
# Öngyógyító megfelelőségi tudásbázis generatív AI-val

Azok a vállalatok, amelyek szoftvert szállítanak nagyméretű ügyfeleknek, folyamatos áramlású biztonsági kérdőívekkel, megfelelőségi auditokkal és beszállítói értékelésekkel szembesülnek. A hagyományos megközelítés – kézi másolás‑beillesztés a szabályzatokból, táblázatok nyomon követése és ad hoc e‑mail szálak – három kritikus problémát szül:

| Probléma | Hatás |
|---|---|
| **Elavult bizonyíték** | A válaszok pontatlanok lesznek, ahogy a kontrollok változnak. |
| **Tudásszigetek** | A csapatok ismétlik a munkát és elszalasztják a csapatok közötti betekintéseket. |
| **Audit kockázat** | Inkonzisztens vagy elavult válaszok megfelelőségi hiányosságokat okoznak. |

A Procurize új **Öngyógyító megfelelőségi tudásbázisa (SH‑CKB)** ezekre a problémákra a megfelelőségi adattár élő organizmussá alakításával válaszol. A **generatív AI**, egy **valós‑időben működő validációs motor** és egy **dinamikus tudásgráf** hajtja, mely automatikusan észleli a „driftet”, újra generálja a bizonyítékot, és minden kérdőívben szétterjeszti a frissítéseket.

---

## 1. Alapfogalmak

### 1.1 Generatív AI, mint bizonyíték‑szerző  

Nagy nyelvi modellek (LLM‑ek), amelyeket az Ön szervezetének politika‑dokumentumaira, audit‑naplóira és technikai eszközeire tanítottak, **teljes válaszokat képesek összerakni** igény szerint. A modell egy strukturált prompt alapján működik, amely tartalmazza:

* Kontroll hivatkozás (pl. [ISO 27001](https://www.iso.org/standard/27001) A.12.4.1)  
* Jelenlegi bizonyíték‑eszközök (pl. Terraform állapot, CloudTrail naplók)  
* Kívánt stílus (tömör, vezetői szintű)  

A modell egy olyan vázlatos választ ad, amely készen áll a felülvizsgálatra.

### 1.2 Valós‑időben működő validációs réteg  

Szabály‑alapú és ML‑vezérelt validátorok folyamatosan ellenőrzik:

* **Eszköz frissessége** – időbélyegek, verziószámok, hash ellenőrzések.  
* **Szabályozási relevancia** – új szabályverziók térképezése a meglévő kontrollokra.  
* **Szemantikai konzisztencia** – hasonlósági pontszám a generált szöveg és a forrásdokumentumok között.

Ha egy validátor eltérést jelez, a tudásgráf a csomópontot **„elavult”**‑ként jelöli, és újragenerálást indít.

### 1.3 Dinamikus tudásgráf  

Minden politika, kontroll, bizonyíték‑fájl és kérdőív‑tétel **csomóponttá** válik egy irányított gráfban. Az élkötések olyan kapcsolatokat rögzítenek, mint *„bizonyíték‑ehhez”*, *„származik‑ebből”* vagy *„frissítés‑esetén”*. A gráf lehetővé teszi:

* **Hatás‑elemzés** – meghatározni, mely kérdőív‑válaszok függenek egy megváltozott politikától.  
* **Verzió‑történet** – minden csomópont időbeli származási láncot hordoz, ami auditálhatóvá teszi.  
* **Lekérdezés‑federáció** – downstream eszközök (CI/CD pipeline‑ok, ticket‑rendszerek) a legfrissebb megfelelőségi nézetet GraphQL‑lel kérhetik le.

---

## 2. Architektúra‑tervrajz

Alább egy magas szintű Mermaid‑diagram látható, amely a SH‑CKB adatáramlását ábrázolja.

```mermaid
flowchart LR
    subgraph "Bemeneti réteg"
        A["Politikák tárolója"]
        B["Bizonyíték tároló"]
        C["Szabályozási adatforrás"]
    end

    subgraph "Feldolgozó mag"
        D["Tudásgráf motor"]
        E["Generatív AI szolgáltatás"]
        F["Validációs motor"]
    end

    subgraph "Kimeneti réteg"
        G["Kérdőív építő"]
        H["Audit log export"]
        I["Műszerfal és riasztások"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H
```

*A csomópontok duplán idézőjelben vannak körülvéve, ahogyan szükséges; nem kell escape‑elni.*

### 2.1 Adatintegráció  

1. **Politikák tárolója** lehet Git, Confluence vagy egy dedikált policy‑as‑code tároló.  
2. **Bizonyíték tároló** a CI/CD, SIEM vagy felhő‑auditnaplók által generált eszközöket fogyasztja.  
3. **Szabályozási adatforrás** frissítéseket húz olyan szolgáltatóktól, mint a [NIST CSF](https://www.nist.gov/cyberframework), ISO vagy a [GDPR](https://gdpr.eu/) watchlisták.

