
# AI pogonjen dinamički orkestriranje dokaza za sigurnosna upitnika u stvarnom vremenu

## Uvod

Sigurnosni upitnici su ključni za svaki B2B SaaS ugovor. Oni zahtijevaju precizne, ažurirane dokaze prema okvirima poput [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) i novim regulativama. Tradicionalni procesi oslanjaju se na ručno kopiranje iz statičnih repozitorija politika, što dovodi do:

* **Dugi rokovi** – tjedni do mjeseci.  
* **Nekonzistentni odgovori** – različiti članovi tima navode konfliktne verzije.  
* **Rizik od revizije** – nema nepromjenjivog zapisa koji povezuje odgovor s izvorom.  

Sljedeća evolucija Procurize‑a, **Motor dinamičkog orkestriranja dokaza (DEOE)**, rješava ove bolne točke pretvaranjem baze znanja o usklađenosti u **adaptivnu, AI‑pogonenu podatkovnu tkaninu**. Kombinirajući **Retrieval‑Augmented Generation (RAG)**, **Grafičke neuronske mreže (GNN)** i **real‑time federirani graf znanja**, motor može:

1. **Locirati** najrelevantnije dokaze u trenutku.  
2. **Sintezirati** sažetan, regulativno‑svjestan odgovor.  
3. **Priložiti** kriptografske metapodatke podrijetla za revizijsku sposobnost.  

Rezultat je **jednoklikni, audit‑spreman odgovor** koji se razvija zajedno s promjenama politika, kontrola i regulativa.

---  

## Temeljni arhitektonski stupci

DEOE se sastoji od četiri čvrsto povezana sloja:

| Sloj | Odgovornost | Ključne tehnologije |
|-------|----------------|-------------------|
| **Uzimanje i normalizacija** | Povlačenje politika, revizijskih izvješća, zapisa ticketa i dokaza trećih strana. Pretvaranje u jedinstveni semantički model. | Document AI, OCR, schema mapping, OpenAI embeddings |
| **Federirani graf znanja (FKG)** | Pohranjivanje normaliziranih entiteta (kontrole, asseti, procesi) kao čvorova. Rubovi predstavljaju odnose poput *depends‑on*, *implements*, *audited‑by*. | Neo4j, JanusGraph, RDF‑based vocabularies, GNN‑ready schemas |
| **RAG mehanizam preuzimanja** | Na temelju upita iz upitnika, preuzimanje top‑k kontekstualnih odlomaka iz grafa, zatim prosljeđivanje LLM‑u za generiranje odgovora. | ColBERT, BM25, FAISS, OpenAI GPT‑4o |
| **Dinamičko orkestriranje i porijeklo** | Kombiniranje izlaza LLM‑a s citatima izgrađenim u grafu, potpisivanje rezultata uz zero‑knowledge proof ledger. | GNN inference, digital signatures, Immutable Ledger (e.g., Hyperledger Fabric) |

### Mermaid Overview

```mermaid
graph LR
  A[Document Ingestion] --> B[Semantic Normalization]
  B --> C[Federated Knowledge Graph]
  C --> D[Graph Neural Network Embeddings]
  D --> E[RAG Retrieval Service]
  E --> F[LLM Answer Generator]
  F --> G[Evidence Orchestration Engine]
  G --> H[Signed Audit Trail]
  style A fill:#f9f,stroke:#333,stroke-width:2px
  style H fill:#9f9,stroke:#333,stroke-width:2px
```

## Kako Retrieval‑Augmented Generation radi u DEOE

1. **Raspodjela upita** – Dolazna stavka upitnika se parsira u *intenciju* (npr. “Opišite šifriranje podataka u mirovanju”) i *ograničenje* (npr. “CIS 20‑2”).  
2. **Vektorizirano pretraživanje** – Vektor intencije se uspoređuje s FKG embedding‑ima pomoću FAISS‑a; preuzima se top‑k odlomaka (klauzule politika, revizijski nalazi).  
3. **Kontekstualno spajanje** – Preuzeti odlomci se spoje s originalnim upitom i proslijede LLM‑u.  
4. **Generiranje odgovora** – LLM proizvodi sažetan, usklađen odgovor, poštujući ton, duljinu i potrebne citate.  
5. **Mapiranje citata** – Svaka generirana rečenica se povezuje natrag na ID‑ove izvornog čvora putem praga sličnosti, osiguravajući **praćenje**.  

Proces traje **manje od 2 sekunde** za većinu uobičajenih stavki upitnika, što čini suradnju u stvarnom vremenu praktičnom.

## Grafičke neuronske mreže: Dodavanje semantičke inteligencije

Standardno pretraživanje po ključnim riječima tretira svaki dokument kao izoliranu vreću riječi. GNN‑ovi omogućuju motoru razumijevanje **strukturalnog konteksta**:

* **Značajke čvora** – embedding‑i izvedeni iz teksta, obogaćeni metapodacima tipa kontrole (npr. “šifriranje”, “kontrola pristupa”).  
* **Težine bridova** – hvataju regulatorne odnose (npr., *“ISO 27001 A.10.1”* *implements* *“SOC 2 CC6”*).  
* **Prosljeđivanje poruka** – širi relevantnost kroz graf, izlažući neizravne dokaze (npr., “politika zadržavanja podataka” koja neizravno zadovoljava pitanje “vođenje evidencije”).  

Trening **GraphSAGE** modela na povijesnim parovima upitnik‑odgovor omogućuje motoru da prioritetizira čvorove koji su povijesno doprinijeli visokokvalitetnim odgovorima, dramatično poboljšavajući preciznost.

