# AI‑potpomognuta karta topline usklađenosti u stvarnom vremenu s objašnjivim grafičkim neuronskim mrežama

## Uvod

U brzo mijenjajućem SaaS ekosustavu, sigurnosni upitnici, regulatorni popisi i procjene rizika dobavljača više nisu statični dokumenti. Evoluiraju **svakog minute** kako se pojavljuju novi propisi, mijenjaju cloud usluge i mijenjaju interne politike. Tradicionalni nadzorni paneli usklađenosti teško prate te promjene i često prikazuju jedinstvenu statičku ocjenu koja skriva složenost u pozadini.

Upoznajte **Objašnjive grafičke neuronske mreže (X‑GNN‑ove)** — klasu AI modela koji mogu obrađivati masivne, međusobno povezane podatke o usklađenosti, razmišljati o odnosima i prikazivati **karte topline u stvarnom vremenu** koje su i **praktične** i **transparentne**. Ovaj članak prolazi kroz arhitekturu, podatkovne cjevovode, dizajn modela i praktične korake implementacije potrebne za izgradnju karte topline usklađenosti sljedeće generacije koja zadovoljava sigurnosne timove, revizore i izvršno vodstvo.

> **Ključna poanta:** Kombiniranjem X‑GNN‑ova s kontinuiranim cjevovodom grafova znanja, možete pretvoriti sirove događaje politika u živu, obojenu kartu rizika usklađenosti koja objašnjava *zašto* svaka „vruća točka“ postoji.

---

## Zašto karta topline, a ne samo ocjena?

| Tradicionalna ocjena | Prednost karte topline |
|----------------------|------------------------|
| Jedinstvena numerička vrijednost (npr. 85 %) | Višedimenzionalni prikaz rizika kroz usluge, regije i kontrole |
| Nedostatak konteksta za otklanjanje | Ističe *točne* kontrole, resurse ili ugovore koji uzrokuju pad |
| Teško komunicirati ne‑tehničkim dionicima | Intuitivne boje (zelena → crvena) odmah su razumljive |
| Često „crna kutija“ | Slojevi objašnjive umjetne inteligencije otkrivaju doprinose za svako polje |

Karta topline pretvara podatke o usklađenosti iz **statističkog izvješća** u **dinamičnu vizualnu priču**. Donosioci odluka mogu odmah uočiti crvenu zonu—npr. nedostajuću kontrolu **[SOC 2]**(https://secureframe.com/hub/soc-2/what-is-soc-2) za određenu mikroservisu—i detaljno istražiti točnu klauzulu politike, prazninu u dokazima i odgovorni tim.

---

## Ključne komponente rješenja

1. **Uzimanje politika na temelju događaja** – Tokovi iz CI/CD cjevovoda, alata za provjeru cloud‑konfiguracije i feedova rizika trećih strana.  
2. **Dinamički graf znanja (KG)** – Čvorovi predstavljaju resurse, kontrole, regulative i dokaze; veze kodiraju odnose (npr. *implementira*, *krši*, *zavisi od*).  
3. **Objašnjiva grafička neuronska mreža** – Trening na KG‑u za predviđanje rizika po čvoru, uz generiranje mapa pažnje koje objašnjavaju svako predviđanje.  
4. **Prikaz karte topline u stvarnom vremenu** – Front‑end izgrađen s React + D3, koji prima WebSocket feed rizika i objašnjenja.  
5. **Mehanizam playbooka za otklanjanje** – Automatski generira korak‑po‑korak akcije temeljene na objašnjenjima X‑GNN‑a.

Dolje je prikazan visokorazinski Mermaid dijagram koji ilustrira protok podataka.

```mermaid
graph LR
    A[Policy Event Stream] --> B[Kafka Topics]
    B --> C[KG Builder Service]
    C --> D[Dynamic Knowledge Graph]
    D --> E[Explainable GNN Trainer]
    E --> F[Risk Score Service]
    F --> G[WebSocket Heatmap API]
    G --> H[Front‑End Heatmap UI]
    F --> I[Remediation Playbook Engine]
    I --> J[Ticketing System (Jira, ServiceNow)]
```

---

## Izgradnja dinamičkog grafa znanja

### 1. Dizajn sheme

| Tip čvora | Ključni atributi | Primjer |
|-----------|------------------|---------|
| **Resurs** | `asset_id`, `type`, `cloud_region` | `svc‑auth‑01`, `microservice`, `us‑east‑1` |
| **Kontrola** | `control_id`, `framework`, `description` | `SOC2‑CC6.1`, `SOC2`, `Encryption at rest` |
| **Regulativa** | `reg_id`, `jurisdiction`, `effective_date` | `GDPR‑Art‑32`, `EU`, `2018‑05‑25` |
| **Dokaz** | `evidence_id`, `source`, `timestamp` | `evid‑log‑123`, `CloudTrail`, `2026‑07‑30` |
| **Dobavljač** | `vendor_id`, `service_offering`, `risk_score` | `vendor‑aws`, `IaaS`, `0.42` |

Veze hvataju odnose poput **`ASSET_IMPLEMENTS_CONTROL`**, **`CONTROL_MAPPED_TO_REGULATION`**, **`EVIDENCE_SUPPORTS_CONTROL`**, i **`VENDOR_PROVIDES_ASSET`**.

