
# Interaktiivne AI vastavuskontrolli liivakast turvaküsimustike jaoks

> **TL;DR** – Liivakasti platvorm võimaldab organisatsioonidel luua realistlikke küsimustiku väljakutseid, koolitada AI mudeleid nende põhjal ja kohe hinnata vastuste kvaliteeti, muutes turvaküsimustike käsitsi koormuse korduvaks, andmepõhiseks protsessiks.

---

## Miks liivakast on küsimustiku automatiseerimise puuduv lüli

Turvaküsimustikud on SaaS‑tarnijate jaoks “usaldusväravate” hoovrid. Siiski toetuvad enamik meeskondi ikka veel arvutustabelitele, e‑postiloenditele ja ad‑hoc kopeerimisele poliitikadokumentidest. Isegi võimsate AI‑mootorite olemasolu korral sõltub vastuste kvaliteet kolmest varjatud tegurist:

| Varjatud tegur | Tavaline valupunkt | Kuidas liivakast selle lahendab |
|---------------|--------------------|---------------------------------|
| **Andmekvaliteet** | Aegunud poliitikad või puuduvad tõendid viivad ebaselgete vastusteni. | Sünteetiline poliitika versioonihaldus võimaldab AI-d testida kõigi võimalike dokumendiseisundite vastu. |
| **Kontekstuaalne sobivus** | AI võib tekitada tehniliselt õigeid, kuid kontekstuaalselt sobimatuid vastuseid. | Simuleeritud müüja profiilid sunnivad mudelit kohandama tooni, ulatust ja riskijärjekorda. |
| **Tagasiside tsükkel** | Käsitsi ülevaatuse tsüklid on aeglased; vead korduvad tulevastes küsimustes. | Reaalajas skoorimine, selgitatavus ja mängulised juhendused sulgevad tsükli koheselt. |

Liivakast sulgeb need lüngad **suletud‑tsüklilise mänguväljakuga**, kus iga element – alates regulatiivsetest muutustest kuni ülevaataja kommentaarideni – on programmeeritav ja jälgitav.

---

## Liivakasti põhitektuur

Allpool on kõrgtaseme vool. Diagramm kasutab **Mermaid** süntaksit, mida Hugo automaatselt renderdab.

```mermaid
flowchart LR
    A["Sünteetiline müüja generaator"] --> B["Dünaamiline küsimustiku mootor"]
    B --> C["AI vastuse generaator"]
    C --> D["Reaalajas hindamise moodul"]
    D --> E["Selgitav tagasiside juhtpaneel"]
    E --> F["Teadmusgraafi sünkroon"]
    F --> B
    D --> G["Poliitika drift detektor"]
    G --> H["Regulatiivse sisendi tarbija"]
    H --> B
```

*Kõik sõlme märgendid on jutumärkides, et rahuldada Mermaidi nõudeid.*

### 1. Sünteetiline müüja generaator  
Loob realistlikke müüja personaale (suurus, tööstus, andmete asukoht, riskijärjekord). Atribuudid valitakse juhuslikult konfigureeritavast jaotusest, tagades laia stsenaariumide katvuse.

### 2. Dünaamiline küsimustiku mootor  
Toob kaasa viimased küsimustiku mallid (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)** jms) ning sisestab müüja‑spetsiifilised muutujad, luues **unikaalse küsimustiku eksemplari** iga käivitusega.

### 3. AI vastuse generaator  
Ümbritseb mis tahes LLM‑i (OpenAI, Anthropic või iseteenindus) **prompt‑malliga**, mis edastab sünteetilise müüja konteksti, küsimustiku ja praeguse poliitika reposti.

### 4. Reaalajas hindamise moodul  
Hindab vastuseid kolmel teljel:  
* **Vastavuse täpsus** – leksikaalne vaste poliitika teadmusgraafiga.  
* **Kontekstuaalne asjakohasus** – sarnasus müüja riskiprofiiliga.  
* **Narratiivi järjepidevus** – kooskõla mitme küsimuse vastustes.

