
# Զրո Վpercayaփություն Ֆեդերավորված Գիտելիքների Գրաֆ Բազմ Տենանտ Հարցաթղթի Ավտոմատացման համար

## Ներածություն

Անվտանգության և համապատասխանության հարցաթղթեր հանդիսանում են երկարատև խոչընդոտ SaaS վաճառողների համար։ Յուրաքանչուր վաճառողը պետք է պատասխաննի հարյուրակեր բերված հարցերին, որոնք ընդգրկում են մի քանի շրջանակներ՝ [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) և գործարար‑սահմանող ստանդարտներ։ Ձեռքի ջանքերը, որոնք պահանջվում են ապացույցների հայտնաբերման, դրանց թեմայի հավաստի կառավարման և յուրաքանչյուր հաճախորդի համար պատասխանի ձևավորման, արագ վերածվում են ծախսերի կենտրոնի:

**Ֆեդերացված գիտելիքների գրաֆ (FKG)** — պրույշ, սխեմայով հարուստ ներկայացում ապացույցների, քաղաքականությունների և վերահսկողությունների — առաջարկում է լուծում այդ խոչընդոտը։ Երբ այն համակցվում է **զրո‑վստահության անվտանգությամբ**, FKG-ը հնարավորություն է տալիս անվտանգորեն սպասարկել բազմաթիվ տենանտների (ատիկ բիզնես միավորներ, ենթակազմեր կամ գործընկեր կազմակերպություններ) առանց երբեք ներկայացնելու տվյալները, որոնք պատկանում են այլ տենանտին։ Արդյունքը՝ **բազմ‑տենանտ AI‑ձեռնված հարցաթղթի ավտոմատիզացիայի շարժիչ**, որը

* **Ավանդացնում** ապացույցները տարբեր պահոցներից (Git, ամպային պահոց, CMDB-ներ)։  
* **Կարգավորում** խիստ հասանելիության քաղաքականությունները հանգույցի և կապի մակարդակներով (զրո‑վստահություն)։  
* **Կազմավորում** AI‑գեներացված պատասխանները Retrieval‑Augmented Generation (RAG)‑ից, որոնք հիմնված են միայն տենանտի թույլատված գիտելիքի վրա։  
* **Նուագում** ծագումը և ստուգելիությունը անխափան գրանցումներով (immutable ledger)։

Այս հոդվածում մենք խորությամբ ուսումնասիրում ենք ճարտարապետությունը, տվյալների հոսքը և իրականացման քայլերը, որպեսզի կառուցենք նմանակ համակարգը Procurize AI հարթակի վրա:

---

## 1. Օրինակային հասկացողություններ

| Հասկացություն | Ինչ է նշանակում հարցաթղթի ավտոմատիզացիայի համար |
|---|---|
| **Զրո Վստահություն** | «Երբեք չես հավատալ, միշտ ստուգիր»: Յուրաքանչյուր հարցում գրաֆին պետք է նույնականացվի, հիմնականի համար թույլիտվություն ստացվի և շարունակաբար գնահատվի քաղաքականությունների առ Against ու. |
| **Ֆեդերացված Գիտելիքի Գրաֆ** | Անկախ գրաֆի հանգույցների ցանց (յուրաքանչյուրը պատկանում է մեկ տենանտին), որոնք ունեն ընդհանուր սխեմա, բայց տվյալները ֆիզիկական առենում առանձին են։ |
| **RAG (Retrieval‑Augmented Generation)** | LLM‑բուլլված պատասխանի գեներացում, որը նախ էտրաֆաճում համապատասխան ապացույցները գրաֆից, առաջ կազմելով պատասխանը։ |
| **Անխափան Գրանցում** | ընդլայնելի պահեստ (օրինակ՝ blockchain‑բոլորի հատկություն) որը գրանցում է յուրաքանչյուր ապացույցի փոփոխությունը, ապահովելով վնասվածքի փաստում։ |

