# Prediktivni motor za prognozu pouzdanosti u realnom vremenu za upravljanje rizikom dobavljača

Moderni pružatelji SaaS usluga pod stalnim pritiskom da dokažu sigurnost i pouzdanost svojih trećih strana dobavljača. Tradicionalni rizicni skorovi su statični snimci — često za tjedne ili mjesece zaostaju od stvarnog stanja okoline dobavljača. Do trenutka kada se problem pojavi, poduzeće je možda već pretrpjelo proboj, nesukladnost s regulativom ili gubitak ugovora.

**Prediktivni motor za prognozu pouzdanosti** preokreće ovaj paradigm. Umjesto reagiranja na rizik nakon što se pojavi, kontinuirano projicira budući skor povjerenja dobavljača, pružajući timovima za sigurnost i nabavu dovoljno vremena za intervenciju, renegocijaciju ili zamjenu partnera prije nego problem eskalira.

U ovom članku rastavljamo tehnički plan takvog motora, objašnjavamo zašto su vremenski grafne neuralne mreže (TGNN‑i) jedinstveno prikladne za ovaj zadatak i demonstriramo kako ugraditi diferencijalnu privatnost i objašnjivu AI (XAI) kako bismo održali usklađenost i povjerenje dionika.

## 1. Zašto je važno prognozirati skorove povjerenja

| Poslovni problem | Prednosti prognoze |
|------------------|--------------------|
| **Kasno otkrivanje odklona politike** | Rano upozorenje kada se trajektoria usklađenosti dobavljača odkloni |
| **Ručni uska grla u upitnicima** | Automatizirani predviđajući uvidi u rizik smanjuju opseg upitnika |
| **Neizvjesnost pri obnovi ugovora** | Prognozirani skorovi informiraju pregovore s konkretnim trajektorijama rizika |
| **Pritisak regulatornih revizija** | Proaktivne prilagodbe zadovoljavaju revizore koji traže kontinuirano praćenje |

Prognozirajući skor povjerenja pretvara statični artefakt usklađenosti u živi indikator rizika, pretvarajući proces upravljanja dobavljačima iz **reaktivnog popisa provjera** u **proaktivni sustav upravljanja rizikom**.

## 2. Visoka razina arhitekture

```mermaid
graph LR
    A[Uzimanje podataka dobavljača] --> B[Graditelj vremenskog grafa]
    B --> C[Sloj za očuvanje privatnosti]
    C --> D[Trener vremenskog GNN-a]
    D --> E[Sloj objašnjive AI]
    E --> F[Usluga prognoze ocjena u stvarnom vremenu]
    F --> G[Nadzorna ploča i upozorenja]
    G --> H[Povratna petlja na KG]
    H --> B
```

**Ključne komponente**:

1. **Uzimanje podataka dobavljača** – preuzima zapise, odgovore na upitnike, rezultate revizija i vanjske informacije o prijetnjama.  
2. **Graditelj vremenskog grafa** – konstruira vremenski označeni graf znanja u kojem čvorovi predstavljaju dobavljače, usluge, kontrole i incidente; veze hvataju odnose i vremenske oznake.  
3. **Sloj za očuvanje privatnosti** – primjenjuje šum diferencijalne privatnosti i federirano učenje kako bi zaštitio osjetljive podatke.  
4. **Trener vremenskog GNN-a** – uči obrasce na razvoju grafa kako bi predvidio buduće stanje čvorova (npr. skorove povjerenja).  
5. **Sloj objašnjive AI** – generira atributacije na razini značajki za svaku prognozu, poput SHAP vrijednosti ili toplinskih karata pažnje.  
6. **Usluga prognoze ocjena u stvarnom vremenu** – isporučuje predviđanja putem API‑ja s niskom latencijom.  
7. **Nadzorna ploča i upozorenja** – vizualizira projekcije skorova, intervale pouzdanosti i objašnjenja uzroka.  
8. **Povratna petlja** – bilježi korektivne radnje (remedijacije, ažuriranja politika) i ponovno ih ubacuje u graf znanja za kontinuirano učenje.

