
# Ontoloogia Põhine Prompt Engine Turvalisusküsimustike Harmoniseerimiseks

> **TL;DR** – Ontoloogia‑keskne prompt engine loob semantilise silla konfliktsete vastavusraamistike vahel, võimaldades generatiivsel AI‑l pakkuda ühtlasi, auditeeritavaid vastuseid igale turvalisusküsimustikule, säilitades kontekstuaalse relevantsi ja regulatiivse täpsuse.

---

## 1. Miks Vajalik On Uus Lähenemine

Turvalisusküsimustikud on SaaS‑tarnijatele suur kitsaskoht. Isegi selliste tööriistadega nagu Procurize, mis keskpunkti failid ja automatiseerivad töövood, sunnib *semantiline lõhe* eri standardite vahel turvaspesialiste, juristide ja arendajate meeskondi sama tõendusmaterjali mitu korda ümber kirjutama:

| Raamistik | Tüüpiline Küsimus | Näide Vastus |
|-----------|-------------------|--------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Kirjeldage oma andmete krüpteerimist puhkeolekus.* | “Kõik kliendiandmed on krüpteeritud AES‑256-ga…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Kuidas kaitsete salvestatud infot?* | “Kasutame AES‑256 krüpteerimist…” |
| **[GDPR](https://gdpr.eu/)** | *Selgitage isikuandmete tehnilisi kaitsemeetmeid.* | “Andmeid krüpteeritakse AES‑256-ga ning võtmeid vahetatakse kvartaalselt.” |

Kuigi aluseks olev kontroll on identne, erinevad sõnastus, ulatus ja tõendusnõuded. Olemasolevad AI‑torud lahendavad seda **prompt‑tuning‑iga iga raamistikuga**, mis muutub kiiresti mittesaadaval, kui standardite arv kasvab.

**Ontoloogia‑põhine prompt engine** lahendab probleemi juurtasandil: see loob **ühe, formaalse esitusviisi** vastavuskontseptsioonidest ning **kaardistab** iga küsimustiku keele selle jagatud mudeliga. AI‑le piisab ainult ühe “kanoonilise” prompti mõistmisest, samas kui ontoloogia võtab üle tõlkimise, versioonihalduse ja põhjendamise.

---

## 2. Arhitektuuri Põhikomponendid

Allpool on lahenduse kõrgetaseme vaade, esitatud Mermaid‑diagrammina. Kõik sõlme nimed on kujul topeltjutumärgid, nagu nõutud.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – Teadmusgraaf, mis hõlmab kontseptsioone (nt *krüpteerimine*, *ligipääsukontroll*), suhteid (*nõuab*, *pärandub*) ja jurisdiktsiooniparameetreid.  
2. **Framework Mappers** – Kerged adapterid, mis analüüsivad sisenevaid küsimustikke, tuvastavad vastavad ontoloogia sõlmed ja lisavad kindlustusväärtused.  
3. **Canonical Prompt Generator** – Koostab LLM‑ile ühe kontekstirikka prompti, kasutades ontoloogia normaliseeritud definitsioone ja seotud tõendeid.  
4. **LLM Inference Engine** – Iga generatiivne mudel (GPT‑4o, Claude 3 jms), mis toodab loomuliku keele teksti.  
5. **Answer Renderer** – Vormindab LLM‑i toorpildi vajaliku küsimustiku struktuuri (PDF, markdown, JSON).  
6. **Audit Trail Logger** – Salvestab kaardistamisotsused, prompti versiooni ja LLM‑i vastuse vastavuse ülevaatuseks ja tulevaseks treenimiseks.  
7. **Evidence Repository** – Hoidab poliitikadokumente, auditiaruandeid ja artefaktide linke, mida vastustes viidatakse.  
8. **Change Detection Service** – Jälgib standardite või sisepoliitikate uuendusi ning levitab muudatused automaatselt läbi ontoloogia.

