
# Adaptivno kontekstualiziranje rizika za upitnike dobavljača uz real‑vremensku obavijest o prijetnjama

U brzoj i dinamičnoj svijetu SaaS‑a, svaki zahtjev dobavljača za sigurnosni upitnik potencijalna je prepreka u zatvaranju posla. Tradicionalni timovi za usklađenost provode **sate**—ponekad **dane**—ručno tražeći odgovarajuće odlomke politika, provjeravajući najnovija audit izvješća i križajući najnovije sigurnosne obavijesti. Rezultat je spor, sklon pogreškama proces koji usporava prodaju i izlaže tvrtke riziku od odricanja usklađenosti.

Uvedite **Adaptivno kontekstualiziranje rizika** (ARC), okvir vođen generativnom AI‑jem koji **ugrađuje real‑vremensku obavijest o prijetnjama (TI) u cjevovod generiranja odgovora**. ARC ne povlači samo statički tekst politika; **procjenjuje trenutni pejzaž rizika**, prilagođava formulaciju odgovora i prilaže najnovije dokaze—sve bez da čovjek otkuca i jednoj riječi.

U ovom članku ćemo:
* Objasniti osnovne koncepte ARC‑a i zašto tradicionalni alati za upitnike temeljeni samo na AI ne zadovoljavaju.
* Proći kroz cjelokupnu arhitekturu, usredotočujući se na integracijske točke s feedovima obavijesti o prijetnjama, grafovima znanja i LLM‑ovima.
* Prikazati praktične obrasce implementacije, uključujući **Mermaid dijagram** toka podataka.
* Raspraviti sigurnosne, auditabilnost i implikacije usklađenosti.
* Pružiti konkretne korake timovima spremnim usvojiti ARC u njihovom postojećem centru za usklađenost (npr., Procurize).

---

## 1. Zašto tradicionalni AI odgovori promašuju cilj

Većina platformi za upitnike poduprtih AI‑om oslanja se na **statičnu bazu znanja**—zbirku politika, audit izvješća i unaprijed napisanih predložaka odgovora. Iako generativni modeli mogu parafrazirati i spojiti ove resurse, nedostaje im **situacijska svijest**. Dva uobičajena načina neuspjeha su:

| Način neuspjeha | Primjer |
|-----------------|----------|
| **Zastarjeli dokazi** | Platforma navodi izvješće [SOC 2] cloud‑providera iz 2022., iako je ključna kontrola uklonjena u dopuni iz 2023. |
| **Nedostatak konteksta** | Upitnik klijenta pita o zaštiti od „malware‑a koji iskorištava CVE‑2025‑1234.“ Odgovor se referira na generičku politiku anti‑malwarea, ali ignorira novootkriveni CVE. |

Oba problema narušavaju povjerenje. Službenici za usklađenost trebaju sigurnost da svaki odgovor odražava **najnoviji stav prema riziku** i **trenutna regulatorna očekivanja**.

## 2. Osnovni stupovi Adaptivnog kontekstualiziranja rizika

1. **Živi tok obavijesti o prijetnjama** – kontinuirani unos CVE feedova, obavijesti o ranjivostima i industrijski specifičnih feedova prijetnji (npr., ATT&CK, STIX/TAXII).  
2. **Dinamički graf znanja** – graf koji povezuje odlomke politika, dokaze i TI entitete (ranjivosti, aktere prijetnji, tehnike napada) s verzioniranim odnosima.  
3. **Generativni kontekstni motor** – model Retrieval‑Augmented Generation (RAG) koji, u trenutku upita, učitava najrelevantnije čvorove grafa i sastavlja odgovor koji referira real‑vremenske TI podatke.

Ove komponente rade u **zatvorenom povratnom krugu**: novouneseni TI ažuriranja automatski pokreću ponovno vrednovanje grafa, što pak utječe na sljedeću generaciju odgovora.

