
# AI‑բարձրագրված գիտելիքի գրաֆների օգտագործումն՝ պետական անվտանգության վերահսկողությունները, քաղաքականությունները և ապբավանդակները միանալու համար

Սաա արագ զարգացող SaaS‑անվտանգության աշխարհում, թիմերը աշխատում են տասնյակների ընդհանուր շրջանակների պես—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [GDPR](https://gdpr.eu/), և ոլորտ‐սպեկիֆիկ կանոնների—նույնը վերածվող անվերջ անվտանգության հարցաթերթիկների միջոցով՛ արդյունքներ,՛ աուդիտորներ,՛ գործընկերներ։ Կրկնվող վերահսկողությունների մեծածավալը, կրկնակի քաղաքականությունները և չհամակեցված ապբավանդակները ստեղծում են **գիտելիքի ապարագանների խնդիր**, որն անանձին ծախսում է և ժամանակը, և դրամը։

**AI‑բարձրագրված գիտելիքի գրաֆը** թվում է լուծում: Դրանցից տարբերակված համատեղող անվտանգային նյութերը կրադեն, և կապվածը անմիջապես կարող ենք գտնել համապատասխան վերահսկողությունը, հայտնաբերել ճշգրիտ ապբավանդակները, և հաշվի հասցնել շտապ պատասխանները երկու վայրկյանների միջոցով։ Այս հոդվածը հոկպատկանում է գաղափարի, տեխնիկական կառուցվածքի, և պրակտիկ քայլերի միջոցով՝ ուզումք միացնել գիտելիքի գրաֆը Procurize պլատֆորմում։

---

## Ինչու Սաակատորական Մակարդակները Անհրաժեշտ չեն

| Ողբխոտը | Եվբիենանց մեթոդ | Անհետո ծախսը |
|----------|----------------|--------------|
| Վերահսկողությունների քարտեզագրում | Ձեռքով աղյուսակներ | Ժամանկամից կրկնապատկման ժամկետը անյակիս |
| Ապբավանդակների հետազոտություն | Ֆոլդերի որոնում + անվանման հուշաչունի | Անհայտ փաստաթուղթ, տարբերակների շփում |
| Շառավիղ‑շարունակական միասնություն | Տակվող տարբեր ցանկեր յուրաքանչյուր սարտառման համար | Անհամակեցված պատասխանները, աուդիտային հայտներ |
| Նոր կանոնների մատչողություն | Կոպիինգ‑պաստանալ գոյություն ունեցող քաղաքականությունները | Մարդկանց սխալ, կոտված հետագծում |

Նաև, նույնիսկ ուժեղ փաստաթուղթների շտեմարանների հետ, **սեմանտիկ հարաբերությունների** բացակայությունը նշանակում է, որ թիմերը կրկին նույն հարցը պատասխանում են տարբեր ձևերով յուրաքանչյուր սարտառման համար։ Արդյունքը ոչ-արդյունավետ արձագանքված շղթա, որը դադարեցում է պայմանագրերը և ծանրաբեռնում վստահությունը։

---

## Ինչ է AI‑բարձրագրված Գիտելիքի Գրաֆը

Գիտելիքի գրաֆը **գրաֆ‑հիմադրված տվյալների մոդել** է, որտեղ միավորները (nodes) կցված են կապակցումներով (edges)։ Համախմբման մեջ միավորները կարող են ներկայացնել.

* **Անվտանգության վերահսկողություններ** (օրինակ՝ «Կոդավորված պահառություն»)
* **Քաղաքականությունների փաստաթղթեր** (օրինակ՝ «Տվյալների պահպանման քաղաքականություն v3.2»)
* **Ապբավանդակների նյութեր** (օրինակ՝ «AWS KMS կլի տալիս ռոտացիոն հաշիվներ»)
* **Կանոնակարգի պահանջներ** (օրինակ՝ «PCI‑DSS Պահանջ 3.4»)

AI‑ն ավելացնում է երկու կարևոր շերտեր.

