
# स्वचालित सुरक्षा प्रश्नावली के लिए संदर्भित प्रमाण अनुशंसा इंजन

**TL;DR** – एक संदर्भ‑सजग प्रमाण अनुशंसा इंजन (CERE) बड़े भाषा मॉडल (LLM) को सतत अद्यतन होते ज्ञान ग्राफ़ के साथ मिलाकर ऑडिटर्स और सुरक्षा टीमों को वह सटीक प्रमाण उपलब्ध कराता है जिसकी उन्हें आवश्यकता है—जैसे ही उन्हें उसकी जरूरत होती है। परिणामस्वरूप मैन्युअल खोज समय में 60‑80 % की कमी, उत्तर की सटीकता में वृद्धि, और ऐसी अनुपालन कार्यप्रवाह मिलता है जो आधुनिक SaaS विकास की गति के साथ स्केलेबल होता है।

---  

## 1. अनुशंसा इंजन क्यों है वह छूटा हुआ कड़ी

सुरक्षा प्रश्नावली, [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) तत्परता जाँच, [ISO 27001](https://www.iso.org/standard/27001) ऑडिट, और विक्रेता जोखिम मूल्यांकन सभी एक समान समस्या साझा करते हैं: **सही प्रमाण की खोज**। टीमें आमतौर पर नीतियों, ऑडिट रिपोर्टों, कॉन्फ़िगरेशन स्नैपशॉट और तृतीय‑पक्ष अभिप्रमाणन का एक विस्तृत भण्डार रखती हैं। जब कोई प्रश्नावली आती है, तो एक अनुपालन विश्लेषक को करना पड़ता है:

1. **प्रश्न को पार्स करना** (अक्सर प्राकृतिक भाषा में, कभी‑कभी उद्योग‑विशिष्ट शब्दजाल के साथ)।  
2. **नियंत्रण डोमेन की पहचान करना** (जैसे “ऐक्सेस प्रबंधन”, “डेटा रिटेंशन”)।  
3. **भण्डार में दस्तावेज़ की खोज** करना जो नियंत्रण को संतुष्ट करते हों।  
4. **उत्तर को कॉपी‑पेस्ट या पुनः‑रचना** करना, साथ में संदर्भ नोट्स जोड़ना।

भले ही उन्नत खोज उपकरण मौजूद हों, मैन्युअल लूप प्रत्येक प्रश्नावली के लिए कई घंटे ले सकता है, विशेषकर जब प्रमाण कई क्लाउड अकाउंट, टिकटिंग सिस्टम और लेगेसी फ़ाइल शेयरों में बिखरा हो। इस प्रक्रिया की त्रुटिप्रवण प्रकृति अनुपालन थकान को बढ़ावा देती है और देरी या गलत उत्तरों की ओर ले जा सकती है—दोनों ही तेज़ी से बढ़ते SaaS व्यवसाय के लिए महंगे साबित होते हैं।

**CERE** का परिचय: एक इंजन जो प्रश्न दर्ज होते ही सबसे प्रासंगिक प्रमाण‑आइटम(s) को स्वतः प्रदर्शित करता है, यह सब सेमेंटिक समझ (LLM) और संबंधात्मक तर्क (ज्ञान‑ग्राफ़ ट्रैवर्सल) के मिश्रण से संभव होता है।

---  

## 2. मुख्य वास्तुशिल्प स्तंभ

CERE तीन निकट‑संबद्ध परतों पर निर्मित है:

| परत | जिम्मेदारी | मुख्य तकनीकें |
|------|--------------|----------------|
| **सेमेंटिक इंटेंट लेयर** | कच्चे प्रश्नावली टेक्स्ट को संरचित इंटेंट (नियंत्रण, जोखिम स्तर, आवश्यक कला प्रकार) में बदलता है | प्रॉम्प्ट‑इंजीनियर्ड LLM (जैसे Claude‑3, GPT‑4o) + रिट्रीवल‑ऑगमेंटेड जेनरेशन (RAG) |
| **गतिशील ज्ञान ग्राफ (DKG)** | इकाइयों (दस्तावेज़, नियंत्रण, एसेट) और उनके संबंधों को संग्रहीत करता है, स्रोत सिस्टम से निरन्तर अद्यतन रहता है | Neo4j/JanusGraph, GraphQL API, चेंज‑डेटा‑कैप्चर (CDC) पाइपलाइन |
| **अनुशंसा इंजन** | इंटेंट‑ड्रिवेन ग्राफ़ क्वेरी चलाता है, उम्मीदवार प्रमाणों को रैंक करता है, और संक्षिप्त, विश्वसनीय‑स्कोर वाली अनुशंसा लौटाता है | प्रासंगिकता स्कोरिंग के लिये ग्राफ़ न्यूरल नेटवर्क (GNN), फ़ीडबैक एकीकरण के लिये रिइनफ़ोर्समेंट‑लर्निंग लूप |

नीचे एक Mermaid आरेख है जो डेटा फ्लो को दर्शाता है।

```mermaid
flowchart LR
    A["उपयोगकर्ता प्रश्नावली प्रश्न सबमिट करता है"]
    B["LLM इंटेंट पार्स करता है\n(नियंत्रण, जोखिम, कला‑प्रकार)"]
    C["इंटेंट के आधार पर DKG लुकअप"]
    D["GNN प्रासंगिकता स्कोरिंग"]
    E["शीर्ष‑K प्रमाण आइटम"]
    F["UI अनुशंसा प्रस्तुत करता है\nविश्वास के साथ"]
    G["उपयोगकर्ता फ़ीडबैक (स्वीकार/अस्वीकार)"]
    H["RL लूप GNN वज़न अपडेट करता है"]
    A --> B --> C --> D --> E --> F
    F --> G --> H --> D
```

*सभी नोड लेबल डबल कोट्स में हैं, जैसा कि अनिवार्य है।*

---  

## 3. पाठ से अभिप्रेत: प्रॉम्प्ट‑इंजीनियर्ड LLM

पहला कदम प्रश्न को **समझना** है। एक सावधानीपूर्वक तैयार किया गया प्रॉम्प्ट तीन संकेत निकालता है:

1. **नियंत्रण पहचान** – उदाहरण: “ISO 27001 A.9.2.3 – पासवर्ड मैनेजमेंट”।  
2. **प्रमाण श्रेणी** – उदाहरण: “नीति दस्तावेज़”, “कॉन्फ़िगरेशन एक्सपोर्ट”, “ऑडिट लॉग”।  
3. **जोखिम संदर्भ** – “उच्च‑जोखिम, बाहरी एक्सेस”।

एक नमूना प्रॉम्प्ट (सुरक्षा कारणों से संक्षिप्त) इस प्रकार है:

```text
You are a compliance analyst. Return a JSON object with the fields:
{
  "control": "<standard ID and title>",
  "evidence_type": "<policy|config|log|report>",
  "risk_tier": "<low|medium|high>"
}
Question: {question}
```

LLM का आउटपुट एक स्कीमा के विरुद्ध वैध किया जाता है, फिर DKG क्वेरी बिल्डर को भेजा जाता है।

---  

## 4. गतिशील ज्ञान ग्राफ (DKG)

### 4.1 इकाई मॉडल

| इकाई | गुणधर्म | संबंध |
|------|----------|--------|
| **Document** | `doc_id`, `title`, `type`, `source_system`, `last_modified` | `PROVIDES` → `Control` |
| **Control** | `standard_id`, `title`, `domain` | `REQUIRES` → `Evidence_Type` |
| **Asset** | `asset_id`, `cloud_provider`, `environment` | `HOSTS` → `Document` |
| **User** | `user_id`, `role` | `INTERACTS_WITH` → `Document` |

### 4.2 रीयल‑टाइम सिंक

Procurize पहले से ही GitHub, Confluence, ServiceNow, और क्लाउड प्रोवाइडर APIs जैसे SaaS टूल्स के साथ एकीकृत है। एक CDC‑आधारित माइक्रो‑सेवा CRUD इवेंट्स को देखती है और ग्राफ़ को उप‑सेकंड लेटेंसी में अपडेट करती है, जिससे **ऑडिट‑योग्यता** बनी रहती है (प्रत्येक एज में `source_event_id` जोड़कर)।

