
# Dynaaminen tietämyskarttaan perustuva vaatimustenmukaisuuden skenaariosimulaatio

Nopeasti kehittyvässä SaaS‑maailmassa tietoturvakyselyt ovat tulleet esteeksi jokaiselle uudelle sopimukselle. Tiimit kilpailevat ajan kanssa, etsivät todisteita, sovittavat ristiriitaisia käytäntöjä ja laativat vastauksia, jotka tyydyttävät sekä tarkastajia että asiakkaita. Vaikka platformit kuten Procurize automatisoivat jo vastausten hakua ja tehtävien reititystä, seuraava kehitysvaihe on **proaktiivinen valmistautuminen** — ennustaa tarkalleen, mitkä kysymykset tulevat esiin, millaisia todisteita ne vaativat ja missä vaatimustenmukaisuuden puutteet piilevät **ennen** kuin virallinen pyyntö saapuu.

Tässä astuu kuvaan **Dynaaminen tietämyskarttaan perustuva vaatimustenmukaisuuden skenaariosimulaatio** (DGSCSS). Tämä paradigma yhdistää kolme voimakasta konseptia:

1. **Elävä, itsensä päivittävä vaatimustenmukaisuuden tietämyskartta**, joka kerää politiikat, kontrollikartoitukset, auditointitulokset ja sääntelyn muutokset.
2. **Generatiivinen tekoäly (RAG, LLM:t ja prompt‑insinööritaito)**, joka luo realistisia kyselyinstansseja kartan kontekstin pohjalta.
3. **Skenaariosimulaatio‑moottorit**, jotka ajavat “mitä‑jos”‑auditointeja, arvioivat vastausten luottamuksen ja paljastavat todisteiden puutteita etukäteen.

Tuloksena on jatkuvasti harjoiteltu vaatimustenmukaisuusasento, joka muuntaa reaktiivisen kyselyjen täytön **ennusta‑ja‑ehkäise**‑työnkuluksi.

---

## Miksi simuloida vaatimustenmukaisuuden skenaarioita?

| Kivun kohta | Perinteinen lähestymistapa | Simuloitu lähestymistapa |
|------------|----------------------------|--------------------------|
| **Ennustamattomat kysymysjoukot** | Manuaalinen triage kyselyn vastaanottamisen jälkeen | Tekoäly ennustaa todennäköisiä kysymysklustereita |
| **Todisteiden löytämisen viive** | Haku‑ ja pyyntö‑kierrokset | Etukäteen tunnistetut todisteet kytkettynä jokaiseen kontrolliin |
| **Sääntelyn poikkeama** | Kvartaaleittaiset politiikkakatsaukset | Reaaliaikainen sääntösyöte päivittää karttaa |
| **Toimittajariskin näkyvyys** | Jälkikäteen tehty analyysi | Reaaliaikaiset riskilämpökartat tuleville auditoinneille |

Simuloimalla tuhansia mahdollisia kyselyitä kuukaudessa organisaatiot voivat:

- **Mittaa valmiutta** luottamusasteikolla jokaiselle kontrollille.
- **Priorisoida korjaustoimenpiteet** heikon luottamuksen alueilla.
- **Vähentää käsittelyaikaa** viikoista päiviin, mikä antaa myyntitiimeille kilpailuetua.
- **Näyttää jatkuvan vaatimustenmukaisuuden** sääntelyviranomaisille ja asiakkaille.

---

## Arkkitehtuurin blueprint

```mermaid
graph LR
    A["Regulatory Feed Service"] --> B["Dynamic Compliance KG"]
    C["Policy Repository"] --> B
    D["Audit Findings DB"] --> B
    B --> E["AI Prompt Engine"]
    E --> F["Scenario Generator"]
    F --> G["Simulation Scheduler"]
    G --> H["Confidence Scoring Module"]
    H --> I["Procurize Integration Layer"]
    I --> J["Real‑Time Dashboard"]
```

