
# Önmódosuló bizonyíték tudásgrafikon a valós idejű megfelelőséghez

A SaaS gyorsan változó világában a biztonsági kérdőívek, auditkérések és szabályozási ellenőrzőlisták szinte naponta megjelennek. Azok a vállalatok, amelyek manuális másolás‑beillesztés folyamatokra támaszkodnak, órákat töltenek a megfelelő klauzula keresésével, annak érvényességének ellenőrzésével és minden változás nyomon követésével. Ennek eredménye egy törékeny folyamat, amely hibákra, verzióeltolódásra és szabályozási kockázatra hajlamos.

Most jön a **Önmódosuló bizonyíték tudásgrafikon (SAEKG)** – egy élő, AI‑val kiegészített tároló, amely minden megfelelőségi műtárgyat (szabályzatok, ellenőrzések, bizonyítékfájlok, audit eredmények és rendszerkonfigurációk) egyetlen gráfba köt. A forrásrendszerek folyamatos beolvasásával és a kontextuális következtetéssel a SAEKG biztosítja, hogy a bármely biztonsági kérdőívben megjelenített válaszok mindig összhangban legyenek a legfrissebb bizonyítékokkal.

Ebben a cikkben:

1. Ismertetjük egy önmódosuló bizonyítékgrafikon fő komponenseit.  
2. Bemutatjuk, hogyan integrálható a meglévő eszközökkel (Ticketing, CI/CD, GRC platformok).  
3. Részletezzük az AI‑csöveket, amelyek szinkronban tartják a gráfot.  
4. Végigvezetünk egy valós end‑to‑end szcenárión a Procurize‑al.  
5. Megvitatjuk a biztonsági, auditálhatósági és skálázhatósági szempontokat.  

> **TL;DR:** Egy dinamikus, generatív AI‑val és változás‑detektáló csövekkel támogatott tudásgrafikon egyetlen igazságforrássá alakíthatja a megfelelőségi dokumentumokat, és valós időben frissítheti a kérdőív válaszait.

---

## 1. Miért nem elég egy statikus tároló

A hagyományos megfelelőségi tárolók a szabályzatokat, bizonyítékokat és kérdőív sablonokat **statikus fájlokként** kezelik. Amikor egy szabályzat módosul, a tároló új verziót kap, de az alatta lévő kérdőív válaszok változatlanok maradnak, amíg egy ember nem emlékezik azok szerkesztésére. Ez a rés szemben három fő problémát eredményez:

| Probléma | Hatás |
|----------|-------|
| **Elavult válaszok** | Az auditorok ellentmondásokat fedezhetnek fel, ami elbukott értékelésekhez vezet. |
| **Manuális terhelés** | A csapatok a biztonsági költségvetésük 30‑40 %-át ismétlődő másol‑beillesztés munkára fordítják. |
| **Nyomonkövethetőség hiánya** | Nem létezik egyértelmű audit‑nyomvonal, amely egy konkrét választ összekapcsolna a pontos bizonyíték verzióval. |

Egy önmódosuló gráf **kötésekkel** (binding) kapcsolja minden választ egy élő csomóponthoz, amely az aktuálisan validált bizonyítékra mutat.

---

## 2. A SAEKG alapvető architektúrája

Az alábbi magas szintű mermaid diagram a fő komponenseket és adatáramlásokat ábrázolja.

```mermaid
graph LR
    subgraph "Ingestion Layer"
        A["„Szabályzat dokumentumok”"]
        B["„Ellenőrzés katalógus”"]
        C["„Rendszer konfiguráció pillanatfelvételek”"]
        D["„Audit megállapítások”"]
        E["„Ticketing / Issue Tracker”"]
    end

    subgraph "Processing Engine"
        F["„Változás detektor”"]
        G["„Szemantikus normalizáló”"]
        H["„Bizonyíték gazdagító”"]
        I["„Gráf frissítő”"]
    end

    subgraph "Knowledge Graph"
        K["„Bizonyíték csomópontok”"]
        L["„Kérdőív válasz csomópontok”"]
        M["„Szabályzat csomópontok”"]
        N["„Kockázat & Hatás csomópontok”"]
    end

    subgraph "AI Services"
        O["„LLM válasz generátor”"]
        P["„Validációs osztályozó”"]
        Q["„Megfelelőségi következtető”"]
    end

    subgraph "Export / Consumption"
        R["„Procurize UI”"]
        S["„API / SDK”"]
        T["„CI/CD Hook”"]
    end

    A --> F
    B --> F
    C --> F
    D --> F
    E --> F
    F --> G --> H --> I
    I --> K
    I --> L
    I --> M
    I --> N
    K --> O
    L --> O
    O --> P --> Q
    Q --> L
    L --> R
    L --> S
    L --> T
```

### 2.1 Ingestion Layer (Beolvasási réteg)

* **Szabályzat dokumentumok** – PDF‑ek, Markdown fájlok vagy tároló‑alapú szabályzat‑kód.  
* **Ellenőrzés katalógus** – Strukturált ellenőrzések (pl. NIST, [ISO 27001](https://www.iso.org/standard/27001)) adatbázisban.  
* **Rendszer konfiguráció pillanatfelvételek** – Automatizált exportok felhő infrastruktúrából (Terraform állapot, CloudTrail logok).  
* **Audit megállapítások** – JSON vagy CSV exportok audit platformokról (pl. Archer, ServiceNow GRC).  
* **Ticketing / Issue Tracker** – Események Jira‑ból, GitHub Issues‑ből, amelyek a megfelelőséget befolyásolják (pl. javítási feladatok).