## 3. End‑to‑End arhitektura

```mermaid
flowchart LR
    subgraph "Sloj obavijesti o prijetnjama"
        TI["\"Živi TI feed\""] -->|Ingest| Parser["\"Parser i normalizator\""]
    end

    subgraph "Sloj grafa znanja"
        Parser -->|Enrich| KG["\"Dinamički KG\""]
        Policies["\"Pohrana politika i dokaza\""] -->|Link| KG
    end

    subgraph "RAG motor"
        Query["\"Upitnik prompt\""] -->|Retrieve| Retriever["\"Pretraživač grafa\""]
        Retriever -->|Top‑K Nodes| LLM["\"Generativni LLM\""]
        LLM -->|Compose Answer| Answer["\"Kontekstualni odgovor\""]
    end

    Answer -->|Publish| Dashboard["\"Nadzorna ploča usklađenosti\""]
    Answer -->|Audit Log| Audit["\"Neizmjenjivi audit zapis\""]
```

### 3.1. Unos obavijesti o prijetnjama

* **Izvori** – NVD, MITRE ATT&CK, savjetodavni materijali specifični za dobavljače i prilagođeni feedovi.  
* **Parser** – normalizira različite sheme u **zajedničku TI ontologiju** (npr., `ti:Vulnerability`, `ti:ThreatActor`).  
* **Ocjenjivanje** – dodjeljuje **ocjenu rizika** temeljenu na CVSS‑u, zrelosti eksploatacije i poslovnoj relevantnosti.

### 3.2. Enrichiranje grafa znanja

Čvorovi predstavljaju **odlomke politika**, **dokumente dokaza**, **sustave**, **ranjivosti** i **tehnike prijetnji**. Rubovi (edges) bilježe odnose poput `covers`, `mitigates`, `impactedBy`. **Verzija** – svaka promjena (ažuriranje politike, novi dokazi, TI unos) stvara novi snapshot grafa, omogućavajući upite kroz vrijeme za auditiranje.

### 3.3. Retrieval‑Augmented Generation

1. **Prompt** – Upitnik se pretvara u prirodni jezični upit (npr., “Opisati kako štitimo Windows servere od ransomwarea”).  
2. **Retriever** – Izvršava **graf‑strukturalni upit** koji:
   * pronalazi politike koje `mitigiraju` relevantnu `ti:ThreatTechnique`,
   * povlači najnovije dokaze (npr., zapise EDR‑a) povezane s tim kontrolama.  
3. **LLM** – Prima dohvaćene čvorove kao kontekst, uz originalni upit, i generira odgovor koji:
   * **citira** točan odlomak politike i ID dokaza,
   * **referira** trenutni CVE ili tehniku prijetnje, prikazujući njen CVSS rezultat.  
4. **Post‑processor** – Formatira odgovor prema predlošku upitnika (markdown, PDF, …) i primjenjuje **filtere privatnosti** (npr., redakcija internih IP‑ova).

## 4. Izgradnja ARC cjevovoda u Procurizeu

| Korak | Radnja | Alati / API‑ji |
|-------|--------|----------------|
| 1 | **Poveži TI feedove** | Koristi Procurize `Integration SDK` za registraciju webhook‑ova za NVD i ATT&CK streamove. |
| 2 | **Instanciraj graf DB** | Deploy Neo4j (ili Amazon Neptune) kao managed service; izloži GraphQL endpoint za Retriever. |
| 3 | **Kreiraj enrichment poslove** | Zakazani noćni poslovi koji pokreću parser, ažuriraju graf i tagiraju čvorove `last_updated` timestampom. |
| 4 | **Konfiguriraj RAG model** | Iskoristi OpenAI `gpt‑4o‑r` s Retrieval Plugin, ili hostiraj open‑source LLaMA‑2 kroz LangChain. |
| 5 | **Uključi u UI upitnika** | Dodaj gumb “Generiraj AI odgovor” koji pokreće RAG workflow i prikazuje rezultat u preview panelu. |
| 6 | **Audit log** | Zapiši generirani odgovor, ID‑ove dohvaćenih čvorova i TI snapshot verziju u Procurize immutable log (npr., AWS QLDB). |

## 5. Razmatranja sigurnosti i usklađenosti

### 5.1. Privatnost podataka

Zero‑knowledge dohvat – LLM nikada ne vidi sirove datoteke dokaza; samo izvedeni sažeci (npr., hash, metapodaci) putuju do modela.  
Filtriranje izlaza – deterministički pravilo‑motor uklanja PII i interne identifikatore prije nego odgovor dođe do tražitelja.

### 5.2. Objašnjivost

Svaki odgovor dolazi uz **panel za praćenje**:
* **Odjeljak politike** – ID, datum posljednje revizije.
* **Dokaz** – poveznica na pohranjeni artifact, hash verzije.
* **TI kontekst** – CVE ID, ozbiljnost, datum objave.

Sudionici mogu kliknuti na bilo koji element i pregledati podlogu, zadovoljavajući auditore koji zahtijevaju **objašnjivu AI**.

