AI potpomognuto automatizirano mapiranje kontrola ISO 27001 za sigurnosna pitanja

Sigurnosna pitanja predstavljaju usko grlo u procjeni rizika dobavljača. Revizori često traže dokaze da SaaS pružatelj poštuje ISO 27001, ali ručni napor potreban za pronalaženje odgovarajuće kontrole, izdvajanje prateće politike i formuliranje sažetog odgovora može potrajati danima. Nova generacija platformi potaknutih AI‑jem mijenja ovaj paradigem iz reaktivnih, ljudski‑intenzivnih procesa u prediktivne, automatizirane tokove rada.

U ovom članku predstavljamo prvi takav motor koji:

1. Uvozi cijeli set kontrola ISO 27001 i mapira svaku kontrolu na internu politiku organizacije.
2. Stvara graf znanja koji povezuje kontrole, politike, artefakte dokaza i vlasnike dionika.
3. Koristi pipeline za Retrieval‑Augmented Generation (RAG) kako bi proizveo odgovore na pitanja koja su usklađena, kontekstualna i ažurirana.
4. U stvarnom vremenu otkriva odstupanja politika, potičući automatsko ponovno generiranje kada se izvorna politika promijeni.
5. Pruža low‑code sučelje revizorima za fino podešavanje ili odobravanje generiranih odgovora prije slanja.

U nastavku ćete saznati o arhitektonskim komponentama, toku podataka, temeljnoj AI tehnici i mjerljivim koristima uvidljivim u ranim pilot projektima.

1. Zašto je mapiranje kontrola ISO 27001 važno

ISO 27001 pruža univerzalno prihvaćen okvir za upravljanje informacijskom sigurnošću. Njegov Dodatak A navodi 114 kontrola, svaka s pod‑kontrolama i smjernicama za provedbu. Kada neka vanjska sigurnosna anketa pita, na primjer:

“Opišite kako upravljate životnim ciklusom kriptografskih ključeva (Control A.10.1).”

sigurnosni tim mora pronaći relevantnu politiku, izvući specifičan opis procesa i prilagoditi ga formulaciji pitanja. Ponovljeno izvođenje ovog postupka za desetke kontrola kroz više anketa dovodi do:

• Ponovljenog rada – isti odgovori se prepisuju za svaki zahtjev.
• Nekonzistentnog jezika – suptilne promjene u formulaciji mogu se protumačiti kao praznine.
• Zastarjelog dokaza – politike se mijenjaju, ali nacrti anketa često ostaju nepromijenjeni.

Automatiziranje mapiranja kontrola ISO 27001 na ponovivo iskoristive fragmente odgovora uklanja ove probleme u velikom opsegu.

2. Osnovni arhitektonski plan

Motor se temelji na trima stupcima:

Dolje je Mermaid dijagram koji vizualizira tok podataka od ingestije do isporuke odgovora.

  graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer

All node labels are wrapped in double quotes as required by the Mermaid syntax.

3. Izgradnja grafa znanja kontrola‑politika

3.1 Modeliranje podataka

• Čvorovi kontrola – Svaka ISO 27001 kontrola (npr. “A.10.1”) postaje čvor s atributima: title, description, reference, family.
• Čvorovi politika – Interni sigurnosni dokumenti uvoze se iz Markdown‑a, Confluence‑a ili Git‑repozitorija. Atributi uključuju version, owner, last_modified.
• Čvorovi dokaza – Poveznice na audit logove, snimke konfiguracija ili certifikate trećih strana.
• Poveznice vlasništva – MANAGES, EVIDENCE_FOR, DERIVES_FROM.

Shema grafa omogućuje upite nalik SPARQL‑u, npr.:

MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1

3.2 Obogaćivanje GNN‑om

Graf‑neuronska mreža trenira se na povijesnim parovima pitanja‑odgovora kako bi naučila semantičku sličnost između kontrola i odlomaka politika. Taj rezultat se pohranjuje kao svojstvo ruba relevance_score, što značajno poboljšava preciznost dohvaćanja nad jednostavnim ključnim riječima.

4. Pipeline za Retrieval‑Augmented Generation

4.1 Faza dohvaćanja

1. Pretraga ključnih riječi – BM25 nad tekstom politika.
2. Vektorska pretraga – Ugrade (Sentence‑Transformers) za semantičko podudaranje.
3. Hibridno rangiranje – Kombinacija BM25 i GNN‑ovog relevance_score linearno (α = 0.6 za semantičko, 0.4 za leksičko).

Najboljih k (obično 3) isječaka politike prosljeđuje se LLM‑u zajedno s promptom pitanja.

4.2 Inženjering prompta

Dinamički predložak prompta prilagođava se obitelji kontrole:

You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.

LLM popunjava zamjenske oznake dohvaćenim isječcima i generira draft s referencama.

4.3 Post‑obrada

• Sloj provjere činjenica – Lagana provjera drugom prolazom LLM‑a kako bi se osiguralo da su sve tvrdnje utemeljene u dohvaćenom tekstu.
• Filtar redakcije – Otkriva i maskira povjerljive podatke koji ne smiju biti otkriveni.
• Modul formatiranja – Pretvara izlaz u željenu oznaku ankete (HTML, PDF ili plain text).