### 2.2 Processing Engine (Feldolgozó motor)

* **Változás detektor** – Diff‑ek, hash‑összehasonlítás és szemantikus hasonlóság használatával azonosítja a tényleges változásokat.  
* **Szemantikus normalizáló** – Különböző terminológiákat (pl. „adat‑nyugalmi titkosítás” vs. „encryption at rest”) egy kanonikus formába térképez egy könnyű LLM‑el.  
* **Bizonyíték gazdagító** – Metaadatokat (szerző, időbélyeg, felülvizsgáló) gyűjt, kriptográfiai hasheket csatol az integritásért.  
* **Gráf frissítő** – Új vagy módosított csomópontokat és élőket ad hozzá a Neo4j‑kompatibilis gráf tárolóhoz.

### 2.3 AI Services (AI szolgáltatások)

* **LLM válasz generátor** – Amikor egy kérdőív a „Részletezze adat‑titkosítási folyamatát” kérdésre kíván választ, az LLM a kapcsolódó szabályzat csomópontokból egy tömör választ állít elő.  
* **Validációs osztályozó** – Felügyelt modell, amely jelzi, ha a generált válasz eltér a szabályozási nyelvi standardoktól.  
* **Megfelelőségi következtető** – Szabályalapú inferencia futtatása (pl. ha „Szabályzat X” aktív → válasznak a „C‑1.2” ellenőrzésre kell hivatkoznia).

### 2.4 Export / Consumption (Export / Fogyasztás)

A gráf a következő módokon érhető el:

* **Procurize UI** – Valós‑idő nézet a válaszokról, nyomonkövetési linkekkel a bizonyíték csomópontokhoz.  
* **API / SDK** – Programozott lekérdezés downstream eszközöknek (pl. szerződésmenedzsment rendszerek).  
* **CI/CD Hook** – Automatizált ellenőrzések, amelyek biztosítják, hogy az új kódfordítások ne sértsék a megfelelőségi állításokat.

---

## 3. AI‑vezérelt folyamatos tanulási csövek

Egy statikus gráf gyorsan elavulna. A SAEKG önmódosuló jellege három ciklikus csővel valósul meg:

### 3.1 Megfigyelés → Diff → Frissítés

1. **Megfigyelés:** Az ütemező lekéri a legújabb műtárgyakat (szabályzat repo commit, konfiguráció export).  
2. **Diff:** Szövegdiff algoritmus, mondat‑szintű beágyazások kombinációja számítja ki a szemantikus változási pontszámot.  
3. **Frissítés:** A változási pontszámot meghaladó csomópontok újra‑generálják a tőlük függő válaszokat.

### 3.2 Visszacsatolási hurk auditoroknak

Amikor egy auditor megjegyzést fűz egy válaszhoz (pl. „Kérjük, adja meg a legújabb [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) jelentést”), a megjegyzés **feedback edge**‑ként kerül be. Egy megerősítés‑tanulási ügynök frissíti az LLM prompting stratégiát, hogy a jövőben jobban megfeleljen hasonló kérésnek.

### 3.3 Drift detektálás

Statisztikai drift figyeli az LLM bizalmi pontszámok eloszlását. Hirtelen csökkenés ember‑közbe‑köz (human‑in‑the‑loop) felülvizsgálatot indít, így a rendszer soha nem degradálódik csendben.

---

## 4. End‑to‑End bemutató a Procurize‑al

### Szcenárió: Új SOC 2 Type 2 jelentés feltöltése

1. **Feltöltés esemény:** A biztonsági csapat a PDF‑et a SharePoint „SOC 2 Jelentések” mappájába helyezi. Egy webhook értesíti a Beolvasási réteget.  
2. **Változás detektálás:** A változás detektor kiszámítja, hogy a jelentés verziója `v2024.05`‑ről `v2025.02`‑re váltott.  
3. **Normalizálás:** A szemantikus normalizáló kinyeri a releváns ellenőrzéseket (pl. CC6.1, CC7.2) és leképezi őket a belső ellenőrzés katalógusra.  
4. **Gráf frissítés:** Új bizonyíték csomópontok (`Bizonyíték: SOC2-2025.02`) kapcsolódnak a megfelelő szabályzat csomópontokhoz.  
5. **Válasz újragenerálás:** Az LLM újra generálja a „Mutassa be a megfigyelési ellenőrzéseket” kérdésre a választ, amely most a új SOC 2 jelentésre hivatkozik.  
6. **Automatikus értesítés:** A felelős megfelelőségi elemző Slack üzenetet kap: „A ‘Megfigyelési ellenőrzések’ válasz frissítve lett a SOC2‑2025.02-re hivatkozva.”  
7. **Audit nyomvonal:** A UI‑ban egy idővonal látható: *2025‑10‑18 – SOC2‑2025.02 feltöltve → válasz újragenerálva → Jane D. jóváhagyta.*  

Mindez anélkül történik, hogy az elemzőnek manuálisan meg kellene nyitnia a kérdőívet, a válaszadási ciklust **3 napról kevesebb, 30 percre** csökkentve.

