
# AI pokretan motor za preslikavanje politika kroz različite regulatorne okvire za ujednačene odgovore na upitnike

Poduzeća koja prodaju SaaS rješenja globalnim korisnicima moraju odgovarati na sigurnosne upitnike koji obuhvaćaju desetke regulatornih okvira — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS i mnoge industrijske standarde.  
Tradicionalno se svaki okvir obrađuje odvojeno, što dovodi do dupliciranog napora, nekonzistentnih dokaza i visokog rizika od revizijskih nalaza.

**Motor za preslikavanje politika kroz različite regulatorne okvire** rješava ovaj problem automatskim prevođenjem jedne definicije politike u jezik svakog potrebnog standarda, povezivanjem odgovarajućih dokaza i pohranjivanjem cijelog lanca atribucija u nepromjenjivom ledgeru. U nastavku istražujemo ključne komponente, podatkovni tok i praktične koristi za timove za usklađenost, sigurnost i pravne odjele.

---

## Sadržaj

1. [Zašto je preslikavanje kroz različite regulatorne okvire važno](#why-crossregulatory-mapping-matters)  
2. [Pregled osnovne arhitekture](#core-architecture-overview)  
3. [Izgradnja dinamičkog grafa znanja](#dynamic-knowledge-graph-construction)  
4. [Prevođenje politika pomoću LLM‑a](#llm-driven-policy-translation)  
5. [Atribucija dokaza i nepromjenjivi ledger](#evidence-attribution-immutable-ledger)  
6. [Petlja ažuriranja u stvarnom vremenu](#real-time-update-loop)  
7. [Sigurnosni i privatnosni aspekti](#security-privacy-considerations)  
8. [Scenariji implementacije](#deployment-scenarios)  
9. [Ključne koristi i ROI](#key-benefits-roi)  
10. [Popis zadataka za implementaciju](#implementation-checklist)  
11. [Buduća poboljšanja](#future-enhancements)  

---

## Zašto je preslikavanje kroz različite regulatorne okvire važno

| Problem | Tradicionalni pristup | AI‑potrjeno rješenje |
|------------|----------------------|----------------------|
| **Dupliciranje politika** | Pohranjivanje zasebnih dokumenata po okviru | Jedinstveni izvor istine (SSOT) → automatsko preslikavanje |
| **Fragmentacija dokaza** | Ručno kopiranje/zalijepljivanje ID‑ova dokaza | Automatizirano povezivanje dokaza putem grafa |
| **Praznine u revizijskim zapisima** | PDF‑logovi revizija, bez kriptografskog dokaza | Neizmjenjivi ledger s kriptografskim hash‑ovima |
| **Zastarijele regulative** | Kvartalni ručni pregledi | Detekcija pomaka u stvarnom vremenu i automatska popravka |
| **Kašnjenje u odgovorima** | Dani‑do‑tjedni odaziv | Sekunde do minuta po upitniku |

Ujedinjenjem definicija politika, timovi smanjuju metriku „opterećenja usklađenosti“ — vrijeme provedeno na upitnicima po kvartalu — i to i do **80 %**, prema ranim pilot studijama.

---

## Pregled osnovne arhitekture

```mermaid
graph TD
    A["Repozitorij politika"] --> B["Graditelj grafova znanja"]
    B --> C["Dinamički KG (Neo4j)"]
    D["LLM prevoditelj"] --> E["Usluga preslikavanja politika"]
    C --> E
    E --> F["Motor za atribuciju dokaza"]
    F --> G["Neizmjenjivi ledger (Merkle stablo)"]
    H["Regulatorni feed"] --> I["Detektor odska"]
    I --> C
    I --> E
    G --> J["Nadzorna ploča usklađenosti"]
    F --> J
```

*Sve oznake čvorova su navedene u navodnicima, kako to zahtijeva sintaksa Mermaid‑a.*