### 2. Kontinuirano obogaćivanje

- **CDC** iz baza podataka upravljanja konfiguracijom (CMDB) ažurira čvorove resursa.  
- **Regulatorni feedovi** (npr. **[NIST CSF]**(https://www.nist.gov/cyberframework), **ISO**) dodaju nove regulativne čvorove i povezuju ih s postojećim kontrolama.  
- **Uzimanje dokaza** putem Document AI ekstrahira klauzule iz ugovora, politika i revizijskih izvješća, povezujući ih s odgovarajućim čvorovima kontrola.

Sva ažuriranja zapisuju se u **Neo4j** instancu koja služi kao izvor istine za AI modele.

---

## Arhitektura objašnjive grafičke neuronske mreže

### Pregled modela

1. **Ulazni sloj** – Vektori značajki čvora (one‑hot kodirane kategorije kontrola, numerički rizici, vremenske oznake).  
2. **Slojevi razmjene poruka** – Agregiraju informacije susjeda koristeći mehanizme pažnje (Graph Attention Network, GAT).  
3. **Modul objašnjivosti** – Integrirani **GNNExplainer** koji proizvodi važnost rubova za svako predviđanje.  
4. **Izlazni sloj** – Predviđa **vjerojatnost rizika** (0‑1) za svaki čvor resursa.

### Cjevovod treninga

- **Generiranje oznaka** – Povijesni rezultati revizija (prolaz/neprolaz) koriste se kao istinska vrijednost.  
- **Funkcija gubitka** – Binarnu unakrsnu entropiju + regularizacijski član koji potiče rijetke objašnjenja.  
- **Evaluacija** – ROC‑AUC, preciznost‑odziv i *vjernost objašnjenja* (koliko istaknuti rubovi odgovaraju poznatim uzrocima).

### Zašto je objašnjivost važna

Revizori zahtijevaju dokaz *zašto* je ocjena rizika visoka. Pažnja X‑GNN‑a može se vizualizirati kao **podgraf** koji ističe najutjecajnije rubove — npr. nedostajući dokaz za `SOC2‑CC6.1` na `svc‑auth‑01`. To zadovoljava okvire usklađenosti koji traže **trazivost**.

---

## Prikaz karte topline u stvarnom vremenu

### Kodiranje boja

| Raspon rizika | Boja | Interpretacija |
|---------------|------|----------------|
| 0 – 0.2 | Zelena | Potpuno usklađeno |
| 0.2 – 0.5 | Žuta | Manji nedostaci, brza popravka |
| 0.5 – 0.8 | Narančasta | Značajan rizik, potrebno otklanjanje |
| 0.8 – 1.0 | Crvena | Kritična neusklađenost, hitna akcija |

Front‑end se pretplaćuje na **WebSocket** koji svakih 30 sekundi šalje ažurirane ocjene rizika. Kada se ćelija promijeni boju, prikazuje se tooltip s **grafom objašnjenja** generiranim od X‑GNN‑a, omogućujući korisnicima da kliknu i vide temeljne dokaze.

### Optimizacije performansi

- **Pruning rubova**: Na UI se šalju samo rubovi s pažnjom > 0.1.  
- **Delta ažuriranja**: Server prenosi samo promijenjene čvorove, smanjujući propusnost.  
- **Keširanje na klijentu**: D3 pohranjuje posljednji graf za trenutnu interakciju pri hoveru.

---

## Automatizirani playbookovi za otklanjanje

Mehanizam **Playbook Engine** prima objašnjenja X‑GNN‑a i mapira ih na unaprijed definirane akcije pohranjene u **Katalogu playbookova**:

| Okidač | Akcija playbooka | Vlasnik |
|--------|------------------|---------|
| Nedostajući dokaz za kontrolu enkripcije | Generiraj **Checklist za enkripciju podataka** i dodijeli Cloud Security timu | Voditelj CloudSec |
| Resurs povezan s zastarjelom regulativom | Pokreni **Workflow ažuriranja regulative** i obavijesti pravni odjel | Pravna služba |
| Visoka ocjena rizika dobavljača | Otvori **Ticket za reviziju dobavljača** u ServiceNow | Nabava |

Ti ticketi se automatski popunjavaju relevantnim podgrafom, osiguravajući da tim za otklanjanje vidi *točno* što treba popraviti.