1. **Էնտիտետների հաշվարկ և կապակցում** – Մեծ լեզվի մոդելները (LLMs) սքանում են նախնական քաղաքականության տեքստը, ամպային կազմավորումների ֆայլերը և աուդիտային մատանիշները՝ ավտոմատ ձևով ստեղծելով միավորներ և առաջարկելով կապակցումներ։
2. **Սեմանտիկ ենթամուլտեականություն** – Գրաֆի նյուրալ ցանցերը (GNNs) ենթավերդաշնամ են բացակողմն՝ կապերի բացակոչություն, հակասություններ, և առաջարկում են թարմացումներ, երբ ստանդարտները զարգանում են։

Արդյունքը **կենդանի քարտեզ** է, որը զարգանում է յուրաքանչյուր նոր քաղաքականություն կամ ապբավանդակների վերբեռնումից, թույլավորումով անմիջական, կոնտեքստիկ պատասխանները։

---

## Հիմնական Արխիտեկտուրա

Ստորև ներկայացված է բարձր մակարդակի Mermaid գրաֆը՝ գիտելիքի գրաֆ‑պատասխանող համախմբման համակարգն Procurize-ում։

```mermaid
graph LR
    A["Raw Source Files"] -->|LLM Extraction| B["Entity Extraction Service"]
    B --> C["Graph Ingestion Layer"]
    C --> D["Neo4j Knowledge Graph"]
    D --> E["Semantic Reasoning Engine"]
    E --> F["Query API"]
    F --> G["Procurize UI"]
    G --> H["Automated Questionnaire Generator"]
    style D fill:#e8f4ff,stroke:#005b96,stroke-width:2px
    style E fill:#f0fff0,stroke:#2a7d2a,stroke-width:2px
```

* **Raw Source Files** – Քաղաքականություններ, կոդի կազմավորումներ, մատանիշների արխիվներ և նախկին հարցաթերթիկների պատասխաններ։
* **Entity Extraction Service** – LLM‑չափված շղթա, որն ընդգրկում է վերահսկողությունները, վերաբերվողնությունները և ապբավանդակները։
* **Graph Ingestion Layer** – Փոխում է ստացված միավորները և կապերը՝ միավորելով տարբերակները։
* **Neo4j Knowledge Graph** – Ընտրված՝ իր ACID երաշխիքների և բնաւճար գրաֆ հարցումների (Cypher) համար։
* **Semantic Reasoning Engine** – Կիրառում է GNN մոդելները՝ առաջարկելով բացակողմն կապեր և հակասությունների նախազգուշացում։
* **Query API** – Ցուցադրում է GraphQL վերջնակետերը՝ իրական‑ժամի որոնումներու համար։
* **Procurize UI** – Օգտագործողի մաս, որն պատկերացնում է համապատասխան վերահսկողություններ և ապբավանդակներ, երբ պատրաստվում են պատասխանները։
* **Automated Questionnaire Generator** – Օգտագործում է հարցումների արդյունքները՝ ավտոմատ լրացնելով անվտանգամիջոցների հարցաթերթիկները։

---

## Քայլ‑առ‑քայլ Գործող Գործընթաց

### 1. Բոլոր Համախմբման Ապբավանդակները Գրանցել

Սկսեք ամեն մի աղբյուրի ցանկը.

| Ապբավանդակների տեսակ | Տիպիկ տեղադրման վայր | Օրինակ |
|------------------------|-----------------------|--------|
| Քաղաքականություններ | Confluence, Git | `security/policies/data-retention.md` |
| Վերահսկողությունների մատրիցա | Excel, Smartsheet | `SOC2_controls.xlsx` |
| Ապբավանդակներ | S3 կოშտ, ներսակ ռամք | `evidence/aws/kms-rotation-2024.pdf` |
| Նախկին հարցաթերթիկներ | Procurize, Drive | `questionnaires/2023-aws-vendor.csv` |