## Ledger podrijetla: Neizmjenjiv revizijski trag

Svaki generirani odgovor dobiva paket od:

* **ID‑ovi čvorova** izvornog dokaza.  
* **Vremenski žig** preuzimanja.  
* **Digitalni potpis** DEOE‑ovog privatnog ključa.  
* **Zero‑Knowledge dokaz (ZKP)** da je odgovor izveden iz tvrdnja izvora bez otkrivanja samih dokumenata.  

Ovi artefakti se pohranjuju na **neizmjenjivi ledger** (Hyperledger Fabric) i mogu se izvesti po potrebi revizoru, eliminirajući pitanje „odakle je ovaj odgovor?“.

## Integracija s postojećim nabavnim procesima

| Točka integracije | Kako DEOE odgovara |
|-------------------|--------------------|
| **Sustavi za upravljanje zadacima (Jira, ServiceNow)** | Webhook pokreće mehanizam preuzimanja kada se stvori novi zadatak upitnika. |
| **CI/CD pipelinei** | Repozi politika‑ka‑kod prikupljaju ažuriranja u FKG putem GitOps‑stilskog sinkronizacijskog zadatka. |
| **Portali dobavljača (SharePoint, OneTrust)** | Odgovori se mogu automatski popuniti putem REST API‑ja, s vezama na revizijski trag priloženim kao metapodaci. |
| **Platforme za suradnju (Slack, Teams)** | AI asistent može odgovarati na upite na prirodnom jeziku, pozivajući DEOE u pozadini. |

## Kvantificirane prednosti

| Metrika | Tradicionalni proces | DEOE omogućeni proces |
|--------|----------------------|-----------------------|
| **Prosječno vrijeme odgovora** | 5‑10 dana po upitniku | < 2 minute po stavci |
| **Sati ručnog rada** | 30‑50 sati po ciklusu revizije | 2‑4 sata (samo pregled) |
| **Točnost dokaza** | 85 % (pod utjecajem ljudske greške) | 98 % (AI + provjera citata) |
| **Revizijski nalazi zbog nekonzistentnih odgovora** | 12 % ukupnih nalaza | < 1 % |

Pilot projekti u tri Fortune‑500 SaaS tvrtke pokazali su **70 % smanjenje vremena obrade** i **40 % pad troškova remedijacije povezanih s revizijom**.

## Plan implementacije

1. **Prikupljanje podataka (tjedni 1‑2)** – Povežite Document AI pipelines s repozitorijima politika, izvezite u JSON‑LD.  
2. **Dizajn grafičke sheme (tjedni 2‑3)** – Definirajte tipove čvorova/bridova (Kontrola, Asset, Regulativa, Dokaz).  
3. **Popunjavanje grafa (tjedni 3‑5)** – Učitajte normalizirane podatke u Neo4j, izvršite početni GNN trening.  
4. **Implementacija RAG servisa (tjedni 5‑6)** – Postavite FAISS indeks, integrirajte s OpenAI API‑jem.  
5. **Motor orkestriranja (tjedni 6‑8)** – Implementirajte sintezu odgovora, mapiranje citata i potpisivanje na ledgeru.  
6. **Pilot integracija (tjedni 8‑10)** – Spojite na jedan radni tok upitnika, prikupite povratne informacije.  
7. **Iterativno podešavanje (tjedni 10‑12)** – Fino‑podesite GNN, prilagodite predloške upita, proširite ZKP pokrivenost.  

Docker‑Compose datoteka i Helm chart dostupni su u open‑source SDK‑u Procurize, omogućujući brzu postavu na Kubernetesu.

## Budući smjerovi

* **Multimodalni dokazi** – Uključivanje screenshotova, arhitektonskih dijagrama i video walkthrough‑a pomoću CLIP‑embeddinga.  
* **Federirano učenje među najmodavcima** – Dijeljenje anonimiziranih GNN težina s partnerskim tvrtkama uz očuvanje suvereniteta podataka.  
* **Prognoza regulative** – Kombinacija vremenskog grafa s LLM‑baziranom analizom trendova za proaktivno generiranje dokaza za nadolazeće standarde.  
* **Kontrole pristupa s nultim povjerenjem** – Provođenje politike‑bazirane dešifriranja dokaza u točki korištenja, osiguravajući da samo ovlaštene uloge vide izvorni dokument.  

## Popis najboljih praksi

- [ ] **Održavajte semantičku dosljednost** – Koristite zajedničku taksonomiju (npr., NIST CSF, ISO 27001) u svim izvorima dokumenata.  
- [ ] **Kontrola verzija grafičke sheme** – Pohranite migracije sheme u Git, primijenite putem CI/CD.  
- [ ] **Dnevno provjeravajte porijeklo revizije** – Pokrenite automatizirane provjere da svaki odgovor mapira na barem jedan potpisani čvor.  
- [ ] **Nadzirite latenciju pretraživanja** – Upozorite ako upit RAG‑a prekorači 3 sekunde.  
- [ ] **Redovito retrenirajte GNN** – Uključite nove parove upitnik‑odgovor svakog tromjesečja.  

## Zaključak

**Motor dinamičkog orkestriranja dokaza** redefinira način na koji se odgovara na sigurnosne upitnike. Pretvaranjem statičnih politika u **živu, graf‑pokrivenu bazu znanja** i iskorištavanjem generativne snage modernih LLM‑ova, organizacije mogu:

* **Ubrzati brzinu sklapanja poslova** – odgovori su spremni za sekunde.  
* **Povećati povjerenje revizora** – svaka izjava kriptografski je povezana s izvorom.  
* **Osigurati buduću usklađenost** – sustav uči i prilagođava se kako regulative evoluiraju.  

Uvođenje DEOE nije luksuz; to je strateška nužnost za svaku SaaS tvrtku koja cijeni brzinu, sigurnost i povjerenje u sve kompetitivnijem tržištu.