
# Dünaamiline Teadmusgraafi Värskendamine Reaalajas Turvaküsimustiku Täpsuseks

Ettevõtted, mis müüvad SaaS‑lahendusi, seisavad pideva surve all vastata turvaküsimustikele, müüjate riskihindamistele ja vastavusauditidele. Vananenud‑andmete probleem – olukord, kus teadmusbaas kajastab juba muudetud regulatsiooni – põhjustab nädalate pikkuseid ümbertegemisi ja ohustab usaldusväärsust. **Procurize** lahendas selle väljakutsega, tutvustades **Dünaamilist Teadmusgraafi Värskendamise Mootorit (DG‑Refresh)**, mis pidevalt sisestab regulatiivseid muudatusi, sisemisi poliitikauuendusi ja tõendite artefakte ning levitab need ühtse vastavusgraafi kõigis osades.

Selles süvauuringus käsitleme:

* Miks on staatiline teadmusgraaf 2025. aastal risk.
* DG‑Refresh’i AI‑keskne arhitektuur.
* Kuidas reaalajas regulatiivne kaevandamine, semantiline sidumine ja tõendite versioonimine koos toimivad.
* Praktilised mõjud turvalisusele, vastavusele ja toote meeskondadele.
* Samm‑sammuline rakendusjuhend organisatsioonidele, kes soovivad dünaamilist graafi värskendamist kasutada.

## Probleem staatiliste vastavusgraafikutega

Traditsioonilised vastavusplatvormid salvestavad küsimustiku vastused eraldiseisvate ridadena, mis on seotud mõne poliitikadokumendiga. Kui ilmub uus versioon [ISO 27001](https://www.iso.org/standard/27001) või osariigi taseme privaatsusseadus, peavad meeskonnad käsitsi:

1. **Mõjutatud kontrollide tuvastamine** – sageli nädalate hiljem pärast muudatust.
2. **Poliitikate uuendamine** – kopeerimine‑kleepimine, inimese eksimuse oht.
3. **Küsimustiku vastuste ümberkirjutamine** – iga vastus võib viidata aegunud klauslitele.

Lekaus loob kolm peamist riski:

* **Regulatiivne mittetäitmine** – vastused ei kajasta enam õiguslikku minimaalsüsteemi.
* **Tõendite mitteseotus** – auditijäljed suunavad vananenud artefaktidele.
* **Läbirääkimiste takistused** – kliendid nõuavad tõendamist, saavad vananenud andmeid ja lepingu sõlmimine viibib.

Staatiline graaf ei suuda piisavalt kiiresti kohaneda, eriti kui regulaatorid liiguvad aastapõhisest avaldamisest **pideva avaldamise** (nt. GDPR‑laadne “dünaamilised suunised”) suunas.

## AI‑põhine lahendus: DG‑Refresh ülevaade

DG‑Refresh käsitleb vastavuskeskkonda kui **elavat semantilist graafi**, kus:

* **Sõlmed** tähistavad regulatsioone, sisemisi poliitikaid, kontrolle, tõendite artefakte ja küsimustiku ülesandeid.
* **Servad** kodeerivad seoseid: *“katab”*, *“rakendab”*, *“tõendatud‑poolt”*, *“versioon‑of”*.
* **Metaandmed** salvestavad ajatemplid, päritolu räsi ja usaldusväärsuse skoorid.

Mootor käivitab pidevalt kolme AI‑põhist andmevoogu:

| Andmevoog | Põhi‑AI tehnika | Väljund |
|-----------|------------------|----------|
| **Regulatiivne Kaevandamine** | Suurkeeleline mudel (LLM) kokkuvõte + nimetatud üksuste ekstraktsioon | Struktureeritud muutuse objektid (nt uus klausel, kustutatud klausel). |
| **Semantilise Kaardistamine** | Graafineurovõrgud (GNN) + ontoloogia joondamine | Uued või värskendatud servad, mis seovad regulatiivsed muutused olemasolevate poliitikasõlmedega. |
| **Tõendite Versioonimine** | Diff‑tundlik transformer + digitaalsed allkirjad | Uued tõendite artefaktid muutuva päritolu kirjega. |

Kokkukujunenud, need andmevood hoiavad graafi **alati‑värske**, ning mistahes alljärgnev süsteem – näiteks Procurize’i küsimustiku koostaja – tõmbab vastused otse graafi praegusest seisust.

