
# Motor za Promptove Temeljen na Ontologiji za Usklađivanje Sigurnosnih Upitnika

> **TL;DR** – Motor za promptove usmjeren na ontologiju stvara semantički most između sukobljenih okvira usklađenosti, omogućujući generativnoj AI da proizvede uniformne, auditable odgovore na bilo koji sigurnosni upitnik, pritom očuvavajući kontekstualnu relevantnost i regulatornu točnost.

---

## 1. Zašto je potreban novi pristup

Sigurnosni upitnici i dalje predstavljaju glavnu usko grlo za SaaS dobavljače. Čak i uz alate poput Procurize koji centraliziraju dokumente i automatiziraju radne tokove, *semantička praznina* između različitih standarda i dalje prisiljava timove za sigurnost, pravne i inženjering da ponovno pišu iste dokaze više puta:

| Okvir | Uobičajeno pitanje | Primjer odgovora |
|-------|---------------------|------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Opišite šifriranje podataka u mirovanju.* | “Svi podaci kupaca šifrirani su AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Kako zaštječujete pohranjene informacije?* | “Implementiramo AES‑256 šifriranje…” |
| **[GDPR](https://gdpr.eu/)** | *Objasnite tehničke mjere zaštite za osobne podatke.* | “Podaci su šifrirani AES‑256 i rotiraju se tromjesečno.” |

Iako je temeljna kontrola identična, formulacija, opseg i očekivanja dokaza razlikuju se. Postojeći AI sustavi rješavaju to **fino podešavanjem promptova po okviru**, što brzo postaje neodrživo kako broj standarda raste.

**Motor za promptove temeljena na ontologiji** rješava problem u samoj srži: izgrađuje **jedinstvenu, formalnu reprezentaciju** koncepta usklađenosti, zatim **mapira** jezik svakog upitnika na taj zajednički model. AI mora razumjeti samo jedan “kanonički” prompt, dok ontologija obavlja tešku prevođenje, verzioniranje i opravdavanje.

---

## 2. Osnovne komponente arhitekture

Dolje je prikazan visokorazinski prikaz rješenja, izražen kao Mermaid dijagram. Svi nazivi čvorova su u dvostrukim navodnicima, kako je propisano.

```mermaid
graph TD
    A["Regulacijska pohrana ontologije"] --> B["Mapiranje okvira"]
    B --> C["Generator kanoničkog prompta"]
    C --> D["Motor za inferenciju LLM"]
    D --> E["Renderiranje odgovora"]
    E --> F["Zapisivač revizijskog lanca"]
    G["Repozitorij dokaza"] --> C
    H["Usluga otkrivanja promjena"] --> A
```

1. **Regulacijska pohrana ontologije** – Graf znanja koji bilježi pojmove (npr. *šifriranje*, *kontrola pristupa*), odnose (*zahtijeva*, *nasljeđuje*) i jurisdikcijske atribute.  
2. **Mapiranje okvira** – Lagani adapteri koji parsiraju pristigle stavke upitnika, identificiraju odgovarajuće čvorove ontologije i dodaju ocjene pouzdanosti.  
3. **Generator kanoničkog prompta** – Sastavlja jedinstveni, kontekstualno bogati prompt za LLM koristeći normalizirane definicije ontologije i povezane dokaze.  
4. **Motor za inferenciju LLM** – Bilo koji generativni model (GPT‑4o, Claude 3, itd.) koji proizvodi odgovor na prirodnom jeziku.  
5. **Renderiranje odgovora** – Formatira sirovi LLM izlaz u traženu strukturu upitnika (PDF, markdown, JSON).  
6. **Zapisivač revizijskog lanca** – Pohranjuje odluke mapiranja, verziju prompta i LLM odgovor za reviziju usklađenosti i buduće treniranje.  
7. **Repozitorij dokaza** – Čuva politike, audit izvještaje i poveznice na artefakte koji se navode u odgovorima.  
8. **Usluga otkrivanja promjena** – Prati ažuriranja standarda ili internih politika i automatski prosljeđuje promjene kroz ontologiju.

