
# Upravljanje životnim ciklusom dokaza uz pomoć AI za automatizaciju sigurnosnih upitnika u stvarnom vremenu

Sigurnosni upitnici, procjene rizika dobavljača i revizije usklađenosti dijele zajednički problem: **dokazi**. Tvrtke moraju pronaći pravi artefakt, provjeriti njegovu aktualnost, osigurati usklađenost s regulatornim standardima i naposljetku ga priložiti uz odgovor na upitnik. Tradicionalno je ovaj tijek rada ručan, sklon greškama i skup.

Sljedeća generacija platformi za usklađenost, koju exemplificira **Procurize**, pomiče se iznad „pohrane dokumenata“ prema **AI‑pogona životnom ciklusu dokaza**. U ovom modelu dokaz nije statička datoteka, već živa jedinka koja se **automatski prikuplja, obogaćuje, verzionira i prati porijeklo**. Rezultat je izvor istine u stvarnom vremenu, revizijski i auditable, koji omogućuje trenutne i točne odgovore na upitnike.

> **Ključni zaključak:** Postupajući s dokazima kao s dinamičkim podacima i korištenjem generativnog AI‑ja, možete smanjiti vrijeme obrade upitnika za čak 70 % uz očuvanje provjerljivog revizijskog zapisa.

---

## 1. Zašto dokaz treba pristup životnog ciklusa

| Tradicionalni pristup | AI‑pogonjen životni ciklus dokaza |
|----------------------|-----------------------------------|
| **Statički uploadi** – PDF‑ovi, screenshotovi, izvatci iz logova ručno se prilažu. | **Živi objekti** – Dokaz se pohranjuje kao strukturirani entitet obogaćen metapodacima (datum stvaranja, izvorski sustav, povezane kontrole). |
| **Ručno verzioniranje** – Timovi se oslanjaju na konvencije imenovanja (`v1`, `v2`). | **Automatsko verzioniranje** – Svaka promjena stvara novi nepromjenjivi čvor u registru porijekla. |
| **Nedostatak porijekla** – Revizori imaju poteškoća potvrditi izvor i integritet. | **Kriptografsko porijeklo** – ID‑jevi temeljeni na hash‑u, digitalni potpisi i blockchain‑stil zapisnik koji jamči autentičnost. |
| **Fragmentirano pretraživanje** – Pretraga kroz dijeljene mape, ticket sustave, cloud pohrane. | **Ujedinjeno graf‑upit** – Graf znanja spaja dokaz s politikama, kontrolama i pitanjima upitnika za trenutni dohvat. |

Koncepcija životnog ciklusa zatvara ova praznina: generiranje dokaza → obogaćivanje → pohrana → validacija → ponovna upotreba.

---

## 2. Osnovne komponente enginea za životni ciklus dokaza

### 2.1 Sloj za prikupljanje

- **RPA/Connector botovi** automatski povlače logove, snimke konfiguracija, izvještaje o testiranju i treće‑strane attestacije.
- **Multimodalni unos** podržava PDF‑ove, Excel tablice, slike, pa čak i video snimke prikaza UI‑a.
- **Ekstrakcija metapodataka** koristi OCR i LLM‑parsiranje za označavanje artefakata ID‑jevima kontrola (npr. [NIST 800‑53 SC‑7](https://www.nist.gov/cyberframework)).

### 2.2 Sloj za obogaćivanje

- **Sažimanje potpomognuto LLM‑om** generira koncizne narative dokaza (≈200 riječi) koji odgovaraju na „što, kada, gdje, zašto“.
- **Semantičko označavanje** dodaje ontološki temeljene labelle (`DataEncryption`, `IncidentResponse`) u skladu s internim rječnikom politika.
- **Ocjena rizika** pridodaje metriku povjerenja temeljenu na pouzdanosti izvora i aktualnosti.

### 2.3 Registar porijekla

- Svaki čvor dokaza dobiva **UUID** izveden iz SHA‑256 hash‑a sadržaja i metapodataka.
- **Zapisnici tipa append‑only** bilježe svaku operaciju (create, update, retire) s vremenskim oznakama, ID‑jem aktera i digitalnim potpisom.
- **Zero‑knowledge proofs** mogu verificirati da je dokaz postojao u određenom trenutku bez otkrivanja njegovog sadržaja, zadovoljavajući audite s osjetljivim podacima.

