
# Samoadaptivni graf dokaza znanja za usklađenost u realnom vremenu

U brzorastućem svijetu SaaS‑a, sigurnosni upitnici, zahtjevi revizija i regulatorne provjere pojavljuju se gotovo svakodnevno. Tvrtke koje se oslanjaju na ručne radnje „kopiraj‑i‑zalijepi“ troše nebrojene sate tražeći odgovarajući odlomak, provjeravajući njegovu valjanost i prateći svaku promjenu. Rezultat je krhak proces sklon pogreškama, odstupanjima verzija i regulatornom riziku.

Upoznajte **Samoadaptivni graf dokaza znanja (SAEKG)** – živi, AI‑poboljšani spremnik koji povezuje svaki artefakt usklađenosti (politike, kontrole, datoteke dokaza, rezultate revizija i konfiguracije sustava) u jedinstveni graf. Neprestanim prikupljanjem ažuriranja iz izvora i primjenom kontekstualnog rezoniranja, SAEKG jamči da su odgovori prikazani u bilo kojem sigurnosnom upitniku uvijek u skladu s najnovijim dokazima.  

U ovom članku ćemo:

1. Objasniti ključne komponente samoadaptivnog grafa dokaza.  
2. Pokazati kako se integrira s postojećim alatima (Ticketing, CI/CD, GRC platforme).  
3. Detaljno opisati AI‑cjevovode koji održavaju graf sinkroniziranim.  
4. Proći kroz realan scenarij od‑do‑od korištenjem Procurize‑a.  
5. Raspraviti sigurnosne, revizijske i skalabilnostne aspekte.  

> **TL;DR:** Dinamički graf znanja pokretan generativnim AI‑om i cjevovodima za otkrivanje promjena može pretvoriti vaše dokumente usklađenosti u jedinstveni izvor istine koji u stvarnom vremenu ažurira odgovore na upitnike.

---

## 1. Zašto statični spremnik nije dovoljan

Tradicionalni spremnici usklađenosti tretiraju politike, dokaze i predloške upitnika kao **statičke datoteke**. Kada se politika revidira, spremnik dobije novu verziju, ali odgovori u dolaznim upitnicima ostaju nepromijenjeni sve dok netko ne pomisli da ih treba urediti. Ova praznina stvara tri glavna problema:

| Problem | Utjecaj |
|---------|---------|
| **Zastarjeli odgovori** | Revizori mogu uočiti neslaganja, što vodi do neuspjelih procjena. |
| **Ručno opterećenje** | Timovi troše 30‑40 % sigurnosnog budžeta na ponavljajući rad „kopiraj‑i‑zalijepi“. |
| **Nedostatak pratljivosti** | Nema jasnog revizijskog zapisa koji povezuje određeni odgovor s točnom verzijom dokaza. |

Samoadaptivni graf rješava ove probleme **vezanjem** svakog odgovora uz živu čvoru koja pokazuje na najnoviji potvrđeni dokaz.

---

## 2. Osnovna arhitektura SAEKG

U nastavku se nalazi visokorazinski mermaid dijagram koji vizualizira glavne komponente i protoke podataka.

```mermaid
graph LR
    subgraph "Ingestion Layer"
        A["\"Policy Docs\""]
        B["\"Control Catalog\""]
        C["\"System Config Snapshots\""]
        D["\"Audit Findings\""]
        E["\"Ticketing / Issue Tracker\""]
    end

    subgraph "Processing Engine"
        F["\"Change Detector\""]
        G["\"Semantic Normalizer\""]
        H["\"Evidence Enricher\""]
        I["\"Graph Updater\""]
    end

    subgraph "Knowledge Graph"
        K["\"Evidence Nodes\""]
        L["\"Questionnaire Answer Nodes\""]
        M["\"Policy Nodes\""]
        N["\"Risk & Impact Nodes\""]
    end

    subgraph "AI Services"
        O["\"LLM Answer Generator\""]
        P["\"Validation Classifier\""]
        Q["\"Compliance Reasoner\""]
    end

    subgraph "Export / Consumption"
        R["\"Procurize UI\""]
        S["\"API / SDK\""]
        T["\"CI/CD Hook\""]
    end

    A --> F
    B --> F
    C --> F
    D --> F
    E --> F
    F --> G --> H --> I
    I --> K
    I --> L
    I --> M
    I --> N
    K --> O
    L --> O
    O --> P --> Q
    Q --> L
    L --> R
    L --> S
    L --> T
```

### 2.1 Sloj prikupljanja (Ingestion Layer)

* **Policy Docs** – PDF‑ovi, Markdown datoteke ili politika‑kao‑kod pohranjene u repozitoriju.  
* **Control Catalog** – Struktuirane kontrole (npr. NIST, [ISO 27001](https://www.iso.org/standard/27001)) pohranjene u bazi podataka.  
* **System Config Snapshots** – Automatizirani izvoz iz cloud infrastrukture (Terraform state, CloudTrail zapisi).  
* **Audit Findings** – JSON ili CSV izvozi iz platformi za reviziju (npr. Archer, ServiceNow GRC).  
* **Ticketing / Issue Tracker** – Događaji iz Jira, GitHub Issues koji utječu na usklađenost (npr. zadaci za otklanjanje).