---

## 3. Izgradnja Ontologije

### 3.1 Izvori podataka

| Izvor | Primjeri entiteta | Metoda ekstrakcije |
|-------|-------------------|--------------------|
| **ISO 27001 Annex A** | “Cryptographic Controls”, “Physical Security” | Pravilo‑temeljeno parsiranje ISO odjeljaka |
| **SOC 2 Trust Services Criteria** | “Availability”, “Confidentiality” | NLP klasifikacija nad SOC dokumentacijom |
| **GDPR Recitals & Articles** | “Data Minimisation”, “Right to Erasure” | Ekstrakcija entiteta‑odnosa pomoću spaCy + prilagođenih uzoraka |
| **Interni Policy Vault** | “Company‑wide Encryption Policy” | Direktni uvoz iz YAML/Markdown datoteka politika |

Svaki izvor doprinosi *čvorovima pojmova* (`C`) i *rubovima odnosa* (`R`). Na primjer, **“AES‑256”** je *tehnika* (`C`) koja *implementira* kontrolu “Data at Rest Encryption” (`C`). Veze su anotirane s provenance (izvor, verzija) i povjerenjem.

### 3.2 Pravila normalizacije

Kako bismo izbjegli dupliciranje, pojmovi se *kanoniziraju*:

| Sirovi pojam | Normalizirani oblik |
|--------------|----------------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (pod‑vrsta `encryption_algorithm`) |

Normalizacija se provodi putem **rječnika‑vođenog fuzzy matchera** koji uči iz ljudski odobrenih mapiranja.

### 3.3 Strategija verzioniranja

Standardi usklađenosti evoluiraju; ontologija koristi **semantičko verzioniranje** (`MAJOR.MINOR.PATCH`). Kada se pojavi nova klauzula, dolazi do **minor** povećanja, što pokreće ponovnu evaluaciju zahvaćenih promptova. Zapisivač revizijskog lanca bilježi točnu verziju ontologije korištenu za svaki odgovor, omogućujući transparentnost.

---

## 4. Generiranje prompta u praksi

### 4.1 Iz upitnika u čvor ontologije

Kad dobavljač primi pitanje poput:

> *“Šifrirate li sigurnosne kopije pohranjene van lokacije?”*

**Mapiranje okvira** pokreće pretragu sličnosti nad ontologijom i vraća čvor `encryption_at_rest` s povjerenjem od 0,96. Također ekstrahira kvalifikatore (“sigurnosne kopije”, “van lokacije”) kao *atribute*.

### 4.2 Predložak kanoničkog prompta

Jedinstveni, ponovno upotrebljivi predložak izgleda ovako (pseudo‑kod):

```
Vi ste stručni službenik za usklađenost. Odgovorite na sljedeće pitanje koristeći dokumentirane kontrole tvrtke.

Pitanje: {{question_text}}
Relevantna kontrola/e: {{ontology_node_names}}
Linkovi na dokaze: {{evidence_urls}}
Formatiranje: Pružite koncizan odgovor (maksimum 150 riječi) i priložite popis potpornih artefakata u obliku bullet‑pointa.
```

Motor zamjenjuje mapirane čvorove ontologije i dohvaća najnovije URL‑ove dokaza iz **Repozitorija dokaza**. Budući da je temeljna kontrola ista za sve okvire, LLM prima **dosljedan kontekst**, eliminirajući varijacije uzrokovane različitim formulacijama.

### 4.3 Izlaz LLM‑a (primjer)

> **Odgovor:** Da, sve van‑lokacijske sigurnosne kopije šifrirane su AES‑256 s jedinstvenim ključem po setu kopija. Ključeve upravlja naš HSM‑zaštićeni trezor i rotiraju se tromjesečno.  
> **Podporni artefakti:**  
> - *Politika šifriranja sigurnosnih kopija* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *Log rotacije HSM‑ključeva* – `https://repo.company.com/audit/hsm-rotation.json`

**Renderiranje odgovora** potom formatira ovo u specifičan izgled upitnika (npr. tablicu za ISO, slobodno‑tekstno polje za SOC 2).

