
# AI‑kertomuksen johdonmukaisuustarkistin tietoturvakyselyille

## Johdanto

Yritykset vaativat yhä enemmän **nopeita, tarkkoja ja auditoitavia** vastauksia tietoturvakyselyihin, kuten [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) ja [GDPR](https://gdpr.eu/) -arviointeihin. Vaikka AI voi automaattisesti täyttää vastauksia, **kertomuksen taso** — selittävä teksti, joka yhdistää todisteet politiikkaan — on edelleen haavoittuva. Yksi ristiriita kahden toisiinsa liittyvän kysymyksen välillä voi nostaa punaisen lipun, käynnistää jatkokysymyksiä tai jopa johtaa sopimuksen purkamiseen.

**AI‑kertomuksen johdonmukaisuustarkistin (ANCC)** ratkaisee tämän kipupisteen. Käsittelemällä kyselyvastaukset **semanttina tietämysverktona**, ANCC tarkistaa jatkuvasti, että jokainen kertomuspätkä:

1. **Vastaa** organisaation valtuuttamiin politiikkalausekkeisiin.  
2. **Viittaa johdonmukaisesti** samaan todisteeseen liittyvissä kysymyksissä.  
3. **Säilyttää sävyn, ilmaisun ja sääntelyn tarkoituksen** läpi koko kyselymateriaalin.

Tämä artikkeli vie sinut läpi käsitteen, taustalla olevan teknologiapinon, vaiheittaisen toteutusoppaan sekä mitattavissa olevat hyödyt.
---

## Miksi kertomuksen johdonmukaisuus on tärkeää

| Oire | Liiketoiminnan vaikutus |
|------|--------------------------|
| Eriävä sanavalinta samalle kontrollille | Sekaannus auditoinneissa; lisääntynyt manuaalinen tarkastusaika |
| Epäjohdonmukaiset todisteviitteet | Puuttuvat dokumentit; suurempi noudattamisriski |
| Ristiriitaiset väitteet eri osioissa | Asiakaskonfidenssin menetys; pidemmät myyntisykli |
| Tarkistamaton poikkeama ajan myötä | Vanhentunut noudattamisasento; sääntelyrangaistuksia |

Tutkimus 500 SaaS‑toimittajan arvioinnista osoitti, että **42 % auditointiviiveistä** johtui suoraan kertomuksen epäjohdonmukaisuuksista. Näiden aukkojen automaattinen havaitseminen ja korjaaminen on siis korkean ROI‑mahdollisuuden kohde.

---

## ANCC:n ydinarkkitehtuuri

ANCC‑moottori koostuu kolmesta tiiviisti kytketystä kerroksesta:

1. **Poimintakerros** – Jäsentää raakakyselyvastaukset (HTML, PDF, markdown) ja poimii kertomuspätkät, politiikkaviitteet ja todisteiden ID:t.  
2. **Semanttinen kohdistuskerros** – Hyödyntää hienosäädettyä suurta kielimallia (LLM) upottaen jokaisen pätkän korkeadimensionaaliseen vektoritauluun ja laskee samankaltaisuuspisteet kanoniseen politiikkavarastoon nähden.  
3. **Johdonmukaisuuspäiväkerros** – Rakentaa tietämysverkko, jossa solmut edustavat kertomuspätkiä tai todisteita ja reunat kuvaavat “sama aihe”, “samainen todiste” tai “ristiriita” -suhteita.

Alla on korkean tason Mermaid‑kaavio, jossa visualisoidaan datavirta.

```mermaid
graph TD
    A["Raaka kyselysyöte"] --> B["Poimintapalvelu"]
    B --> C["Kertomusegmenttivarasto"]
    B --> D["Todisteviitetietovarasto"]
    C --> E["Upotusmoottori"]
    D --> E
    E --> F["Samankaltaisuuslaskuri"]
    F --> G["Johdonmukaisuuspäivärakentaja"]
    G --> H["Hälytys- ja suositus-API"]
    H --> I["Käyttöliittymä (Procurize-hallintapaneeli)"]
```

**Keskeiset seikat**

- **Upotusmoottori** käyttää alakohtaista LLM:ää (esim. GPT‑4‑variantti, joka on hienosäädetty noudattamiskielelle) luodakseen 768‑dimensiotisia vektoreita.  
- **Samankaltaisuuslaskuri** soveltaa kosinissimilariteettikynnystä (esim. > 0.85 “erittäin johdonmukainen”, 0.65‑0.85 “tarkistettavaa”).  
- **Johdonmukaisuuspäivärakentaja** hyödyntää Neo4j‑tietokantaa tai vastaavaa graafitietokantaa nopeisiin läpikäynteihin.

