
# Ontológia‑alapú prompt motor a biztonsági kérdőívek harmonizálásához

> **TL;DR** – Egy ontológia‑központú prompt motor szemantikai hidat hoz létre az egymással ellentétes megfelelőségi keretrendszerek között, lehetővé téve a generatív AI számára, hogy egységes, auditálható válaszokat adjon bármelyik biztonsági kérdőívre, miközben megőrzi a kontextuális relevanciát és a szabályozási hűséget.

---

## 1. Miért van szükség új megközelítésre

A biztonsági kérdőívek továbbra is jelentős szűk keresztmetszetet jelentenek a SaaS‑szolgáltatók számára. Még a Procurize‑hoz hasonló, a dokumentumokat központosító és a munkafolyamatokat automatizáló eszközök esetén is a *szemantikai rés* a különböző szabványok között arra kényszeríti a biztonsági, jogi és mérnöki csapatokat, hogy ugyanazt a bizonyítékot többször is újraírják:

| Keretrendszer | Tipikus kérdés | Példa válasz |
|---------------|----------------|--------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Írja le az adatnyugalmi titkosítást.* | “Minden ügyfél adatot AES‑256‑tal titkosítjuk…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Hogyan védi a tárolt információkat?* | “AES‑256 titkosítást alkalmazunk…” |
| **[GDPR](https://gdpr.eu/)** | *Magyarázza el a személyes adatok technikai védelmét.* | “Az adatot AES‑256‑tal titkosítjuk, és negyedévente rotáljuk.” |

Bár a mögöttes ellenőrzés azonos, a megfogalmazás, a hatókör és a bizonyítékigények különböznek. A meglévő AI‑csővezetékek ezt úgy kezelik, hogy **keretrendszerenként prompt‑tuningot** alkalmaznak, ami gyorsan fenntarthatatlanná válik a szabványok számának növekedésével.

Egy **ontológia‑alapú prompt motor** a probléma gyökerénél oldja meg a helyzetet: egy **egyetlen, formális reprezentációt** épít a megfelelőségi koncepciókról, majd **leképez** minden kérdőív nyelvezetét erre a közös modellre. Az AI csak egy “kanonikus” promptot kell, hogy értsen, míg az ontológia végzi a nehéz fordítást, verziókezelést és indoklást.

---

## 2. Az architektúra fő komponensei

Az alábbiakban egy magas szintű nézet látható a megoldásról, Mermaid diagramként. Minden csomópont címkéje dupla idézőjelben szerepel, ahogy a szintaxis megköveteli.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – Tudásgráf, amely a koncepciókat (pl. *titkosítás*, *hozzáférés‑ellenőrzés*), a kapcsolataikat (*követeli*, *örököl*) és a joghatósági attribútumokat rögzíti.  
2. **Framework Mappers** – Könnyű adapterek, amelyek a bejövő kérdőív‑elemeket elemzik, a megfelelő ontológia‑csomópontokat azonosítják, és bizalmi pontszámot rendelnek hozzá.  
3. **Canonical Prompt Generator** – Egyetlen, kontextus‑gazdag promptot állít elő az LLM‑hez az ontológia normalizált definíciói és a kapcsolódó bizonyítékok alapján.  
4. **LLM Inference Engine** – Bármely generatív modell (GPT‑4o, Claude 3, stb.), amely természetes nyelvű választ generál.  
5. **Answer Renderer** – Az LLM nyers kimenetét a megkívánt kérdőív‑struktúrába (PDF, markdown, JSON) formázza.  
6. **Audit Trail Logger** – Rögzíti a leképezési döntéseket, a prompt verziót és az LLM‑választ a megfelelőségi felülvizsgálat és a jövőbeli tanítás érdekében.  
7. **Evidence Repository** – Politikai dokumentumok, audit‑jelentések és a válaszokban hivatkozott artefaktum‑linkek tárolása.  
8. **Change Detection Service** – Figyeli a szabványok vagy a belső szabályzatok frissítéseit, és automatikusan terjeszti a változásokat az ontológiában.

