
# Գրաֆային նյարդային ցանցերը ուժ են տալիս կոնտեքստուալ ռիսկերի առաջնայնությանը մատակարարների հարցաշարերում

Անվտանգության հարցաշարները, մատակարարների ռիսկի գնահատումները և համատեղականության աուդիտները հանդիսանում են վստահության կենտրոնի կյանքի արյան հոսք արագ աճող SaaS ընկերություններում։ Սակայն ձեռնարկված ձեռքով աշխատանքը՝ արտահայտությամբ տասերք հարցեր գրանցելը, դրանք համરસպանումը ներքին քաղաքականությունների հետ և ճիշտ ապացույցի որոնումը, հաճախ խափանում է թիմերի աշխատանքը, երկարավորում է պայմանագրերի գրանցումը և պատճառում է քիմիական սխալներ։

Ի՞նչ է, եթե պլատֆորմը **հասկանում էր** գաղտնիքներով կապված հարաբերությունները հարցերի, քաղաքականությունների, սիրող պատասխանների և փոխվող սպառնալիքների միջև, և ավտոմատ կերպով բարձրացնում *ամենակարևոր* տարրերը ստուգման համար?  

Մուտքագրվե՛ք **Գրաֆական Նյարդային Ցանցերին (GNNs)**—խորացման իմանալու մոդելների դաս, որոնք կառուցված են աշխատելու գրֆ‑կառուցված տվյալների վրա։ Գրաֆական ամբողջական հարցաշարային էկոհամակարգը դիտարկելով որպես գիտելիքների գրաֆ, GNN‑ները կարող են հաշվարկել կոնտեքստուալ ռիսկի գնահատիչներ, կանխատեսել պատասխանների որակը և կազմակերպել աշխատանքի հերթականությունը համատեղականության թիմերի համար։ Այդ հոդվածը ներկայացնում է տեխնիկական հիմնաքաղի, ինտեգրման գործունեությունը և չափելի շահույթները GNN‑ով մշտական ռիսկի առաջնայնության հիման վրա Procurize AI պլատֆորմում:

---

## Ինչու ավանդիական կանոնների վրա հիմնված ավտոմատացումը բավարար չէ

Ամենայն առկա հարցաշարների ավտոմատացման գործիքները աւելի Deterministic կանոնների վրա են հիմնված.

* **Keyword matching** – կապում է հարցը քաղաքականության փաստաթղթի հետ հաստատված բառերով:  
* **Template filling** – ցուցակից քաշում է նախաբերված պատասխաններն առանց համատեքստի:  
* **Simple scoring** – օգնանշում է ստատիկ խորություն՝ հիմնված որոշոցական բառերի ներկայի վրա:

Այս մոտեցումները հիմնաբնողերով և լցվելիք, ճիշտ կառուցված հարցաշարների համար, բայց ընդհատվում են, երբ.

1. **Ձևաչափերի տարբերակումը** տարբեր աուդիտորների համար:  
2. **Քաղաքականությունների փոխազդեցությունը** (օրինակ՝ “տվյալների պահպանումը” կապված է ինչպես [ISO 27001](https://www.iso.org/standard/27001) A.8, այնպես էլ [GDPR](https://gdpr.eu/) Art. 5):  
3. **Պատմական ապացույցների փոփոխությունը** արտադրանքի թարմացումների կամ նոր կարգաբերիչների արդյունքներով:  
4. **Մատակարարների ռիսկի պրոֆիլների տարբերակություններ** (բարձր ռիսկի մատակարարները պետք է ունենան ավելի խորքային ուսումնասիրություն):

Գրաֆ‑կենտրոնված մոդելը կարող է պարզել այս ճատընտրությունները, որովհետև այն treats every entity—questions, policies, evidence artifacts, vendor attributes, threat intel—as a **node**, and every relationship—“covers”, “depends on”, “updated by”, “observed in”—as an **edge**. Then the GNN propagates information across the network, learning how a change in one node impacts the others.