---

## Työnkulku käytännössä

1. **Kyselyn sisäänotto** – Turvallisuus‑ tai oikeustiimit lataavat uuden kyselyn. ANCC tunnistaa automaattisesti tiedostomuodon ja tallentaa raakasisällön.  
2. **Reaaliaikainen segmentointi** – Kun käyttäjät kirjoittavat vastauksia, poimintapalvelu erottelee jokaisen kappaleen ja merkitsee sen kysymys‑ID:llä.  
3. **Politiikka‑upotusvertailu** – Uusi segmentti upotetaan välittömästi ja verrataan pääpolitiikkakokoelmaan.  
4. **Graafin päivitys ja ristiriitojen havaitseminen** – Jos segmentti viittaa todisteeseen X, graafi tarkistaa kaikki muut solmut, jotka myös viittaavat X:ään, semanttisen yhdenmukaisuuden varmistamiseksi.  
5. **Välitön palaute** – Käyttöliittymä korostaa matalan johdonmukaisuuden pisteitä, ehdottaa muokattua ilmaisua tai täyttää johdonmukaisen kielen automaattisesti politiikkavarastosta.  
6. **Auditointipolun luonti** – Jokainen muutos lokitetaan aikaleimalla, käyttäjällä ja LLM‑luottamuspisteellä, jolloin syntyy ainoastaan muuttamaton auditointiloki.

---

## Toteutusopas

### 1. Valmistele auktoritatiivinen politiikkavarasto

- Tallenna politiikat **Markdown**‑ tai **HTML**‑muodossa, selkeillä osio‑ID:illä.  
- Merkitse jokainen kohta **metatiedoilla**: `regulation`, `control_id`, `evidence_type`.  
- Indeksoi varasto vektorivarastolla (esim. Pinecone, Milvus).

### 2. Hienosäädä LLM:n noudattamiskieltä varten

| Vaihe | Toimenpide |
|------|------------|
| Datan keruu | Kerää 10 k+ merkittyä K & V‑paria menneistä kyselyistä, poistamalla henkilötiedot. |
| Prompt‑suunnittelu | Käytä muotoa: `"Politiikka: {policy_text}\nKysymys: {question}\nVastaus: {answer}"`. |
| Koulutus | Aja LoRA‑adapterit (esim. 4‑bit kvantisointi) kustannustehokkaan hienosäädön saavuttamiseksi. |
| Arviointi | Mittaa **BLEU**, **ROUGE‑L** ja **semanttinen samankaltaisuus** pidetylle testidatalle. |

### 3. Käynnistä poiminta‑ ja upotuspalvelut

- Pakkaa molemmat palvelut **Docker**‑kontteihin.  
- Tarjoa REST‑rajapinta FastAPI:lla.  
- Käytä Kubernetesia horisontaaliseen pod‑skaalaamiseen, jotta kyselyn huippukuormat käsitellään.

### 4. Rakenna johdonmukaisuuspäivä

```mermaid
graph LR
    N1["Kertomussolmu"] -->|viittaa| E1["Todistesolmu"]
    N2["Kertomussolmu"] -->|ristiriidassa| N3["Kertomussolmu"]
    subgraph KG["Tietämysverkko"]
        N1
        N2
        N3
        E1
    end
```

- Valitse **Neo4j Aura** hallituksi pilvipalveluksi.  
- Määritä rajoitukset: `UNIQUE` solmun `id`:lle ja `evidence.id`:lle.