---

## Popis za implementaciju

| Korak | Opis | Alati |
|-------|------|-------|
| 1 | Postaviti streaming događaja (Kafka) za promjene politika | Apache Kafka |
| 2 | Izgraditi cjevovode za unos KG (Neo4j) | Neo4j, Python, Document AI |
| 3 | Trenirati X‑GNN model | PyTorch Geometric, GNNExplainer |
| 4 | Deploy modela kao mikroservis (REST + WebSocket) | FastAPI, Docker, Kubernetes |
| 5 | Razviti UI karte topline | React, D3, TypeScript |
| 6 | Integrirati motor playbooka | Camunda BPM, ServiceNow API |
| 7 | Postaviti monitoring i alarme | Prometheus, Grafana |
| 8 | Provesti validaciju revizije s izvještajima objašnjivosti | Jupyter, PDF izvoz |

---

## Prednosti za dionike

| Dionik | Problem | Kako karta topline pomaže |
|--------|----------|---------------------------|
| **Sigurnosni inženjeri** | Preplavljeni razbacanim upozorenjima | Konsolidirana vizualna karta rizika s detaljnim objašnjenjima |
| **Službenici za usklađenost** | Potreba za dokazom za reviziju | Automatski generirani grafovi objašnjenja zadovoljavaju zahtjeve za trazivost |
| **Izvršno vodstvo** | Teško razumijevanje tehničkog rizika | Intuitivne boje (zelena → crvena) usklađene s poslovnim KPI‑jevima |
| **Revizori** | Zahtjev za „zašto“ iza ocjena | Slojevi X‑AI otkrivaju faktore doprinosa za svako polje |

---

## Primjer iz stvarnog svijeta: FinTech SaaS platforma

**Pozadina**: FinTech startup obrađuje plaćanja u 12 zemalja, podložan je **[PCI‑DSS]**(https://www.pcisecuritystandards.org/pci_security/), **[GDPR]**(https://gdpr.eu/) i lokalnim bankarskim regulativama. Tim za usklađenost ručno pregledava više od 300 odgovora na sigurnosna pitanja tjedno.

**Implementacija**: Startup je implementirao arhitekturu X‑GNN karte topline. Unutar dva tjedna karta je označila **crvenu zonu** na kontrolu “Zadržavanje podataka” za europsku regiju. Graf objašnjenja pokazao je nedostatak dokaza od treće strane za uslugu arhiviranja.

**Rezultat**:

- **Vrijeme otklanjanja** smanjeno s 10 dana na **1 dan**.  
- **Ocjena spremnosti za reviziju** poboljšana za **15 %**.  
- **Povjerenje izvršnog vodstva** poraslo, što je dovelo do investicije od **2 M $** za daljnje AI‑vođene inicijative usklađenosti.

---

## Izazovi i ublažavanje

| Izazov | Ublažavanje |
|--------|-------------|
| **Kvaliteta podataka** – Nepotpuni ili šumni dokazi mogu zavarati model. | Implementirati **pipeline za validaciju podataka** i rezervne heuristike (rule‑based scoring) za čvorove niske pouzdanosti. |
| **Drift modela** – Promjene regulativa mogu učiniti model zastarjelim. | Planirati **kontinuirano pretreniranje** koristeći klizni prozor najnovijih revizijskih rezultata. |
| **Opterećenje objašnjivosti** – Generiranje objašnjenja može biti skupo. | Koristiti **uzorkovanje**: potpuna objašnjenja samo za čvorove visokog rizika; niskorizični čvorovi dobivaju sažetak ocjena. |
| **Prihvaćanje od strane korisnika** – Timovi mogu sumnjati u AI‑generirane preporuke. | Održavati **radionice** i pružiti **transparentnu dokumentaciju** metodologije X‑GNN‑a. |

---

## Buduća poboljšanja

1. **Multimodalno spajanje dokaza** – Kombinirati tekstualne politike, skenove koda i mrežnu telemetriju u jedinstveni KG.  
2. **Federirano učenje** – Dijeliti ažuriranja modela među podružnicama bez premještanja sirovih podataka, čuvajući privatnost.  
3. **Glasovni uvidi** – Integrirati konverzacijsku AI koja izgovara hotspotove karte topline i predložene akcije.  
4. **Prediktivne „Što‑ako“ simulacije** – Omogućiti korisnicima da mijenjaju hipotetičke politike i odmah vide utjecaj na kartu topline.

---

## Zaključak

**Objašnjiva AI‑vođena karta topline usklađenosti** pretvara usklađenost iz statičkog, nejasnog kartona u živi, transparentni pejzaž rizika. Kontinuiranim unosom događaja politika, dinamičkim obogaćivanjem grafa znanja i jasnim objašnjenjima za svako polje, organizacije dobivaju:

- **Trenutnu vidljivost** nedostataka u usklađenosti.  
- **Praktične smjernice** izravno povezane s uzrocima problema.  
- **Dokaze spremne za reviziju** koji zadovoljavaju regulatore i interne kontrole.

Ulaganje u ovu arhitekturu ne samo da smanjuje ručni napor, već i gradi kulturu **podatkovno‑vođene usklađenosti**, gdje svaki dionik vidi *što* je rizik, *zašto* postoji i *kako* ga otkloniti — sve u stvarnom vremenu.