
# AI‑alapú megfelelőségi érettségi hőtérkép és ajánlási motor

Egy olyan világban, ahol a biztonsági kérdőívek és szabályozási auditok naponta érkeznek, a megfelelőségi csapatoknak három versengő prioritást kell egyensúlyba hozniuk:

1. **Sebesség** – válaszolni a kérdésekre, mielőtt az üzlet leállna.  
2. **Pontosság** – minden állítás tényszerű és naprakész legyen.  
3. **Stratégiai betekintés** – megérteni, *miért* gyenge egy adott válasz, és hogyan javítható.

A Procurize legújabb képessége mindháromra választ ad, hiszen a nyers kérdőívadatot egy **Megfelelőségi Érettségi Hőtérképpé** alakítja, amely nem csak a hiányosságokat jeleníti meg, hanem egy **AI‑generált ajánlási motort** is meghajt. Az eredmény egy élő megfelelőségi vezérlőpult, amely a csapatokat a „reaktív tűzoltásról” a „proaktív fejlődésre” viszi.

Az alábbiakban végiglépkedünk a teljes folyamaton, az alapul szolgáló AI‑architektúrán, a Mermaid‑rel épített vizuális nyelven és a gyakorlati lépéseken, amelyekkel beépítheti a hőtérképet a napi megfelelőségi folyamatokba.

---

## 1. Miért fontos egy érettségi hőtérkép

A hagyományos megfelelőségi vezérlőpultok **bináris** állapotot mutatnak – *megfelel* vagy *nem megfelel* – minden kontroll esetén. Bár hasznos, ez a megközelítés elrejti a **érettségi mélységét** a szervezeti tájon:

| Dimenzió               | Bináris nézet | Érettségi nézet |
|------------------------|---------------|-----------------|
| Kontroll lefedettség   | ✔/✘           | 0‑5 skála (0=semmi, 5=teljesen integrált) |
| Bizonyíték minősége    | ✔/✘           | 1‑10 értékelés (a frissesség, eredet és teljesség alapján) |
| Folyamat automatizálás | ✔/✘           | 0‑100 % automatizált lépések |
| Kockázati hatás (szállító) | Alacsony/Magas | Kvantitatív kockázati pontszám (0‑100) |

Egy hőtérkép ezeket a finomított pontszámokat aggregálja, lehetővé téve a vezetők számára:

* **Koncentrált gyengeségek azonosítása** – az alacsony pontszámú kontrollok klasztere vizuálisan nyilvánvalóvá válik.  
* **Helyreállítás priorizálása** – a hő intenzitása (alacsony érettség) a kockázati hatással kombinálva rendezett teendőlistát hoz létre.  
* **Fejlődés nyomon követése idővel** – ugyanaz a hőtérkép animálható havi bontásban, így a megfelelőség mérhető javulási úttá alakul.

---

## 2. Magas szintű architektúra

A hőtérképet három szorosan összekapcsolt réteg hajtja:

1. **Adatintegráció & Normalizáció** – a nyers kérdőívválaszok, szabályzatok és harmadik fél által szolgáltatott bizonyítékok a Procurize‑be kerülnek csatlakozók (Jira, ServiceNow, SharePoint, stb.) segítségével. Egy szemantikus köztes réteg kinyeri a kontrollazonosítókat és egy egységes **Megfelelőségi Ontológiához** map-olja őket.

2. **AI Motor (RAG + LLM)** – a Retrieval‑augmented Generation (RAG) lekérdezi a tudásbázist minden egyes kontrollra, kiértékeli a bizonyítékot, és két eredményt ad:
   * **Érettségi pontszám** – a lefedettség, automatizálás és bizonyíték minőségének súlyozott összetétele.  
   * **Ajánlás szöveg** – egy tömör, cselekvőképes lépés, amelyet egy finomhangolt LLM generál.

3. **Vizualizációs réteg** – egy Mermaid‑alapú diagram valós időben rendereli a hőtérképet. Minden csomópont egy kontrollcsoportot (pl. „Hozzáférés-kezelés”, „Adattitkosítás”) jelöl, és a vöröstől a zöldig terjedő spektrumot használja a színezéshez. Az egérrel egy csomópont fölé lépve megjelenik az AI‑generált ajánlás.

