
# AI potpomognuto automatizirano mapiranje kontrola ISO 27001 za sigurnosna pitanja

Sigurnosna pitanja predstavljaju usko grlo u procjeni rizika dobavljača. Revizori često traže dokaze da SaaS pružatelj poštuje [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html), ali ručni napor potreban za pronalaženje odgovarajuće kontrole, izdvajanje prateće politike i formuliranje sažetog odgovora može potrajati danima. Nova generacija platformi potaknutih AI‑jem mijenja ovaj paradigem iz **reaktivnih, ljudski‑intenzivnih** procesa u **prediktivne, automatizirane** tokove rada.

U ovom članku predstavljamo **prvi takav motor** koji:

1. **Uvozi cijeli set kontrola ISO 27001** i mapira svaku kontrolu na internu politiku organizacije.  
2. **Stvara graf znanja** koji povezuje kontrole, politike, artefakte dokaza i vlasnike dionika.  
3. **Koristi pipeline za Retrieval‑Augmented Generation (RAG)** kako bi proizveo odgovore na pitanja koja su *usklađena, kontekstualna i ažurirana*.  
4. **U stvarnom vremenu otkriva odstupanja politika**, potičući automatsko ponovno generiranje kada se izvorna politika promijeni.  
5. **Pruža low‑code sučelje** revizorima za fino podešavanje ili odobravanje generiranih odgovora prije slanja.  

U nastavku ćete saznati o arhitektonskim komponentama, toku podataka, temeljnoj AI tehnici i mjerljivim koristima uvidljivim u ranim pilot projektima.

---

## 1. Zašto je mapiranje kontrola ISO 27001 važno

[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) pruža univerzalno prihvaćen okvir za upravljanje informacijskom sigurnošću. Njegov **Dodatak A** navodi 114 kontrola, svaka s pod‑kontrolama i smjernicama za provedbu. Kada neka vanjska sigurnosna anketa pita, na primjer:

> “Opišite kako upravljate životnim ciklusom kriptografskih ključeva (Control A.10.1).”

sigurnosni tim mora pronaći relevantnu politiku, izvući specifičan opis procesa i prilagoditi ga formulaciji pitanja. Ponovljeno izvođenje ovog postupka za desetke kontrola kroz više anketa dovodi do:

* **Ponovljenog rada** – isti odgovori se prepisuju za svaki zahtjev.  
* **Nekonzistentnog jezika** – suptilne promjene u formulaciji mogu se protumačiti kao praznine.  
* **Zastarjelog dokaza** – politike se mijenjaju, ali nacrti anketa često ostaju nepromijenjeni.  

Automatiziranje mapiranja kontrola ISO 27001 na ponovivo iskoristive fragmente odgovora uklanja ove probleme u velikom opsegu.

---

## 2. Osnovni arhitektonski plan

Motor se temelji na trima stupcima:

| Stupac | Svrha | Ključne tehnologije |
|--------|-------|----------------------|
| **Graf znanja kontrola‑politika** | Normalizira ISO 27001 kontrole, interne politike, artefakte i vlasnike u graf koji se može upitovati. | Neo4j, RDF, Graph Neural Networks (GNN) |
| **RAG generiranje odgovora** | Dovlači najrelevantniji isječak politike, nadopunjuje ga kontekstom i generira poliran odgovor. | Retrieval (BM25 + Vector Search), LLM (Claude‑3, Gemini‑Pro), Prompt Templates |
| **Otkrivanje odstupanja politika & automatsko osvježavanje** | Prati promjene izvornih politika, ponovno pokreće generiranje i obavještava dionike. | Change Data Capture (CDC), Diff‑Auditing, Event‑Driven Pub/Sub (Kafka) |

Dolje je Mermaid dijagram koji vizualizira tok podataka od ingestije do isporuke odgovora.

```mermaid
graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer
```

*All node labels are wrapped in double quotes as required by the Mermaid syntax.*

---

## 3. Izgradnja grafa znanja kontrola‑politika

### 3.1 Modeliranje podataka

* **Čvorovi kontrola** – Svaka ISO 27001 kontrola (npr. “A.10.1”) postaje čvor s atributima: `title`, `description`, `reference`, `family`.  
* **Čvorovi politika** – Interni sigurnosni dokumenti uvoze se iz Markdown‑a, Confluence‑a ili Git‑repozitorija. Atributi uključuju `version`, `owner`, `last_modified`.  
* **Čvorovi dokaza** – Poveznice na audit logove, snimke konfiguracija ili certifikate trećih strana.  
* **Poveznice vlasništva** – `MANAGES`, `EVIDENCE_FOR`, `DERIVES_FROM`.  