### 5. Selgitav tagasiside juhtpaneel  
Kuvab kindlustuskoefitsiente, toob esile sobimatuid tõendeid ning pakub **soovitatavaid muudatusi**. Kasutajad saavad heaks kiita, tagasi lükata või taotleda uut genereerimist, luues pideva parendamise tsükli.

### 6. Teadmusgraafi sünkroon  
Iga heaks kiidetud vastus rikastab vastavuse teadmusgraafi, sidudes tõendid, poliitika lõigud ja müüjaatribuudid.

### 7. Poliitika drift detektor & Regulatiivse sisendi tarbija  
Jälgib väliseid vooge (nt **[NIST CSF](https://www.nist.gov/cyberframework)**, ENISA ja **[DPAs](https://www.dpocentre.com/what-is-a-dpa-and-why-do-you-need-one/)**). Kui ilmneb uus regulatsioon, käivitab see **poliitika versiooniuuenduse**, jooksutades automaatselt kõiki mõjutatud liivakasti stsenaariume.

---

## Esimese liivakasti eksemplari loomine

Allpool on samm‑sammult juhend. Käsud eeldavad Docker‑põhist juurutust; vajadusel saad asendada need Kubernetes‑manifestidega.

```bash
# 1. Klooni liivakasti repositoorium
git clone https://github.com/procurize/ai-compliance-sandbox.git
cd ai-compliance-sandbox

# 2. Käivita põhiteenused (LLM API puhversild, Graafi DB, Hindamismootor)
docker compose up -d

# 3. Laadi baas‑poliitikad (SOC2, ISO27001, GDPR)
./scripts/load-policies.sh policies/soc2.yaml policies/iso27001.yaml policies/gdpr.yaml

# 4. Loo sünteetiline müüja (Jaemüük SaaS, ELi andmete asukoht)
curl -X POST http://localhost:8080/api/vendor \
     -H "Content-Type: application/json" \
     -d '{"industry":"Retail SaaS","region":"EU","risk_tier":"Medium"}' \
     -o vendor.json

# 5. Loo müüjale küsimustiku eksemplar
curl -X POST http://localhost:8080/api/questionnaire \
     -H "Content-Type: application/json" \
     -d @vendor.json \
     -o questionnaire.json

# 6. Käivita AI vastuse generaator
curl -X POST http://localhost:8080/api/generate \
     -H "Content-Type: application/json" \
     -d @questionnaire.json \
     -o answers.json

# 7. Hinda ja saa tagasiside
curl -X POST http://localhost:8080/api/evaluate \
     -H "Content-Type: application/json" \
     -d @answers.json \
     -o evaluation.json
```

Ava `http://localhost:8080/dashboard` ja näed **reaalajas soojuskaarti** vastavusriskidest, **kindlustusliugurit** ja **selgitatavuse paneeli**, mis näitab täpselt, milline poliitika lõik madala skoori põhjuseks oli.

---

## Mängulised juhendused: õppimise muutmine võistluseks

Liivakasti üks armastatuimaid funktsioone on **Juhendamise edetabel**. Meeskonnad teenivad punkte:

* **Kiirus** – kogu küsimustiku vastamine benchmark‑aja jooksul.  
* **Täpsus** – kõrged vastavus skoorid (> 90 %).  
* **Parandamine** – driftide vähenemine järjekordsetel käivitustel.

Edetabel innustab tervislikku konkureerimist, pakkudes meeskondadele motivatsiooni promptide täpsustamist, poliitika tõendite rikastamist ja parimate tavade omaksvõttu. Lisaks toob süsteem esile **levinuimad ebaõnnestumise mustrid** (nt “Krüpteering‑at‑rest tõendi puudumine”) ja pakub sihitud koolitusmooduleid.

---

## Reaalsed eelised: varajaste kasutajate numbrid

| Mõõdik | Enne liivakasti | Pärast 90‑päevast liivakasti kasutuselevõttu |
|--------|----------------|--------------------------------------------|
| Keskmine küsimustiku läbiminekuaeg | 7 päeva | 2 päeva |
| Käsitsi ülevaatustöö maht (tunnid) | 18 t per küsimustik | 4 t per küsimustik |
| Vastuse õigsus (kaaslase hindamine) | 78 % | 94 % |
| Poliitika drift avastamise viivitus | 2 nädalat | < 24 tundi |

Liivakast ei lühenda mitte ainult reageerimisaega, vaid loob **elava tõendirepositooriumi**, mis kasvab koos organisatsiooniga.