*Kuva 1: DGSCSS‑arkkitehtuurin kokonaisvirtaus.*

### Keskeiset komponentit

1. **Regulatory Feed Service** — kuluttaa API rajapintoja standardiorganisaatioilta (esim. **[NIST CSF](https://www.nist.gov/cyberframework)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**) ja muuntaa päivitykset graafin tripleteiksi.  
2. **Dynaaminen vaatimustenmukaisuuden tietämyskartta (KG)** — tallentaa entiteettejä kuten *Kontrollit*, *Politiikat*, *Todisteet*, *Auditointihavainnot* ja *Säädökset*. Suhteet kuvaavat kartoituksia (esim. *kontrolli‑kattaa‑vaatimuksen*).  
3. **AI Prompt Engine** — käyttää Retrieval‑Augmented Generation (RAG) -menetelmää luodakseen promptteja, jotka pyytävät LLM:ää tuottamaan kysymyksiä nykyisen KG‑tilan perusteella.  
4. **Scenario Generator** — tuottaa erä simulointikyselyitä, jokainen merkattu *skenaario‑ID*:llä ja *riskiprofiililla*.  
5. **Simulation Scheduler** — järjestää säännöllisiä ajoja (päivittäin/viikoittain) sekä kyselyitä politiikan muutosten aiheuttamana.  
6. **Confidence Scoring Module** — arvioi jokaisen luodun vastauksen olemassa oleviin todisteisiin käyttäen samankaltaisuusmittareita, viittaavuuksien kattavuutta ja historiallisia auditointimenestysasteita.  
7. **Procurize Integration Layer** — syöttää luottamusasteet, todisteiden aukot ja suositellut korjaustehtävät takaisin Procurize‑käyttöliittymään.  
8. **Real‑Time Dashboard** — visualisoi valmiuslämpökartat, syväluotaavat todistematriisit ja trendiviivat vaatimustenmukaisuuden poikkeamista.

---

## Dynaamisen tietämyskartan rakentaminen

### 1. Ontologian suunnittelu

Määrittele kevyt ontologia, joka kattaa vaatimustenmukaisuuden domainin:

```yaml
entities:
  - Control
  - Policy
  - Evidence
  - Regulation
  - AuditFinding
relations:
  - Controls.map_to(Requirement)
  - Policy.enforces(Control)
  - Evidence.supports(Control)
  - Regulation.requires(Control)
  - AuditFinding.affects(Control)
```

### 2. Ingestioputket

- **Policy Puller**: skannaa versionhallinnan (Git) Markdown/YAML‑politiikkatiedostoja, jäsentää otsikot `Policy`‑solmuksi.  
- **Control Mapper**: jäsentää sisäiset kontrollikehykset (esim. SOC‑2) ja luo `Control`‑entiteettejä.  
- **Evidence Indexer**: hyödyntää Document AI:ta PDF‑dokumenttien OCR:ssa, poimii metatiedot ja tallettaa viitteet pilvitallennustilaan.  
- **Regulation Sync**: kutsuu säännöllisesti standardeja tarjoavia API‑rajapintoja ja luo/päivittää `Regulation`‑solmuja.

### 3. Graafinen tallennus

Valitse skaalautuva graafitietokanta (Neo4j, Amazon Neptune tai Dgraph). Varmista ACID‑yhteensopivuus reaaliaikaisille päivityksille ja täyden tekstin haku solmuominaisuuksista nopeaa hakua varten AI‑moottorin tarpeisiin.

---

## AI‑pohjainen prompt‑insinööritaito

Promptin täytyy olla **kontekstirikas** mutta **tiivis**, jotta vältetään harhaisuudet. Tyypillinen mallipohja:

```
You are a compliance analyst. Using the following knowledge graph excerpts, generate a realistic security questionnaire for a SaaS provider operating in the {industry} sector. Include 10–15 questions covering data privacy, access control, incident response, and third‑party risk. Cite the relevant control IDs and regulation sections in each answer.

[KG_EXCERPT]
```

- **KG_EXCERPT** on RAG‑haettu alikartta (esim. top‑10‑solmua) esitettynä ihmisluettavina tripleteina.  
- **Few‑shot‑esimerkit** voidaan liittää parantamaan tyylin johdonmukaisuutta.

LLM (GPT‑4o tai Claude 3.5) palauttaa strukturoitua JSON‑taulukkoa, jonka Scenario Generator tarkistaa skeeman mukaisuutta.

---

## Luottamusasteen laskenta‑algoritmi

1. **Todisteiden kattavuus** — suhde vaadittujen todisteiden ja KG:ssa olevien välillä.  
2. **Semanttinen samankaltaisuus** — kosini‑samankaltaisuus luoduista vastaus‑upotuksista ja tallennetuista todiste‑upotuksista.  
3. **Historiallinen menestys** — painotus menneistä auditointituloksista samalle kontrollille.  
4. **Sääntelyn kriittisyys** — korkeamman painon antaminen korkean vaikutuksen säädöksille (esim. **GDPR** art. 32).