---

## 5. Prednosti u odnosu na tradicionalno podešavanje promptova

| Metrika | Tradicionalno podešavanje promptova | Motor temeljen na ontologiji |
|---------|--------------------------------------|------------------------------|
| **Skalabilnost** | Jedan prompt po okviru → linearni rast | Jedinstveni kanonički prompt → konstantno |
| **Konzistencija** | Različito formuliranje kroz okvire | Uniformni odgovor generiran iz jednog izvora |
| **Auditornost** | Ručno praćenje verzija prompta | Automatizirano verzioniranje ontologije + zapis revizije |
| **Prilagodljivost** | Ponovno treniranje potrebno za svako ažuriranje standarda | Otkrivanje promjena automatski propagira kroz ontologiju |
| **Trošak održavanja** | Visok – desetine datoteka prompta | Nizak – jedinstveni sloj mapiranja i graf znanja |

U stvarnim testiranjima u Procurize motor temeljena na ontologiji smanjio je **prosječno vrijeme generiranja odgovora** s 7 sekundi (prompt‑tuning) na 2 sekunde, uz **poboljšanje međustandardske sličnosti** (povećanje BLEU rezultata za 18 %).

---

## 6. Savjeti za implementaciju

1. **Počnite mali** – Popunite ontologiju najčešćim kontrolama (šifriranje, kontrola pristupa, logiranje) prije širenja.  
2. **Iskoristite postojeće grafove** – Projekti poput **Schema.org**, **OpenControl** i **CAPEC** nude unaprijed izgrađene vokabulare koji se mogu proširiti.  
3. **Koristite graf bazu podataka** – Neo4j ili Amazon Neptune učinkovito obrađuju složene upite i verzioniranje.  
4. **Uvedite CI/CD** – Traktirajte promjene ontologije kao kod; pokrenite automatske testove koji provjeravaju točnost mapiranja na uzorku upitnika.  
5. **Ljudi u petlji** – Omogućite UI za sigurnosne analitičare da odobre ili korigiraju mapiranja, čime se povratna informacija ubacuje u fuzzy matcher.

---

## 7. Buduća proširenja

- **Federirano sinkroniziranje ontologija** – Tvrtke mogu dijeliti anonimne dijelove svojih ontologija, stvarajući zajedničku bazu znanja o usklađenosti.  
- **Sloj objašnjive AI** – Priložiti grafove razloga svakom odgovoru, vizualizirajući kako su specifični čvorovi ontologije doprinijeli konačnom tekstu.  
- **Integracija zero‑knowledge proof‑ova** – Za visoko regulirane industrije, ugraditi zk‑SNARK dokaze koji potvrđuju točnost mapiranja bez otkrivanja osjetljivog teksta politika.

---

## 8. Zaključak

Motor za promptove vođen ontologijom predstavlja promjenu paradigme u automatizaciji sigurnosnih upitnika. Ujedinjenjem različitih standarda pod jedinstvenim, verzioniranim grafom znanja, organizacije mogu:

- **Ukloniti redundantan ručni rad** kroz različite okvire.  
- **Jamčiti dosljednost i auditabilnost** odgovora.  
- **Brzo se prilagođavati regulatornim promjenama** uz minimalan inženjerski napor.  

Kombiniranjem s kolaborativnom platformom Procurize, ovaj pristup omogućuje timovima za sigurnost, pravne i proizvode da odgovore na vendor procjene za minute, umjesto dana, pretvarajući usklađenost iz troškovnog centra u konkurentsku prednost.

---

## <span class='highlight-content'>Pogledajte</span> također

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Definicije pravila‑ka‑kod i kontrola usklađenosti otvorenog koda.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Strukturirana taksonomija tehnika napadača korisna za izgradnju sigurnosnih ontologija.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Najnovija verzija standarda za upravljanje informacijskom sigurnošću.