
# Adaptatiivinen riskin kontekstointi toimittajien kyselylomakkeille reaaliaikaisen uhkatiedon avulla

Nopeasti kehittyvässä SaaS‑maailmassa jokainen toimittajan pyyntö turvallisuuskyselyyn on mahdollinen este kaupan päättämiselle. Perinteiset vaatimustenmukaisuustiimit käyttävät **tunteja**—joskus **päiviä**—manuaalisesti etsien oikeita politiikan lainauksia, tarkistaen viimeisimmät auditointiraportit ja ristiintarkistaen uusimmat turvallisuustiedotteet. Tulos on hidas, virhealtti prosessi, joka hidastaa myyntinopeutta ja altistaa yritykset vaatimustenmukaisuuden hiipymiselle.

Tässä astuu esiin **Adaptatiivinen riskin kontekstointi** (ARC), generatiivisen tekoälyn ohjaama kehys, joka **sisällyttää reaaliaikaisen uhkatiedon (TI) vastausten luontiputkeen**. ARC ei vain nouta staattista politiikkatekstiä; se **arvioi nykyisen riskimaiseman**, säätää vastausten muotoilua ja liittää mukaan ajantasaiset todisteet—kaikki ilman, että ihminen kirjoittaa yhtään riviä.

Tässä artikkelissa käsittelemme:

* Selitämme ARC:n keskeiset käsitteet ja miksi perinteiset pelkästään tekoälyyn perustuvat kyselytyökalut eivät riitä.
* Käymme läpi kokonaisarkkitehtuurin, keskittyen integraatiopisteisiin uhkatiedon syötteiden, tietägraafien ja LLM‑mallien kanssa.
* Esittelemme käytännön toteutusmallit, mukaan lukien **Mermaid‑kaavio** datavirrasta.
* Pohdimme turvallisuus-, auditoitavuus- ja vaatimustenmukaisuusvaikutuksia.
* Tarjoamme konkreettiset toimenpiteet tiimeille, jotka ovat valmiita ottamaan ARC:n käyttöön olemassa olevassa vaatimustenmukaisuusalustassa (esim. Procurize).

---

## 1. Miksi perinteiset tekoälyvastaukset jäävät tavoitteesta

Useimmat tekoälypohjaiset kyselyalustat perustuvat **staattiseen tietokantaan**—kokoelmaan politiikkoja, auditointiraportteja ja ennalta kirjoitettuja vastauspohjia. Vaikka generatiiviset mallit voivat parafrasoida ja yhdistellä näitä aineistoja, ne eivät omaa **tilannetietoisuutta**. Kaksi yleistä epäonnistumistapaa ovat:

| Epäonnistumistapa | Esimerkki |
|-------------------|----------|
| **Vanhentuneet todisteet** | Alusta viittaa pilvipalveluntarjoajan [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) -raporttiin vuodelta 2022, vaikka kriittinen valvonta poistettiin 2023 amendementissa. |
| **Kontekstin sokeus** | Asiakkaan kysely kysyy suojauksesta “haittaohjelmaa vastaan, joka hyödyntää CVE‑2025‑1234”. Vastaus viittaa yleiseen haittaohjelmien torjuntapolitiikkaan, mutta jättää huomiotta juuri paljastuneen CVE:n. |

Molemmat ongelmat heikentävät luottamusta. Vaatimustenmukaisuusviranomaiset tarvitsevat varmuuden siitä, että jokainen vastaus heijastaa **viimeisintä riskiasemaa** ja **nykyisiä sääntelyvaatimuksia**.

---

## 2. Adaptatiivisen riskin kontekstoinnin keskeiset pilarit

ARC nojaa kolmeen pilariin:

1. **Reaaliaikainen uhkatiedon syöte** – Jatkuva CVE‑syötteiden, haavoittuvuusbulletiinien ja toimialakohtaisten uhkasyötteiden (esim. ATT&CK, STIX/TAXII) keräys.
2. **Dynaaminen tietägraafi** – Graafi, joka yhdistää politiikkakohdat, todisteaineistot ja TI‑entiteetit (haavoittuvuudet, uhkatoimijat, hyökkäystekniikat) versioituneilla suhteilla.
3. **Generatiivinen kontekstimoottori** – Retrieval‑Augmented Generation (RAG) -malli, joka hakee kyselyn aikana relevantit graafin solmut ja koostaa vastauksen, jossa viitataan reaaliaikaisiin TI‑tietoihin.