---

## 3. Ontoloogia Ehitamine

### 3.1 Andmeallikad

| Allikas | Näidiselemendid | Ekstraktsioonimeetod |
|---------|-----------------|----------------------|
| **ISO 27001 Anex A** | “Krüptograafilised kontrollid”, “Füüsiline turvalisus” | Reeglipõhine parseldamine ISO klauslite põhjal |
| **SOC 2 Trust Services Criteria** | “Kättesaadavus”, “Konfidencialiteet” | NLP‑klassifikatsioon SOC‑i dokumentide põhjal |
| **GDPR Recitals & Articles** | “Andmete minimeerimine”, “Õigus kustutamisele” | Entity‑relationship ekstraktsioon spaCy + kohandatud mustrid |
| **Sisemine Poliitikavaru** | “Ettevõtte Üldine Krüpteerimispoliitika” | Otsene import YAML/Markdown poliitikafailidest |

Iga allikas panustab *kontseptsioonisõlmed* (C) ja *suhteenumbereid* (R). Näiteks **“AES‑256”** on *tehnika* (C), mis **rakendab** kontrolli “Andmete puhkeoleku krüpteerimine” (C). Lingid on märgistatud päritolu (allikas, versioon) ja kindlustusväärtusega.

### 3.2 Normaliseerimisreeglid

Korduste vältimiseks normaliseeritakse kontseptsioonid:

| Toortermin | Normaliseeritud Vorm |
|------------|----------------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (alam tüüp `encryption_algorithm`) |

Normaliseerimine toimub **sõnastik‑põhise hägususe sobitaja** abil, mis õpib inimese poolt kinnitatud kaardistustest.

### 3.3 Versioonihaldusstrateegia

Vastavusstandardid arenevad; ontoloogia kasutab **semantilist versiooniskeemi** (`MAJOR.MINOR.PATCH`). Kui lisandub uus klausel, tõuseb **minor**‑versioon, mis käivitab alloleva promptide ümberhindamise. Audit‑logi salvestab täpse ontoloogia versiooni iga vastuse puhul, võimaldades jälgitavust.

---

## 4. Promptide Generatsioon Praktikas

### 4.1 Küsimusest Ontoloogia Sõlme

Kui tarnija saab küsimuse nagu:

> *“Kas krüpteerite varukoopiad, mis on off‑site’is salvestatud?”*

**Framework Mapper** teeb sarnasuse otsingu ontoloogias ja tagastab sõlme `encryption_at_rest` kindlustusväärtusega 0,96. Samuti eraldab *qualifierid* (“varukoopiad”, “off‑site”) kui **atribuutide** silte.

### 4.2 Kanooniline Prompt Mall

Üks korduvkasutatav prompti mall (pseudo‑kood):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Mootor asendab kaardistatud ontoloogia sõlmed ja tõmbab hiljuti uuendatud tõendite URL‑id **Evidence Repository**‑st. Kuna aluseks olev kontroll on kõigi raamistikude jaoks sama, saab LLM‑le pakkuda **konsekventset konteksti**, välistades varieeruvuse, mis tuleneb sõnastuse erinevustest.

### 4.3 LLM‑i Väljundnäide

> **Vastus:** Jah, kõik off‑site varukoopiad on krüpteeritud AES‑256‑ga, kasutades iga varukoopia jaoks unikaalset võtit. Krüpteerimisvõtmeid hallatakse HSM‑i kaitstud lattu ning neid vahetatakse kvartaalselt.  
> **Toetavad Artefaktid:**  
> - *Varukoopia Krüpteerimispoliitika* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Võtmete Vahetuse Logi* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer** vormindab selle konkreetse küsimustiku kujundusse (nt tabeli lahter ISO‑le, vabatekstiline väli SOC 2‑le).

