Mesterséges Intelligenciával Támogatott Automatikus ISO 27001 Szabályleképezés Biztonsági Kérdőívekhez

A biztonsági kérdőívek szűk keresztmetszetet jelentenek a beszállítói kockázatértékelésekben. A auditálók gyakran kérnek bizonyítékot arra, hogy egy SaaS‑szolgáltató megfelel az ISO 27001 szabványnak, de a megfelelő szabály megtalálása, a támogató irányelv kinyerése és egy tömör válasz megfogalmazása manuálisan akár napokat is igénybe vehet. Az új generációs AI‑alapú platformok ezt a paradigmát reaktív, emberi erőforrás‑igényes folyamatról prediktív, automatizált munkafolyamatokra változtatják.

Ebben a cikkben bemutatunk egy elsőként megjelenő motor-t, amely:

1. Beolvassa az egész ISO 27001 szabálykészletet és minden szabályt összekapcsol a szervezet belső irányelveinek tárolójával.
2. Létrehoz egy Tudásgráfot, amely összekapcsolja a szabályokat, irányelveket, bizonyíték‑artefaktumokat és a felelős tulajdonosokat.
3. Egy Retrieval‑Augmented Generation (RAG) csővezetékkel állít elő kérdőív‑válaszokat, amelyek megfelelők, kontextus‑gazdagak és naprakészek.
4. Valós időben észleli a szabály‑eltérést, és automatikusan újragenerálja a választ, ha a szabály forrása megváltozik.
5. Alacsony‑kódú felhasználói felületet biztosít az auditálóknak, hogy a generált válaszokat finomhangolják vagy jóváhagyják a benyújtás előtt.

Az alábbiakban megismerheted az architekturális komponenseket, az adatfolyamot, a mögöttes AI‑technológiákat és a korai pilotokban megfigyelt mérhető előnyöket.

1. Miért fontos az ISO 27001 szabályleképezés

ISO 27001 egy világszerte elfogadott keretrendszer az információbiztonság menedzsmentjéhez. A Melléklet A 114 szabályt sorol fel, mindegyiknek vannak al‑szabályai és megvalósítási útmutatói. Amikor egy harmadik fél biztonsági kérdőíve például a következőt kérdezi:

„Írja le, hogyan kezeli a kriptográfiai kulcsok életciklusát (Control A.10.1).”

a biztonsági csapatnak meg kell találnia a megfelelő irányelvet, ki kell nyernie a konkrét folyamatleírást, és azt a kérdőív megfogalmazásához kell igazítania. Ennek a feladatnak a többszöri ismétlése több kérdőív során:

• Redundáns munka – azonos válaszok újraírása minden egyes kérésnél.
• Inkonzisztens nyelvezet – a finom megfogalmazási eltérések hiányként értelmezhetők.
• Elavult bizonyíték – az irányelvek fejlődnek, de a kérdőív vázlatok gyakran változatlanok maradnak.

Az ISO 27001 szabályok újrafelhasználható válaszrészletekre történő leképezésének automatizálása ezeket a problémákat skálázható módon szünteti meg.

2. Alapvető architekturális tervrajz

A motor három pillér köré épül:

Az alábbi Mermaid‑diagram a teljes adatfolyamot ábrázolja a befogadástól a válasz kiszolgálásáig.

  graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer

A Mermaid szintaxis megköveteli, hogy a csomópontok feliratait dupla idézőjelbe tegyük.

3. A Control‑Policy Tudásgráf felépítése

3.1 Adatmodellezés

• Control Node-ok – Minden ISO 27001 szabály (pl. “A.10.1”) egy node‑ként jelenik meg, attribútumok: title, description, reference, family.
• Policy Node-ok – A belső biztonsági irányelveket Markdown‑ból, Confluence‑ból vagy Git‑alapú tárolókból importáljuk. Attribútumok: version, owner, last_modified.
• Evidence Node-ok – Hivatkozások audit‑logokra, konfigurációs pillanatfelvételekre vagy harmadik fél tanúsítványaira.
• Ownership Edge-ek – MANAGES, EVIDENCE_FOR, DERIVES_FROM.