---  

## 5. ग्राफ‑आधारित अनुशंसा पथ

1. **एंकर नोड चयन** – इंटेंट का `control` प्रारंभिक नोड बन जाता है।  
2. **पाथ विस्तार** – एक ब्रेड्थ‑फ़र्स्ट सर्च (BFS) `PROVIDES` एजेज़ को खोजता है, जिसे `evidence_type` द्वारा फ़िल्टर किया गया है।  
3. **फ़ीचर निकालन** – प्रत्येक उम्मीदवार दस्तावेज़ के लिये एक वेक्टर बनता है जिसमें शामिल हैं:  
   - टेक्स्ट समानता (समान LLM से एम्बेडिंग)  
   - समय‑ताज़ा होना (`last_modified` की आयु)  
   - उपयोग‑आवृत्ति (पिछली प्रश्नावली में कितनी बार संदर्भित)  
4. **प्रासंगिकता स्कोरिंग** – एक GNN नोड और एज फ़ीचर को एकत्रित कर `s ∈ [0,1]` स्कोर उत्पन्न करता है।  
5. **रैंकिंग एवं विश्वास** – शीर्ष‑K दस्तावेज़ `s` के अनुसार क्रमबद्ध होते हैं; इंजन साथ ही विश्वास प्रतिशत भी देता है (जैसे “85 % विश्वास है कि यह नीति अनुरोध को संतुष्ट करती है”)।

---  

## 6. मानवीय‑लूप प्रतिक्रिया चक्र

कोई भी अनुशंसा प्रारम्भिक रूप से पूर्ण नहीं होती। CERE *स्वीकार/अस्वीकार* निर्णय और फ्री‑टेक्स्ट टिप्पणी को कैप्चर करता है। यह डेटा एक रिइनफ़ोर्समेंट‑लर्निंग (RL) चक्र को पोषित करता है, जो नियमित रूप से GNN के नीति नेटवर्क को फाइन‑ट्यून करता है, जिससे मॉडल संस्था‑विशिष्ट प्रासंगिकता प्राथमिकताओं के साथ संरेखित हो जाता है।

RL पाइपलाइन रात में चलाई जाती है:

```mermaid
stateDiagram-v2
    [*] --> CollectFeedback
    CollectFeedback --> UpdateRewards
    UpdateRewards --> TrainGNN
    TrainGNN --> DeployModel
    DeployModel --> [*]
```

---  

## 7. Procurize के साथ एकीकरण

Procurize पहले से ही **Unified Questionnaire Hub** प्रदान करता है जहाँ उपयोगकर्ता कार्य असाइन कर सकते हैं, टिप्पणी कर सकते हैं, और प्रमाण संलग्न कर सकते हैं। CERE को एक **स्मार्ट फ़ील्ड विजेट** के रूप में जोड़ा जाता है:

- जब विश्लेषक *“Add Evidence”* पर क्लिक करता है, तो विजेट LLM‑DKG पाइपलाइन को ट्रिगर करता है।  
- अनुशंसित दस्तावेज़ क्लिक‑योग्य कार्ड्स के रूप में प्रदर्शित होते हैं, प्रत्येक के साथ **“Insert citation”** बटन होता है जो प्रश्नावली के लिये फ़ॉर्मेटेड markdown रेफ़रेंसेज़ स्वचालित रूप से जनरेट करता है।  
- मल्टी‑टेण्ट वातावरण में, इंजन **टेण्ट‑स्तर डेटा विभाजन** का सम्मान करता है—प्रत्येक ग्राहक का ग्राफ़ अलग रहता है, जिससे गोपनीयता बनी रहती है, जबकि क्रॉस‑टेण्ट लर्निंग को प्राइवेसी‑संरक्षित तरीके (फेडरेटेड एवरेजिंग of GNN वज़न) से सक्षम किया जाता है।

