
# Ontologia‑pohjainen Prompt‑moottori turvallisuuslomakkeiden yhdenmukaistamiseksi

> **TL;DR** – Ontologia‑keskeinen prompt‑moottori luo semanttisen sillan ristiriitaisten vaatimustenmukaisuuden viitepohjien välille, jolloin generatiivinen AI voi tuottaa yhdenmukaisia, auditointikelpoisia vastauksia mihin tahansa turvallisuuslomakkeeseen säilyttäen kontekstuaalisen merkityksen ja sääntelyn tarkkuuden.

---

## 1. Miksi uutta lähestymistapaa tarvitaan

Turvallisuuslomakkeet ovat edelleen merkittävä pullonkaula SaaS‑toimittajille. Vaikka Procurize‑kaltaiset työkalut keskittävät asiakirjoja ja automatisoivat työnkulkuja, eri standardien välinen *semanttinen kuilu* pakottaa turvallisuus-, juridiset‑ ja insinööritiimit kirjoittamaan saman todisteen uudestaan ja uudestaan:

| Viitepohja | Tyypillinen kysymys | Esimerkkivastaus |
|-----------|----------------------|-----------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Kuvaile tietojesi salaus levossa.* | “Kaikki asiakastiedot on salattu AES‑256‑algoritmilla…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Miten suojaatte tallennetun informaation?* | “Käytämme AES‑256‑salausta…” |
| **[GDPR](https://gdpr.eu/)** | *Selitä tekniset suojatoimet henkilötietojen osalta.* | “Data on salattu AES‑256‑algoritmilla ja salausavaimet vaihdetaan neljännesvuosittain.” |

Vaikka taustalla oleva kontrolli on identtinen, sanamuoto, laajuus ja todistevaatimukset vaihtelevat. Nykyiset AI‑putket käsittelevät tätä **prompt‑tunnistuksella kullekin viitepohjalle**, mikä kasvaa nopeasti kestämättömäksi, kun standardien määrä lisääntyy.

**Ontologia‑pohjainen prompt‑moottori** ratkoo ongelman juurella: se rakentaa **yhden, formaalin esityksen** vaatimustenmukaisuuskäsitteistä ja **mappaa** jokaisen lomakekysymyksen tähän yhteiseen malliin. AI:n tarvitsee ymmärtää vain yksi “kanoninen” prompt, kun taas ontologia hoitaa raskaan käännös‑, versiointi‑ ja perustelutyön.

---

## 2. Arkkitehtuurin ydinkomponentit

Alla on korkean tason kuvaus ratkaisusta, esitettynä Mermaid‑kaaviona. Kaikkien solujen nimet on suljettu kaksinkertaisiin lainausmerkkeihin vaatimusten mukaisesti.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – Tietokanta, joka tallentaa käsitteet (esim. *encryption*, *access control*), suhteet (*requires*, *inherits*) ja oikeudelliset attribuutit.  
2. **Framework Mappers** – Kevyet adapterit, jotka jäsentävät saapuvat lomakekohdat, tunnistavat vastaavat ontologian solmut ja liittävät luottamusasteet.  
3. **Canonical Prompt Generator** – Rakentaa yhden, kontekstirikkaan promptin LLM:lle käyttäen ontologian normalisoituja määritelmiä ja linkitettyjä todisteita.  
4. **LLM Inference Engine** – Mikä tahansa generatiivinen malli (GPT‑4o, Claude 3, jne.) tuottamassa luonnollisen kielen vastaus.  
5. **Answer Renderer** – Muotoilee LLM‑luonnoksen vaadittuun lomakeformaattiin (PDF, markdown, JSON).  
6. **Audit Trail Logger** – Tallettaa mappauspäätökset, prompt‑version ja LLM‑vastauksen tarkastuksen ja tulevan koulutuksen varalta.  
7. **Evidence Repository** – Säilöö politiikka‑asiakirjoja, auditointiraportteja ja vastauksiin viitattuja artefakteja.  
8. **Change Detection Service** – Valvoo standardien tai sisäisten politiikkojen päivityksiä ja levittää muutokset automaattisesti ontologiaan.

