
# Iskorištavanje AI Grafova Znanja za Povezivanje Kontrola Sigurnosti, Politika i Dokaza

U brzo mijenjajućem svijetu SaaS sigurnosti, timovi se nose s desetkovima okvira—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [GDPR](https://gdpr.eu/), i specifičnim industrijskim standardima—dok istovremeno odgovaraju na nebrojene sigurnosne upitnike od potencijalnih klijenata, revizora i partnera. Ogroman volumen preklapajućih kontrola, dupliciranih politika i raspršenih dokaza stvara **problem silosa znanja** koji košta i vrijeme i novac.

Ući u igru **AI‑pogonjeni graf znanja**. Pretvaranjem raznovrsnih artefakata usklađenosti u živu, upitno‑pretraživanu mrežu, organizacije mogu automatski prikazati pravu kontrolu, dohvatiti točan dokaz i generirati točne odgovore na upitnike u sekundi. Ovaj članak vodi vas kroz koncept, tehničke gradivne blokove i praktične korake za ugradnju grafa znanja u platformu Procurize.

---

## Zašto Tradicionalni Pristupi Ne Dovoljaju

| Problem | Tradicionalna Metoda | Skriveni Trošak |
|------------|---------------------|-------------|
| Mapiranje Kontrola | Ručne tablice | Sati duplikacije po kvartalu |
| Dohvat Dokaza | Pretraga mape + konvencije imenovanja | Propušteni dokumenti, driftnje verzija |
| Dosljednost Među Okvirima | Odvojene kontrolne liste po okviru | Nedosljedni odgovori, revizijski nalazi |
| Skaliranje na Nove Standarde | Kopiranje‑ljepkanje postojećih politika | Ljudske greške, slomljena trasabilnost |

Čak i uz robusne repozitorije dokumenata, nedostatak **semantičkih odnosa** znači da timovi ponavljaju odgovaranje na isto pitanje uz malo drugačiju formulaciju za svaki okvir. Rezultat je neučinkovita povratna sprega koja usporava poslove i smanjuje povjerenje.

---

## Što je AI‑Pogonjeni Graf Znanja?

Graf znanja je **graf‑bazirani model podataka** u kojem su entiteti (čvorovi) povezani odnosima (rubovima). U kontekstu usklađenosti, čvorovi mogu predstavljati:

* **Sigurnosne kontrole** (npr. “Šifriranje u mirovanju”)
* **Dokumenti politika** (npr. “Politika zadržavanja podataka v3.2”)
* **Artefakti dokaza** (npr. “AWS KMS zapisi rotacije ključeva”)
* **Regulativni zahtjevi** (npr. “PCI‑DSS zahtjev 3.4”)

AI dodaje dva ključna sloja:

1. **Ekstrakcija i povezivanje entiteta** – Veliki jezični modeli (LLM‑ovi) skeniraju sirovi tekst politika, datoteke konfiguracije oblaka i zapise revizija kako bi automatski stvorili čvorove i predložili odnose.
2. **Semantičko rezoniranje** – Graf neuralne mreže (GNN‑i) zaključuju nedostajuće veze, otkrivaju kontradikcije i predlažu ažuriranja kad standardi evoluiraju.

Rezultat je **živa mapa** koja raste sa svakim novim politikama ili dokazom, omogućujući trenutne, kontekst‑svjesne odgovore.

---

## Pregled Osnovne Arhitekture

Dolje je visokorazinski Mermaid dijagram motor‑za‑uskladenost s grafom znanja unutar Procurize.

```mermaid
graph LR
    A["Sirovi izvorni datoteke"] -->|LLM Extraction| B["Usluga Ekstrakcije Entiteta"]
    B --> C["Sloj Unosa Grafa"]
    C --> D["Neo4j Graf Znanja"]
    D --> E["Motor Semantičkog Razmišljanja"]
    E --> F["API za Upite"]
    F --> G["Korisničko Sučelje Procurize"]
    G --> H["Automatski Generator Upitnika"]
    style D fill:#e8f4ff,stroke:#005b96,stroke-width:2px
    style E fill:#f0fff0,stroke:#2a7d2a,stroke-width:2px
```

