
# Mesin Rekomendasi Bukti Kontekstual untuk Kuesioner Keamanan Otomatis

**TL;DR** – Mesin Rekomendasi Bukti yang Sadar-Konsep (CERE) menggabungkan model bahasa besar (LLM) dengan grafik pengetahuan yang terus diperbarui untuk menyajikan auditor dan tim keamanan bukti tepat yang mereka butuhkan—pada saat mereka membutuhkannya. Hasilnya adalah pengurangan 60‑80 % waktu pencarian manual, peningkatan akurasi jawaban, dan alur kerja kepatuhan yang dapat skala seiring kecepatan pengembangan SaaS modern.

---  

## 1. Mengapa Mesin Rekomendasi Merupakan Tautan yang Hilang

Kuesioner keamanan, pemeriksaan kesiapan [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), audit [ISO 27001](https://www.iso.org/standard/27001), dan penilaian risiko vendor semuanya memiliki satu titik sakit bersama: **pencarian bukti yang tepat**. Tim biasanya memelihara repositori kebijakan, laporan audit, tangkapan konfigurasi, dan attestasi pihak ketiga yang sangat luas. Ketika sebuah kuesioner masuk, analis kepatuhan harus:

1. **Mengurai pertanyaan** (sering dalam bahasa alami, kadang dengan jargon industri).  
2. **Mengidentifikasi domain kontrol** (mis. “Manajemen Akses”, “Retensi Data”).  
3. **Mencari di repositori** dokumen yang memenuhi kontrol tersebut.  
4. **Menyalin‑tempel atau menulis ulang** respons, menambahkan catatan kontekstual.

Bahkan dengan alat pencarian canggih, siklus manual ini dapat memakan beberapa jam per kuesioner, terutama ketika bukti tersebar di beberapa akun cloud, sistem tiket, dan berbagi file warisan. Proses yang rawan kesalahan ini menimbulkan kelelahan kepatuhan dan dapat menyebabkan tenggat yang terlewat atau jawaban tidak akurat—kedua‑nya mahal bagi bisnis SaaS yang tumbuh cepat.

Masuklah **CERE**: sebuah mesin yang secara otomatis menampilkan item bukti paling relevan *segera pertanyaan dimasukkan*, didorong oleh gabungan pemahaman semantik (LLM) dan penalaran relasional (traversal grafik pengetahuan).

---  

## 2. Pilar Arsitektural Inti

CERE dibangun di atas tiga lapisan yang saling terkait:

| Lapisan | Tanggung Jawab | Teknologi Utama |
|---------|----------------|-----------------|
| **Semantic Intent Layer** | Mengubah teks kuesioner mentah menjadi intent terstruktur (keluarga kontrol, tier risiko, tipe artefak yang dibutuhkan). | LLM yang dirancang dengan prompt (mis. Claude‑3, GPT‑4o) + Retrieval‑Augmented Generation (RAG) |
| **Dynamic Knowledge Graph (DKG)** | Menyimpan entitas (dokumen, kontrol, aset) dan hubungan mereka, terus diperbarui dari sistem sumber. | Neo4j/JanusGraph, API GraphQL, pipeline Change‑Data‑Capture (CDC) |
| **Recommendation Engine** | Menjalankan kueri graf berbasis intent, memberi peringkat bukti kandidat, dan mengembalikan rekomendasi singkat dengan skor kepercayaan. | Graph Neural Network (GNN) untuk penilaian relevansi, loop reinforcement‑learning untuk memasukkan umpan balik |

Berikut diagram Mermaid yang memvisualisasikan alur data.

```mermaid
flowchart LR
    A["Pengguna mengirimkan pertanyaan kuesioner"]
    B["LLM mengurai intent\n(Kontrol, Risiko, TipeArtefak)"]
    C["DKG lookup berdasarkan intent"]
    D["Penilaian relevansi GNN"]
    E["Item bukti Top‑K"]
    F["UI menampilkan rekomendasi\nbersama kepercayaan"]
    G["Umpan balik pengguna (terima/tolak)"]
    H["Loop RL memperbarui bobot GNN"]
    A --> B --> C --> D --> E --> F
    F --> G --> H --> D
```

