
# Semantički Middleware Motor za Normalizaciju Upitnika Preko Okvira

> **TL;DR**: Semantički middleware sloj pretvara heterogene sigurnosne upitnike u jedinstvenu, AI‑pripremnu reprezentaciju, omogućujući jednim klikom točne odgovore kroz sve okvire usklađenosti.

---  

## 1. Zašto je normalizacija važna u 2025.

Sigurnosni upitnici postali su **multimilijunski usko grlo** za brzo rastuće SaaS kompanije:

| Statistika (2024) | Utjecaj |
|-------------------|---------|
| Prosječno vrijeme za odgovor na upitnik dobavljača | **12‑18 dana** |
| Ručni napor po upitniku (sati) | **8‑14 h** |
| Duplicirani napor kroz okvire | **≈ 45 %** |
| Rizik od nekonzistentnih odgovora | **Visoka izloženost usklađenosti** |

Svaki okvir — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), FedRAMP ili prilagođeni obrasci dobavljača — koristi svoju terminologiju, hijerarhiju i očekivanja dokaza. Odgovaranje na njih odvojeno stvara **semantički drift** i povećava operativne troškove.

**Semantički middleware** rješava ovo tako što:

* Mapira svako dolazno pitanje na **kanoničku ontologiju usklađenosti**.
* Obogaćuje kanonični čvor **kontekstom regulative u stvarnom vremenu**.
* Usmjerava normaliziranu namjeru prema **LLM motoru za odgovore** koji generira narative specifične za okvir.
* Održava **revizijski zapis** koji povezuje svaki generirani odgovor natrag na originalno pitanje.

Rezultat je **jedinstveni izvor istine** za logiku upitnika, što dramatično smanjuje vrijeme obrade i uklanja neusklađenost odgovora.

---  

## 2. Glavni stupovi arhitekture

Ispod je pregled visoke razine middleware sloja.  

```mermaid
graph LR
  A[Incoming Questionnaire] --> B[Pre‑Processor]
  B --> C[Intent Detector (LLM)]
  C --> D[Canonical Ontology Mapper]
  D --> E[Regulatory Knowledge Graph Enricher]
  E --> F[AI Answer Generator]
  F --> G[Framework‑Specific Formatter]
  G --> H[Response Delivery Portal]
  subgraph Audit
    D --> I[Traceability Ledger]
    F --> I
    G --> I
  end
```

### 2.1 Pre‑Processor

* **Ekstrakcija strukture** – PDF‑ovi, Word, XML ili običan tekst parsiraju se OCR‑om i analizom rasporeda.
* **Normalizacija entiteta** – Prepoznaje uobičajene entitete (npr. „enkripcija u mirovanju“, „kontrola pristupa”) putem modela prepoznavanja imenovanih entiteta (NER) finih podešavanja na korpusu usklađenosti.

### 2.2 Detektor namjere (LLM)

* Strategija **few‑shot prompting** s laganim LLM‑om (npr. Llama‑3‑8B) klasificira svako pitanje u **visokorazinsku namjeru**: *Policy Reference*, *Process Evidence*, *Technical Control*, *Organizational Measure*.
* Skorovi pouzdanosti > 0.85 automatski se prihvaćaju; niži rezultati pokreću **Human‑in‑the‑Loop** reviziju.

### 2.3 Kanonički ontologijski maper

* Ontologija je **graf od 1 500+ čvorova** koji predstavljaju univerzalne koncepte usklađenosti (npr. „Čuvanje podataka“, „Odgovor na incidente“, „Upravljanje ključevima enkripcije”).
* Mapiranje koristi **semantičku sličnost** (sentence‑BERT vektore) i **mehanizam mekih pravila** za razrješavanje dvosmislenih podudaranja.

### 2.4 Enricher regulativnog knowledge grafa

* Povlači ažuriranja u stvarnom vremenu iz **RegTech feedova** (npr. [NIST CSF](https://www.nist.gov/cyberframework), EU Komisija, ISO ažuriranja) putem GraphQL‑a.
* Dodaje **verziju metapodataka** svakom čvoru: jurisdikcija, datum stupanja na snagu, tip potrebnog dokaza.
* Omogućuje **automatsko otkrivanje drifta** kada se regulativa promijeni.