---

## 3. Ontologian rakentaminen

### 3.1 Tietolähteet

| Lähde | Esimerkkikäsitteet | Poimintamenetelmä |
|--------|-------------------|-------------------|
| **ISO 27001 Liite A** | “Cryptographic Controls”, “Physical Security” | Sääntöpohjainen ISO‑lauseiden jäsentäminen |
| **SOC 2 Trust Services Criteria** | “Availability”, “Confidentiality” | NLP‑luokittelu SOC‑dokumentaatiolle |
| **GDPR Recitals & Articles** | “Data Minimisation”, “Right to Erasure” | Entiteetti‑suhdepoiminta spaCy‑kirjastolla + omat säännöt |
| **Internal Policy Vault** | “Company‑wide Encryption Policy” | Suora tuonti YAML/Markdown‑politiikkatiedostoista |

Jokainen lähde lisää *käsitteiden solmuja* (`C`) ja *suhde­reunoja* (`R`). Esimerkiksi **“AES‑256”** on *tekniikka* (`C`) joka *implementoi* kontrollin “Data at Rest Encryption” (`C`). Linkkeihin liitetään provenance (lähde, versio) ja luottamusaste.

### 3.2 Normalisointisäännöt

Vähemmän päällekkäisyyksiä varten käsitteet *kanonisoidaan*:

| Raaka termi | Kanoninen muoto |
|-------------|-----------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (alalaji `encryption_algorithm`) |

Normalisointi tehdään **sanakirjapohjaisella fuzzy‑matcherilla**, joka oppii ihmisen hyväksymistä kartoista.

### 3.3 Versiointistrategia

Vaatimustenmukaisuuden standardit kehittyvät; ontologia käyttää **semanttista versiointikaavaa** (`MAJOR.MINOR.PATCH`). Kun uusi kohta lisätään, tapahtuu *minor*-päivitys, mikä käynnistää kaikki riippuvaiset promptit uudelleenarviointiin. Audit‑loggaaja tallentaa tarkan ontologia‑version jokaiselle vastaukselle, mahdollistaen jäljitettävyyden.

---

## 4. Prompt‑generointi käytännössä

### 4.1 Kysymyksestä ontologian solmuun

Kun toimittaja saa kysymyksen kuten:

> *“Do you encrypt backups stored off‑site?”*  

**Framework Mapper** suorittaa samankaltaisuushakua ontologiasta ja palauttaa solmun `encryption_at_rest` luottamuksella 0.96. Se poimii myös mahdolliset tarkenteet (“backups”, “off‑site”) *attribuuttitagiksi*.

### 4.2 Kanoninen Prompt‑malli

Yksi uudelleenkäytettävä prompt‑malli näyttää tältä (pseudokoodi):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Moottori korvaa kartoitetut ontologian solmut ja hakee viimeisimmät todiste‑URL‑t **Evidence Repository**‑stä. Koska perustava kontrolli on sama kaikille viitepohjille, LLM saa **yhtenäisen kontekstin**, mikä poistaa sanamuotojen aiheuttamat vaihtelut.

### 4.3 LLM‑vastaus­esimerkki

> **Vastaus:** Kyllä, kaikki off‑site‑varmuuskopiot on salattu AES‑256‑algoritmilla jokaiselle varmuuskopiolle ainutlaatuisella avaimella. Salaukset avaimet hallitaan HSM‑suojatussa holvissa ja niitä vaihdetaan neljännesvuosittain.  
> **Tukevat artefaktit:**  
> - *Backup Encryption Policy* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Key Rotation Log* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer** muotoilee tämän tietyn viitepohjan asetteluun (esim. taulukko‑solu ISO‑standardille, vapaa‑tekstikenttä SOC 2:lle).