---

## Համակցվածության գիտելիքների գրաֆի կառուցում

### 1. Նոդների տեսակները

| Նոդի տեսակ | Օրինակակատեգորիաներ |
|------------|-------------------|
| **Question** | `text`, `source (SOC2, ISO27001)`, `frequency` |
| **Policy Clause** | `framework`, `clause_id`, `version`, `effective_date` |
| **Evidence Artifact** | `type (report, config, screenshot)`, `location`, `last_verified` |
| **Vendor Profile** | `industry`, `risk_score`, `past_incidents` |
| **Threat Indicator** | `cve_id`, `severity`, `affected_components` |

### 2. Երկյունների տեսակները

| Երկյունի տեսակ | Բացատրություն |
|----------------|---------------|
| **covers** | Question → Policy Clause |
| **requires** | Policy Clause → Evidence Artifact |
| **linked_to** | Question ↔ Threat Indicator |
| **belongs_to** | Evidence Artifact → Vendor Profile |
| **updates** | Threat Indicator → Policy Clause (when a new regulation supersedes a clause) |

### 3. Գրաֆի կառուցման պայպլայն

```mermaid
graph TD
    A[Ingest Questionnaire PDFs] --> B[Parse with NLP]
    B --> C[Extract Entities]
    C --> D[Map to Existing Taxonomy]
    D --> E[Create Nodes & Edges]
    E --> F[Store in Neo4j / TigerGraph]
    F --> G[Train GNN Model]
```

* **Ingest**: Բոլոր մուտքային հարցաշարերը (PDF, Word, JSON) տեղադրվում են OCR/NLP պայպլայնում։  
* **Parse**: Անվանումների ճանաչման (NER) միջոցով հայտնաբերում են հարցի տեքստը, ռեֆերանսային կոդերը և ցանկացած աշխատալրակված համատեղականության ID‑երը։  
* **Map**: Ենթակազմերը համադրվում են հիմնական տաքսոնոմի հետ ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [NIST CSF](https://www.nist.gov/cyberframework))՝ համորոշվածություն պահելու համար։  
* **Graph Store**: Նատիվ գրաֆային տվյալների բազա (Neo4j, TigerGraph կամ Amazon Neptune) պահում է մշտապես աճող գիտելիքների գրաֆը։  
* **Training**: ԳՆՆ‑ը պարբերաբար վերադրանում է օգտագործելով պատմական լրացման տվյալները, աուդիտի արդյունքները և պատված իրադարձությունների դիտարկումները։

---

## Ինչպես ԳՆՆ‑ը պատրաստում է կոնտեքստուալ ռիսկի գնահատիչները

**Graph Convolutional Network (GCN)** կամ **Graph Attention Network (GAT)** ամպավորում է հարևան տեղեկատվությունը յուրաքանչյուր նոդի համար։ Տվյալ հարցի նոդի համար մոդելը ամպավորում է.

* **Policy relevance** – կոծված շուկայի ապացույցների քանակով:  
* **Historical answer accuracy** – հաշվի առնելով նախկին աուդիտի ձախողումների/հաջողությունների տոկոսները:  
* **Vendor risk context** – բարձր ռիսկի մատակարարների համար ավելացնում է կշիռը:  
* **Threat proximity** – բարձրացնում է գնահատիչը, եթե կապված CVE‑ն ունի CVSS ≥ 7.0:

Վերջնական **risk score** (0‑100) – համադրելի սիգնալների կոմպոզիցիան է։ Պլատֆորմը հետեւյալ կերպ է օգտագործում.

1. **Կարգավորում**: Բոլոր սպասակալի հարցերը կարգավորվում են ըստ նվազեցված ռիսկի։  
2. **Ցուցիչների ներկայացում**: UI-ում նշվում են բարձր ռիսկի տարրերը, որոնք տեղադրվում են պատճագրման հերթականության մեջ։  
3. **Ապացույցի առաջարկություն**: Համաձայն հարցի համար ավտոմատ առաջարկվում են առավել համապատասխան ապացույցները։  
4. **Վստահության ինտերվալներ**: Արդյունքում կարող է ցուցադրվել confidence interval‑ը, որպեսզի գրանցողը կարողանա կենտրոնանալ ցածր վստահության պատասխանների վրա։