---

## Liivakasti laiendamine: plug‑in arhitektuur

Platvorm põhineb **mikroteenuste “plug‑in” mudelil**, mis võimaldab lihtsat laiendamist:

| Plug‑In | Näidis kasutusjuur |
|---------|-------------------|
| **Kohandatud LLM wrapper** | Asenda vaikemudel domeenipõhise fine‑tuned LLM‑iga. |
| **Regulatiivse sisendi liides** | Tõmba ELi DPA‑värskendused RSS‑i kaudu, kaardista need automaatselt poliitika lõikudele. |
| **Tõendite genereerimise robot** | Integreeri Document AI‑ga, et automaatselt PDF‑idest krüpteerimissertifikaadid ekstraheerida. |
| **Kolmanda osapoole ülevaatuse API** | Saada madala kindlusega vastused välistest auditeerijatest lisakinnituse saamiseks. |

Arendajad saavad oma plug‑ineid avaldada **Turult**, soodustades compliance‑inseneride kogukonda jagada taaskasutatavaid komponente.

---

## Turvalisus ja privaatsuse kaalutlused

1. **Zero‑Trust võrk** – Kõik teenused suhtlevad mTLS‑i üle; juurdepääsu juhib OAuth 2.0 ulatused.  
2. **Andmete krüpteerimine** – Püsiva salvestuse jaoks kasutatakse AES‑256; liikumisel kaitstakse andmeid TLS 1.3‑ga.  
3. **Auditeeritavad logid** – Iga genereerimis- ja hindamissündmus salvestatakse muutumatult **Merkle‑puu raamatukogusse**, võimaldades forensilist tagasijälitamist.  
4. **Privaatsust säilitavad poliitikad** – Reaalse tõendi sissevõtmisel lülita **diferentsiaalne privaatsus** sisse teadmusgraafile, et vältida tundlike väljade leket.

---

## Tuleviku teeplaan: liivakastast tootmiseks valmis autonoomseks mootoriks

| Kvartal | Eesmärk |
|--------|---------|
| Q1 2026 | **Eneseõppiv promptide optimeerija** – Reinforcement learning tsüklid täiustavad automaatselt promptide põhjal hindamisskoore. |
| Q2 2026 | **Organisatsioonidevaheline föderatiivne õpe** – Mitmed ettevõtted jagavad anonüümseid mudeliuuendusi vastuste genereerimise parandamiseks, paljastamata ärisaladusi. |
| Q3 2026 | **Reaalajas regulatiivse radari integratsioon** – Reaalajas märguanded voogavad otse liivakasti, käivitades automaatselt poliitika uuendamise simulatsioonid. |
| Q4 2026 | **Täielik CI/CD tsükkel vastavuse jaoks** – Lisa liivakasti käivitused GitOps torujuhtmetesse; uus küsimustiku versioon peab liivakasti läbitest saama enne liitmist. |

Need arengud muudavad liivakasti **koolimisväljakust** täiskõlbulikuks autonoomseks vastavusmasinaks, mis kohandub pidevalt muutuva regulatiivse maastikuga.

---

## Alustamine täna

1. **Külasta avatud‑lähtekoodi repositooriumi** – <https://github.com/procurize/ai-compliance-sandbox>.  
2. **Juuruta kohalik eksemplar** Docker Compose’iga (vaata kiirstarti skripti).  
3. **Kutsu oma turva‑ ja toote meeskonnad** käivitama “esimese käivitus” väljakutse.  
4. **Itera** – täiusta promptide täpsust, rikasta tõendeid, jälgi, kuidas edetabel üles ronib.

Muutes aeganõudva küsimustiku protsessi interaktiivseks, andmepõhiseks kogemuseks, võimaldab Interaktiivne AI Vastavuskontrolli Liivakast organisatsioonidel *vastata kiiremini, vastata täpsemalt ning püsida sammu ees regulatiivsete muutustega*.