---

## 5. Kasu Traditsioonilise Prompt‑Tuning‑i Võrreldes

| Mõõdik | Traditsiooniline Prompt‑Tuning | Ontoloogia‑Põhine Mootor |
|--------|-------------------------------|---------------------------|
| **Skaleeritavus** | Üks prompt iga raamistiku kohta → lineaarne kasv | Üks kanoniline prompt → konstant |
| **Järjekindlus** | Erinevad sõnastused eri raamistike vahel | Ühtne vastus, mis pärineb ühest allikast |
| **Auditeeritavus** | Käsitsi prompti versioonide jälgimine | Automatiseeritud ontoloogia versioon + audit‑logi |
| **Kohanemisvõime** | Uuenduste korral tuleb mudelit treenida uuesti | Muudatuste tuvastamise teenus levitab muudatusi automaatselt läbi ontoloogia |
| **Hoolduskoormus** | Kõrge – kümnedes prompti failides | Madal – üks kaardistuskiht & teadmusgraaf |
| **Vastuskiirus** | Keskmine 7 s | Keskmine 2 s |
| **Vastuste Sarnasus** | BLEU‑skaala langeb | BLEU‑skaala tõus 18 % |

Reaalses testis Procurize’is vähendas ontoloogia‑mootor **keskmist vastuse genereerimise aega** 7‑st sekunders 2‑ks sekundiks, samal ajal parandades **raamistikevahelist sarnasust** (BLEU‑skaala kasv 18 %).

---

## 6. Rakendamise Näpunäited

1. **Alusta Väikeste Kontseptsioonidega** – Täida ontoloogia kõige levinumate kontrollidega (krüpteerimine, ligipääsukontroll, logimine) enne laienemist.  
2. **Kasutage Olemasolevaid Graafe** – Projektid nagu **Schema.org**, **OpenControl** ja **CAPEC** pakuvad valmis sõnavara, mida saab laiendada.  
3. **Graafikandmebaas** – Neo4j või Amazon Neptune võimaldavad keerukaid läbiviimiseid ja versioonihaldust tõhusalt.  
4. **Integreeri CI/CD** – Kohelda ontoloogia muudatused koodiga; käivita automaatsed testid, mis kontrollivad kaardistamise täpsust näidisküsimustike komplekti vastu.  
5. **Inimese‑tagasiside Tsükkel** – Paku UI, kus turvaspetsialistid saavad kaardistusi kinnitada või parandada, aidates häguse sobitaja täpsust.

---

## 7. Tuleviku Laiendused

- **Föderatiivne Ontoloogia Sünkroniseerimine** – Ettevõtted saavad jagada anonüümset osa oma ontoloogiatest, luues kogukonnakeskse vastavus-teadmusbaasi.  
- **Selgitav AI Kiht** – Lisab igale vastusele põhjendusgraafi, visualiseerides, kuidas konkreetsed ontoloogia sõlmed mõjutasid lõpptulemust.  
- **Zero‑Knowledge Proofi Integreerimine** – Kõrge regulaatori valdkondade jaoks saab sisestada zk‑SNARK tõendid, mis kinnitavad kaardistamise õigsust ilma tundliku poliitikateksti avaldamata.

---

## 8. Kokkuvõte

Ontoloogia‑põhine prompt engine tähistab paradigmas muutust turvalisusküsimustike automatiseerimisel. Koondades eri vastavusstandardid ühte versioonitud teadmusgraafi, saavad organisatsioonid:

- **Kaotada korduva käsitsitöö**, mis tekkis erinevate raamistikute vahel.  
- **Tagada vastuste järjekindluse ja auditeeritavuse**.  
- **Kiiresti kohaneda regulatiivsete muudatustega** minimaalse tehnilise koormusega.  

Kombineerides seda Procurize’i koostööplatvormiga, muutub turvaspetsialiste, juriste ja tootearendajaid võimekuseks reageerida tarnija hindamistele minutites, mitte päevades, ning muuta vastavus kulukast kulukusest konkurentsieeliseks.

---

## <span class='highlight-content'>Vaata</span> Lisaks

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Avatud lähtekoodiga poliitika‑kood ja vastavuse kontrollide definitsioonid.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Struktureeritud rünnakute tehnika taksonoomia, kasulik turvaontoloogiate loomisel.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Viimane versioon infoturbejuhtimise standardist.