---  

## 8. मापनीय लाभ

| मीट्रिक | बेसलाइन (मैनुअल) | CERE के साथ |
|---------|-------------------|---------------|
| **औसत प्रमाण खोज समय** | प्रश्न प्रति 15 मिनट | 2‑3 मिनट |
| **उत्तर सटीकता (ऑडिट पास रेट)** | 87 % | 95 % |
| **टीम संतुष्टि (NPS)** | 32 | 68 |
| **अनुपालन बैकलॉग कमी** | 4 सप्ताह | 1 सप्ताह |

एक मध्य‑आकार फिनटेक (≈200 कर्मचारी) के पायलट ने **72 %** प्रश्नावली टर्न‑अरेण्ड में कमी और प्रथम माह में **30 %** संशोधन चक्र में गिरावट दर्ज की।

---  

## 9. चुनौतियाँ एवं निवारण

| चुनौती | निवारण |
|--------|--------|
| **नए नियंत्रणों के लिये कोल्ड‑स्टार्ट** – कोई ऐतिहासिक प्रमाण संदर्भ नहीं। | मानक नीति टेम्पलेट से ग्राफ़ को सीड करें, फिर समान नियंत्रणों से ट्रांसफ़र लर्निंग लागू करें। |
| **टेण्ट‑स्तर डेटा गोपनीयता** – मॉडल अपडेट्स में लीक का जोखिम। | **फ़ेडरेटेड लर्निंग** अपनाएँ: प्रत्येक टेण्ट स्थानीय रूप से ट्रेन करता है, केवल मॉडल वज़न डेल्टा को सामूहिक किया जाता है। |
| **LLM भ्रम** – गलत नियंत्रण ID पहचान। | इंटेंट आउटपुट को **कैनोनिकल नियंत्रण रजिस्ट्रि** (ISO, SOC, NIST) से वैलिडेट करें, क्वेरी से पहले। |
| **ग्राफ़ ड्रिफ्ट** – क्लाउड माइग्रेशन के बाद संबंध पुरानी हो सकते हैं। | CDC पाइपलाइन साथ ही **इवेंचरुअल कन्सिस्टेंसी** गेरंटी और नियतकालिक ग्राफ़ हेल्थ चेक लागू करें। |

---  

## 10. भविष्य की रूपरेखा

1. **बहु‑मॉडल प्रमाण पुनर्प्राप्ति** – स्क्रीनशॉट, कॉन्फ़िगरेशन डायग्राम, और वीडियो वॉकथ्रू को विज़न‑सक्षम LLM के साथ एकीकृत करना।  
2. **पूर्वानुमानिक नियामक रडार** – वास्तविक‑समय नियामक फ़ीड (जैसे GDPR संशोधन) को फ्यूज़ करके DKG को आगामी नियंत्रण परिवर्तनों से स्वचालित रूप से समृद्ध करना।  
3. **एक्सप्लेनएबल AI डैशबोर्ड** – क्यों किसी दस्तावेज़ को दिया गया confidence स्कोर मिला, इसका पाथ ट्रेस और फ़ीचर योगदान दिखाना।  
4. **सेल्फ‑हीलिंग ग्राफ़** – एआई‑ड्रिवेन एंटिटी रिज़ॉल्यूशन द्वारा ऑर्कन नोड्स को स्वतः पहचानना और सुधारना।  

---  

## 11. निष्कर्ष

**संदर्भित प्रमाण अनुशंसा इंजन** सुरक्षा प्रश्नावली उत्तर देने की श्रम‑प्रधान कला को डेटा‑ड्रिवेन, निकट‑तुरंत अनुभव में बदल देता है। LLM सेमांटिक पार्सिंग को जीवंत ज्ञान ग्राफ़ और GNN‑आधारित रैंकिंग लेयर के साथ मिलाकर, CERE सही प्रमाण, सही समय, और मापनीय विश्वसनीयता के साथ प्रदान करता है। जैसे-जैसे SaaS संस्थाएँ स्केल करती हैं, ऐसी बुद्धिमान सहायता केवल एक “nice‑to‑have” नहीं रहेगी—बल्कि एक मजबूत, ऑडिट‑तैयार संचालन की नींव बन जाएगी।