* **Sirovi izvorni datoteke** – Politike, konfiguracija kao kod, arhive zapisa i prethodni odgovori na upitnike.  
* **Usluga Ekstrakcije Entiteta** – LLM‑pogonjen pipeline koji označava kontrole, reference i dokaze.  
* **Sloj Unosa Grafa** – Transformira izvučene entitete u čvorove i rubove, upravljajući verzioniranjem.  
* **Neo4j Graf Znanja** – Odabran zbog ACID garancija i nativnog graf‑upita (Cypher).  
* **Motor Semantičkog Razmišljanja** – Primjenjuje GNN modele za predlaganje nedostajućih veza i upozorenja o konfliktima.  
* **API za Upite** – Izlaže GraphQL krajnje točke za pretrage u stvarnom vremenu.  
* **Korisničko Sučelje Procurize** – Front‑end komponenta koja vizualizira povezane kontrole i dokaze dok se sastavljaju odgovori.  
* **Automatski Generator Upitnika** – Koristi rezultate upita za automatsko popunjavanje sigurnosnih upitnika.

---

## Vodič za Implementaciju Korak po Korak

### 1. Inventarizirajte Sve Artefakte Usklađenosti

Započnite katalogizacijom svakog izvora:

| Tip Artefakta | Uobičajena Lokacija | Primjer |
|---------------|----------------------|---------|
| Politike | Confluence, Git | `security/policies/data-retention.md` |
| Matrica Kontrola | Excel, Smartsheet | `SOC2_controls.xlsx` |
| Dokazi | S3 bucket, interno spremište | `evidence/aws/kms-rotation-2024.pdf` |
| Prošli Upitnici | Procurize, Drive | `questionnaires/2023-aws-vendor.csv` |

Metapodaci (vlasnik, datum zadnjeg pregleda, verzija) su ključni za povezivanje u kasnijim koracima.

### 2. Implementirajte Uslugu Ekstrakcije Entiteta

1. **Odaberite LLM** – OpenAI GPT‑4o, Anthropic Claude 3, ili lokalni LLaMA model.  
2. **Inženjering Promptova** – Kreirajte promptove koji ispisuju JSON s poljima: `entity_type`, `name`, `source_file`, `confidence`.  
3. **Pokrenite po rasporedu** – Upotrijebite Airflow ili Prefect za noćnu obradu novih ili ažuriranih datoteka.

> **Savjet:** Koristite prilagođeni *rječnik entiteta* unaprijed napunjen standardnim nazivima kontrola (npr. “Access Control – Least Privilege”) kako biste poboljšali preciznost ekstrakcije.

### 3. Unesite u Neo4j

```cypher
UNWIND $entities AS e
MERGE (n:Entity {uid: e.id})
SET n.type = e.type,
    n.name = e.name,
    n.source = e.source,
    n.confidence = e.confidence,
    n.last_seen = timestamp()
```

Stvorite veze odmah:

```cypher
MATCH (c:Entity {type:'Control', name:e.control_name}),
      (p:Entity {type:'Policy', name:e.policy_name})
MERGE (c)-[:IMPLEMENTED_BY]->(p)
```

### 4. Dodajte Semantičko Razmišljanje

* **Trenirajte Graf Neuralnu Mrežu** na označenom podskupu gdje su odnosi poznati.  
* Koristite model za predviđanje rubova poput `EVIDENCE_FOR`, `ALIGNED_WITH` ili `CONFLICTS_WITH`.  
* Noćni posao označava predviđanja visoke vjerojatnosti za ljudsku reviziju.

### 5. Izložite API za Upite

```graphql
query ControlsForRequirement($reqId: ID!) {
  requirement(id: $reqId) {
    name
    implements {
      ... on Control {
        name
        policies { name }
        evidence { name url }
      }
    }
  }
}
```

Sučelje sada može **automatski dopunjavati** polja upitnika slanjem ID‑ja zahtjeva i primanjem relevantnih kontrola i dokaza.