---

## 3. Az ontológia építése

### 3.1 Adatforrások

| Forrás | Példa entitások | Kinyerési módszer |
|--------|------------------|-------------------|
| **ISO 27001 Annex A** | “Cryptographic Controls”, “Physical Security” | Szabály‑alapú elemzés az ISO‑szakaszokból |
| **SOC 2 Trust Services Criteria** | “Availability”, “Confidentiality” | NLP‑osztályozás a SOC‑dokumentációban |
| **GDPR Recitals & Articles** | “Data Minimisation”, “Right to Erasure” | Entitás‑reláció kinyerés spaCy‑val + egyedi minták |
| **Belső Policy Vault** | “Company‑wide Encryption Policy” | Közvetlen import YAML/Markdown policy fájlokból |

Minden forrás *koncepció‑csomópontokat* (`C`) és *kapcsolati‑éleket* (`R`) ad hozzá. Például az **“AES‑256”** egy *technika* (`C`), amely a *„Data at Rest Encryption”* vezérlést (*control*) *megvalósítja* (`C`). A linkekhez provenance (forrás, verzió) és bizalmi érték is tartozik.

### 3.2 Normalizációs szabályok

Az ismétlődések elkerülése érdekében a koncepciókat *kanonizáljuk*:

| Nyers kifejezés | Kanonikus forma |
|-----------------|-----------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (az `encryption_algorithm` alosztálya) |

A normalizációt egy **szótár‑vezérelt fuzzy matcher** végzi, amely emberi jóváhagyott leképezésekből tanul.

### 3.3 Verziókezelési stratégia

A megfelelőségi szabványok fejlődnek; az ontológia **szemantikus verziózási sémát** (`MAJOR.MINOR.PATCH`) alkalmaz. Új klauzula felbukkanásakor *minor* verziónövelés történik, ami a kapcsolódó promptok újra‑értékelését indítja. Az audit‑logger rögzíti a pontos ontológia‑verziót minden válaszhoz, így visszakövethető a forrás.

---

## 4. Prompt generálás a gyakorlatban

### 4.1 Kérdőív → Ontológia csomópont

Amikor egy szállító ilyen kérdést kap:

> *„Titkosítja-e az off‑site tárolt biztonsági mentéseket?”*

A **Framework Mapper** egy hasonlósági keresést hajt végre az ontológián, és a `encryption_at_rest` csomópontot adja vissza 0,96‑os bizalmi értékkel. A “backups”, “off‑site” kifejezéseket *attribútum*‑címkékként rögzíti.

### 4.2 Kanonikus prompt sablon

Egyetlen újra‑használható prompt sablon így néz ki (pszeudo‑kód):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

A motor behelyettesíti a leképezett ontológia csomópontokat, és a legfrissebb bizonyíték‑URL‑eket a **Evidence Repository**‑ból. Mivel a mögöttes vezérlés minden keretrendszer számára azonos, az LLM egy **következetes kontextust** kap, amely kiküszöböli a megfogalmazási eltéréseket.

### 4.3 LLM kimeneti példa

> **Válasz:** Igen, minden off‑site biztonsági mentést AES‑256‑tal titkosítunk, egyedi kulccsal minden mentéshez. A titkosítási kulcsokat HSM‑védett széfünkben kezeljük, és negyedévente rotáljuk.  
> **Támogató artefaktumok:**  
> - *Backup Encryption Policy* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Key Rotation Log* – `https://repo.company.com/audit/hsm-rotation.json`

Az **Answer Renderer** ezután a specifikus kérdőív‑elrendezésnek megfelelően formázza (pl. ISO‑táblázat, SOC 2 szabad szöveges mező).