---

## 2. Ճարտարապետական Զգուշացում

Ստորև ներկայացված է բարձր‑հասակ Mermaid‑դիագրամ, որը ցույց է տալիս հիմնական բաղադրիչները և դրանց փոխադարձությունը։

```mermaid
graph LR
    subgraph Tenant A
        A1[Որինակի Խորհրդանիշ] --> A2[Ապացույցի Հանգույցներ]
        A2 --> A3[Հասանելիության Կառավարում<br>(Զրո Վստահություն)]
    end
    subgraph Tenant B
        B1[Որինակի Խորհրդանիշ] --> B2[Ապացույցի Հանգույցներ]
        B2 --> B3[Հասանելիության Կառավարում<br>(Զրո Վստահություն)]
    end
    subgraph Federated Layer
        A3 <--> FK[Ֆեդերացված Գիտելիքի Գրաֆ] <--> B3
        FK --> RAG[Retrieval‑Augmented Generation]
        RAG --> AI[LLM Գործիք]
        AI --> Resp[Պատասխանի Ծառայություն]
    end
    subgraph Audit Trail
        FK --> Ledger[Անխափան Գրանցում]
        Resp --> Ledger
    end
    User[Հարցաթղթի Հարցում] -->|Auth Token| RAG
    Resp -->|Պատասխան| User
```

**Դիագրամից հիմնական անդամները**

1. **Տենանտի անջատում** – Յուրաքանչյուր տենանտի սեփական Որինակի Խորհրդանիշը և Ապացույցի Հանգույցները, բայց Հասանելիության Կառավարիչը միջավայրում միջանցք է տալիս որևէ անհատական հարցումների ժամանակ։  
2. **Ֆեդերացված Գրաֆ** – `FK` հանգույցը ընդգրկում է սխեմայով մետադատվերը, իսկ ազդեցության դեպքում տարած պատկերները (սպասել) քա սղրացնում է։  
3. **Զրո‑վի​ս‑տղինյոդ շնորհձ** – Յուրաքանչյուր հասանելիության հարցում հասանելիության Ցուցաշարքն անցում է, որը գնահատում է կոնտեքստը (դեր, սարքի վիճակը, հարցման նպատակը)։  
4. **AI‑ինտեգրացիա** – RAG‑ը հավաքում է միայն այն հոգերի ուղևորությունների, որոնք տենանտը թույլատրել է տեսնել, հետո դրանք փոխանցում է LLM-ին՝ պատասխանը կազմելու համար։  
5. **Ստուգելիություն** – Բոլոր ընտրածությունները և գեներացված պատասխանները գրանցում են Անխափան Գրանցումում, որպեսզի համապատասխանության հետագա հետազոտողները կարող են ստուգել։  

---

## 3. Տվյալների Անձայնություն

### 3.1 Միացված Սխեմա

| Ֆակտոր | Փորձարկողներ | Օրինակ |
|---|---|---|
| **Որինակ** | `policy_id`, `framework`, `section`, `control_id`, `text` | `SOC2-CC6.1` |
| **Ապացույց** | `evidence_id`, `type`, `location`, `checksum`, `tags`, `tenant_id` | `evid-12345`, `log`, `s3://bucket/logs/2024/09/01.log` |
| **Կապ** | `source_id`, `target_id`, `rel_type` | `policy_id -> evidence_id` (evidence_of) |
| **Հասանելիության կանոն** | `entity_id`, `principal`, `action`, `conditions` | `evidence_id`, `user:alice@tenantA.com`, `read`, `device_trust_score > 0.8` |

Բոլոր ֆակտորները պահված են **հատված գրաֆ** (օրինակ Neo4j կամ JanusGraph) և հասանելի են GraphQL‑համատեղ API-ի միջոցով:

### 3.2 Զրո‑Վստահության Քաղաքականության Լեզուն

Ժառանգված դոմեն‑հատուկ լեզուն (DSL) ներկայացնում է մանրամասն կանոնները.

```
allow(user.email =~ "*@tenantA.com")
  where action == "read"
    and entity.type == "Evidence"
    and entity.tenant_id == "tenantA"
    and device.trust_score > 0.8;
```