### 2.4 Integracija grafova znanja

Čvorovi dokaza postaju dio **semantičkog grafa** koji povezuje:

- **Kontrole** (npr. [ISO 27001](https://www.iso.org/standard/27001) A.12.4)
- **Stavke upitnika** (npr. “Šifrirate li podatke u mirovanju?”)
- **Projekte/Proizvode** (npr. “Acme API Gateway”)
- **Regulatorne zahtjeve** (npr. [GDPR](https://gdpr.eu/) Art. 32)

Graf omogućuje **jedan‑klik traversiranje** s upitnika na točan dokaz, uz detalje o verziji i porijeklu.

### 2.5 Sloj za dohvat i generiranje

- **Hibridni Retrieval‑Augmented Generation (RAG)** dohvaća najrelevantnije čvorove dokaza i prosljeđuje ih generativnom LLM‑u.
- **Predlošci prompta** dinamički se popunjavaju narativima dokaza, ocjenama rizika i mapiranjem na usklađenost.
- LLM proizvodi **AI‑generirane odgovore** koji su istovremeno čitljivi ljudima i računovodstveno potkrijepljeni podlogama iz čvora dokaza.

---

## 3. Pregled arhitekture (Mermaid dijagram)

```mermaid
graph LR
  subgraph Capture
    A[Connector Bots] -->|pull| B[Raw Artifacts]
  end
  subgraph Enrichment
    B --> C[LLM Summarizer]
    C --> D[Semantic Tagger]
    D --> E[Risk Scorer]
  end
  subgraph Provenance
    E --> F[Hash Generator]
    F --> G[Append‑Only Ledger]
  end
  subgraph KnowledgeGraph
    G --> H[Evidence Node]
    H --> I[Control Ontology]
    H --> J[Questionnaire Item]
    H --> K[Product/Project]
  end
  subgraph RetrievalGeneration
    I & J & K --> L[Hybrid RAG Engine]
    L --> M[Prompt Template]
    M --> N[LLM Answer Generator]
    N --> O[AI‑Crafted Questionnaire Response]
  end
```

Dijagram ilustrira **linearni tok** od prikupljanja do generiranja odgovora, dok graf znanja pruža **bidirekcionalnu mrežu** koja podržava retrospektivne upite i analize utjecaja.

---

## 4. Implementacija enginea u Procurize

### Korak 1: Definirajte ontologiju dokaza

1. Popišite **regulatorne okvire** koje morate podržavati (npr. [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html), [GDPR](https://gdpr.eu/)).
2. Mapirajte svaku kontrolu na **kanonički ID**.
3. Kreirajte **YAML‑baziranu šemu** koju će sloj za obogaćivanje koristiti za označavanje.

```yaml
controls:
  - id: ISO27001:A.12.4
    name: "Logging and Monitoring"
    tags: ["log", "monitor", "SIEM"]
  - id: SOC2:CC6.1
    name: "Encryption at Rest"
    tags: ["encryption", "key‑management"]
```

### Korak 2: Postavite capture konektore

- Upotrijebite Procurize‑ov **SDK** za registraciju konektora prema API‑jima vaših cloud pružatelja, CI/CD cjevovoda i alata za ticketing.
- Planirajte inkrementalno povlačenje (npr. svakih 15 minuta) kako bi dokaz ostao svjež.

### Korak 3: Omogućite usluge obogaćivanja

- Pokrenite **LLM mikro‑uslugu** (npr. OpenAI GPT‑4‑turbo) iza sigurnog endpointa.
- Konfigurirajte pipeline‑e:
  - **Sažimanje** → `max_tokens: 250`
  - **Označavanje** → `temperature: 0.0` za determinističko dodjeljivanje taksonomije
- Pohranite rezultate u **PostgreSQL** tablicu koja napaja registar porijekla.

### Korak 4: Aktivirajte registar porijekla

- Odaberite lagani **blockchain‑stil platformu** (npr. Hyperledger Fabric) ili **append‑only log** u cloud‑native bazi podataka.
- Implementirajte **digitalno potpisivanje** koristeći internu PKI.
- Izložite REST endpoint `/evidence/{id}/history` za revizore.

### Korak 5: Integrirajte graf znanja

- Postavite **Neo4j** ili **Amazon Neptune**.
- Učitajte čvorove dokaza putem **batch posla** koji čita iz pohrane obogaćivanja i stvara odnose definirane ontologijom.
- Indeksirajte često upitna polja (`control_id`, `product_id`, `risk_score`).

### Korak 6: Konfigurirajte RAG i predloške prompta

```text
[System Prompt]
You are a compliance assistant. Use the supplied evidence summary to answer the questionnaire item. Cite the evidence ID.

[User Prompt]
Question: {{question_text}}
Evidence Summary: {{evidence_summary}}
```

- RAG engine dohvaća top‑3 čvora dokaza prema semantičkoj sličnosti.
- LLM vraća **strukturirani JSON** s `answer`, `evidence_id` i `confidence`.

