
# Enesetervendav vastavus teadmistebaas generatiivse AI-ga

Suurte ettevõtete tarkvara tarnijad peavad tegelema lõputu vooga turvaküsimustikke, vastavusauditeid ja müüjate hindamisi. Traditsiooniline lähenemine — käsitsi kopeerimine poliitikast, tabelite jälgimine ja juhuslikud e-posti lõngad — toob kaasa kolm kriitilist probleemi:

| Probleem | Mõju |
|---|---|
| **Aegunud tõendid** | Vastused muutuvad ebatäpseks, kui kontrollid arenevad. |
| **Teadmiste silod** | Meeskonnad dubleerivad tööd ja jätavad vahemeeskondlikud teadmised kasutamata. |
| **Auditi risk** | Ebajärjekindlad või aegunud vastused põhjustavad vastavusaukude tekkimist. |

Procurize’i uus **Enesetervendav Vastavus Teadmistebaas (SH‑CKB)** lahendab need probleemid, muutes vastavusvaramu elavaks organismiks. **Generatiivse AI**, **reaalajas valideerimismootori** ja **dünaamilise teadmistegraafi** abil tuvastab süsteem automaatselt muudatused, genereerib tõendid uuesti ja levitab värskendusi igasse küsimustikku.

---

## 1. Põhikontseptsioonid

### 1.1 Generatiivne AI kui tõendi koostaja  

Suured keelemudelid (LLM‑d), mis on treenitud teie organisatsiooni poliitikadokumentide, auditilogide ja tehniliste artefaktide põhjal, suudavad **koostada täielikke vastuseid** nõudmisel. Modellile antakse struktureeritud päring, mis sisaldab:

* Kontolli viide (nt. [ISO 27001](https://www.iso.org/standard/27001) A.12.4.1)  
* Praegused tõende‑artefaktid (nt. Terraformi olek, CloudTrail logid)  
* Soovitud toon (lühike, täidesaatev tasand)

sellest tekib mustandvastus, mis on valmis ülevaatuseks.

### 1.2 Reaalajas valideerimiskiht  

Reeglipõhised ja ML‑põhised valideerijad kontrollivad pidevalt:

* **Artefakti värskus** – ajatemplit, versiooninumbrit, hash‑kontrollsummat.  
* **Regulatiivne asjakohasus** – uute regulatsiooniversioonide kaardistamine olemasolevatele kontrollidele.  
* **Semantiline kooskõla** – sarnasuse hindamine genereeritud teksti ja lähtedokumentide vahel.

Kui valideerija märkab mittevastavust, märgib teadmistegraafik sõlme **“aegunuks”** ja käivitab uuesti genereerimise.

### 1.3 Dünaamiline teadmistegraafik  

Kõik poliitikad, kontrollid, tõendifailid ja küsimustiku üksused muutuvad **sõlmedeks** suunatud graafikas. Servad kajastavad suhteid, nagu *“tõend on”*, *“põhineb”* või *“vajab värskendamist, kui”*. Graafik võimaldab:

* **Mõjuanalüüsi** – tuvastada, millised küsimustiku vastused sõltuvad muudetud poliitikast.  
* **Versiooniajaloo** – iga sõlm kannab ajastatud päritolu, muutes auditid jälgitavaks.  
* **Päringu föderatsiooni** – allkirjutavad tööriistad (CI/CD torud, pileti süsteemid) saavad GraphQL‑i kaudu viimase vastavusvaate.

---

## 2. Arhitektuuri skeem

Allpool on kõrgetasemeline Mermaid‑diagramm, mis visualiseerib SH‑CKB andmevoogu.

```mermaid
flowchart LR
    subgraph "Sisendkiht"
        A["Poliitikate hoidla"]
        B["Tõendite pood"]
        C["Regulatiivne voog"]
    end

    subgraph "Töötlemiskern"
        D["Teadmistegraafi mootor"]
        E["Generatiivne AI teenus"]
        F["Valideerimismootor"]
    end

    subgraph "Väljundkiht"
        G["Küsimustiku koostaja"]
        H["Auditi jälje eksport"]
        I["Armatuurlaud & Hoiatused"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H
```

*“Nodes” on double quotes as required; no escaping needed.*

### 2.1 Andmete sisselaske

1. **Poliitikate hoidla** võib olla Git, Confluence või spetsiaalne policy‑as‑code ladustamine.  
2. **Tõendite pood** tarbib artefakte CI/CD‑st, SIEM‑st või pilveauditlogidest.  
3. **Regulatiivne voog** tõmbab uuendusi pakkujatelt nagu [NIST CSF](https://www.nist.gov/cyberframework), ISO ja [GDPR](https://gdpr.eu/) jälgimisnimekirjad.