### 2.5 AI generator odgovora

* **RAG (Retrieval‑Augmented Generation)** cjevovod povlači relevantne politike, audit logove i metapodatke artefakata.
* Promptovi su **svjesni okvira**, osiguravajući da odgovor referira ispravan stil citiranja standarda (npr. SOC 2 § CC6.1 nasuprot ISO 27001‑A.9.2).

### 2.6 Formatter specifičan za okvir

* Generira **strukturirane izlaze**: Markdown za interne dokumente, PDF za vanjske portale dobavljača i JSON za API konzumaciju.
* Ugrađuje **trace ID‑ove** koji upućuju na kanonični čvor i verziju knowledge grafa.

### 2.7 Revizijski zapis & ledger praćenja

* Nepromenljivi logovi pohranjeni u **Append‑Only Cloud‑SQL** (ili opcionalno na blockchain sloju za ultra‑visoku usklađenost).
* Omogućuje **jednostavno provjeravanje dokaza** jednim klikom za revizore.

---  

## 3. Izgradnja kanoničke ontologije

### 3.1 Odabir izvora

| Izvor | Prijenos |
|--------|----------|
| [NIST SP 800‑53](https://www.nist.gov/cyberframework) | 420 kontrola |
| [ISO 27001 Annex A](https://www.iso.org/isoiec-27001-information-security.html) | 114 kontrola |
| SOC 2 Trust Services | 120 kriterija |
| GDPR članci | 99 obveza |
| Prilagođeni obrasci dobavljača | 60‑200 stavki po klijentu |

Ovi su podaci spajani koristeći **algoritme usklađivanja ontologija** (npr. *Prompt‑Based Equivalence Detection*). Duplicirani koncepti se spajaju, čuvajući **više identifikatora** (npr. „Access Control – Logical“ mapira se na `NIST:AC-2` i `ISO:A.9.2`).

### 3.2 Atributi čvora

| Atribut | Opis |
|----------|------|
| `node_id` | UUID |
| `label` | Ljudski čitljivo ime |
| `aliases` | Niz sinonima |
| `framework_refs` | Popis ID‑ova iz izvora |
| `evidence_type` | {policy, process, technical, architectural} |
| `jurisdiction` | {US, EU, Global} |
| `effective_date` | ISO‑8601 |
| `last_updated` | Timestamp |

### 3.3 Radni tok održavanja

1. **Ingest** novi regulativni feed → pokreni **diff algoritam**.
2. **Ljudski pregled** odobrava dodatke/izmjene.
3. **Povećanje verzije** (`v1.14 → v1.15`) automatski zabilježen u ledgeru.

---  

## 4. Prompt inženjering LLM‑a za detekciju namjere

```goat
Vi ste klasifikator namjere usklađenosti. Klasificirajte sljedeću stavku upitnika u jedan od namjera:
- PolicyReference
- ProcessEvidence
- TechnicalControl
- OrganizationalMeasure

Vratite JSON:
{
  "intent": "<Intent>",
  "confidence": <0.0‑1.0>,
  "extracted_entities": ["<entity1>", "<entity2>", ...]
}
```

**Zašto ovo funkcionira**:

* **Few‑shot primjeri** učvršćuju model na jezik usklađenosti.
* **JSON izlaz** uklanja nejasnoće u parsiranju.
* **Povjerenje** omogućuje automatsko usmjeravanje.

---  

## 5. Pipelin RAG (Retrieval‑Augmented Generation)

1. **Izgradnja upita** – Kombiniraj naziv kanoničnog čvora s metapodacima verzije regulative.
2. **Pretraga vektorskog spremišta** – Dohvati top‑k relevantnih dokumenata iz **FAISS** indeksa politika, ticket logova i inventara artefakata.
3. **Fuzija konteksta** – Spoji preuzete odlomke s originalnim pitanjem.
4. **Generiranje LLM‑om** – Proslijedi spojeni prompt modelu **Claude‑3‑Opus** ili **GPT‑4‑Turbo** s temperaturom 0.2 za determinističke odgovore.
5. **Post‑processing** – Nametni **format citiranja** ovisno o odabranom okviru.