### 2.2 Obrada (Processing Engine)

* **Change Detector** – Koristi diff‑ove, usporedbu hash‑ova i semantičku sličnost za prepoznavanje stvarnih promjena.  
* **Semantic Normalizer** – Mapira varijacije terminologije (npr. „encryption at rest“ vs „data‑at‑rest encryption“) na kanonski oblik pomoću laganog LLM‑a.  
* **Evidence Enricher** – Dohvaća metapodatke (autor, vremenska oznaka, recenzent) i dodaje kriptografske hash‑ove radi integriteta.  
* **Graph Updater** – Dodaje/ ažurira čvorove i rubove u Neo4j‑kompatibilnom grafu.

### 2.3 AI usluge

* **LLM Answer Generator** – Kada upitnik traži „Opišite vaš proces šifriranja podataka“, LLM sastavlja sažet odgovor iz povezanih čvorova politika.  
* **Validation Classifier** – Nadgledani model koji označava generirane odgovore koji odstupaju od jezičnih standarda usklađenosti.  
* **Compliance Reasoner** – Izvršava pravila (npr. ako je „Policy X“ aktivna → odgovor mora referencirati kontrolu „C‑1.2”).

### 2.4 Izvoz / potrošnja

Graf je izložen putem:

* **Procurize UI** – Real‑time prikaz odgovora, s poveznicama na čvorove dokaza.  
* **API / SDK** – Programatsko dohvaćanje za alatke u downstreamu (npr. sustavi za upravljanje ugovorima).  
* **CI/CD Hook** – Automatizirane provjere koje osiguravaju da novi kod ne krši tvrdnje o usklađenosti.

---

## 3. AI‑potaknuti kontinuirani cjevovodi učenja

Statičan graf brzo zastari. Samoadaptivni karakter SAEKG‑a postiže se kroz tri povratna loopa:

### 3.1 Observacija → Diff → Ažuriranje

1. **Observacija:** Scheduler preuzima najnovije artefakte (commit repozitorija politika, izvoz konfiguracije).  
2. **Diff:** Algoritam tekstualnog diffa kombiniran s embedding‑ima rečenice izračunava semantičke promjene.  
3. **Ažuriranje:** Čvorovi čiji je rezultat promjene iznad praga aktiviraju ponovno generiranje ovisnih odgovora.

### 3.2 Povratna sprega od revizora

Kada revizori komentiraju odgovor (npr. „Uključite najnoviju referencu na [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) izvješće”), komentar se unosi kao **feedback edge**. Agens za ojačano učenje prilagođava strategiju promptinga LLM‑a kako bi budući zahtjevi bili bolje zadovoljeni.

### 3.3 Detekcija drift‑a

Statistički drift prati distribuciju LLM‑confidence score‑ova. Nagli padovi aktiviraju **human‑in‑the‑loop** reviziju, čime se osigurava da sustav ne degradira tiho.

---

## 4. Kroz cijeli scenarij s Procurize‑om

### Scenarij: Novi SOC 2 Type 2 izvješće je učitano

1. **Upload događaj:** Sigurnosni tim postavlja PDF u mapu „SOC 2 Reports“ na SharePointu. Webhook obavještava sloj prikupljanja.  
2. **Detekcija promjene:** Change Detector izračunava da je verzija izvješća prošla s `v2024.05` na `v2025.02`.  
3. **Normalizacija:** Semantic Normalizer ekstrahira relevantne kontrole (npr. CC6.1, CC7.2) i mapira ih na interni katalog kontrola.  
4. **Ažuriranje grafa:** Novi čvorovi dokaza (`Evidence: SOC2-2025.02`) povezuju se s odgovarajućim čvorovima politika.  
5. **Regeneracija odgovora:** LLM ponovno generira odgovor na pitanje „Pružite dokaz o vašim kontrolama nad nadzorom.“ Odgovor sada sadrži poveznicu na novo SOC 2 izvješće.  
6. **Automatska obavijest:** Odgovorni analitičar dobiva Slack poruku: „Odgovor za ‘Kontrole nad nadzorom’ ažuriran s referencom na SOC2‑2025.02.”  
7. **Revizijski trag:** UI prikazuje vremensku liniju: *2025‑10‑18 – SOC2‑2025.02 učitan → odgovor regeneriran → odobrio Jane D.*  

Sve se događa bez da analitičar ručno otvara upitnik, skraćujući ciklus odgovora s **3 dana na manje od 30 minuta**.