**Ključni moduli**

1. **Repozitorij politika** – Centralno spremište (GitOps) za sve interne politike.  
2. **Graditelj grafova znanja** – Parsira politike, ekstrahira entitete (kontrole, kategorije podataka, razine rizika) i veze.  
3. **Dinamički KG (Neo4j)** – Semantičko okosje; kontinuirano obogaćuje regulatorni feed.  
4. **LLM prevoditelj** – Veliki jezični model (npr. Claude‑3.5, GPT‑4o) koji prepisuje klauzule politike u jezik ciljnog okvira.  
5. **Usluga preslikavanja politika** – Uspoređuje prevedene klauzule s kontrolnim ID‑ovima okvira uz pomoć sličnosti grafa.  
6. **Motor za atribuciju dokaza** – Povlači objekte dokaza (dokumente, logove, izvještaje skeniranja) iz Središta dokaza i označava ih metapodacima o porijeklu grafa.  
7. **Neizmjenjivi ledger** – Pohranjuje kriptografske hash‑ove veza politika‑dokaz; koristi Merkle stablo za efikasno generiranje dokaza.  
8. **Regulatorni feed & Detektor odska** – Prima RSS, OASIS i vendor‑specifične promjene; označava neskladnosti.  

---

## Izgradnja dinamičkog grafa znanja

### 1. Ekstrakcija entiteta

- **Čvorovi kontrola** – npr. “Kontrola pristupa – na temelju uloga”  
- **Čvorovi podatkovnih sredstava** – npr. “PII – adresa e‑pošte”  
- **Čvorovi rizika** – npr. “Povreda povjerljivosti”

### 2. Vrste veza

| Veza | Značenje |
|------|----------|
| `ENFORCES` | Kontrola → Podatkovno sredstvo |
| `MITIGATES` | Kontrola → Rizik |
| `DERIVED_FROM` | Politika → Kontrola |

### 3. Cjevovod za obogaćivanje grafa (pseudo‑kod)

```goat
def ingest_policy(policy_file):
    doc = parse_markdown(policy_file)
    controls = extract_controls(doc)
    for ctrl in controls:
        node = KG.upsert("Control", name=ctrl.name)
        for asset in ctrl.assets:
            asset_node = KG.upsert("DataAsset", name=asset)
            KG.create_rel(node, "ENFORCES", asset_node)
        for risk in ctrl.risks:
            risk_node = KG.upsert("Risk", name=risk)
            KG.create_rel(node, "MITIGATES", risk_node)
```

Graf evoluira kako se unose nove regulative; novi čvorovi se automatski povezuju pomoću leksičke sličnosti i usklađivanja ontologija.

---

## Prevođenje politika pomoću LLM‑a

Motor za prevođenje radi u dva koraka:

1. **Generiranje upita** – Sustav sastavlja strukturirani prompt koji sadrži izvorni odlomak, ID ciljnog okvira i kontekstualna ograničenja (npr. “zadrži obavezna razdoblja zadržavanja audit logova”).  
2. **Semantička validacija** – Izlaz LLM‑a prolazi kroz validator temeljen na pravilima koji provjerava nedostatak obaveznih podkontrola, zabranjeni jezik i ograničenja duljine.

### Primjer upita

```
Prevedi sljedeću internu kontrolu u jezik ISO 27001 Annex A.7.2, zadržavajući sve aspekte ublažavanja rizika.

Kontrola: “Svi privilegirani pristupi moraju se pregledavati kvartalno i zapisivati s nepromjenjivim vremenskim oznakama.”
```

LLM vraća klauzulu usklađenu s ISO‑om, koja se zatim vraća u graf znanja stvarajući rub `TRANSLATES_TO`.

---

## Atribucija dokaza i nepromjenjivi ledger

### Integracija s Centrom dokaza

- **Izvori**: CloudTrail logovi, inventar S3 kanti, izvještaji o skeniranju ranjivosti, treća‑strana atteste.  
- **Snimanje metapodataka**: SHA‑256 hash, vremenska oznaka prikupljanja, izvorni sustav, oznaka usklađenosti.

### Tok atribucije

```mermaid
sequenceDiagram
    participant Q as Motor upitnika
    participant E as Centar dokaza
    participant L as Ledger
    Q->>E: Zatraži dokaze za kontrolu “RBAC”
    E-->>Q: ID‑ovi dokaza + hash‑ovi
    Q->>L: Pohrani par (ControlID, EvidenceHash)
    L-->>Q: Potvrda Merkle dokaza
```

Svaki par *(ControlID, EvidenceHash)* postaje listni čvor u Merkle stablu. Korijenski hash se svakodnevno potpisuje hardverskim sigurnosnim modulom (HSM), dajući revizorima kriptografski dokaz da su prikazani dokazi u potpunosti usklađeni s registriranim stanjem.