Մետատվյալները (սպասող, վերջին վերանայման ամսաթիվ, տարբերակ) շատ կարևոր են հետագա կապակցումների համար։

### 2. տեղադրեʂn `Entity Extraction Service`‑ը

1. **Ընտրեք LLM** – OpenAI GPT‑4o, Anthropic Claude 3, կամ տեղային LLaMA մոդել։
2. **Պրոմպտների նախագծում** – Ստեղծեք պարբերություններ, որոնք արտածում են JSON‑ս, որի դաշտերը `entity_type`, `name`, `source_file`, `confidence` են։
3. **Շարժակարգային գործարկում** – Airflow կամ Prefect-ի միջոցով ամեն օր երեկո նոր/թարմացված ֆայլերը պրոցեսսել։

> **Խորհուրդ:** Օգտագործեք հատուկ *ենտիտետների բառարան*, որը պարունակում է ստանդարտների վերանղված անվանումները (օրինակ՝ «Access Control – Least Privilege»)՝ երկար էքստրակցիայի ճշգրտությունը բարելավնելու համար։

### 3. Neo4j‑ում ներմուծում

```cypher
UNWIND $entities AS e
MERGE (n:Entity {uid: e.id})
SET n.type = e.type,
    n.name = e.name,
    n.source = e.source,
    n.confidence = e.confidence,
    n.last_seen = timestamp()
```

Ստեղծեք կապակներ ներբեռնման ժամանակ.

```cypher
MATCH (c:Entity {type:'Control', name:e.control_name}),
      (p:Entity {type:'Policy', name:e.policy_name})
MERGE (c)-[:IMPLEMENTED_BY]->(p)
```

### 4. Սեմանտիկ ենթամուլտեականություն ավելացնել

* Ուսոյնեք **Graph Neural Network**‑ը լաբելված ենթակատվածների վրա, որտեղ կապերը հայտնի են։
* Օգտագործեք մոդելը՝ կանխելու `EVIDENCE_FOR`, `ALIGNED_WITH`, կամ `CONFLICTS_WITH` կապերը։
* Գործեցրեք գիշերական աշխատանք՝ մակարդակների բարձր վստահության կանխատեսումները ներկայացնել մանենքինսի ստուգման համար։

### 5. Query API-ի բացում

```graphql
query ControlsForRequirement($reqId: ID!) {
  requirement(id: $reqId) {
    name
    implements {
      ... on Control {
        name
        policies { name }
        evidence { name url }
      }
    }
  }
}
```

Օգտատերը հիմա կարող է **ավտոմատ լրացնել** հարցաթերթիկի դաշտերը՝ ներմուծելով համապատասխան վերահսկողությունը և իրապինված ապբավանդակները։

### 6. Procurize-ի Հարցաթերթիկների Կառավարիչում ինտեգրացիա

1. **«Գիտելիքի գրաֆի որոնում»** կոճակ ավելացնել յուրաքանչյուր պատասխանային դաշտում։
2. Կոճակը սեղմելով UI‑ն ուղարկում է պահանջի ID‑ն GraphQL API‑ին։
3. Արդյունքներ լրացնում են պատասխանի տեքստային դաշտը և զերծավել էլ. փաստաթղթեր ավտոմատ։
4. Աջակցող թիմերը կարող են խմբագրել կամ ավելացնել մեկնաբանություն, բայց հիմնադրվածքը գեներատվում է մի քանի վայրկյանների մեջ։

---

## Իրականառայական Օգտակարություններ

| Ցուցիչ | Նախ AI‑գրախտի տարբերավորը | AI‑գրաֆի հետո |
|--------|----------------------------|----------------|
| Միջին հարցաթերթիկի կատարողաժամ | 7 օր | 1.2 օր |
| Ձեռքով ապբավանդակների որոնման ժամ | 45 րոկ | 3 րոկ |
| Կրկնակի քաղաքականությունների քանակը | 12 ֆայլ | 3 ֆայլ |
| Աուդիտների սխալների մակարդակ (հսկողություն) | 8 % | 2 % |