Այս կանոնները նոր ստացման արձանագրվում են իրական‑ժամանակի քաղաքականությունների համակարգչում, որն ապահովում է Հասանելիության Կառավարիչը:

---

## 4. Գործընթացը. Από ծավալից պատասխան

1. **Հարցի ներմուծում** – Անվտանգության փորձագետը (հետախուզում) վերբեռնում է հարցաթղթի PDF, CSV կամ API‑JSON-ը։ Procurize‑ը դա բաժանում է առանձին հարցերին և միացնում է համապատասխան շրջանակի վերահսկողություններին։  
2. **Որինակի‑Ապացույցի կապը** – Համակարգը հարցում է Ֆեդերացված Գիտելիքի Գրաֆից, որոնելով կապերը, որոնք կապում են նպատակակետային վերահսկողությունը տենանտի ապացույցների հետ։  
3. **Զրո‑Վստահության հաստատում** – Ապացույցը ներբեռնելուց առաջ, Հասանելիության Կառավարիչը վավերացնում է հարցման կոնտեքստը (օգտատեր, սարք, տեղ, ժամանակ)։  
4. **Ապացույցի ներբեռնում** – Ներբեռնված (հաստատված) ապացույցները ուղարկվում են RAG‑ում։ Ահա RAG‑ը կարգավորում է արձակուրդները TF‑IDF + embed‑ստուգման մոդելների միջոցով։  
5. **LLM‑ի գեներացում** – LLM-ը ստանում է հարցը, ներբեռնված ապացույցները և հետևյալ նախադասության ձևանմուշը.

   ```
   Դուք անվտանգության մասնագետ եք {tenant_name}‑ի համար։ Պատասխանի հարցը օգտագործելով ԵՆԹԱԾՈՒՆՑԱՎՈՂՆԵՐ. Մի բացահայտեք որևէ բան, որը չեք ստացել:
   Question: {question_text}
   Evidence: {evidence_snippet}
   ```

6. **Պատասխանի վերանայում և համագործակցություն** – Գեներացված պատասխանը հայտնվի Procurize-ի իրական‑ժամանակի UI‑ում, որտեղ մասնագետները կարող են մեկնաբանել, խմբագրել կամ հաստատել այն։  
7. **Աուդիթային գրանցում** – Յուրաքանչյուր ներբեռնված, գեներացված և խմբագրված իրադարձություն ավելացվում է Անխափան Գրանցումին, որտեղ ստորաբաժանված է նորկերիս հեշ, որը կապում է համապատասխան ապացույցի տարբերակի հետ։

---

## 5. Անվտանգության երաշխիքներ

| Հակարդյուն | Ծրագիր |
|---|---|
| **Տվյալների գողաիրականություն տենանտների միջև** | Զրո‑Վստահության Հասանելիության Կառավարիչը պարտադրում է `tenant_id`‑ի համընկնումը; բոլոր փոխանցումները օգտագործում են TLS 1.3 + Mutual TLS կոդվածություն։ |
| **Նույնականացման խոցալիք** | Կարճատև JWT‑ներ, սարքի հավաստագրում և շարունակական ռիսկի գնահատում (վարաբերական վերլուծություն) անվավեր են anomalie‑ների դեպքում։ |
| **Ապացույցի խափանում** | Անխափան Գրանցումը օգտագործում է Merkle‑պրոդուկտ, ցանկացած փոփոխություն առաջ է բերել անհամապատասխանության զգուշացում, որը տեսանելի է աուդիթիներին։ |
| **Մոդելի հոսպիտալիզմ** | RAG‑ը սահմանափակում է LLM‑ը միայն ներբեռնված ապացույցների վրա; հետո գեներացված պատասխանը ստուգվում է հետո‑ գեներացված վերլուծողով, որը նկատի ունի չծրագրավորված հայտարարությունները։ |
| **Ապահովում‑շղթի հարվածներ** | Բոլոր գրաֆի ընդարձակիչները (պլագիններ, կապողներ) ստորագրված են և ստուգված CI/CD-պորտալով, որը կատարում է ստատիկ վերլուծություն և SBOM‑ի ստուգում։ |