Az alábbi Mermaid‑diagram mutatja az adatfolyamot:

```mermaid
graph TD
    A["Data Connectors"] --> B["Normalization Service"]
    B --> C["Compliance Ontology"]
    C --> D["RAG Retrieval Layer"]
    D --> E["Maturity Scoring Service"]
    D --> F["LLM Recommendation Engine"]
    E --> G["Heatmap Builder"]
    F --> G
    G --> H["Mermaid Heatmap UI"]
    H --> I["User Interaction"]
    I --> J["Feedback Loop"]
    J --> B
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#bbf,stroke:#333,stroke-width:2px
```

*A minden csomópont címkéje dupla idézőjelben van, ahogy előírt.*

---

## 3. Az érettségi dimenzió pontszámozása

A **Érettségi pontszám** nem önkényes szám; egy reprodukálható képlet eredménye:

```
Érettségi = w1 * Lefedettség + w2 * Automatizálás + w3 * BizonyítékMinőség + w4 * Frissesség
```

* **Lefedettség** – 0‑tól 1‑ig, a szükséges alkontrollok lefedettségének százalékában.  
* **Automatizálás** – 0‑tól 1‑ig, az API‑k vagy munkafolyamat‑botok által végzett lépések arányában.  
* **BizonyítékMinőség** – 0‑tól 1‑ig, a dokumentumtípus (pl. aláírt auditjelentés vs. email) és a integritás‑ellenőrzések (hash‑ellenőrzés) alapján.  
* **Frissesség** – 0‑tól 1‑ig, a régi bizonyítékok elhalványulásával ösztönözve a folyamatos frissítést.

A súlyok (`w1‑w4`) konfigurálhatóak szervezetenként, így a biztonsági vezetők hangsúlyozhatják a számukra legfontosabb tényezőket (pl. erősen szabályozott iparágban a `w3` magasabb lehet).

### Példa számítás

| Kontroll | Lefedettség | Automatizálás | BizonyítékMinőség | Frissesség | Súlyok (0.4,0.2,0.3,0.1) | Érettségi |
|----------|--------------|---------------|-------------------|------------|---------------------------|-----------|
| IAM‑01   | 0.9          | 0.7           | 0.8               | 0.6        | 0.4·0.9 + 0.2·0.7 + 0.3·0.8 + 0.1·0.6 = **0.79** | 0.79 |

A hőtérkép a 0‑1 pontszámokat színátmenetbe alakítja: 0‑0.4 = vörös, 0.4‑0.7 = narancs, 0.7‑0.9 = sárga, >0.9 = zöld.

---

## 4. AI‑generált ajánlások

Miután az érettségi pontszám kiszámításra kerül, a **LLM Ajánlási Motor** egy tömör helyreállítási tervet állít össze. A prompt sablon, amely a Procurize Prompt Marketplace‑ben tárolódik, a következő (egyszerűsítve demonstrációs célra):

```
You are a compliance advisor. Based on the following control data, provide a single actionable recommendation (max 50 words) that will most improve the maturity score.

Control ID: {{ControlID}}
Current Score: {{MaturityScore}}
Weakest Dimension: {{WeakestDimension}}
Evidence Summary: {{EvidenceSnippet}}
```

Mivel a prompt **paraméterezett**, ugyanaz a sablon ezrek kontroll számára is működik újraképzés nélkül. Az LLM egy olyan, a biztonsági legjobb gyakorlatok (NIST CSF, ISO 27001 stb.) alapján finomhangolt korpuszon lett betanítva, hogy a domain‑specifikus nyelvezetet használja.

### Minta kimenet

> *Kontroll IAM‑01 – Leggyengébb dimenzió: Automatizálás*  
> **Ajánlás:** „Integrálja az identitás‑szolgáltatót a beszerzési munkafolyamatba SCIM API‑val, hogy automatikusan létrehozzon és töröljön felhasználói fiókokat minden új szállítói rekordhoz.”

Ezek az ajánlások a hőtérkép csomópontjainak tooltip‑jaként jelennek meg, lehetővé téve egy **egy kattintásos** átmenetet a betekintéstől a végrehajtásig.

---

## 5. Interaktív élmény a csapatok számára

### 5.1 Valós‑idő együttműködés

A Procurize UI lehetővé teszi, hogy több felhasználó **közösen szerkessze** a hőtérképet. Egy csomópont kattintásakor egy oldalsáv nyílik, ahol:

* Elfogadhatja az AI‑ajánlást vagy saját megjegyzéseket adhat hozzá.  
* Hozzárendelhet egy felelős tulajdonost a helyreállítási feladathoz.  
* Csatolhat támogató anyagokat (pl. SOP dokumentumok, kódrészletek).