### 5. Integroi Procurize‑käyttöliittymä

- Lisää **sivupalkkivimpain**, joka näyttää johdonmukaisuuspisteet (vihreä = korkea, oranssi = tarkistettava, punainen = ristiriita).  
- Lisää **“Synkronoi politiikan kanssa”** –painike, joka täyttää suositellun ilmaisun automaattisesti.  
- Tallenna käyttäjän ohitukset **perustelukenttään**, jotta auditointikelpoisuus säilyy.

### 6. Aseta monitorointi ja hälytykset

- Vie **Prometheus‑mittarit**: `ancc_similarity_score`, `graph_conflict_count`.  
- Käynnistä **PagerDuty**‑hälytykset, kun ristiriitojen määrä ylittää määritetyn rajan.

---

## Hyödyt ja ROI

| Mittari | Odotettu parannus |
|--------|-------------------|
| Manuaalinen tarkistusaika per kysely | ↓ 45 % |
| Jatkokysymysten määrä | ↓ 30 % |
| Auditoijien läpäisyprosentti ensimmäisellä kerralla | ↑ 22 % |
| Aikayksikkö kaupan sulkemiseen | ↓ 2 viikkoa (keskiarvo) |
| Noudattamistiimin tyytyväisyys (NPS) | ↑ 15 pistettä |

Pilottihankkeessa keskikokoisessa (≈ 300 henkilöä) SaaS‑yrityksessä säästettiin **250 000 $** työvoimakustannuksissa kuuden kuukauden aikana sekä lyhennettiin myyntisykli keskimäärin **1,8 päivällä**.

---

## Parhaat käytännöt

1. **Pidä yksi totuuden lähde** – Varmista, että politiikkavarasto on ainoa auktoritatiivinen paikka; rajoita muokkausoikeudet.  
2. **Hienosäädä LLM uudelleen säännöllisesti** – Päivitä malli, kun sääntely kehittyy.  
3. **Hyödynnä ihmisen valvontaa (HITL)** – Alhaisen luottamuksen ehdotuksille (< 0.70 samankaltaisuus) vaadi manuaalinen vahvistus.  
4. **Versioi graafisnapsakat** – Tallenna tilannekuvat ennen suuria päivityksiä, jotta voit palauttaa ne tai tehdä rikostutkintaa.  
5. **Kunnioita tietosuojaa** – Maskeeraa kaikki henkilötiedot ennen LLM‑syöttöä; käytä paikallista inferenssiä jos laki sitä vaatii.

---

## Tulevaisuuden suuntaukset

- **Zero‑Knowledge‑Proof‑integraatio** – Mahdollistaa johdonmukaisuuden todistamisen paljastamatta raakatekstiä, täyttäen tiukat tietosuoja‑vaatimukset.  
- **Federatiivinen oppiminen asiakkaitten välillä** – Jakaa mallin parannuksia useiden Procurize‑asiakkaiden kesken pitäen jokaisen asiakkaan data paikallisesti.  
- **Automaattinen sääntelyn muutosten radar** – Yhdistää johdonmukaisuuspäivän reaaliaikaiseen sääntelyvirtaan, jolloin vanhentuneet politiikka‑segmentit merkataan automaattisesti.  
- **Monikielinen johdonmukaisuustarkistus** – Laajenna upotuskerros tukemaan ranskaa, saksaa, japania ym., jotta globaalit tiimit pysyvät linjassa.

---

## Yhteenveto

Kertomuksen johdonmukaisuus on hiljainen, mutta merkittävä tekijä, joka erottelee **hionnan, auditointivalmiin noudattamisohjelman** hauraasta, virhealttiista. AI‑kertomuksen johdonmukaisuustarkistimen (ANCC) integrointi Procurize‑kyselytyökulkuihin tuo **reaaliaikaisen validoinnin**, **auditointivalmiin dokumentaation** ja **nopeutetun kauppapyörimisen**. Moduulirakenne – poiminta, semanttinen kohdistus ja graafipohjainen johdonmukaisuus – tarjoaa skaalautuvan perustan, joka kehittyy sääntelyn ja AI‑kyvykkyyksien mukana.

Ota ANCC käyttöön jo tänään, ja muunna jokainen tietoturvakysely **luottamusta rakentavaksi keskusteluksi** eikä pullonkaulaksi.