---

## 6. Իրավարական Քայլեր Procurize‑ում

1. **Տենանտային գրաֆի հանգույցների կարգավորում**  
   - Տեղադրե՛ք առանձին Neo4j INSTANCE յուրաքանչյուր տենանտի համար (կամ օգտագործե՛ք բազմ‑տենանտ համակարգ՝ տող‑սակերող անվտանգության հետ)։  
   - Բեռնե՛ք առկա քաղաքականություների և ապացույցների փաստաթղթեր Procurize‑ի ներմուծման արշավների միջոցով։  

2. **Զրո‑Վստահության կանոնների սահմանում**  
   - Օգտագործե՛ք Procurize‑ի քաղաքականության խմբագրիչը DSL‑ով և սահմանե՛ք դիվայս‑պոստուրի ինտեգրումը (MDM, EDR)՝ ռիսկի քաշերը շարունակական կերպով թարմացնելուն։  

3. **Ֆեդերացված Սինքրոնիզացիա**  
   - Տեղադրե՛ք `procurize-fkg-sync` micro‑service-ը։  
   - Կազմաձևեցրեք այն, որպեսզի հրատարակի սխեմայի թարմացումները ընդհանուր *սխեմա-պաշտոցի* մեջ, իսկ տվյալները պահվի գաղտնված բնակագրում։  

4. **RAG‑ի ինտեգրացիա**  
   - Տեղադրե՛ք `procurize-rag` container-ը ( պարունակում է վեկտորների շտեմարան, Elasticsearch և վերահսկված LLM )։  
   - Կապե՛ք RAG‑ի endpoint-ը FKG GraphQL API‑ի հետ։  

5. **Անխափան Գրանցման ակտիվացում**  
   - Միացնե՛ք `procurize-ledger` մոդուլը (օգտագործում է Hyperledger Fabric կամ պարզ Append‑Only Log)։  
   - Սահմանե՛ք պահպանումի քաղաքականություններ ըստ համապատասխանության (օրինակ՝ 7‑տարվոր աուդիթի ուղեցույց)։  

6. **Հաճախորդների UI‑ի ակտիվացում**  
   - Միացրե՛ք «Իրական‑ժամանակի համագործակցություն» հատկությունը։  
   - Սահմանե՛ք դեր‑հիմակված դիտման արտոնություններ (Recenzent, Approver, Auditor)։  

7. **Փիլիցի Հայտնի փորձ**  
   - Ընտրե՛ք բարձր ծավալի հարցաթղթի (օրինակ՝ SOC 2 Type II) և չափե՛ք՝  
     - **Պատճենման ժամանակը** (բազային և AI‑հաստատված):  
     - **Ճշգրտություն** (տոկոսը, որը անցնում է աուդիթի հաստատում)։  
     - **Ճիշտ‑արտադրության ծախսի նվազեցումը** (FTE‑ների ժամերը)։  