### 5.3. Upravljanje promjenama

Budući da je graf verzioniran, **analiza utjecaja promjena** može se automatski provesti:
* Kad se politika ažurira (npr., novi **[ISO 27001]** kontrol), sustav identificira sva polja upitnika koja su prethodno referencirala taj izmijenjeni odlomak.
* Ta polja se označavaju za **ponovno generiranje**, osiguravajući da biblioteka usklađenosti nikada ne odskače.

## 6. Stvarni utjecaj – Brzi ROI prikaz

| Mjerilo | Ručni proces | ARC‑om omogućen proces |
|---------|--------------|------------------------|
| Prosječno vrijeme po polju upitnika | 12 min | 1,5 min |
| Stopa ljudske pogreške (pogrešno citirani dokazi) | ~8 % | <1 % |
| Utvrđeni zaključci revizije usklađenosti vezani uz zastarjele dokaze | 4 godišnje | 0 |
| Vrijeme integracije novog CVE (npr., CVE‑2025‑9876) | 3‑5 dana | <30 sekundi |
| Pokriće regulatornih okvira | SOC 2, ISO 27001 | SOC 2, ISO 27001, **[GDPR]**, **[PCI‑DSS]**, HIPAA (opcionalno) |

Za srednje‑veliku SaaS firmu koja obrađuje **200 upitnika po tromjesečju**, ARC može uštedjeti **≈400 sati** ručnog rada, što predstavlja **~$120 k** uštedu (pretpostavka $300/h). Dodana povjerenje također skraćuje prodajni ciklus, potencijalno povećavajući ARR za 5‑10 %.

## 7. Početak – 30‑dnevni plan usvajanja

| Dan | Prekretnica |
|-----|--------------|
| 1‑5 | **Radionica zahtjeva** – Identificirajte ključne vrste upitnika, postojeće politike i preferirane TI feedove. |
| 6‑10 | **Postavljanje infrastrukture** – Provision managed graf DB, kreirajte siguran TI ingestion pipeline (koristite Procurize secrets manager). |
| 11‑15 | **Modeliranje podataka** – Mapirajte odlomke politika na `compliance:Control` čvorove; povežite dokaze na `compliance:Evidence`. |
| 16‑20 | **RAG prototip** – Izgradite jednostavan LangChain lanac koji dohvaća graf čvorove i poziva LLM. Testirajte na 5 uzoraka pitanja. |
| 21‑25 | **UI integracija** – Dodajte “AI Generiraj” gumb u Procurize‑ov editor upitnika; ugradite panel za praćenje. |
| 26‑30 | **Pilot i revizija** – Pokrenite prototip na stvarnim vendor zahtjevima, prikupite povratne informacije, fino podesite scoring dohvaćanja i završite audit logging. |

Nakon pilot faze, proširite ARC na sve vrste upitnika (SOC 2, ISO 27001, GDPR, PCI‑DSS) i počnite mjeriti KPI‑e poboljšanja.

## 8. Buduća poboljšanja

* **Federirana obavijest o prijetnjama** – kombinirati interne SIEM alarme s vanjskim feedovima za „specifičan za tvrtku“ kontekst rizika.  
* **Petlja učenja pojačanja** – nagrađivati LLM za odgovore koji kasnije dobiju pozitivnu povratnu informaciju revizora, postepeno poboljšavajući formulaciju i kvalitetu citiranja.  
* **Podrška za više jezika** – koristiti sloj prevođenja (npr., Azure Cognitive Services) za automatsko lokaliziranje odgovora za globalne klijente uz očuvanje integriteta dokaza.  
* **Zero‑knowledge dokazi** – pružiti kriptografski dokaz da je odgovor izveden iz najnovijih dokaza bez otkrivanja sirovih podataka.

## 9. Zaključak

Adaptivno kontekstualiziranje rizika zatvara jaz između **statičkih repozitorija usklađenosti** i **stalno promjenjivog pejzaža prijetnji**. Spajanjem real‑vremenske obavijesti o prijetnjama s dinamičkim grafom znanja i kontekst‑svjesnim generativnim modelom, organizacije mogu:

* Dostaviti **točne, ažurirane** odgovore na upitnike u velikom obimu.  
* Održavati **potpuno auditiran** lanac dokaza.  
* Ubrzati prodajne cikluse i smanjiti trošak usklađenosti.

Implementacija ARC‑a u platformama poput Procurizea danas predstavlja realan, visok ROI investiciju za svaku SaaS tvrtku koja želi ostati ispred regulatorne kontrole uz transparentan i pouzdan sigurnosni stav.

## Pogledajte također
- [AWS QLDB – Immutable Ledger for Auditing](https://aws.amazon.com/qldb/)