---

## 5. Sigurnost, revizijski trag i upravljanje

### 5.1 Nepromjenjiv podrijetlo (Immutable Provenance)

Svaki čvor nosi:

* **Kriptografski hash** izvornog artefakta.  
* **Digitalni potpis** autora (temeljeno na PKI).  
* **Broj verzije** i **vremensku oznaku**.

Ovi atributi omogućuju **tamper‑evident audit log** koji zadovoljava SOC 2 i [ISO 27001](https://www.iso.org/standard/27001) kriterije.

### 5.2 Kontrola pristupa po ulozi (RBAC)

Graf upite medijira ACL motor:

| Uloga | Dozvole |
|------|---------|
| Viewer | Samo‑čitanje odgovora (bez preuzimanja dokaza). |
| Analyst | Čitanje/pisanje čvorova dokaza, može pokrenuti regeneraciju odgovora. |
| Auditor | Čitanje svih čvorova + prava izvoza za izvještaje o usklađenosti. |
| Administrator | Potpuna kontrola, uključujući promjene sheme politika. |

### 5.3 GDPR i lokacija podataka

Osjetljivi osobni podaci ne napuštaju izvorni sustav. Graf pohranjuje samo **metapodatke i hash‑ove**, dok se stvarni dokumenti zadržavaju u izvornoj pohrani (npr. Azure Blob u EU). Ovaj dizajn je u skladu s principom minimizacije podataka propisanog [GDPR‑om](https://gdpr.eu/).

---

## 6. Skaliranje na tisuće upitnika

Veliki SaaS pružatelj može obrađivati **10 k+** upitnika po kvartalu. Da bi latencija ostala niska:

* **Horizontalno šarding grafa:** Particioniranje po poslovnoj jedinici ili regiji.  
* **Cache sloj:** Često dohvaćani podgrafovi odgovora keširani u Redisu s TTL = 5 min.  
* **Batch način:** Noćna obrada bulk diffa za nisko‑prioritetne artefakte bez utjecaja na real‑time upite.  

Benchmark iz pilot‑projekta u srednje‑velikoj fintech tvrtki (5 k korisnika) pokazao je:

* **Prosječno dohvaćanje odgovora:** 120 ms (95. percentila).  
* **Maksimalna brzina unosa:** 250 dokumenata/minutu uz < 5 % CPU opterećenja.  

---

## 7. Popis kontrola za timove

| ✅ Stavka | Opis |
|----------|------|
| **Graf spremište** | Implementirajte Neo4j Aura ili open‑source graf DB s ACID jamstvima. |
| **LLM pružatelj** | Odaberite usklađeni model (npr. Azure OpenAI, Anthropic) s ugovorima o privatnosti podataka. |
| **Detekcija promjena** | Instalirajte `git diff` za kod‑repozitorije, koristite `diff-match-patch` za PDF‑ove nakon OCR‑a. |
| **CI/CD integracija** | Dodajte korak koji validira graf nakon svakog releasa (`graph‑check --policy compliance`). |
| **Monitoring** | Postavite Prometheus alarme na drift‑detekciju kada confidence < 0.8. |
| **Upravljanje** | Dokumentirajte SOP‑ove za ručne nadjačavanja i procese odobravanja. |

---

## 8. Budući pravci

1. **Zero‑Knowledge dokazi za validaciju** – Dokazati da određeni dokaz zadovoljava kontrolu bez izlaganja sirove datoteke.  
2. **Federativni grafovi znanja** – Omogućiti partnerima da doprinose zajedničkom grafu usklađenosti uz očuvanje suvereniteta podataka.  
3. **Generativni RAG s Retrieval‑Augmented Generation** – Kombinirati pretraživanje grafa s generiranjem LLM‑a za bogatije, kontekstualno svjesne odgovore.  

Samoadaptivni graf dokaza znanja nije „lijepo imati“ dodatak; on postaje **operativna okosnica** za svaku organizaciju koja želi skalirati automatizaciju sigurnosnih upitnika bez žrtvovanja točnosti ili revizijskog ugleda.

---

## ## <span class='highlight-content'>Vidi</span> Also
- [NIST SP 800‑53 Revision 5 – Control Catalog Overview](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO/IEC 27001:2022 – Information Security Management System](https://www.iso.org/standard/82875.html)