A gráfséma lehetővé teszi a SPARQL‑szerű lekérdezéseket, például:

MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1

3.2 GNN‑alapú gazdagítás

Egy Graph Neural Network‑et korábbi kérdőív‑válasz párokra tanítunk, hogy szemantikus hasonlósági pontszámot számítson a szabályok és az irányelvrészletek között. Ez a pontszám relevance_score néven tárolódik az él‑attribútumokban, és jelentősen növeli a lekérdezési pontosságot az egyszerű kulcsszó‑kereséshez képest.

4. Retrieval‑Augmented Generation (RAG) csővezeték

4.1 Retrieval szakasz

1. Kulcsszavas keresés – BM25 az irányelv‑szövegen.
2. Vektor‑keresés – Embeddingek (Sentence‑Transformers) a szemantikus egyezéshez.
3. Hibrid rangsorolás – BM25‑t és a GNN relevance_score‑t lineáris súlyozással (α = 0.6 szemantikus, 0.4 lexikális) kombináljuk.

A legjobb k (általában 3) irányelvrészlet a LLM‑nek a kérdőív‑prompttal együtt kerül továbbításra.

4.2 Prompt tervezés

Egy dinamikus prompt sablon a szabálycsaládhoz igazodik:

You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.

Az LLM kitölti a helyettesítőket a lekért részletekkel, és egy idézetekkel gazdagított vázlatot hoz létre.

4.3 Utófeldolgozás

• Fact‑Check réteg – Egy könnyű verifikátor egy második LLM‑lépésben biztosítja, hogy minden állítás a lekért szövegben gyökerezik.
• Redaction filter – Felismeri és eltakarja a közzétételre nem alkalmas bizalmas adatokat.
• Formázó modul – A kimenetet a kérdőív preferált formátumába (HTML, PDF vagy egyszerű szöveg) konvertálja.

5. Valós‑időben történő Policy Drift Detection

Az irányelvek ritkán statikusak. Egy Change Data Capture (CDC) connector figyeli a forrás‑tárolót a commit‑ok, merge‑ök vagy törlések után. Amikor egy változás egy ISO‑szabályhoz kapcsolódó node‑t érint, a drift detektor:

1. Kiszámít egy diff hash‑t a régi és új irányelvrészlet között.
2. Eseményt küld a policy.drift Kafka topicra.
3. Elindítja a RAG csővezeték újragenerálását az érintett válaszokra.
4. Értesítést küld a szabály‑tulajdonosnak és az analitikai dashboardra felülvizsgálatra.

Ez a visszacsatolási hurk biztosítja, hogy minden közzétett kérdőív‑válasz a legfrissebb belső szabályokkal összhangban legyen.

6. Felhasználói élmény: Analitikus Dashboard

A felület rácsos listát mutat a függőben lévő kérdőív‑elemekről, színkódolt állapottal:

• Zöld – Válasz generálva, nincs drift, exportálásra kész.
• Sárga – Friss szabályváltozás, újragenerálás függőben.
• Piros – Emberi felülvizsgálat szükséges (pl. bizonytalan szabály vagy redakciós figyelmeztetés).

Fő funkciók:

• Egy kattintásos export PDF‑be vagy CSV‑be.
• Beágyazott szerkesztés a marginális esetek testreszabásához.
• Verziótörténet, amely pontosan megmutatja, mely szabályverziót használták az egyes válaszokhoz.

A platform beágyazott rövid videódemója (a felületen) bemutat egy tipikus munkafolyamatot: egy szabály kiválasztása, a generált válasz áttekintése, jóváhagyása és exportálása.

7. Mért üzleti hatás

A pilotot egy közepes méretű SaaS‑vállalat (kb. 250 alkalmazott) hajtotta végre, ami heti ≈ 30 óra munkaterheléscsökkenést eredményezett, és 4 jelentős megfelelőségi incidenst akadályozott meg, amelyet elavult válaszok okoztak.