---

## 5. Biztonság, auditálhatóság és kormányzás

### 5.1 Immutable Provenance (Megváltoztathatatlan eredet)

Minden csomópont tartalmazza:

* **Kriptográfiai hash** a forrásműtárhoz.  
* **Digitális aláírás** a szerzőtől (PKI‑alapú).  
* **Verziószám** és **időbélyeg**.

Ezek az attribútumok egy **tamper‑evident audit log‑ot** tesznek lehetővé, amely megfelel a SOC 2 és a [ISO 27001](https://www.iso.org/standard/27001) kritériumainak.

### 5.2 Role‑Based Access Control (RBAC)

A gráf lekérdezéseket egy ACL motor közvetíti:

| Szerepkör | Jogosultságok |
|-----------|----------------|
| Viewer (Megtekintő) | Csak olvasási hozzáférés a válaszokhoz (bizonyíték letöltés tiltott). |
| Analyst (Elemző) | Olvasás/írás a bizonyíték csomópontokhoz, válaszgenerálás indítása. |
| Auditor (Auditor) | Olvasás minden csomópontra + export jog a megfelelőségi jelentésekhez. |
| Administrator (Adminisztrátor) | Teljes hozzáférés, beleértve a szabályzat séma módosítását. |

### 5.3 GDPR & adat helymeghatározás

Az érzékeny személyes adatok nem hagyják el a forrásrendszert. A gráf csak **metaadatokat és hasheket** tárol, míg a tényleges dokumentumok a származó tárolóban (pl. EU‑ban lévő Azure Blob) maradnak. Ez a tervezés megfelel a GDPR adatminimalizálási elveinek.

---

## 6. Skálázás több ezer kérdőívhez

Egy nagy SaaS szolgáltató akár **10 000+** kérdőív példányt kezelhet egy negyedévben. A késleltetés alacsonyan tartásához:

* **Horizontális gráf sharding:** Üzletág vagy régió alapján particionálás.  
* **Cache réteg:** Gyakran lekérdezett válasz algráfok Redis‑ben 5 perc TTL‑vel tárolva.  
* **Batch frissítési mód:** Éjszakai bulk diff az alacsony prioritású műtárgyak számára, a valós‑idő lekérdezéseket nem befolyásítva.  

Egy közepes fintech (5 k felhasználó) pilotjában a következőket mértük:

* **Átlagos válasz lekérés:** 120 ms (95‑ös percentilis).  
* **Csúcstalálati arány:** 250 dokumentum/perc < 5 % CPU terheléssel.  

---

## 7. Implementációs ellenőrzőlista csapatok számára

| ✅ Elem | Leírás |
|---------|--------|
| **Gráf tároló** | Neo4j Aura vagy nyílt‑forrású gráf adatbázis ACID garanciával. |
| **LLM szolgáltató** | Megfelelőség‑szerződéses modell választása (pl. Azure OpenAI, Anthropic). |
| **Változás detektálás** | `git diff` a kódtárakhoz, `diff-match-patch` PDF‑hez OCR után. |
| **CI/CD integráció** | Lépés hozzáadása, amely a gráfot ellenőrzi minden kiadás után (`graph‑check --policy compliance`). |
| **Monitorozás** | Prometheus riasztások drift‑detektálási bizalom < 0.8 esetén. |
| **Kormányzás** | SOP‑ok dokumentálása a manuális felülbírálások és jóváhagyási folyamatokhoz. |

---

## 8. Jövőbeli irányok

1. **Zero‑Knowledge bizonyíték validáció** – Bizonyítható, hogy egy bizonyíték megfelel egy ellenőrzésnek anélkül, hogy a nyers dokumentumot felfedné.  
2. **Föderált tudásgrafikonok** – Partnerek közös megfelelőségi gráfba való hozzájárulása, miközben megőrzik adat szuverenitásukat.  
3. **Generatív RAG (Retrieval‑Augmented Generation)** – Gráf keresés és LLM generálás kombinálása gazdagabb, kontextus‑tudatos válaszokért.  

Az önmódosuló bizonyíték tudásgrafikon nem csak egy „kellemes kiegészítő”; a skálázható biztonsági kérdőív automatizálás operatív gerincévé válik, anélkül, hogy a pontosság vagy az auditálhatóság csorbulna.

---

## ## <span class='highlight-content'>Lásd</span> még
- [NIST SP 800‑53 Revision 5 – Control Catalog Overview](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [ISO/IEC 27001:2022 – Information Security Management System](https://www.iso.org/standard/82875.html)