 800‑53 Kaardistamine ISO 27001‑ga](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [Retrieval‑Augmented Generation: Tehnoloogiate ja rakenduste ülevaade](https://arxiv.org/abs/2302.01279)