---

## Petlja ažuriranja u stvarnom vremenu

1. **Regulatorni feed** povlači najnovije promjene (npr. ažuriranja NIST CSF‑a, revizije ISO‑a).  
2. **Detektor odska** izračunava razliku u grafu; nedostajući `TRANSLATES_TO` rubovi pokreću posao ponovnog prevođenja.  
3. **Usluga preslikavanja politika** odmah ažurira pogođene predloške upitnika.  
4. **Nadzorna ploča** obavještava odgovorne za usklađenost uz ocjenu težine.

Ova petlja smanjuje „kašnjenje od politike do upitnika“ s tjedana na sekunde.

---

## Sigurnosni i privatnosni aspekti

| Briga | Ublažavanje |
|-------|--------------|
| **Izloženost osjetljivih dokaza** | Šifriranje podataka u mirovanju (AES‑256‑GCM); dešifrira se samo u sigurnom enklavu za izračun hash‑a. |
| **Curjenje prompta modela** | Korištenje on‑prem LLM‑a ili enkriptiranog procesiranja prompta (npr. OpenAI‑ova povjerljiva obrada). |
| **Manipulacija ledgerom** | Korijenski hash potpisan od HSM‑a; svaka izmjena poništava Merkle dokaz. |
| **Izolacija podataka po najmu** | Višestruki najam grafa s redovima‑razine sigurnosti; najam‑specifični ključevi za potpisivanje ledger‑a. |
| **Usklađenost regulative** | Sustav sam ispunjava GDPR‑uvjete: minimizacija podataka, pravo na brisanje putem revokacije čvorova grafa. |

---

## Scenariji implementacije

| Scenarij | Opseg | Preporučena infrastruktura |
|----------|-------|----------------------------|
| **Mali SaaS startup** | < 5 okvira, < 200 politika | Hostani Neo4j Aura, OpenAI API, AWS Lambda za ledger |
| **Srednje poduzeće** | 10‑15 okvira, ~1 k politika | Samo‑hostani Neo4j klaster, on‑prem LLM (Llama 3 70B), Kubernetes za mikro‑servise |
| **Globalni pružatelj cloud usluga** | 30+ okvira, > 5 k politika | Federirani graf‑šardovi, HSM‑i u više regija, edge‑keširani LLM inference |

---

## Ključne koristi i ROI

| Metrička vrijednost | Prije | Nakon (pilot) |
|---------------------|-------|----------------|
| Prosječno vrijeme odziva po upitniku | 3 dana | 2 sata |
| Potrošnja radnih sati na politiku mjesečno | 120 h | 30 h |
| Stopa nalaza revizije | 12 % | 3 % |
| Omjer ponovne upotrebe dokaza | 0,4 | 0,85 |
| Trošak alata za usklađenost | $250 k / god | $95 k / god |

Smanjenje ručnog napora izravno prerasta u brže cikluse prodaje i veće stope konverzije.

---

## Popis zadataka za implementaciju

1. **Uspostaviti GitOps repozitorij politika** (zaštita grana, revizija PR‑ova).  
2. **Postaviti Neo4j instancu** (ili alternativni graf‑DB).  
3. **Integrirati regulatorne feedove** (SOC 2, ISO 27001, GDPR, CCPA, HIPAA, PCI‑DSS, itd.).  
4. **Konfigurirati LLM inference** (on‑prem ili upravljano).  
5. **Postaviti konektore za Centar dokaza** (agregatori logova, alati za skeniranje).  
6. **Implementirati Merkle‑tree ledger** (odaberite HSM pružatelja).  
7. **Izraditi nadzornu ploču usklađenosti** (React + GraphQL).  
8. **Pokrenuti ciklus detekcije odska** (svakih sat vremena).  
9. **Obučiti interno osoblje** za verifikaciju ledger‑dokaza.  
10. **Izvesti pilot na odabranom upitniku** (klijent niskog rizika).  

---

## Buduća poboljšanja

- **Federirani grafovi znanja**: Dijeljenje anonimiziranih preslikavanja kontrola među industrijskim konzorcijima bez otkrivanja vlasničkih politika.  
- **Marketplace za generativne prompting predloške**: Omogućiti timovima usklađenosti da objavljuju predloške koji automatski optimiziraju kvalitetu prevođenja.  
- **Samopopravljajuće politike**: Kombinirati detekciju odska s reinforcement learning‑om za automatsko predlaganje revizija politika.  
- **Integracija zero‑knowledge proof‑ova**: Zamijeniti Merkle dokaze zk‑SNARK‑ovima za još strožu privatnost.  