### Օրինակային գնահատիչի բանաձև (պարզեցված)

```
risk = α * policy_impact
     + β * answer_accuracy
     + γ * vendor_risk
     + δ * threat_severity
```

*α, β, γ, δ* – սարքված ուշադրության կշիռներ, որոնք սովորում են վերադրման ժամանակ։

---

## Իրական արդյունք. Օրինակային դեպք

**Կազմակերպություն**: DataFlux, միջին չափի SaaS պրովայդեր, որը մշակ է առողջապահական տվյալները։  
**Baseline**: Լրագրական հարցաշարի կատարում ≈ 12 օր, սխալների տոկոս ≈ 8 % (դեպի նորամասեր հետո)։

**Ինստալացիոն քայլերը**

| Փ փուլ | Գործողություն | Արդյունք |
|-------|---------------|----------|
| **Graph Bootstrapping** | 3 տարիք հարցաշարների լոգերը (≈ 4 k հարց) ներմուծվել են։ | Ստեղծված 12 k նոդ, 28 k դիրք |
| **Model Training** | 2 k պաստացիորացված պատասխանների (pass/fail) վրա 3‑չապտիկ GAT ձևավորեց։ | Վալիդացիոն ճշգրիտություն 92 % |
| **Risk Prioritization Rollout** | Գնահատիչները ինտեգրվել են Procurize UI‑ում։ | 70 % բարձր ռիսկի տարրերը 24 ժամվա ընթացքում ասպակտվեն են |
| **Continuous Learning** | Ահանդից տարած reviewer‑ի հետունչում հաջորդում է առաջարկված ապավորակաները։ | Մոդելի ճշգրիտություն 1 ամիս հետո 96 % |

**Արդյունքներ**

| Ցուցիչ | Նախ | Հետո |
|--------|------|------|
| Պատասխանների միջին ժամանակը | 12 օր | 4.8 օր |
| Դեպի նորամասների թարմացում | 8 % | 2.3 % |
| Review‑ի աշխատանք (ժամ/շաբաթ) | 28 ժամ | 12 ժամ |
| Գործարքի արագություն (ավարտված հաղթանակ) | 15 ամ | 22 ամ |

GNN‑ով վրա հիմնված մոտեցումը կտրել է արձագանքման ժամանակը **60 %** և նվազեցրեց շտկման սխալները **70 %**, վարելով տեսանելի ավելացում վաճառքի արագվածության մեջ:

---

## ԳՆՆ‑ի առաջնայնության ինտեգրումը Procurize-ում

### Պատկերագրման պատկերագրություն

```mermaid
sequenceDiagram
    participant UI as Front‑End UI
    participant API as REST / GraphQL API
    participant GDB as Graph DB
    participant GNN as GNN Service
    participant EQ as Evidence Store

    UI->>API: Request pending questionnaire list
    API->>GDB: Pull question nodes + edges
    GDB->>GNN: Send subgraph for scoring
    GNN-->>GDB: Return risk scores
    GDB->>API: Enrich questions with scores
    API->>UI: Render prioritized list
    UI->>API: Accept reviewer feedback
    API->>EQ: Fetch suggested evidence
    API->>GDB: Update edge weights (feedback loop)
```

* **Modular Service**: ԳՆՆ‑ը աշխատում է ինչպես անպաշար միկրոչորում (Docker/Kubernetes) և բացում է `/score` endpoint։  
* **Իրակատյան գնահատում**: Գնահատիչները հաշվարկվում են պահանջի դեպքում, որպեսզի նոր սպառնալիքի տեղեկության հետ միշտ լինի թարմացված։  
* **Feedback Loop**: Սկզբնաղբյուրների (accept/reject) գործողությունները գրանցվում են և օգտագործվում են մոդուլի հետագա ուսուցման համար։