### 2.2 Tudásgráf motor  

- **Entitás‑kinyerés** átalakítja a strukturálatlan PDF‑eket gráf‑csomópontokká a Document AI segítségével.  
- **Kapcsolat‑algoritmusok** (szemantikai hasonlóság + szabály‑alapú szűrők) hoznak létre kapcsolatokat.  
- **Verzió‑bélyegek** csomópont‑attribútumként kerülnek mentésre.

### 2.3 Generatív AI szolgáltatás  

- Biztonságos enclave‑ben fut (pl. Azure Confidential Compute).  
- **Retrieval‑Augmented Generation (RAG)**: a gráf környezeti csomagot ad, az LLM pedig a választ generálja.  
- A kimenet **hivatkozási‑azonosítókat** tartalmaz, amelyek visszavezetik a forrás‑csomópontokhoz.

### 2.4 Validációs motor  

- **Szabály‑motor** ellenőrzi az időbélyeg frissességét (`now - artifact.timestamp < TTL`).  
- **ML‑osztályozó** szemantikai elcsúszást jelez (embedding‑távolság > küszöbérték).  
- **Visszacsatolási kör**: az érvénytelen válaszok a LLM‑hez továbbítódnak, hogy megerősítő‑tanulással javuljon.

### 2.5 Kimeneti réteg  

- **Kérdőív építő** a válaszokat vendor‑specifikus formátumokba (PDF, JSON, Google Forms) rendereli.  
- **Audit log export** egy módosíthatatlan ledger‑et (pl. on‑chain hash) hoz létre a megfelelőségi auditorok számára.  
- **Műszerfal és riasztások** egészségügyi metrikákat mutat: % elavult csomópont, regenerálási késleltetés, kockázati pontszámok.

---

## 3. Öngyógyító ciklus működésben

### Lépés‑ről‑lépésre

| Fázis | Indító esemény | Művelet | Eredmény |
|---|---|---|---|
| **Észlel** | Új verzió a [ISO 27001](https://www.iso.org/standard/27001)‑ból | A szabályozási adatforrás frissítést küld → a validációs motor a kapcsolódó kontrollokat „elavulttá” jelöli. | Csomópontok elavultként vannak megjelölve. |
| **Elemez** | Elavult csomópont azonosítva | A tudásgráf kiszámítja a downstream függőségeket (kérdőív‑válaszok, bizonyíték‑fájlok). | Hatáslista készül. |
| **Regenerál** | Függőségi lista készen | A generatív AI szolgáltatás frissített kontextust kap, új válaszvázlatot hoz létre hivatkozásokkal. | Frissített válasz felülvizsgálatra kész. |
| **Validál** | Vázlat elkészült | A validációs motor frissességi‑ és konzisztencia‑ellenőrzéseket futtat a regenerált válaszon. | Siker esetén a csomópont „egészséges”‑ként jelölődik. |
| **Közzétét** | Validáció sikeres | A kérdőív építő a választ a vendor‑portálra küldi; a műszerfal rögzíti a késleltetési metrikát. | Auditálható, naprakész válasz szállítva. |

A ciklus automatikusan ismétlődik, így a megfelelőségi adattár **öngyógyító rendszerré** alakul, amely sosem engedi, hogy elavult bizonyíték kerüljön egy ügyfél‑auditba.

---

## 4. Előnyök a biztonsági‑ és jogi csapatok számára

1. **Csökkent válaszidő** – a válaszgenerálás átlagos ideje napokról percekre csökken.  
2. **Magas pontosság** – a valós‑időben történő validáció kiküszöböli az emberi hibákat.  
3. **Audit‑kész nyilvántartás** – minden regenerálási esemény kriptográfiai hash‑kel van naplózva, ami megfelel a [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) és ISO 27001 bizonyíték‑követelményeknek.  
4. **Skálázható együttműködés** – több termékcsapat is hozzájárulhat a bizonyítékokhoz anélkül, hogy felülírná egymást; a gráf automatikusan megoldja a konfliktusokat.  
5. **Jövőbiztos** – a folyamatos szabályozási adatforrás biztosítja, hogy a tudásbázis mindig naprakész legyen a felmerülő szabványokkal (pl. [EU AI Act megfelelőség](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), adatvédelmi‑by‑design előírások).