### 6. Integrirajte s Builderom Upitnika u Procurize

1. Dodajte gumb **“Pretraživanje Grafa Znanja”** pored svakog polja odgovora.  
2. Kada se pritisne, UI šalje ID zahtjeva GraphQL API‑ju.  
3. Rezultati popunjavaju tekstualno polje odgovora i automatski prilažu PDF‑ove dokaza.  
4. Timovi i dalje mogu uređivati ili dodavati komentare, ali osnovu generira sustav za sekunde.

---

## Stvarne Prednosti

| Metrika | Prije Grafa Znanja | Nakon Grafa Znanja |
|--------|--------------------|---------------------|
| Prosječno vrijeme izrade upitnika | 7 dana | 1,2 dana |
| Ručno traženje dokaza po odgovoru | 45 min | 3 min |
| Duplicirane politike kroz okvire | 12 datoteka | 3 datoteke |
| Stopa revizijskih nalaza (praznine u kontrolama) | 8 % | 2 % |

Jedna srednje velika SaaS startup tvrtka izvijestila je **70 % smanjenje** ciklusa sigurnosne revizije nakon implementacije grafa, što je rezultiralo bržim zatvaranjem poslova i mjerljivim porastom povjerenja partnera.

---

## Najbolje Prakse i Zamke

| Najbolja Praksa | Zašto Je Važno |
|-----------------|----------------|
| **Versionirani Čvorovi** – Dodajte `valid_from` / `valid_to` vremenske oznake svakom čvoru. | Omogućuje povijesne revizijske tragove i usklađenost s retro‑aktivnim regulatornim promjenama. |
| **Ljudski Pregled Niskog Povjerenja** – Označite rubove niske pouzdanosti za ručnu verifikaciju. | Sprječava AI halucinacije koje bi mogle dovesti do netočnih odgovora na upitnike. |
| **Kontrole Pristupa na Grafu** – Upotrijebite RBAC u Neo4j‑u. | Osigurava da samo ovlašteno osoblje vidi osjetljive dokaze. |
| **Kontinuirano Učenje** – Vraćajte ispravljene veze nazad u GNN‑trening set. | Poboljšava kvalitetu predviđanja tijekom vremena. |

**Uobičajene Zamke**

* **Pretjerana ovisnost o LLM ekstrakciji** – PDF‑ovi s tablicama često zbune LLM‑ove; dopunite OCR‑om i pravilima temeljene na regex‑u.  
* **Preopterećenje Grafa** – Nekontrolirano stvaranje čvorova uzrokuje pad performansi; implementirajte politike čišćenja zastarjelih artefakata.  
* **Nedostatak Upravljanja** – Bez jasnog modela vlasništva podataka graf može postati „crna kutija“. Uvedite ulogu **custodija podataka usklađenosti**.

---

## Budući Smjerovi

1. **Federirani Grafovi Među Organizacijama** – Dijelite anonimizirane mape kontrola‑dokaza s partnerima uz očuvanje privatnosti.  
2. **Automatska Ažuriranja po Regulatornim Promjenama** – Učitajte službene revizije standarda (npr. ISO 27001:2025) i neka rezoniranje predloži nužna ažuriranja politika.  
3. **Sučelje Za Prirodni Jezik** – Omogućite analitičarima da upišu “Prikaži mi sve dokaze za enkripciju koji zadovoljavaju GDPR članak 32” i dobivaju trenutne rezultate.

Tretiranjem usklađenosti kao **mrežnog problema znanja**, organizacije otključavaju novu razinu agilnosti, preciznosti i povjerenja u svaki sigurnosni upitnik.

---

## Pogledajte Također

- [NIST Cybersecurity Framework – Mapping to ISO & SOC 2](https://www.nist.gov/cybersecurity-framework)  
- [Graph Neural Networks for Knowledge Graph Completion (arXiv)](https://arxiv.org/abs/2003.00764)