Shema grafa omogućuje upite nalik SPARQL‑u, npr.:

```cypher
MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1
```

### 3.2 Obogaćivanje GNN‑om

Graf‑neuronska mreža trenira se na povijesnim parovima pitanja‑odgovora kako bi naučila **semantičku sličnost** između kontrola i odlomaka politika. Taj rezultat se pohranjuje kao svojstvo ruba `relevance_score`, što značajno poboljšava preciznost dohvaćanja nad jednostavnim ključnim riječima.

---

## 4. Pipeline za Retrieval‑Augmented Generation

### 4.1 Faza dohvaćanja

1. **Pretraga ključnih riječi** – BM25 nad tekstom politika.  
2. **Vektorska pretraga** – Ugrade (Sentence‑Transformers) za semantičko podudaranje.  
3. **Hibridno rangiranje** – Kombinacija BM25 i GNN‑ovog `relevance_score` linearno (α = 0.6 za semantičko, 0.4 za leksičko).  

Najboljih k (obično 3) isječaka politike prosljeđuje se LLM‑u zajedno s promptom pitanja.

### 4.2 Inženjering prompta

**Dinamički predložak prompta** prilagođava se obitelji kontrole:

```
You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.
```

LLM popunjava zamjenske oznake dohvaćenim isječcima i generira **draft s referencama**.

### 4.3 Post‑obrada

* **Sloj provjere činjenica** – Lagana provjera drugom prolazom LLM‑a kako bi se osiguralo da su sve tvrdnje utemeljene u dohvaćenom tekstu.  
* **Filtar redakcije** – Otkriva i maskira povjerljive podatke koji ne smiju biti otkriveni.  
* **Modul formatiranja** – Pretvara izlaz u željenu oznaku ankete (HTML, PDF ili plain text).

---

## 5. Otkrivanje odstupanja politika u stvarnom vremenu

Politike rijetko ostaju statične. **Konektor za Change Data Capture (CDC)** prati promjene u izvornoj pohrani – commitove, mergeove ili brisanja. Kada promjena zahvati čvor povezan s ISO kontrolom, detektor odstupanja:

1. Izračunava **hash razlike** između starog i novog isječka politike.  
2. Pokreće **odstupanje događaj** na Kafka‑temu `policy.drift`.  
3. Aktivira RAG pipeline za ponovno generiranje pogođenih odgovora.  
4. Šalje **obavijest** vlasniku politike i nadzornoj ploči analitičara na pregled.  

Ova povratna sprega osigurava da svaki objavljeni odgovor ostane u skladu s najnovijim internim kontrolama.

---

## 6. Korisničko iskustvo: Analitička nadzorna ploča

UI prikazuje **mrežu nadolazećih stavki ankete** s bojama statusa:

* **Zelena** – Odgovor generiran, bez odstupanja, spreman za izvoz.  
* **Žuta** – Nedavna promjena politike, regeneracija na čekanju.  
* **Crvena** – Potrebna ljudska revizija (npr. nejasna politika ili alarm za redakciju).  

Značajke uključuju:

* **Jedan klik za izvoz** u PDF ili CSV.  
* **Uređivanje u liniji** za prilagodbe u specifičnim slučajevima.  
* **Povijest verzija** koja prikazuje točnu verziju politike korištene za svaki odgovor.  

Kratki video demo (ugrađen u platformu) prikazuje tipičan radni tijek: odabir kontrole, pregled automatski generiranog odgovora, odobrenje i izvoz.

---

## 7. Kvantificirani poslovni učinak

| Metrika | Prije automatizacije | Nakon automatizacije (pilot) |
|---------|----------------------|------------------------------|
| Prosječno vrijeme izrade odgovora | 45 min po kontroli | 3 min po kontroli |
| Vrijeme dovršetka ankete (cijela) | 12 dana | 1,5 dana |
| Ocjena konzistentnosti odgovora (interni audit) | 78 % | 96 % |
| Kašnjenje osvježavanja politika (vrijeme do ažuriranja) | 7 dana (ručno) | < 2 sata (automatski) |

Pilot je proveden u srednje velikoj SaaS tvrtki (≈ 250 zaposlenika) i smanjio je tjedni opseg rada sigurnosnog tima za **≈ 30 sati**, uz eliminaciju 4 veće usklađenosti incidenta uzrokovanih zastarjelim odgovorima.