### Անպաշտպանիք & Համատեղականություն

* **Տվյալների առանձնացում**: Գրաֆները բաժանվում են յուրաքանչուր հաճախորդի համար, որպեսզի չի լինի միջակատար տվյալների լցում։  
* **Աուդիտի հետք**: Յուրաքանչյուր գնահատիչի հաշվարկման իրադարձություն գրանցվում է՝ օգտագործողի ID, ժամանակ, մոդելային տարբերակ։  
* **Մոդելի կառավարում**: Տարբերակավորված մոդելի տարրերը պահված են անվտանգ ML մոդելի պահարաններում՝ CI/CD հաստատումներով։  

---

## Լավագույն պրակտիկաներ ԳՆՆ‑ի վրա հիմնված առաջնայնություն ընդունող թիմերի համար

1. **Սկզբից թույտվեք բարձր արժեքավոր քաղաքականությունների վրա** – սկսեք ISO 27001 A.8, [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) CC6, և [GDPR](https://gdpr.eu/) Art. 32, ովքեր ունեն հարավակ ապացույցներ։  
2. **Թողարկել մաքուր տաքսոնոմ** – Անհամակարգված clause ID‑ները առաջացնում են գրաֆի կոտորած։  
3. **Սպասագրեք որակավորված ուսումնական պիտակների** – Օգտագործեք აუდիտների արդյունքների (pass/fail) դասակարգման համար, ոչ հիմնական գնահատಕರ գրանքային գնահատականները։  
4. **Մոնիտորում մոդելի շրջողությունը** – Պարբերաբար գնահատեք ռիսկի գնահատիչների բաշխությունը, անսահմանափակ սպառնալիքների սպորտերի գրապարունակություններով։  
5. **Խառնեք մարդկային վերահսկողություն** – Գրավիրէրեք գնահատիչները որպես խորհրդանիշներ, ոչ թե անվճար որոշումներ, և վերանայեք “override” հնարավորությունը։

---

## Ապագայի կողմերը. Գումարից դուրս

Գրաֆական հիմքը բացում է նոր հնարավորություն­ներ.

* **Կոնկրետ կանոնակարգի կանխատեսում** – Կապելով առաջացած ստանդարտները (օրինակ՝ ISO 27701 նախագծ) ներկայի clause‑ների, համակարգը կարող է խորհրդեն նկատել հնարավոր հարցաշարների փոփոխությունները։  
* **Ավտոմատ ապացույցների լողը** – ԳՆՆ‑ի հետհամակցված LLM‑ները կարող են գեներացնել ներկայացվող պատասխանները, պահպանելով կոնտիքստուալի սահմանները։  
* **Բազմակի մատակարարների ռիսկի կապակցություն** – Միաձայն բազմական մատակարարների միակ հնարավորության հայտնաբերում, որոնք միակ կանխված մասնակի բաղկացած են միակ խոչընդոտ ունեցող բաղադրիչի նկատմամբ։  
* **Explainable AI** – ԳՆՆ‑ի ուշադրության քարտերի (attention heatmaps) միջոցով կարելի է պատկերացնել Ձեզ համար, թե ինչու նշված հարցը ստացել է որոշակի ռիսկի գնահատիչը։

---

## Եզրափակիչ

Գրաֆային Նյարդային Ցանցերը փոխում են անվտանգության հարցաշարների գործընթացը՝ վերածելով այն քրոնիկ, կանոնների վրա հիմնված ցուցակներից **դինամիկ, կոնտեքստուալ որոշման համակարգ**։ Գրաֆիկային կապերը՝ հարցեր, քաղաքականություններ, ապացույցներ, մատակարարների պրոֆիլներ և առաջացող սպառնալիքներ—կրկին կնկարիքին՝ թույլ տալու են համակարգին ավտոմատ կերպով կցել ռիսկի գնահատիչներ, առաջարկել ապացույցներ և ղեկավարել համարիչների հերթականությունը։  

SaaS ընկերությունների համար, որոնք ցանկանում են արագացնել գործարքի ընթացքը, նվազեցնել աուդիտի կրկնակի աշխատանքը և մնալ առաջ՝ կարգադրող փոփոխությունների նկատմամբ, ԳՆՆ‑ով ռիսկի առաջնայնության ինտեգրումը Procurize-ի պլատֆորմում այլևս չի մնամոլ փորձառություն, այլ չափելի և նրա ֆակտորական մրցունակություն է։