### Korak 7: UI integracija

- U Procurize‑ovom UI‑u upitnika dodajte tipku **„Prikaži dokaz“** koja proširuje prikaz registra porijekla.
- Omogućite **jedan‑klik umetanje** AI‑generiranog odgovora i pratećeg dokaza u nacrt odgovora.

---

## 5. Stvarne prednosti

| Metrika | Prije enginea za životni ciklus | Nakon enginea za životni ciklus |
|--------|----------------------------------|----------------------------------|
| Prosječno vrijeme odgovora po upitniku | 12 dana | 3 dana |
| Ručni napor za dohvat dokaza (osoba‑sati) | 45 h po reviziji | 12 h po reviziji |
| Stopa revizijskih nalaza (nedostajući dokaz) | 18 % | 2 % |
| Interni indeks povjerenja u usklađenost | 78 % | 94 % |

Jedan vodeći SaaS pružatelj izvijestio je o **70 % smanjenju vremena obrade** nakon uvođenja AI‑pogonjenog životnog ciklusa dokaza. Revizijski tim je pohvalio **nepromjenjive registre porijekla**, koji su uklonili nalaze „nemoguće locirati originalni dokaz”.

---

## 6. Rješavanje uobičajenih zabrinutosti

### 6.1 Privatnost podataka

Dokazi mogu sadržavati osjetljive podatke kupaca. Engine smanjuje rizik kroz:
- **Cjevovode za redakciju** koji automatski maskiraju PII prije pohrane.
- **Zero‑knowledge proof** provjere koje revizorima dopuštaju verificirati postojanje dokaza bez otkrivanja sirovog sadržaja.
- **Granularne kontrole pristupa** provučene na razini grafa (RBAC po čvoru).

### 6.2 Halucinacije modela

Generativni modeli mogu izmišljati detalje. Sprječavanje:
- **Strogo ukorjenjivanje** – LLM je prisiljen uključiti citat (`evidence_id`) za svaku činjeničnu tvrdnju.
- **Validacija poslije generiranja** – rule‑engine podudarno provjerava odgovor s registrom porijekla.
- **Ljudski nadzor** – recenzent mora odobriti svaki odgovor koji nema visok skor povjerenja.

### 6.3 Trošak integracije

Organizacije se boje opsega povezivanja naslijeđenih sustava. Mitigacije:
- Iskoristite **standardne konektore** (REST, GraphQL, S3) koje Procurize pruža.
- Upotrijebite **event‑driven adaptere** (Kafka, AWS EventBridge) za real‑time prikupljanje.
- Pokrenite **pilot opseg** (npr. samo ISO 27001 kontrole) i postepeno širite.

---

## 7. Buduća poboljšanja

1. **Federirani grafovi znanja** – više poslovnih jedinica održava nezavisne podgrafe koji se sinkroniziraju putem sigurne federacije, čuvajući suverenitet podataka.
2. **Prediktivno rudarenje regulativa** – AI prati regulatorne novosti (npr. EU zakonodavstvo) i automatski kreira nove čvorove kontrola, potičući generiranje dokaza prije nego što revizije dođu.
3. **Samopopravljajući se dokaz** – ako ocjena rizika čvora padne ispod prag‑a, sustav automatski pokreće remedijarne radnje (npr. ponovni security scan) i ažurira verziju dokaza.
4. **Explainable AI nadzorna ploča** – vizualni heatmapovi pokazuju koji su dokazi najviše doprinijeli generiranom odgovoru, podižući povjerenje dionika.

---

## 8. Lista za početak

- [ ] Izradite **kanoničku ontologiju dokaza** usklađenu s vašim regulatornim pejzažom.  
- [ ] Instalirajte Procurize konektore za primarne izvore podataka.  
- [ ] Pokrenite **LLM uslugu za obogaćivanje** s sigurnim API ključevima.  
- [ ] Postavite **append‑only registar porijekla** (odaberite tehnologiju koja zadovoljava vaše zahtjeve usklađenosti).  
- [ ] Učitajte prvu seriju dokaza u **graf znanja** i provjerite odnose.  
- [ ] Konfigurirajte **RAG pipeline** i testirajte s uzorkom upitnika.  
- [ ] Provedite **pilot reviziju** kako biste potvrdili provjerljivost dokaza i točnost odgovora.  
- [ ] Iterirajte na temelju povratnih informacija, zatim proširite na sve produktne linije.

Slijedeći ove korake, prelazite s kaotičnog skupljanja PDF‑ova na **živi engine usklađenosti** koji napaja automatizaciju sigurnosnih upitnika u stvarnom vremenu, istovremeno pružajući neupitnu revizijsku provjeru.