8. Biztonsági és kormányzási szempontok

• Adattárolás – A tudásgráf adatai kizárólag a vállalat privát VPC‑jében maradnak; az LLM‑inferencia vagy on‑premise hardveren, vagy dedikált privát felhő‑endpointon fut.
• Hozzáférés‑szabályozás – Szerepalapú engedélyek korlátozzák, ki szerkeszthet irányelveket, indíthat újragenerálást vagy tekintheti meg a generált válaszokat.
• Audit‑nyom – Minden válaszdraft kriptográfiai hash‑el tárolja a pontos irányelv‑verziót, ami módosíthatatlan ellenőrzést biztosít auditok során.
• Magyarázhatóság – A dashboard egy traceability view‑t jelenít meg, amely felsorolja a lekért irányelvrészleteket és a hozzájáruló relevancia‑pontszámokat, ezzel biztosítva, hogy a regulatorok felelősségteljes AI‑használatról kapjanak bizonyítékot.

9. A motor kiterjesztése az ISO 27001‑en túl

Bár a prototípus az ISO 27001‑re fókuszál, az architektúra szabály‑független:

• SOC 2 Trust Services Criteria – Ugyanazzal a gráffal, csak más szabálycsaládokkal.
• HIPAA Security Rule – 18 szabvány betöltése és egészség‑specifikus irányelvekkel való összekapcsolása.
• PCI‑DSS – Kártyaadat‑kezelési eljárások integrálása.

Új keretrendszer hozzáadásához elegendő betölteni annak szabálykatalógusát, és kezdeti éleket létesíteni a már meglévő policy node-okhoz. A GNN automatikusan alkalmazkodik, ahogy egyre több tréning‑pár gyűlik össze.

10. Gyakorlati útmutató: Lépés‑ről‑lépésre checklist

1. Gyűjtsd össze az ISO 27001 szabályokat (töltsd le a hivatalos Annex A CSV‑t).
2. Exportáld a belső irányelveket strukturált formátumba (Markdown front‑matter‑al a verziózáshoz).
3. Telepítsd a Tudásgráfot (Neo4j Docker képfájl, előre definiált séma).
4. Telepítsd a RAG szolgáltatást (Python FastAPI konténer LLM endpoint‑tal).
5. Állítsd be a CDC‑t (Git‑hook vagy fájlrendszer‑figyelő) a drift‑detektorhoz.
6. Indítsd el az Analitikus Dashboard‑ot (React front‑end, OAuth2 hitelesítés).
7. Futtass egy pilot kérdőívet, és iteratívan finomítsd a prompt sablonokat.

Ezen az úton a legtöbb szervezet 4‑6 héten belül képes egy teljesen automatizált ISO 27001 leképező csővezeték bevezetésére.

11. Jövőbeli irányok

• Federated Learning – Anonim módon megosztott szabály‑policy embeddingek partnercégekkel a relevancia‑pontszám javítása érdekében, anélkül, hogy a saját politikákat kifednénk.
• Multimodális bizonyíték – Diagramok, konfigurációs fájlok és log‑kivonatok integrálása Vision‑LLM‑ekkel a válaszok gazdagításához.
• Generatív megfelelőség‑játékoskönyvek – Kiterjesztés az egyes kérdés‑válaszokon túl teljes megfelelőségi narratívákra, beleértve bizonyíték‑táblázatokat és kockázatelemzéseket.

A tudásgráfok, RAG és valós idejű drift‑monitoring egyesülése határozza meg az új alapot a biztonsági kérdőívek automatizálásához. Az első alkalmazók nemcsak a sebességet nyerik, hanem azt a bizalmat, hogy minden válasz nyomonkövethető, aktuális és auditálható.

Lásd még

• ISO 27001 – Hivatalos Annex A szabályok
• NIST SP 800‑53 Mapping to ISO 27001
• Retrieval‑Augmented Generation: A Survey of Techniques and Applications