---

## 5. Előnyök a hagyományos prompt‑tuninghoz képest

| Mutató | Hagyományos prompt‑tuning | Ontológia‑alapú motor |
|--------|---------------------------|-----------------------|
| **Skálázhatóság** | Egy prompt keretrendszerenként → lineáris növekedés | Egy kanonikus prompt → állandó |
| **Konzisztencia** | Divergens megfogalmazás a keretrendszerek között | Egységes válasz egyetlen forrásból |
| **Auditálhatóság** | Manuális prompt‑verziókövetés | Automatizált ontológia‑verzió + audit‑log |
| **Alkalmazkodóképesség** | Új szabványhoz újra‑tréning szükséges | Változásérzékelő automatikusan terjeszti az ontológián keresztül |
| **Karbantartási terhelés** | Magas – tucatnyi prompt fájl | Alacsony – egy leképező réteg + tudásgráf |

Valós tesztekben a Procurize‑nél az ontológia‑motor **átlagos válaszgenerálási időt** csökkentette 7 másodpercről 2 másodpercre, miközben a **keretrendszerek közti hasonlóság** (BLEU‑pontszám) 18 %-kal nőtt.

---

## 6. Megvalósítási tippek

1. **Kezdje kicsiben** – Töltsön fel a leggyakoribb vezérlésekkel (titkosítás, hozzáférés‑ellenőrzés, naplózás) mielőtt bővítené a gráfot.  
2. **Használjon meglévő gráfokat** – A **Schema.org**, **OpenControl** és **CAPEC** előre definiált szókincseit kibővítheti.  
3. **Grafikus adatbázis** – Neo4j vagy Amazon Neptune hatékonyan kezeli a komplex bejárásokat és a verziózást.  
4. **CI/CD integráció** – Kezelje az ontológia‑változásokat kódként; automatizált tesztekkel ellenőrizze a leképezések helyességét egy mintakérdőív‑készleten.  
5. **Emberi felülvizsgálat** – Biztosítson UI‑t a biztonsági elemzőknek a leképezések jóváhagyásához vagy javításához, amely visszajelzést ad a fuzzy matchernek.

---

## 7. Jövőbeli kiterjesztések

- **Federált ontológia szinkronizáció** – A cégek anonim módon megoszthatják ontológiáik egy részét, egy közösségi megfelelőségi tudásbázist hozva létre.  
- **Explainable AI réteg** – Indoklási gráfok csatolása minden válaszhoz, megmutatva, mely ontológia‑csomópontok járultak hozzá a végső szöveghez.  
- **Zero‑Knowledge Proof integráció** – Különösen szabályozott iparágakban zk‑SNARK‑ok beépítése, amelyek bizonyítják a leképezés helyességét anélkül, hogy érzékeny policy‑szöveget fednének le.

---

## 8. Összegzés

Az ontológia‑vezérelt prompt motor paradigmaváltást jelent a biztonsági kérdőívek automatizálásában. Egyetlen, verziózott tudásgráf alá egyesítve a különböző megfelelőségi szabványokat a szervezetek képesek:

- **Megszüntetni a redundáns manuális munkát** a keretrendszerek között.  
- **Garantálni a válaszok konzisztenciáját és auditálhatóságát**.  
- **Gyorsan alkalmazkodni a szabályozási változásokhoz** minimális fejlesztési ráfordítással.  

A Procurize‑szel kombinálva ez a megközelítés a biztonsági, jogi és termékcsapatokat percenként tudják reagálni a szállítói értékelésekre, a költséges „költség‑központú” megfelelőséget pedig versenyelőnnyé alakítja.

---

## <span class='highlight-content'>Lásd még</span>

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Nyílt forráskódú policy‑as‑code és megfelelőségi vezérlésdefiníciók.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Strukturált ellenséges technikák taxonómiája, hasznos a biztonsági ontológiák építéséhez.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – A legújabb információbiztonsági menedzsment szabvány áttekintése.