5. Otkrivanje odstupanja politika u stvarnom vremenu

Politike rijetko ostaju statične. Konektor za Change Data Capture (CDC) prati promjene u izvornoj pohrani – commitove, mergeove ili brisanja. Kada promjena zahvati čvor povezan s ISO kontrolom, detektor odstupanja:

1. Izračunava hash razlike između starog i novog isječka politike.
2. Pokreće odstupanje događaj na Kafka‑temu policy.drift.
3. Aktivira RAG pipeline za ponovno generiranje pogođenih odgovora.
4. Šalje obavijest vlasniku politike i nadzornoj ploči analitičara na pregled.

Ova povratna sprega osigurava da svaki objavljeni odgovor ostane u skladu s najnovijim internim kontrolama.

6. Korisničko iskustvo: Analitička nadzorna ploča

UI prikazuje mrežu nadolazećih stavki ankete s bojama statusa:

• Zelena – Odgovor generiran, bez odstupanja, spreman za izvoz.
• Žuta – Nedavna promjena politike, regeneracija na čekanju.
• Crvena – Potrebna ljudska revizija (npr. nejasna politika ili alarm za redakciju).

Značajke uključuju:

• Jedan klik za izvoz u PDF ili CSV.
• Uređivanje u liniji za prilagodbe u specifičnim slučajevima.
• Povijest verzija koja prikazuje točnu verziju politike korištene za svaki odgovor.

Kratki video demo (ugrađen u platformu) prikazuje tipičan radni tijek: odabir kontrole, pregled automatski generiranog odgovora, odobrenje i izvoz.

7. Kvantificirani poslovni učinak

Pilot je proveden u srednje velikoj SaaS tvrtki (≈ 250 zaposlenika) i smanjio je tjedni opseg rada sigurnosnog tima za ≈ 30 sati, uz eliminaciju 4 veće usklađenosti incidenta uzrokovanih zastarjelim odgovorima.

8. Sigurnost i upravljanje

• Rezidencijalnost podataka – Svi podaci grafa znanja ostaju unutar privatnog VPC‑a organizacije; inferencija LLM‑a odvija se na on‑premise hardveru ili privatnom cloud‑endpointu.
• Kontrole pristupa – Role‑based permissions ograničavaju tko može uređivati politike, pokretati regeneraciju ili pregledavati generirane odgovore.
• Audit trail – Svaki draft odgovora pohranjuje kriptografski hash koji ga povezuje s točnom verzijom politike, omogućujući nepromjenjivu provjeru tijekom revizija.
• Objašnjivost – Dashboard prikazuje pogled trasabilnosti koji navodi dohvaćene isječke politike i relevantne score‑ove koji su doprinijeli finalnom odgovoru, zadovoljavajući regulatore da je AI upotrijebljen odgovorno.

9. Proširenje motora izvan ISO 27001

Iako je prototip fokusiran na ISO 27001, arhitektura je regulator‑agnostička:

• SOC 2 Trust Services Criteria – Mapiranje na isti graf s različitim obiteljima kontrola.
• HIPAA Security Rule – Uvoz 18 standarda i povezivanje s politikama specifičnim za zdravstvo.
• PCI‑DSS – Povezivanje s procedurama upravljanja kartičnim podacima.

Dodavanje novog okvira zahtijeva jedino učitavanje njegovog kataloga kontrola i uspostavljanje početnih veza s postojećim čvorovima politika. GNN se automatski prilagođava kako se prikupljaju nove parove za treniranje.

10. Kako započeti: popis koraka

1. Prikupite ISO 27001 kontrole (preuzmite službeni CSV Annex A).
2. Izvezite interne politike u strukturirani format (Markdown s front‑matterom za verzioniranje).
3. Postavite graf znanja (Neo4j Docker slika, unaprijed konfigurirana šema).
4. Instalirajte RAG uslugu (Python FastAPI kontejner s LLM endpointom).
5. Konfigurirajte CDC (Git hook ili watcher datotečnog sustava) kako bi napajao detektor odstupanja.
6. Pokrenite Analitičku nadzornu ploču (React front‑end, OAuth2 autentikacija).
7. Pokrenite pilot anketu i iterativno usavršavajte predloške prompta.

Slijedeći ovaj plan, većina organizacija može postići potpuno automatizirani pipeline mapiranja ISO 27001 u roku od 4‑6 tjedana.

11. Budući smjerovi

• Federirano učenje – Dijeljenje anonimiziranih ugrađenih reprezentacija kontrola‑politika između partnera kako bi se poboljšala relevantnost bez otkrivanja vlasničkih politika.
• Multimodalni dokazi – Uključivanje dijagrama, konfiguracijskih datoteka i logova uz Vision‑LLM‑ove za obogaćivanje odgovora.
• Generativni priručnici usklađenosti – Proširenje od pojedinačnih odgovora na sveobuhvatne narative usklađenosti, uključujući tablice dokaza i procjene rizika.

Spajanje grafova znanja, RAG‑a i nadzora odstupanja u stvarnom vremenu postaje nova norma za svu automatizaciju sigurnosnih anketa. Rani usvajači uživat će ne samo u brzini, već i u povjerenju da je svaki odgovor trasabilan, aktualan i revizijski provjerljiv.

Vidi također

• ISO 27001 – Službeni Annex A kontrole
• NIST SP 800‑53 mapiranje na ISO 27001
• Retrieval‑Augmented Generation: Survey of Techniques and Applications