---  

## 6. Utjecaj u stvarnom svijetu: Sažetak studije slučaja

| Metrika | Prije Middleware | Nakon Middleware |
|---------|------------------|------------------|
| Prosječno vrijeme odgovora (po upitniku) | 13 dana | 2,3 dana |
| Ručni napor (sati) | 10 h | 1,4 h |
| Dosljednost odgovora (neusklađenosti) | 12 % | 1,2 % |
| Pokriće dokaza spremnih za reviziju | 68 % | 96 % |
| Ušteda troškova (godišnje) | — | ≈ $420 k |

> *Company X* je integrirao middleware s **Procurize AI** i smanjio ciklus onboardinga rizika dobavljača s **30 dana na manje od tjedna**, što je omogućilo brže zaključenje poslova i smanjilo prodajni otpor.

---  

## 7. Popis za implementaciju

| Faza | Zadaci | Vlasnik | Alati |
|------|--------|---------|-------|
| **Otkrivanje** | Inventura svih izvora upitnika; definiranje ciljeva pokrivenosti | Compliance Lead | AirTable, Confluence |
| **Izgradnja ontologije** | Spajanje izvora kontrola; kreiranje sheme grafa | Data Engineer | Neo4j, GraphQL |
| **Trening modela** | Fino podešavanje klasifikatora namjere na 5 k označenih stavki | ML Engineer | HuggingFace, PyTorch |
| **Postavljanje RAG‑a** | Indeksiranje politika; konfiguracija vektorskog spremišta | Infra Engineer | FAISS, Milvus |
| **Integracija** | Povezivanje middlewarea s Procurize API‑jem; mapiranje trace ID‑ova | Backend Dev | Go, gRPC |
| **Testiranje** | End‑to‑end test na 100 historijskih upitnika | QA | Jest, Postman |
| **Uvođenje** | Postepeno omogućavanje za odabrane dobavljače | Product Manager | Feature Flags |
| **Monitoring** | Praćenje pouzdanosti, latencije, revizijskih logova | SRE | Grafana, Loki |

---  

## 8. Sigurnosni i privatnosni razlozi

* **Podaci u mirovanju** – AES‑256 enkripcija za sve pohranjene dokumente.  
* **U prijenosu** – Mutual TLS između svih komponenti middlewarea.  
* **Zero‑Trust** – Role‑based access kontrola na svakom ontološkom čvoru; princip najmanjih privilegija.  
* **Diferencijalna privatnost** – Kada se agregiraju statistike odgovora za poboljšanje proizvoda.  
* **Usklađenost** – GDPR‑kompatibilna obrada zahtjeva za brisanje podataka putem ugrađenih hookova za revokaciju.

---  

## 9. Buduća poboljšanja

1. **Federirani knowledge grafovi** – Dijeljenje anonimiziranih ažuriranja ontologije među partnerima uz očuvanje suvereniteta podataka.  
2. **Multimodalna ekstrakcija dokaza** – Kombinacija OCR‑izvlačenja slika (npr. arhitekturalni dijagrami) s tekstom za bogatije odgovore.  
3. **Prediktivno praćenje regulative** – Modeli vremenskih serija koji anticipiraju nadolazeće regulatorne promjene i unaprijed ažuriraju ontologiju.  
4. **Samopopravljajući predlošci** – LLM predlaže reviziju predložaka kada povjerenje sustavno pada za određeni čvor.

---  

## 10. Zaključak

**Semantički middleware motor** je nedostajući poveznica koja pretvara kaotičan skup sigurnosnih upitnika u strujni, AI‑pokrenuti radni tok. Normalizacijom namjere, obogaćivanjem kontekstom kroz real‑time knowledge graf i korištenjem RAG‑pogona za generiranje odgovora, organizacije mogu:

* **Ubrzati** cikluse procjene rizika dobavljača.  
* **Jamčiti** dosljedne, dokazom potkrijepljene odgovore.  
* **Smanjiti** ručni napor i operativne troškove.  
* **Održavati** provjerljiv revizijski zapis za regulatore i klijente.

Ulaganje u ovaj sloj danas osigurava buduću otpornost programa usklađenosti nasuprot sve većoj složenosti globalnih standarda – ključna konkurentska prednost za SaaS tvrtke u 2025. i dalje.