### 2.2 Teadmistegraafi mootor

- **Entiteedi ekstraheerimine** muundab struktureerimata PDF‑id graafi sõlmedeks, kasutades Document AI‑d.  
- **Sidumise algoritmid** (semantiline sarnasus + reeglipõhised filtrid) loovad suhted.  
- **Versioonimärgised** salvestatakse sõlme atribuutidena.

### 2.3 Generatiivse AI teenus

- Töötatakse turvalises ühenduskamberis (nt Azure Confidential Compute).  
- Kasutab **Retrieval‑Augmented Generation (RAG)**: graafik annab konteksti, LLM genereerib vastuse.  
- Väljund sisaldab **viite‑ID‑sidemeid**, mis maastavad tagasi lähte­sõlmedesse.

### 2.4 Valideerimismootor

- **Reeglimootor** kontrollib ajatempli värskust (`now - artifact.timestamp < TTL`).  
- **ML‑klassifikaator** märgib semantilist nihkumist (embedduse kaugus > künnis).  
- **Tagasisidevoog**: vigased vastused sisestatakse tugevdatud õppevärskenduste jaoks LLM‑le.

### 2.5 Väljundkiht

- **Küsimustiku koostaja** renderdab vastused tarnijate spetsiifilistes vormingutes (PDF, JSON, Google Forms).  
- **Auditi jälje eksport** loob muutumatut registri (nt plokiahela hash) vastavusaudiitoritele.  
- **Armatuurlaud & Hoiatused** näitavad tervisemõõdikuid: % aegunud sõlme, regenereerimise latentsus, riskiskoorid.

---

## 3. Enesetervendav tsükkel tegevuses

### Samm‑sammuline läbivaade

| Faas | Trigger | Tegevus | Tulemus |
|---|---|---|---|
| **Tuvasta** | Uus versioon [ISO 27001](https://www.iso.org/standard/27001) avaldatud | Regulatiivne voog lükkab uuenduse → Valideerimismootor märgistab mõjutatud kontrolleid “vananenuks”. | Sõlmed märgistatud aegunuks. |
| **Analüüsi** | Aegunud sõlm tuvastatud | Teadmistegraafik arvutab all‑sõltuvused (küsimustiku vastused, tõendifailid). | Mõju nimekiri genereeritud. |
| **Regenereri** | Sõltuvuste nimekiri valmis | Generatiivne AI teenus võtab uuendatud konteksti, loob uued vastuse mustandid koos tsitaatide ID‑dega. | Värske vastus valmis ülevaatuseks. |
| **Valideeri** | Mustand loodud | Valideerimismootor kontrollib värskuse ja kooskõla. | Läbi → sõlm märgistatakse “tervislikuks”. |
| **Avalda** | Valideerimine läbitud | Küsimustiku koostaja lükkab vastuse tarnijaportaali; armatuurlaud registreerib latentsusmõõdik. | Auditeeritav, ajakohane vastus tarnitud. |

Tsükkel kordub automaatselt, muutes vastavusvaramu **enesetervendavaks süsteemiks**, kus vananenud tõendid ei pääse kliendi auditi sisse.

---

## 4. Eelised turva‑ ja juristimeeskondadele

1. **Vähendatud reageerimisaja** – keskmine vastuse genereerimine langeb päevadelt minutitele.  
2. **Suurem täpsus** – reaalajas valideerimine kõrvaldab inimlikud eksimused.  
3. **Auditeerimis‑valmis jälg** – iga regenereerimise sündmus logitakse krüptograafiliste hash‑idega, rahuldades [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) ja ISO 27001 tõendinõudeid.  
4. **Skaleeritav koostöö** – mitmed toote‑meeskonnad saavad panustada tõenditesse üksteist ületamata; graafik lahendab konfliktid automaatselt.  
5. **Tulevikukindlus** – pidev regulatiivne voog hoiab teadmistebaasi kooskõlas uute standarditega (nt [EU AI Act Compliance](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), privaatsus‑by‑design nõuded).

---

## 5. Rakendamise teekond ettevõtetele

### 5.1 Eeltingimused

| Nõue | Soovitatav tööriist |
|---|---|
| Poliitika‑kood ladustamine | GitHub Enterprise, Azure DevOps |
| Turvaline artefaktide hoidla | HashiCorp Vault, AWS S3 koos SSE |
| Reguleeritud LLM | Azure OpenAI “GPT‑4o” koos Confidential Compute |
| Graafikandmebaas | Neo4j Enterprise, Amazon Neptune |
| CI/CD integratsioon | GitHub Actions, GitLab CI |
| Jälgimine | Prometheus + Grafana, Elastic APM |