---

## 7. Ելույթների Ամփոփում

| Բիզնեսային հնարավո | Տեխնիկական արդյունք |
|---|---|
| **Արագություն** – Պատշաբթի հարցաթղթերի պատասխանները օրերից րոպեների մեջ։ | RAG-ը տանող է համապատասխան ապացույցները < 250 ms‑ում, LLM‑ը կազմում է պատասխանը < 1 s‑ում։ |
| **Ռիսկի նվազեցում** – Երբեք չի պատահում մարդկային սխալ կամ տվյալների լցում։ | Զրո‑Վստահության օդակները և անխափան գրանցումը ապահովում են, որ միայն թույլատված ապացույցն է օգտագործվում։ |
| **Ծավալվածություն** – Ասում է հարյուր տենանտների աջակցում առանց տվյալների կրկնապատկման։ | Ֆեդերացված գրաֆը բաժանում է պահոցը, իսկ ընդհանուր սխեման հնարավորություն է տալիս համատեղ վերլուծություն անել։ |
| **Աուդիթի պատրաստություն** – Մարմնձում է պրոֆեսորական շրջապատը՝ հաշվետվություններն ապահովում են։ | Յուրաքանչյուր պատասխան կապված է քարոզումի cryptographic‑hash‑ով, որը ասպարեզում է Immutable Ledger‑ում։ |
| **Ծախսի արդյունավետություն** – Անհրաժեշտություն համապատասխանական OPEX‑ի նվազեցում։ | Ավտոմատիզացիան նվազեցնում է ձեռնտու աշխատանքի ծախսը մինչև 80 %՝ ազատելով անվտանգության թիմերը ռազմավարական գործի գերակա համար։ |

---

## 8. Կառավարությունների Հաջորդ տարբերակները

1. **Ֆեդերացված ուսումնականը LLM‑ի համար** – Յուրաքանչյուր տենանտ կարող է տրամադրել անանուն գրադիենտների ընթացքերը՝ բարելավելու դոմեն‑հասկանալի LLM-ը, առանց միտք տալու ցանկացած տվյալ։  
2. **Դինամիկ քաղաքականության որպես կոդի ստեղծում** – Ավտոմատացնել Terraform կամ Pulumi մոդուլի գեներացումը, որոնք նույն ժամանակում զուգակցում են զրո‑վստահության քաղաքականությունը ամպային կառուցվածքերում։  
3. **Explainable AI‑ի շերտեր** – Տեսական կերպով ներկայացնել կառուցված reasoning‑ի ուղին (ապացույց → Prompt → Պատասխան) UI‑ի մեջ՝ օգտագործելով Mermaid‑նշանների հաջորդականության գրքերը։  
4. **Zero‑Knowledge Proof (ZKP)‑ի ինտեգրացիա** – Հաստատել აუდիտորների համար, որ որևէ կոնտրոլը բավարարում է, բացահայտելով իրական խոնդելի ապացույցը։  

---

## 9. Եզրակացություն

**Զրո‑Վստահություն Ֆեդերացված Գիտելիքի Գրաֆը** փոխում է ճանապարհի եւ սոցեբանական տակագծի հետ կապված հարցաթղթեր մշակման ամենադատված, պաշպանված եւ AI‑ձեռնված աշխատող գործընթացը: Սնարողված հանգույցների անջատված, մանրակրկիտ լուծումներով, Retrieval‑Augmented Generation և անխափան գրանցումներով, կազմակերպությունները կարող են արագ, ճշգրիտ և համապատասխանության վստահությամբ պատասխանել պահանջներին:

**Procurize AI հարթակի վրա** կիրառելով այդ ճարտարապետությունը հասանելի են ներմուծման պիպլիներ, համատեղ UI‑ները և անվտանգության պրիխրակները, որն թույլ է տալիս թիմերին կենտրոնանալ ռազմավարական ռիսկի կառավարության վրա, իսկ ոչ տեղափոխված տվյալների հավաքագրումից:

Ապագայի համապատասխանությունը ֆեդերացված, վստահելի և բանասիրական է: Ինքվոլվեք այն հիմա, որպեսզի տեղյակ լինեք աուդիթների, գործընկերների և կարգադրողների սկզբունքներին:

---

## <span class='highlight-content'>Տեսնել</span> նաև

* [Զրո‑Վստահություն Շարժվածություն – NIST SP 800‑207](https://csrc.nist.gov/publications/detail/sp/800-207/final)  
* [Ֆեդերացված ուսումնականը. Համատեղ մեքենայական ուսուցում առանց կենտրոնական տվյալների](https://arxiv.org/abs/1902.01046)  
* [Retrieval‑Augmented Generation for Knowledge‑Intensive NLP Tasks (թուրք)](https://arxiv.org/abs/2005.11401)