Nämä komponentit toimivat **suljetussa palautesilmukassa**: uudet TI‑päivitykset laukaisevat automaattisesti graafin uudelleenarvioinnin, mikä puolestaan vaikuttaa seuraavaan vastausgenerointiin.

---

## 3. Kokonaisarkkitehtuuri

Alla on korkean tason Mermaid‑kaavio, joka havainnollistaa datavirtauksen uhkatiedon keruusta vastauksen toimittamiseen.

```mermaid
flowchart LR
    subgraph "Uhkasyötteen taso"
        TI["\"Reaaliaikainen TI‑syöte\""] -->|Ingest| Parser["\"Jäsennin & Normalisoija\""]
    end

    subgraph "Tietägraafin taso"
        Parser -->|Rikastaa| KG["\"Dynaaminen KG\""]
        Policies["\"Politiikka- & todistevarasto\""] -->|Linkittää| KG
    end

    subgraph "RAG‑moottori"
        Query["\"Kyselylomakkeen kehotus\""] -->|Hae| Retriever["\"Graafihaku\""]
        Retriever -->|Top‑K solmut| LLM["\"Generatiivinen LLM\""]
        LLM -->|Koosta vastaus| Answer["\"Kontekstualisoitu vastaus\""]
    end

    Answer -->|Julkaise| Dashboard["\"Vaatimustenmukaisuuspaneeli\""]
    Answer -->|Auditointiloki| Audit["\"Muutettava auditointiloki\""]
```

### 3.1. Uhkasyötteen keräys

* **Lähteet** – NVD, MITRE ATT&CK, toimittajien omat tiedotteet sekä räätälöidyt syötteet.
* **Jäsennin** – Normalisoi eri skeemat yhteiseksi TI‑ontologiaksi (esim. `ti:Vulnerability`, `ti:ThreatActor`).
* **Arviointi** – Antaa **riskipisteet** CVSS‑arvon, hyödyntämiskyvyn ja liiketoiminnallisen merkityksen perusteella.

### 3.2. Tietägraafin rikastaminen

* Solmut edustavat **politiikkakohdat**, **todisteaineistot**, **järjestelmät**, **haavoittuvuudet** ja **uhkatekniikat**.
* Reunat kuvaavat suhteita kuten `covers`, `mitigates`, `impactedBy`.
* **Versiointi** – Jokainen muutos (politiikan päivitys, uusi todiste, TI‑merkintä) luo uuden graafin tilakaappauksen, mikä mahdollistaa aikamatkakyselyt auditiota varten.

### 3.3. Retrieval‑Augmented Generation

1. **Kehoite** – Kyselylomakkeen kenttä muunnetaan luonnollisen kielen kyselyksi (esim. “Kuvaa miten suojaudumme ransomware‑hyökkäyksiltä, jotka kohdistuvat Windows‑palvelimiin”).
2. **Haku** – **Graafihaku** suorittaa **graafirakenteisen haun**, joka:
   * Löytää politiikat, jotka `mitigate` relevantit `ti:ThreatTechnique` -tapahtumat.
   * Hakee uusimmat todisteet (esim. päätepisteiden tunnistuslokit) jotka linkittyvät löydettyihin kontrolliin.
3. **LLM** – Vastaanottamat solmut kontekstina, yhdessä alkuperäisen kehotteen kanssa, ja tuottaa vastauksen, joka:
   * **Viittaa** tarkkaan politiikkakohtaan ja todiste‑ID:hen.
   * **Mainitsee** ajankohtaisen CVE:n tai uhkatekniikan CVSS‑arvon.
4. **Jälkikäsittely** – Muotoilee vastaus kyselyn malliin (markdown, PDF …) ja soveltaa **yksityisyysfilttereitä** (esim. sisäisten IP‑osoitteiden peittäminen).