### Mermaid Diagram of the Refresh Cycle

```mermaid
graph TD
    A["Regulatiivne voog (RSS / API)"] -->|LLM Extract| B["Muutuse objektid"]
    B -->|GNN Mapping| C["Graafi värskendamise mootor"]
    C -->|Versioned Write| D["Vastavus‑teadmusgraaf"]
    D -->|Query| E["Küsimustiku koostaja"]
    E -->|Answer Generation| F["Müüja küsimustik"]
    D -->|Audit Trail| G["Muutumatu raamatukogu"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style F fill:#bbf,stroke:#333,stroke-width:2px
```

*Kõik sõlme märgendid on topeltjutumärkides, nagu nõutud.*

## Kuidas DG‑Refresh töötab üksikasjalikult

### 1. Pidev regulatiivne kaevandamine

Regulaatorid pakuvad nüüd **masinloetavaid muutelogisid** (nt. JSON‑LD, OpenAPI). DG‑Refresh tellib need vood ja seejärel:

* **Lõikab toorteksti** libiseva akna tokeniseerijaga.
* **Esitab LLM‑ile** malliga, mis ekstraheerib klausli identifikaatorid, jõustumiskuupäevad ja mõju kokkuvõtted.
* **Kinnitab** ekstraheeritud üksused reeglipõhise matcheriga (nt. regex „§ 3.1.4”).

Tulemuseks on **Muutuse Objekt**, näiteks:

```json
{
  "source": "ISO27001",
  "section": "A.12.1.3",
  "revision": "2025‑02",
  "description": "Add requirement for encrypted backups stored off‑site.",
  "effective_date": "2025‑04‑01"
}
```

### 2. Semantiline kaardistamine ja graafi rikastamine

Kui Muutuse Objekt on loodud, käivitab **Graafi värskendamise mootor** GNN‑i, mis:

* **Embed‑dab** iga sõlme kõrge‑dimensioonilisse vektoriruumi.
* **Arvutab sarnasuse** uue regulatiivse klausli ja olemasolevate poliitiliste kontrollide vahel.
* **Automaatselt loob** või **kaalub ümber** servad nagu `covers`, `requires` või `conflicts‑with`.

Inimese‑kriitikud võivad UI‑s seost visualiseerides sekkuda, kuid süsteemi usaldusväärsuskorrad (0–1) määravad, millal automaatne heakskiit on turvaline (nt. > 0.95).

### 3. Tõendite versioonimine ja muutumatu päritolu

Vastavuse kriitiline osa on **tõend** – logi väljavõtted, konfiguratsioonipildid, kinnitused. DG‑Refresh jälgib **artefaktide hoidlaid** (Git, S3, Vault) uute versioonide suhtes:

* **Käivitab diff‑tundlikku transformeri**, et tuvastada sisulisi muudatusi (nt. uus konfiguratsioonirida, mis täidab just lisatud klauslit).
* **Genereerib krüptograafilise räsi** uuele artefaktile.
* **Salvestab artefakti metaandmed** **Muutumatu raamatukogu** (kerge plokiahela‑stiilis ainult‑lisamise logi) ning lingib selle graafi sõlmega.

See loob **ainsa tõe allika** auditoritele: “Vastus X pärineb Poliitikast Y, mis on seotud Regulatsiooniga Z, ning seda toetab Tõend H versioon 3, räsi …”.

## Kasud meeskondadele

| Huvigrupp | Otsene kasu |
|-----------|--------------|
| **Turvainsenerid** | Käsitsi kontrollide ümberkirjutamise puudumine; regulatiivse mõju hetkeline nähtavus. |
| **Juriidilised ja vastavus** | Auditeeritav päritolu ahel tagab tõendite terviklikkuse. |
| **Tootejuhid** | Kiired tehingutsüklid – vastused genereeritakse sekundites, mitte päevades. |
| **Arendajad** | API‑esimene graaf võimaldab integreerimist CI/CD torustikesse reaalajas vastavuse kontrollide jaoks. |

### Kvantitatiivne mõju (juhtumiuuring)

| Mõõdik | Enne | Pärast |
|--------|------|--------|
| Töötlusaja | 7 päeva | 4 tundi (≈ 98 % vähenemine) |
| Audititulemused | 3 mittetäitmist | 0 (kolme järjestikuse auditi jooksul) |
| Arendajate kokkuhoitud aeg | 320 tundi/aasta (≈ 8 nädalat) | – |

## Rakendamise juhend

Allpool on praktiline teekaart organisatsioonidele, kes soovivad omaenda dünaamilist graafi värskenduse torujuhtmeid üles ehitada.