## 3. Vremenske grafne neuralne mreže: središnji predictor

### 3.1 Što čini TGNN‑e različitim?

Standardni GNN‑i tretiraju grafove kao statične strukture. U domenu rizika dobavljača, odnosi **se razvijaju**: nova regulativa se uvodi, događa se sigurnosni incident ili se dodaje kontrola usklađenosti. TGNN‑i proširuju GNN paradigmu uključivanjem vremenske dimenzije, omogućujući modelu da nauči **kako se obrasci mijenjaju tijekom vremena**.

| Model | Pristup vremenskom modeliranju | Tipični slučaj upotrebe |
|-------|-------------------------------|--------------------------|
| **TGN (Temporal Graph Network)** | Moduli memorije temeljeni na događajima koji ažuriraju ugradbe čvorova po interakciji | Detekcija anomalija prometne mreže u stvarnom vremenu |
| **EvolveGCN** | Rekurentne matrice težina koje se razvijaju kroz snimke | Dinamička propagacija utjecaja u društvenim mrežama |

Za prognozu pouzdanosti, **TGN** je idealan jer može unositi svaki novi odgovor na sigurnosni upitnik ili događaj revizije kao inkrementalno ažuriranje, održavajući model svježim bez potpunog ponovnog treniranja.

### 3.2 Ulazne značajke

* **Statički atributi čvora** – veličina dobavljača, industrija, portfolio certifikata.  
* **Dinamički atributi veza** – vremenski označeni odgovori na upitnike, vremenske oznake incidenata, radnje remediacije.  
* **Vanjski signali** – CVE ocjene, ozbiljnost prijetnji, trendovi proboja na tržištu.

Svi se atributi **ugrađuju** u zajednički vektorski prostor prije nego što se unesu u TGNN.

### 3.3 Izlaz

TGNN generira **buduću ugradbu** za svaki čvor dobavljača, koja se zatim prosljeđuje kroz lagani regresijski glavu kako bi izdala **prognozu skora povjerenja** za konfigurabilni horizon (npr. 7‑dnevni, 30‑dnevni).

## 4. Privatnost‑očuvajući podatkovni kanal

### 4.1 Differential Privacy (DP)

Pri obradi sirovih podataka upitnika koji mogu sadržavati osobne podatke (PII) ili vlasničke sigurnosne detalje, dodajemo **Gaussov šum** na agregacije značajki čvorova/veza. DP proračun (ε) pažljivo se raspoređuje po izvoru podataka kako bi se uravnotežila korisnost i pravna usklađenost. Tipična konfiguracija:

```text
ε_questionnaire = 0.8
ε_incident_logs   = 0.5
ε_threat_intel    = 0.3
```

Ukupni gubitak privatnosti po dobavljaču ostaje ispod **ε = 1.2**, zadovoljavajući većinu ograničenja izvedenih iz [GDPR](https://gdpr.eu/).

### 4.2 Federated Learning (FL) for Multi‑Tenant Environments

Ako više SaaS kupaca dijeli centralnu uslugu prognoze, usvajamo **križno‑najamničku federiranu učenje** strategiju:

1. Svaki najamnik trenira lokalni dio TGNN-a na svom privatnom grafu.  
2. Ažuriranja težina modela šifriraju se putem Secure Aggregation.  
3. Centralni poslužitelj agregira ažuriranja, stvarajući **globalni model** koji koristi širu raznolikost podataka, a da ne otkriva nijedne sirove podatke.

**Zadržavanje podataka i revizija** – svi sirovi unosi pohranjuju se u **nepromjenjivi ledger** (npr. blockchain‑podržani zapis revizije) s kriptografskim hash vrijednostima. Ovo pruža provjerljiv trag za revizore i zadovoljava zahtjeve za dokazima prema **[ISO 27001](https://www.iso.org/standard/27001)**.