---

## 4. ARC‑putken rakentaminen Procurizessa

Procurize tarjoaa jo **keskitetyn varaston**, tehtävienjako‑ominaisuudet ja integraatiokoukun. ARC:n sisällyttämiseksi:

| Vaihe | Toimenpide | Työkalut / API:t |
|------|------------|------------------|
| 1 | **Yhdistä TI‑syötteet** | Käytä Procurizen `Integration SDK`‑rajapintaa rekisteröidäksesi webhook‑pisteet NVD‑ ja ATT&CK‑virroille. |
| 2 | **Ota käyttöön graafitietokanta** | Asenna hallinnoitu Neo4j (tai Amazon Neptune) ja avaa GraphQL‑päätepiste Retriever‑moduulille. |
| 3 | **Luo rikastus‑jobit** | Aikatauluta yönä suoritettavat jobit, jotka ajavat jäsennintä, päivittävät graafin ja merkitsevät solmut `last_updated`‑aikaleimalla. |
| 4 | **Määrittele RAG‑malli** | Hyödynnä OpenAI:n `gpt‑4o‑r` Retrieval‑Pluginilla tai isännöi avoimen lähdekoodin LLaMA‑2 LangChain‑kirjastolla. |
| 5 | **Integroi kyselyyn UI‑puoleen** | Lisää “Generoi AI‑vastaus” -painike, joka käynnistää RAG‑työnkulun ja näyttää tuloksen esikatselussa. |
| 6 | **Auditointiloki** | Kirjoita generoitu vastaus, haetut solmut ja TI‑snapshot‑versio Procurizen muuttumattomaan lokiin (esim. AWS QLDB). |

---

## 5. Turvallisuus‑ ja vaatimustenmukaisuuskysymykset

### 5.1. Tietosuoja

* **Zero‑Knowledge‑haku** – LLM ei koskaan näe raakaa todisteaineistoa; vain johdettuja yhteenvedot (esim. hash, metadata) kulkevat malliin.
* **Tulosten suodatus** – Deterministinen sääntömoottori poistaa PII‑tiedot ja sisäiset tunnisteet ennen kuin vastaus lähetetään kysyjälle.

### 5.2. Selitettävyys

* Jokainen vastaus sisältää **jäljitettävyyspaneelin**:
  * **Politiikkakohta** – ID, viimeisin revision päivämäärä.
  * **Todiste** – Linkki tallennettuun artefaktiin, version hash.
  * **TI‑konteksti** – CVE‑ID, vakavuus, julkaisupäivä.

Sidosryhmät voivat klikkaa mitä tahansa elementtiä nähdäksensä taustadokumentin, mikä täyttää auditoijien **selitettävän tekoälyn** vaatimukset.

### 5.3. Muutoksenhallinta

Koska tietägraafi on versioitu, **muutos‑vaikutusanalyysi** voidaan suorittaa automaattisesti:

* Kun politiikkaa päivitetään (esim. uusi **[ISO 27001](https://www.iso.org/standard/27001)**‑kontrolli), järjestelmä tunnistaa kaikki kyselykentät, jotka aikaisemmin viittasivat muuttuneeseen kohtaan.
* Nämä kentät merkitään **uudelleengeneroinnin** tarpeeksi, jotta vaatimustenmukaisuuskirjasto ei koskaan horju.

---

## 6. Reaalimaailman vaikutus – nopea ROI‑laskelma

| Mittari | Manuaalinen prosessi | ARC‑ohjattu prosessi |
|--------|----------------------|----------------------|
| Keskimääräinen aika per kyselykenttä | 12 min | 1,5 min |
| Inhimillinen virheprosentti (väärä todiste) | ~8 % | <1 % |
| Auditointihavainnot vanhentuneista todisteista | 4 / vuosi | 0 |
| Aika uuden CVE:n (esim. CVE‑2025‑9876) sisällyttämiseen | 3‑5 päivää | <30 sekuntia |
| Katettavat sääntelykehykset | Pääasiassa SOC 2, ISO 27001 | SOC 2, ISO 27001, **[GDPR](https://gdpr.eu/)**, **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)**, HIPAA (valinnainen) |

Keskikokoiselle SaaS‑yritykselle, joka käsittelee **200 kyselypyyntöä neljännesvuodessa**, ARC voi säästää **≈400 työtuntia**, mikä vastaa **~120 000 $** (oletus 300 $/tunti). Lisäluottamus lyhentää myyntisyklit, mikä voi kasvattaa ARR:ää 5‑10 %.