---

## 8. Sigurnost i upravljanje

* **Rezidencijalnost podataka** – Svi podaci grafa znanja ostaju unutar privatnog VPC‑a organizacije; inferencija LLM‑a odvija se na on‑premise hardveru ili privatnom cloud‑endpointu.  
* **Kontrole pristupa** – Role‑based permissions ograničavaju tko može uređivati politike, pokretati regeneraciju ili pregledavati generirane odgovore.  
* **Audit trail** – Svaki draft odgovora pohranjuje kriptografski hash koji ga povezuje s točnom verzijom politike, omogućujući nepromjenjivu provjeru tijekom revizija.  
* **Objašnjivost** – Dashboard prikazuje **pogled trasabilnosti** koji navodi dohvaćene isječke politike i relevantne score‑ove koji su doprinijeli finalnom odgovoru, zadovoljavajući regulatore da je AI upotrijebljen odgovorno.

---

## 9. Proširenje motora izvan ISO 27001

Iako je prototip fokusiran na ISO 27001, arhitektura je **regulator‑agnostička**:

* **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Trust Services Criteria** – Mapiranje na isti graf s različitim obiteljima kontrola.  
* **[HIPAA](https://www.hhs.gov/hipaa/index.html) Security Rule** – Uvoz 18 standarda i povezivanje s politikama specifičnim za zdravstvo.  
* **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)** – Povezivanje s procedurama upravljanja kartičnim podacima.  

Dodavanje novog okvira zahtijeva jedino učitavanje njegovog kataloga kontrola i uspostavljanje početnih veza s postojećim čvorovima politika. GNN se automatski prilagođava kako se prikupljaju nove parove za treniranje.

---

## 10. Kako započeti: popis koraka

1. **Prikupite ISO 27001 kontrole** (preuzmite službeni CSV Annex A).  
2. **Izvezite interne politike** u strukturirani format (Markdown s front‑matterom za verzioniranje).  
3. **Postavite graf znanja** (Neo4j Docker slika, unaprijed konfigurirana šema).  
4. **Instalirajte RAG uslugu** (Python FastAPI kontejner s LLM endpointom).  
5. **Konfigurirajte CDC** (Git hook ili watcher datotečnog sustava) kako bi napajao detektor odstupanja.  
6. **Pokrenite Analitičku nadzornu ploču** (React front‑end, OAuth2 autentikacija).  
7. **Pokrenite pilot anketu** i iterativno usavršavajte predloške prompta.  

Slijedeći ovaj plan, većina organizacija može postići **potpuno automatizirani pipeline mapiranja ISO 27001 u roku od 4‑6 tjedana**.

---

## 11. Budući smjerovi

* **Federirano učenje** – Dijeljenje anonimiziranih ugrađenih reprezentacija kontrola‑politika između partnera kako bi se poboljšala relevantnost bez otkrivanja vlasničkih politika.  
* **Multimodalni dokazi** – Uključivanje dijagrama, konfiguracijskih datoteka i logova uz Vision‑LLM‑ove za obogaćivanje odgovora.  
* **Generativni priručnici usklađenosti** – Proširenje od pojedinačnih odgovora na sveobuhvatne narative usklađenosti, uključujući tablice dokaza i procjene rizika.  

Spajanje **grafova znanja, RAG‑a i nadzora odstupanja u stvarnom vremenu** postaje nova norma za svu automatizaciju sigurnosnih anketa. Rani usvajači uživat će ne samo u brzini, već i u povjerenju da je svaki odgovor **trasabilan, aktualan i revizijski provjerljiv**.

---

## Vidi također
- [ISO 27001 – Službeni Annex A kontrole](https://www.iso.org/standard/54534.html)  
- [NIST SP 800‑53 mapiranje na ISO 27001](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [Retrieval‑Augmented Generation: Survey of Techniques and Applications](https://arxiv.org/abs/2302.01279)