---

## 5. Hyödyt perinteiseen Prompt‑tuningiin verrattuna

| Mittari | Perinteinen Prompt‑tuning | Ontologia‑pohjainen moottori |
|--------|---------------------------|------------------------------|
| **Skaalautuvuus** | Yksi prompt per viitepohja → lineaarinen kasvu | Yksi kanoninen prompt → vakio |
| **Johdonmukaisuus** | Eri sanamuodot eri viitepohjissa | Yhtenäinen vastaus yhden lähteen perusteella |
| **Auditointikelpoisuus** | Manuaalinen prompt‑versioiden seuranta | Automaattinen ontologia‑versio + audit‑logi |
| **Mukautuvuus** | Uusi koulutus jokaiselle standardipäivitykselle | Muutostunnistus propagoituu ontologian kautta |
| **Ylläpidon kuormitus** | Korkea – kymmeniä prompt‑tiedostoja | Matala – yksi kartoituskerros & tietokanta |
| **Vasteaika** | 7 s keskimäärin | 2 s keskimäärin |

Procurize‑testauksessa ontologia‑moottori vähensi **keskimääräistä vastausaikaa** 7 sekunnista 2 sekuntiin ja **paransi poikkiviitepohjaisen samankaltaisuuden** (BLEU‑pisteiden nousu 18 %).

---

## 6. Käytännön toteutusvinkkejä

1. **Aloita pienestä** – Täytä ontologia ensin yleisimmillä kontrolleilla (salaus, pääsynhallinta, lokitus) ennen laajentamista.  
2. **Hyödynnä olemassa olevia graafeja** – Projekti­t kuten **Schema.org**, **OpenControl** ja **CAPEC** tarjoavat valmiita sanastoja, joita voi laajentaa.  
3. **Käytä graafitietokantaa** – Neo4j tai Amazon Neptune hoitavat monimutkaiset traversaalit ja versioinnit tehokkaasti.  
4. **Integroi CI/CD** – Käsittele ontologia‑muutokset koodina; suorita automaattisia testejä, jotka varmistavat mappaus­tarkkuuden näyte­lomake­kokoelmassa.  
5. **Ihminen silmukassa** – Tarjoa käyttöliittymä turvallisuus‑analyytikoille hyväksyttäväksi tai korjattavaksi, mikä syötetään takaisin fuzzy‑matcherille.

---

## 7. Tulevaisuuden laajennukset

- **Federated Ontology Sync** – Yritykset voivat jakaa anonyymejä osia ontologioistaan, luoden yhteisön laajan vaatimustenmukaisuustietopohjan.  
- **Explainable AI -kerros** – Liitä kunkin vastauksen perimmäinen syykaavio, visualisoiden, miten tietyt ontologian solmut vaikuttivat lopulliseen tekstiin.  
- **Zero‑Knowledge Proof -integraatio** – Erittäin säännellyissä toimialoissa lisää zk‑SNARK‑todisteita, jotka vahvistavat kartoituksen oikeellisuuden paljastamatta herkkiä politiikatietoja.  

---

## 8. Johtopäätös

Ontologia‑pohjainen prompt‑moottori merkitsee paradigma‑muutosta turvallisuuslomakkeiden automaatiossa. Yhdistelemällä erilliset vaatimustenmukaisuuden standardit yhden, versioidun tietokannan alle organisaatiot voivat:

- **Poistaa toistuvan manuaalisen työn** eri viitepohjissa.  
- **Turvata vastausten johdonmukaisuuden** ja auditointikelpoisuuden.  
- **Reagoida nopeasti sääntelyn muutoksiin** minimaalisella insinöörityöllä.  

Kun tämä yhdistetään Procurize‑alustan yhteistyö‑ominaisuuksiin, tiimit turvallisuus‑, juridisissa‑ ja tuotekehityksessä pystyvät vastaamaan toimittajien arviointeihin minuuteissa, eivätkä päiviä, muuttaen vaatimustenmukaisuuden kustannus‑keskittymisen kilpailueduksi.

---

## <span class='highlight-content'>Katso</span> myös

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Avoimen lähdekoodin politiikka‑koodia ja vaatimustenmukaisuuskontrollien määritelmiä.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Rakennettu uhkien taktiikoiden taksonomia, hyödyllinen turvallisuus‑ontologioiden luomiseen.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Viimeisin versio tietoturvallisuuden hallintajärjestelmän standardista.