Միջին-չափսս SaaS‑սկալված ստաբբուելեկը ուսումնասիրում է **70 %** նվազեցում անվտանգության հաճախորդների վերակայումների ժամանակում՝ գրաֆի ներդրած հետո, ինչը ընդգծում է արագված պայմանագրերի փակումը և ընկերության վստահության բարձրացում։

---

## Լավ Практиկներ և Խնդիրներ

| Լավ Практиք | Պատճառը |
|-------------|----------|
| **Версиявые Узлы** – Հիշեք `valid_from` / `valid_to` ժամանակի բնագավառ | Թույլ է տալիս պատմական աուդիտային հետքսիրումը և համատեղ՝ ռեգուլյարների հետապնդակները դարձել են retro‑active |
| **Մարդիկ‑ին‑ցուրված ստուգում** – Դիտիչները պակասատ քեզ՝ ցածր վստահության կապերը | Կանառանեցում է AI‑ի «հոլուցունդները», որոնք կարող են հանգեցնել սխալ պատասխանների |
| **Գրաֆի հասանելիության կառավարում** – Օգտագործեք Neo4j‑ի RBAC | Ապահովում է, որ միայն իրավունք ունեցող անձինք մուտք ունեն՝ գարունների համար |
| **Ընդունական Ուսուցում** – Կցված սխալների վերադարձումը GNN‑ի ուսումնական հավաքածուում | Բարձրացնում է կանխատեսումների որակը ներողամիտ ժամանակով |

**Զուգված Խնդիրներ**

* **L‌LM‑ի թողմատություն** – PDF‑ներ հաճախ պարունակում են աղյուսակներ, որոնք LLM‑ները սխալ հասկանում են; օգտագործեք OCR և կանոնավոր վերլուծիչներ լրացուցիչում։
* **Գրաֆի գերազանցը** – Քանդված նոդների անսահմանված ստեղծում կանգնեցնելու աշխատանքի պրոդուկտի արագություն։ Կիրառեք pruning‑իրակականություն՝ հին նյութերի համար։
* **Ղտոր Կառավարություն** – Անհրաժեշտ է կոնկրետ տվյալների կտորների համար պաշտոնավորված՝ «քարտեզի տվյալների պահպանող»՝ երկրի վարում չպարունակողքու «սև բաժակ» ձևավորումը։

---

## Ապագա Դիրքեր

1. **Ձողված Գրաֆների Ֆեդերացիան** – Անձատումների նկատմամբ անանուն համատեղում, պահպանելով տվյալների գաղտնիությունը։  
2. **Կարգավորումների ինքնաբերաբար թարմացում** – Ինքնակապ ինձառող ստանդարտների (օրինակ՝ ISO 27001:2025) եւ պատկերների համար, քարտեզի ենթակազմը ինքնակատարում է համապատասխան քաղաքականության փոփոխություններ։  
3. **Բնական լեզվի հարցում** – Թույլատրեք անվտանգության վերլուծողներին գրել «Դիրքս ցույց տուր էաստվիկ վերահսկողությունները, որոնք սահում են GDPR Անձանալիք 32‑ի» և ստանալ միևնույն արդյունք։

Ապահովելով համախմբումը որպես **ցանցված գիտելիքի խնդիր**, կազմակերպություններն ձեռք են բերում նոր մակարդակի գործառողություն, ճշգրիտություն և վստահություն՝ յուրաքանչյուր անվտանգամիջոցների հարցաթերթիկի համազգուշացման ժամանակ։

---

## Տես նաև

- [NIST Cybersecurity Framework – Mapping to ISO & SOC 2](https://www.nist.gov/cybersecurity-framework)  
- [Graph Neural Networks for Knowledge Graph Completion (arXiv)](https://arxiv.org/abs/2003.00764)