## 5. Sloj objašnjive AI

Prognoze su vrijedne samo ako im donositelji odluka vjeruju. Pridajemo XAI sloj koji proizvodi:

* **SHAP (Shapley Additive Explanations)** vrijednosti po značajci, ističući koje su nedavne incidenate ili odgovori na upitnik najviše utjecali na predviđanje.  
* **Temporal attention heatmaps**, vizualizirajući kako prošli događaji utječu na buduće skorove.  
* **Suprotne sugestije**: “Ako bi ozbiljnost incidenta zadnjih mjesec dana bila smanjena za 2 boda, 30‑dnevni skor povjerenja bi se poboljšao za 5 %.”

Ova objašnjenja pojavljuju se izravno u **Mermaid nadzornoj ploči** (pogledajte odjeljak 8) i mogu se izvesti kao dokaz o usklađenosti.

## 6. Inferencija u stvarnom vremenu i upozorenja

Usluga prognoze se postavlja kao **serverless funkcija** (npr. AWS Lambda) iza API Gateway‑a, jamčeći vrijeme odziva ispod 200 ms. Kada prognozirani skor padne ispod konfigurabilnog **praga rizika** (npr. 70/100), automatsko upozorenje se šalje:

* **Centru za sigurnosne operacije (SOC)** putem Slack/Teams webhooka.  
* **Nabavi** putem sustava za ticketiranje (Jira, ServiceNow).  
* **Dobavljaču** putem šifriranog e‑maila koji sadrži smjernice za remedijaciju.

Upozorenja također sadrže XAI objašnjenje, omogućavajući primatelju da odmah shvati „zašto“.

## 7. Vodič za implementaciju korak po korak

| Korak | Radnja | Ključna tehnologija |
|-------|--------|----------------------|
| 1 | **Katalogizirajte izvore podataka** – upitnici, zapisi, vanjski kanali | Apache Airflow |
| 2 | **Normalizirajte u tok događaja** (JSON‑L) | Confluent Kafka |
| 3 | **Izgradite vremenski graf znanja** | Neo4j + GraphStorm |
| 4 | **Primijenite diferencijalnu privatnost** | OpenDP library |
| 5 | **Trenirajte TGNN** (TGN) | PyTorch Geometric Temporal |
| 6 | **Integrirajte XAI** | SHAP, Captum |
| 7 | **Postavite servis inferencije** | Docker + AWS Lambda |
| 8 | **Konfigurirajte nadzorne ploče** | Grafana + Mermaid plugin |
| 9 | **Postavite povratnu petlju** – bilježenje radnji remediacije | REST API + Neo4j triggers |
| 10 | **Nadzorajte drift modela** – ponovno treniranje mjesečno ili pri otkrivanju drift podataka | Evidently AI |

Svaki korak uključuje CI/CD cjevovode za reproducibilnost i verzijski kontrolirane artefakte modela pohranjene u **registar modela** (npr. MLflow).

## 8. Primjer nadzorne ploče s Mermaid vizualima

```mermaid
journey
    title Putovanje prognoze povjerenja dobavljača
    section Tok podataka
      Uzimanje podataka: 5: Security Team
      Izgradnja vremenskog KG: 4: Data Engineer
      Primjena DP i FL: 3: Privacy Officer
    section Modeliranje
      Treniranje TGNN: 4: ML Engineer
      Generiranje prognoze: 5: ML Engineer
    section Objašnjivost
      Izračun SHAP: 3: Data Scientist
      Stvaranje kontrafaktičnih: 2: Analyst
    section Akcija
      Upozorenje SOC: 5: Operations
      Dodjela ticketa: 4: Procurement
      Ažuriranje KG: 3: Engineer
```

Diagram iznad ilustrira cjelokupno putovanje od unosa sirovih podataka do akcijskih upozorenja, jačajući transparentnost za revizore i izvršnog osoblja.