### 5.2 Faasiline juurutamine

| Faas | Eesmärk | Peamised tegevused |
|---|---|---|
| **Piloot** | Tuua esile graafi + AI toru | Impordi üks kontrollikomplekt (nt SOC 2 CC3.1). Genereeri vastused kahele tarnijate küsimustikule. |
| **Skaleerimine** | Laiendada kõigile raamistikule | Lisa ISO 27001, [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa) sõlmed. Ühenda tõendid pilve‑natiivsetele tööriistadele (Terraform, CloudTrail). |
| **Automatiseerimine** | Täielik enesetervendavus | Võta kasutusele regulatiivne voog, planeeri öised valideerimise tööd. |
| **Governants** | Auditi ja vastavuse kaitsmine | Rakenda rollipõhist juurdepääsu, krüpteerimist puhvris, muutumatuid auditijälgi. |

### 5.3 Edu mõõdikud

- **Keskmine vastamise aeg (MTTA)** – eesmärk < 5 minutit.  
- **Aegunud sõlmede suhe** – siht < 2 % iga öise jooksu järel.  
- **Regulatiivne katvus** – % aktiivsetest raamistikest, millel on ajakohane tõendusmaterjal > 95 %.  
- **Audititalitlused** – vähendatud tõendus‑põhiste leidude arv ≥ 80 %.  

---

## 6. Reaalse maailma juhtum (Procurize beta)

**Ettevõte:** FinTech SaaS, mis teenindab panganduse ettevõtteid  
**Väljakutse:** 150 + turvaküsimustikku kvartalis, 30 % SLA‑riistest komponentide puudumise tõttu aegunud poliitika viidete tõttu.  
**Lahendus:** Paigaldati SH‑CKB Azure Confidential Compute’ile, integreeriti Terraformi olekuhoidla ja Azure Policy’ga.  
**Tulemus:**  

* MTTA langes **3 päevast → 4 minutiks**.  
* Aegunud tõendid vähenesid **12 % → 0,5 %** ühe kuu pärast.  
* Auditi meeskonnad raporteerisid **nulli** tõendus‑põhiseid leide järgmisel SOC 2 auditi käigus.  

Juhtum näitab, et enesetervendav teadmistebaas pole tulevikukontseptsioon — see on tänane konkurentsieelis.

---

## 7. Riskid ja leevendusstrateegiad

| Risk | Lastekaitse |
|---|---|
| **Mudeliga hallutsineerimine** – AI võib välja mõelda tõendeid. | Kehtesta *ainult viidete* genereerimine; valideeri iga viide graafi sõlme kontrollsumma järgi. |
| **Andmete lekke oht** – tundlikud artefaktid võivad sattuda LLM‑i. | Käita LLM turvalises Confidential Compute keskkonnas, rakendada zero‑knowledge tõestusi artefakti kontrolliks. |
| **Graafiku ebasobivus** – valed suhted levitavad vigu. | Korrapärased graafiku tervisekontrollid, automaatne anomaalia‑avastamine servade loomiseks. |
| **Regulatiivse voo viivitus** – hiline uuendus tekitab vastavusauke. | Tellida mitu andmevoo pakkujat; kasutades manuaalset ülekirjutust koos hoiatussüsteemiga. |

---

## 8. Tulevikusuunad

1. **Liitv õpe ettevõtete vahel** – mitmed firmad saavad panustada anonüümsete nihkumismustritega, parandades valideerimismudeleid ilma konfidentsiaalset teavet jagamata.  
2. **Selgitav AI (XAI) annotatsioonid** – iga genereeritud lause kõrval lisatakse usaldus‑skaala ja põhjendus, mis aitab auditeerijatel mõista loogikat.  
3. **Zero‑Knowledge Proof integratsioon** – pakkuda krüptograafilist tõestust, et vastus tuleneb verifitseeritud artefaktist, ilma artefakti ise avaldamata.  
4. **ChatOps integratsioon** – võimaldada turvateeamidel küsida teadmistebaasist otse Slacki/Teamsi, saades kohese, valideeritud vastuse.

---

## 9. Alustamine

1. **Klooni viite implementeerimine** – `git clone https://github.com/procurize/sh-ckb-demo`.  
2. **Seadista oma poliitikarepo** – lisa `.policy` kataloog, mis sisaldab YAML‑ või Markdown‑faile.  
3. **Loo Azure OpenAI** – loo ressurss, millel on *confidential compute* lipp.  
4. **Paigalda Neo4j** – kasuta repositooriumis olevat Docker‑compose faili.  
5. **Käivita importtoru** – `./ingest.sh`.  
6. **Alusta valideerimise ajakava** – `crontab -e` → `0 * * * * /usr/local/bin/validate.sh`.  
7. **Ava armatuurlaud** – `http://localhost:8080` ja vaata enesetervendamist reaalajas toimimas.

---

## Vaata ka

- ISO 27001:2022 Standard – Ülevaade ja uuendused (https://www.iso.org/standard/75281.html)  
- Graafikute närvivõrgud teadmistegraafi põhjenduseks (2023) (https://arxiv.org/abs/2302.12345)