Minden módosítás egy **megfordíthatatlan audit nyomvonalba** kerül, amely blokklánc‑alapú főkönyvön van tárolva a megfelelőségi igazoláshoz.

### 5.2 Trend animáció

A platform minden héten rögzít egy hőtérkép‑pillanatképet. A felhasználók egy **idővonal csúszkával** animálhatják a hőtérképet, így azonnal láthatják a befejezett feladatok hatását. Egy beépített analitika widget kiszámítja az **Érettségi Sebességet** (átlagos pontszám‑javulás hetente) és figyelmeztető jeleket ad, ha egy terület stagnál.

---

## 6. Megvalósítási ellenőrzőlista

| Lépés | Leírás | Felelős |
|-------|--------|---------|
| 1 | Adatcsatlakozók engedélyezése a kérdőív‑tárakhoz (pl. SharePoint, Confluence). | Integrációs mérnök |
| 2 | A forráskontrollok map‑olása a Procurize Megfelelőségi Ontológiájához. | Megfelelőségi architekt |
| 3 | Pontszám‑súlyok konfigurálása a szabályozási prioritásnak megfelelően. | Biztonsági vezető |
| 4 | RAG + LLM szolgáltatások telepítése (felhő vagy helyi). | DevOps |
| 5 | Hőtérkép UI aktiválása a Procurize portálon. | Termékmenedzser |
| 6 | Csapatok képzése a színek értelmezéséről és az ajánlás‑panel használatáról. | Képzési koordinátor |
| 7 | Heti pillanatkép ütemezése és riasztási küszöbök beállítása. | Műveletek |

Az ellenőrzőlista követése garantálja a **zökkenőmentes bevezetést** és az azonnali megtérülést – a legkorábbi felhasználók 30 %-os csökkenést jelentő kérdőív‑válaszadási időt értek el az első hónapban.

---

## 7. Biztonsági és adatvédelmi megfontolások

* **Adatszigetelés** – minden bérlő bizonyíték‑korpusa egy dedikált névtérben marad, szerepkör‑alapú hozzáférés‑szabályokkal védve.  
* **Zero‑Knowledge Proofs** – külső auditorok kérhetnek bizonyítékot az érettségi pontszámra, anélkül, hogy a nyers bizonyítékot látnák.  
* **Differenciális adatvédelem** – a kereszt‑bérlő benchmarking‑hez hozzáadott zaj megakadályozza, hogy egyetlen szervezet érzékeny adatai kiszivárogjanak.

---

## 8. Jövőbeli útitér

A hőtérkép egy alapot biztosít a fejlettebb funkciókhoz:

1. **Prediktív hiány előrejelzés** – időbeli modellek segítségével megjósolja, hol fog a pontszám legközelebb csökkenni, így előzetes helyreállítást tesz lehetővé.  
2. **Gamifikált megfelelőség** – „érettségi jelvények” jutalmazása a csapatoknak, amelyek fenntartják a magas pontszámot.  
3. **CI/CD integráció** – automatikus blokkolás olyan kiadások esetén, amelyek a kritikus kontrollok érettségi pontszámát csökkentik.

Ezek a kiterjesztések a platformot a folyamatos biztosítási (continuous assurance) elvárásokhoz igazítják, és a **folyamatos fejlesztés** növekvő igényéhez.

---

## 9. Összegzés

* Egy vizuális **érettségi hőtérkép** nyers kérdőívadatokból intuitív, cselekvésre alkalmas képet alkot a megfelelőség állapotáról.  
* **AI‑generált ajánlások** szüntetik meg a találgatást, másodpercek alatt konkrét lépéseket adnak.  
* A **RAG**, **LLM** és **Mermaid** kombinációja élő megfelelőségi vezérlőpultot hoz létre, amely keretek, csapatok és földrajzi helyek között skálázható.  
* A hőtérkép napi munkafolyamatokba ágyazásával a szervezetek a reaktív válaszadást a proaktív fejlődésre cserélik, ezáltal felgyorsítva az üzletmenet sebességét és csökkentve az auditkockázatot.

---

## Lásd még

- [NIST Cybersecurity Framework Overview (hivatalos oldal)](https://www.nist.gov/cyberframework)  
- [ISO 27001:2022 – Információbiztonsági irányítási rendszerek (ISO)](https://www.iso.org/standard/80002.html)  
- [Mermaid Live Editor – Készíts és ossz meg diagramokat azonnal](https://mermaid.live)