---

## 5. Vállalati bevezetési útmutató

### 5.1 Előfeltételek  

| Követelmény | Ajánlott eszköz |
|---|---|
| Politika‑as‑code tároló | GitHub Enterprise, Azure DevOps |
| Biztonságos eszköztároló | HashiCorp Vault, AWS S3 SSE |
| Szabályozott LLM | Azure OpenAI „GPT‑4o” Confidential Compute‑tel |
| Gráf‑adatbázis | Neo4j Enterprise, Amazon Neptune |
| CI/CD integráció | GitHub Actions, GitLab CI |
| Monitoring | Prometheus + Grafana, Elastic APM |

### 5.2 Fázis‑szerinti bevezetés  

| Fázis | Cél | Fő tevékenységek |
|---|---|---|
| **Pilot** | Alap graf és AI csővezeték validálása | Egyetlen kontrollkészlet (pl. SOC 2 CC3.1) beolvasása, két vendor‑kérdőívhez válasz generálása. |
| **Skálázás** | Az összes keretrendszer lefedése | ISO 27001, [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa) csomópontok hozzáadása. Cloud‑native eszközök (Terraform, CloudTrail) integrálása. |
| **Automatizálás** | Teljes öngyógyítás | Szabályozási adatforrás bekapcsolása, éjszakai validációs feladatok ütemezése. |
| **Governance** | Audit és megfelelőségi szigorítás | Role‑based access, titkosítás‑nyugalomban, módosíthatatlan audit logok bevezetése. |

### 5.3 Siker‑mutatók  

- **Átlagos válaszidő (MTTA)** – cél < 5 perc.  
- **Elavult csomópont arány** – cél < 2 % minden éjszakai futtatás után.  
- **Szabályozási lefedettség** – % aktív keretrendszer naprakész bizonyítékkal > 95 %.  
- **Audit‑hiányok** – bizonyíték‑kapcsolatos hiányok csökkenése ≥ 80 %.  

---

## 6. Valós eset tanulmány (Procurize Beta)

**Cég:** FinTech SaaS, amely vállalati bankoknak szolgáltat  
**Kihívás:** 150 + biztonsági kérdőív negyedévente, 30 % SLA‑sikertelenség elavult politika‑hivatkozások miatt  
**Megoldás:** SH‑CKB telepítése Azure Confidential Compute‑re, integráció a Terraform állapot és Azure Policy‑val  
**Eredmény:**  

* MTTA csökkent **3 nap → 4 perc**.  
* Elavult bizonyíték csökkent **12 % → 0.5 %** egy hónap után.  
* Audit csapatok **nulla** bizonyíték‑kapcsolódó megjegyzést jelentettek a következő SOC 2 audit során.  

A tanulmány kimutatja, hogy az öngyógyító tudásbázis nem sci‑fi koncepció, hanem már ma versenyelőny.

---

## 7. Kockázatok és mitigációk

| Kockázat | Módszer |
|---|---|
| **Modell‑hallucináció** – az AI kitalálhat bizonyítékot. | *Citation‑only* generálás kötelező; minden idézet ellenőrzése a gráf‑checksum‑kel. |
| **Adatszivárgás** – érzékeny eszközök kiszivárognak az LLM‑nek. | AI‑t Confidential Compute‑ben futtatni, zero‑knowledge proof‑al a bizonyíték‑validációhoz. |
| **Gráf‑inkonzisztencia** – hibás kapcsolatok hibákat terjesztenek. | Rendszeres gráf‑egészség‑ellenőrzés, automatizált anomália‑detektálás élképzéskor. |
| **Szabály‑frissítés késése** – a szabályozási feed lassú. | Több szolgáltató előfizetése, manuális felülbírálási riasztás aktiválása. |

---

## 8. Jövőbeli irányok

1. **Federált tanulás több szervezet között** – anonim drift‑minták megosztása, az adatvédelmet sértetlenül javítva a validációs modelleket.  
2. **Explainable AI (XAI) annotációk** – minden generált mondathoz konfidenciapont és magyarázat csatolása, hogy az auditorok megértsék a logikát.  
3. **Zero‑Knowledge Proof integráció** – bizonyíték‑eredet kriptográfiai bizonyítással, a tényleges adat kiadása nélkül.  
4. **ChatOps integráció** – biztonsági csapatok közvetlenül a Slack/Teams‑ből kérdezhetik a tudásbázist, és valós‑időben kapnak validált válaszokat.  

---

## 9. Első lépések

1. **Referenciaprojekt klónozása** – `git clone https://github.com/procurize/sh-ckb-demo`.  
2. **Politika‑repo konfigurálása** – `.policy` mappa YAML vagy Markdown fájlokkal.  
3. **Azure OpenAI beállítása** – erőforrás létrehozása *confidential compute* flag‑gel.  
4. **Neo4j telepítése** – a repó Docker‑compose fájlját használja.  
5. **Ingestion pipeline futtatása** – `./ingest.sh`.  
6. **Validációs ütemező indítása** – `crontab -e` → `0 * * * * /usr/local/bin/validate.sh`.  
7. **Műszerfal megnyitása** – `http://localhost:8080` és figyelje az öngyógyítás folyamatát.  

---

## Kapcsolódó anyagok

- ISO 27001:2022 szabvány – áttekintés és frissítések (https://www.iso.org/standard/75281.html)  
- Graph Neural Networks a Tudásgráfokhoz (2023) (https://arxiv.org/abs/2302.12345)