## 9. Prednosti i stvarni primjeri upotrebe

| Prednost | Stvarni scenarij |
|----------|------------------|
| **Proaktivno smanjenje rizika** | Pružatelj SaaS usluga prognozira pad skora povjerenja od 20 % za ključnog dobavljača identiteta tri tjedna prije nadolazeće revizije, što potiče ranu remedijaciju i izbjegavanje neuspješne provjere usklađenosti. |
| **Smanjeni ciklus upitnika** | Predstavljanjem prognozirane ocjene uz potporne dokaze, sigurnosni timovi odgovaraju na “risk‑bazirane” sekcije upitnika bez ponovnog izvođenja potpunih revizija, skraćujući vrijeme odgovora s 10 dana na <24 sata. |
| **Usklađenost s regulatorima** | Prognoze zadovoljavaju **[NIST CSF](https://www.nist.gov/cyberframework)** (kontinuirano praćenje) i **[ISO 27001](https://www.iso.org/standard/27001)** A.12.1.3 (planiranje kapaciteta) pružanjem unaprijed gledajućih metrika rizika. |
| **Učenje među najamnicima** | Više kupaca dijeli anonimne obrasce incidenata, poboljšavajući sposobnost globalnog modela da predviđa nove prijetnje u lancu opskrbe. |

## 10. Izazovi i budući smjerovi

1. **Kvaliteta podataka** – Nepotpuni ili nekonzistentni odgovori na upitnike mogu pristrasiti graf. Neprekidni cjevovodi za kvalitetu podataka su ključni.  
2. **Objašnjivost modela naspram performansi** – Dodavanje XAI slojeva povećava računalni trošak; selektivno objašnjavanje (samo na upozorenjima) pomaže.  
3. **Prihvaćanje od regulatora** – Neki revizori mogu dovoditi u pitanje nejasnoću AI predviđanja. Pružanje XAI dokaza i zapisa revizija to ublažava.  
4. **Vremenska granularnost** – Odabir odgovarajućeg vremenskog koraka (dnevni vs. satni) ovisi o profilu aktivnosti dobavljača; adaptivna granularnost je aktivno istraživano područje.  
5. **Rubni slučajevi** – Dobavljači koji tek počinju s ograničenom povijesti zahtijevaju hibridne pristupe (npr. bootstrapping temeljen na sličnosti).

Buduća istraživanja mogu integrirati **kauzalno zaključivanje** za razlikovanje korelacije i uzročnosti, te eksperimentirati s **graf transformatorskim mrežama** za bogatije vremensko rezoniranje.

## 11. Zaključak

**Prediktivni motor za prognozu pouzdanosti** oprema SaaS tvrtke odlučujućom prednošću: sposobnošću da vide rizik *prije* nego što se materializira. Spojivši vremenske grafne neuralne mreže, diferencijalnu privatnost, federirano učenje i objašnjivu AI, organizacije mogu pružiti ocjene povjerenja u stvarnom vremenu, uz očuvanje privatnosti i revizorsku transparentnost, što potiče brže pregovore, pametniju nabavu i jače pozicije u usklađenosti.

Implementacija ovog motora zahtijeva disciplinirano inženjerstvo podataka, robusne mjere zaštite privatnosti i predanost transparentnosti. Međutim, nagrada — kraći ciklusi upitnika, proaktivna remedijacija i mjerljivo smanjenje incidenata povezanih s dobavljačima — čini ovaj napor strateškim imperativom za svakog SaaS dobavljača usmjerenog na sigurnost.

## Pogledajte također

- NIST Specijalna publikacija 800‑53 Rev. 5 – Kontinuirano praćenje (CA‑7)  
- Zhou, Y., et al. “Temporal Graph Networks for Real‑Time Forecasting.” *Proceedings of KDD 2023*.  
- OpenDP: A Library for Differential Privacy – <https://opendp.org/>