---

## 7. Käyttöönotto 30  päivän suunnitelma

| Päivä | Välitavoite |
|------|--------------|
| 1‑5 | **Vaatimusworkshop** – Määritä kriittiset kyselykategoriat, olemassa oleva politiikka‑assetit ja suosikit TI‑syötteet. |
| 6‑10 | **Infrastruktuurin pystytys** – Provisionaa hallinnoitu tietägraafi, luo turvallinen TI‑keräysputki (käytä Procurizen salaisuuksien hallintaa). |
| 11‑15 | **Datamallin rakentaminen** – Karttaa politiikkakohdat `compliance:Control` -solmuihin; liitä todisteet `compliance:Evidence`. |
| 16‑20 | **RAG‑prototyyppi** – Rakenna LangChain‑ketju, joka hakee graafin solmut ja kutsuu LLM:ää. Testaa 5‑samplekysymyksellä. |
| 21‑25 | **UI‑integraatio** – Lisää “AI‑Generoi” -painike Procurizen kyselyeditoriin; upota selitettävyys‑paneeli. |
| 26‑30 | **Pilottiajot & arviointi** – Aja putki todellisilla toimittajakyselyillä, kerää palaute, hienosäädä haku‑painotukset ja viimeistele auditointiloki. |

Pilottijärjestelmän jälkeen laajenna ARC:ia kattamaan kaikki kyselyn tyypit (SOC 2, ISO 27001, GDPR, PCI‑DSS) ja aloita KPI‑parannusten mittaaminen.

---

## 8. Tulevaisuuden kehityssuunnat

* **Federatiivinen uhkatieto** – Yhdistä sisäiset SIEM‑hälytykset ulkoisten syötteiden kanssa “yrityskohtaisen” riskikontekstin luomiseksi.
* **Vahvistusoppimisen silmukka** – Palkitse LLM:n vastaukset, jotka saavat positiivista auditorin palautetta, parantaen ajan myötä muotoilua ja viittauksia.
* **Monikielinen tuki** – Lisää käännöskerroin (esim. Azure Cognitive Services) tuottamaan automaattisesti lokalisointi‑vastauksia globaalille asiakaskunnalle säilyttäen todisteiden eheys.
* **Zero‑Knowledge‑todistukset** – Tarjoa kryptografinen todiste siitä, että vastaus perustuu ajantasaiseen aineistoon paljastamatta raakadataa.

---

## 9. Yhteenveto

Adaptatiivinen riskin kontekstointi sulkee kuilun **staattisten vaatimustenmukaisuustietovarastojen** ja **aina muuttuvan uhkamaiseman** väliin. Yhdistämällä reaaliaikainen uhkatieto, dynaaminen tietägraafi ja kontekstitietoinen generatiivinen malli, organisaatiot voivat:

* Toimittaa **tarkkoja, ajantasaisia** kyselyvastauksia mittakaavassa.
* Säilyttää **täysin auditoitavan** todisteketjun.
* Nopeuttaa myyntisyklejä ja vähentää vaatimustenmukaisuuskustannuksia.

ARC:n toteuttaminen alustoissa kuten Procurize on nykyisin realistinen, korkean ROI:n investointi kaikille SaaS‑yrityksille, jotka haluavat pysyä vaatimustenmukaisuuden tarkastelun eturintamassa pitäen turvallisuusprofiilin läpinäkyvänä ja luotettavana.

---

## Katso myös
- [AWS QLDB – Muuttumaton loki auditointiin](https://aws.amazon.com/qldb/)