### Samm 1: Andmete sissetuleku seadistamine

```goat
# Pseudokood regulatiivse voogude kogujale
while True:
    feed = fetch_api("https://regulatory.example.com/changes")
    for item in feed:
        store_raw(item, bucket="raw-regulatory")
    sleep(3600)  # päringu intervall tundides
```

*Vali sündmuspõhine platvorm (nt. AWS EventBridge, GCP Pub/Sub), et käivitada alljärgnev töötlus.*

### Samm 2: LLM‑i ekstraktsiooniteenuse juurutamine

* Kasuta hostitud LLM‑i (OpenAI, Anthropic) **struktureeritud promptimise mustriga**.
* Kapseldades kõne `serverless`‑funktsiooniks, mis annab välja JSON‑Muutuse Objektid.
* Säilita objektid **dokumendipoes** (MongoDB, DynamoDB).

### Samm 3: Graafi värskendamise mootori ehitamine

*Vali graafidebaas* – Neo4j, TigerGraph või Amazon Neptune.  
*Laadi olemasolev vastavus‑ontoloogia* (nt. NIST CSF, [ISO 27001](https://www.iso.org/standard/27001)).  
*Rakenda GNN* kasutades PyTorch Geometric või DGL:

```python
import torch
from torch_geometric.nn import GCNConv

class ComplianceGNN(torch.nn.Module):
    def __init__(self, in_channels, hidden):
        super().__init__()
        self.conv1 = GCNConv(in_channels, hidden)
        self.conv2 = GCNConv(hidden, hidden)

    def forward(self, x, edge_index):
        x = self.conv1(x, edge_index).relu()
        return self.conv2(x, edge_index)
```

*Kasuta mudelit uute Muutuse Objektide hindamiseks, genereeri sarnasuse skoorid ja kirjuta servad Cypher‑i või Gremlin‑i abil.*

### Samm 4: Tõendite versioonimise integreerimine

* Määra **Git‑hook** või **S3‑sündmus**, mis püüab kinni uued artefaktiversioonid.
* Käivita **diff‑model**, et klassifitseerida, kas muudatus on materiaalne.
* Kirjuta artefakti metaandmed ja räsi **Muutumatu raamatukogu** (nt. Hyperledger Besu, minimaalne gaasikulu).

### Samm 5: API avaldamine küsimustiku koostamiseks

Loo **GraphQL‑lõpppunkt**, mis lahendab:

* **Küsimus → Kaetud poliitika → Regulatsioon → Tõend** ahela.
* **Usaldusväärsuse skoor** AI‑suggestioonide jaoks.

Näide päringust:

```graphql
query GetAnswer($questionId: ID!) {
  questionnaireItem(id: $questionId) {
    id
    text
    answer {
      generatedText
      sourcePolicy { name version }
      latestEvidence { url hash }
      confidence
    }
  }
}
```

### Samm 6: Valitsemine ja inimese‑kaasamine (HITL)

* Määra **heakskiitukünnised** (nt. auto‑heakskiit kui usaldus > 0,97).
* Ehita **ülevaataarmistik**, kus vastavusjuhid saavad AI‑suggestioonide kinnitada või tagasi lükata.
* Logi iga otsuse **immutablile Ledger**‑i auditiseerimise läbipaistvuse tagamiseks.

## Tuleviku suunad

1. **Föderaalse graafi värskendus** – mitmed organisatsioonid jagavad regulaarselt muutuvat regulatiivset alagraafi, säilitades samal ajal oma spetsiifilised poliitikad privaatsetena.  
2. **Null‑teadmise tõendid** – tõendada, et vastus vastab regulatsioonile, ilma et avaldaks aluseks olevat tõendit.  
3. **Enesetervendavad kontrollid** – kui tõendiartefakt on kompromiteeritud, märgib graaf automaatselt mõjutatud vastused ja pakub parandamise juhiseid.

## Kokkuvõte

**Dünaamiline Teadmusgraafi Värskendamise Mootor** muudab vastavuse reaktiivseks, käsitsi tehtavaks protsessiks proaktiivseks, AI‑põhiseks teenuseks. Pideva regulatiivse kaevandamise, semantilise sidumise ja tõendite versioonimise kaudu saavutab organisatsioon:

* **Reaalajas täpsus** küsimustiku vastustes.  
* **Auditeeritav, muutumatu päritolu**, mis rahuldab auditorite nõudmisi.  
* **Kiiruse**, mis lühendab müügitsükleid ja vähendab riskiallikat.

Procurize’i DG‑Refresh demonstreerib, et turvaküsimustiku automatiseerimise järgmine piir pole lihtsalt AI‑genereeritud tekst – see on **elav, ise‑värskev teadmusgraaf**, mis hoiab kogu vastavusk ökosüsteemi reaalajas sünkroniseeritud.