Kokonaisluottamus = painotettu summa, normalisoitu välille 0‑100. Alle 70‑pisteen arvosanat käynnistävät korjaustehtävät Procurizessa.

---

## Integraatio Procurize‑alustaan

| Procurize‑ominaisuus | DGSCSS‑panos |
|----------------------|--------------|
| **Tehtävänjakaminen** | Automaattisesti luodaan tehtäviä matalan luottamusasteen kontrolleille |
| **Kommentointi & tarkastus** | Upotetaan simuloitu kysely luonnoksena tiimin tarkistettavaksi |
| **Reaaliaikainen dashboard** | Näyttää valmiuslämpökartan nykyisen vaatimustenmukaisuuden pistetason kanssa |
| **API‑koukut** | Työntää skenaario‑ID:t, luottamusasteet ja todiste‑linkit webhookin kautta |

**Käyttöönoton vaiheet**

1. **Käynnistä integraatiokerros** mikro‑palveluna, joka tarjoaa REST‑päätepisteen `/simulations/{id}`.  
2. **Määritä Procurize** hakemaan palvelua tunnissa uusien simulaatiotulosten varalta.  
3. **Map‑ta** Procurizen sisäinen `questionnaire_id` skenaarion `scenario_id`:hin jäljitettävyyden vuoksi.  
4. **Ota käyttöön** UI‑widget, jonka avulla käyttäjät voivat käynnistää **“On‑Demand Scenario”** valitulle asiakkaalle.

---

## Hyödyt kvantifioituna

| Mittari | Ennen simulaatiota | Jälkeen simulaation |
|---------|--------------------|----------------------|
| Keskimääräinen läpimeno (päivää) | 12 | 4 |
| Todisteiden kattavuus % | 68 | 93 |
| Korkean luottamusasteen vastausprosentti | 55 % | 82 % |
| Tarkastajien tyytyväisyys (NPS) | 38 | 71 |
| Vaatimustenmukaisuuskustannusten säästö | 150 k $/v | 45 k $/v |

Nämä luvut perustuvat kolmen keskikokoisen SaaS‑yrityksen pilotointiin kuuden kuukauden ajan, ja ne osoittavat, että proaktiivinen simulointi voi **säästää jopa 70 % vaatimustenmukaisuuden hallintakustannuksista**.

---

## Toteutuschecklist

- [ ] Määritä vaatimustenmukaisuuden ontologia ja luo alkuperäinen graafinen skeema.  
- [ ] Rakenna ingestioputket politiikoille, control‑kehyksille, todisteille ja sääntelysyötteille.  
- [ ] Käytä graafitietokantaa, jossa on korkea‑saatavuus‑klusterointi.  
- [ ] Integroi Retrieval‑Augmented Generation -putki (LLM + vektoritietovarasto).  
- [ ] Rakenna Scenario Generator ja Confidence Scoring -moduulit.  
- [ ] Kehitä Procurize‑integraatio‑mikropalvelu.  
- [ ] Suunnittele dashboardit (lämpökartat, todiste‑matriisit) Grafanan tai natiivin Procurize‑UI:n avulla.  
- [ ] Suorita kuiva‑simulaatio, tarkista vastausten laatu asiantuntijoiden (SME) kanssa.  
- [ ] Ota käyttöön tuotannossa, seuraa luottamusasteita ja hienosäädä prompt‑mallipohjia.  

---

## Tulevaisuuden suuntaviivat

1. **Federated Knowledge Graphs** — salli useiden tytäryhtiöiden osallistua yhteiseen karttaan säilyttäen tietosuojan.  
2. **Zero‑Knowledge Proofs** — tarjoa tarkastajille vahvistusta todisteiden olemassaolosta paljastamatta itse artefaktia.  
3. **Itsensä parantava todistustieto** — automaattisesti luo puuttuvia todisteita Document AI:n avulla, kun aukkoja havaitaan.  
4. **Ennustava sääntelyradari** — yhdistä uutisten kaavinta LLM‑päättelyyn ennustamaan tulevia sääntelymuutoksia ja säätämään karttaa etukäteen.  

Tekoälyn, tietämyskarttojen ja automatisoitujen työnkulkualustojen, kuten Procurize, konvergenssi tekee **“aina‑valmiista vaatimustenmukaisuudesta”** pian normin, ei enää kilpailuetua.