*Semua label node dibungkus dalam tanda kutip ganda seperti yang diperlukan.*

---  

## 3. Dari Teks ke Intent: Prompt‑Engineered LLM

Langkah pertama adalah *memahami* pertanyaan. Prompt yang dirancang dengan teliti mengekstrak tiga sinyal:

1. **Identifier Kontrol** – mis. “ISO 27001 A.9.2.3 – Manajemen Kata Sandi”.  
2. **Kategori Bukti** – mis. “Dokumen Kebijakan”, “Ekspor Konfigurasi”, “Log Audit”.  
3. **Konteks Risiko** – “Risiko Tinggi, Akses Eksternal”.

Contoh prompt (disingkat demi keamanan) adalah:

```
You are a compliance analyst. Return a JSON object with the fields:
{
  "control": "<standard ID and title>",
  "evidence_type": "<policy|config|log|report>",
  "risk_tier": "<low|medium|high>"
}
Question: {question}
```

Output LLM divalidasi terhadap skema, kemudian diteruskan ke pembuat kueri DKG.

---  

## 4. Grafik Pengetahuan Dinamis (DKG)

### 4.1 Model Entitas

| Entitas | Atribut | Relasi |
|---------|---------|--------|
| **Document** | `doc_id`, `title`, `type`, `source_system`, `last_modified` | `PROVIDES` → `Control` |
| **Control** | `standard_id`, `title`, `domain` | `REQUIRES` → `Evidence_Type` |
| **Asset** | `asset_id`, `cloud_provider`, `environment` | `HOSTS` → `Document` |
| **User** | `user_id`, `role` | `INTERACTS_WITH` → `Document` |

### 4.2 Sinkronisasi Real‑Time

Procurize sudah terintegrasi dengan alat SaaS seperti GitHub, Confluence, ServiceNow, dan API penyedia cloud. Layanan mikro berbasis CDC memantau peristiwa CRUD dan memperbarui grafik dalam latensi sub‑detik, sambil mempertahankan **auditabilitas** (setiap edge membawa `source_event_id`).

---  

## 5. Jalur Rekomendasi Berbasis Grafik

1. **Pemilihan Node Anchor** – `control` dari intent menjadi node awal.  
2. **Ekspansi Jalur** – Breadth‑first search (BFS) mengeksplorasi edge `PROVIDES` dibatasi pada `evidence_type` yang dikembalikan LLM.  
3. **Ekstraksi Fitur** – Untuk setiap dokumen kandidat, vektor dibangun dari:
   - Kesamaan teks (embedding dari LLM yang sama).
   - Kesegaran temporal (`last_modified` age).
   - Frekuensi penggunaan (seberapa sering dokumen dirujuk di kuesioner sebelumnya).  
4. **Penilaian Relevansi** – GNN mengagregasi fitur node dan edge, menghasilkan skor `s ∈ [0,1]`.  
5. **Peringkat & Kepercayaan** – Dokumen Top‑K diurutkan berdasarkan `s`; mesin juga mengeluarkan persentil kepercayaan (mis. “85 % yakin kebijakan ini memenuhi permintaan”).

---  

## 6. Loop Umpan Balik Manusia‑in‑the‑Loop

Tidak ada rekomendasi yang sempurna sejak awal. CERE menangkap keputusan *terima/tolak* serta umpan balik teks bebas. Data ini menggerakkan loop reinforcement‑learning (RL) yang secara periodik menyempurnakan jaringan kebijakan GNN, menyelaraskan model dengan preferensi relevansi subjektif organisasi.

Pipeline RL dijalankan setiap malam:

```mermaid
stateDiagram-v2
    [*] --> CollectFeedback
    CollectFeedback --> UpdateRewards
    UpdateRewards --> TrainGNN
    TrainGNN --> DeployModel
    DeployModel --> [*]
```

---  

## 7. Integrasi dengan Procurize

Procurize sudah menawarkan **Unified Questionnaire Hub** tempat pengguna dapat menetapkan tugas, memberi komentar, dan melampirkan bukti. CERE terpasang sebagai **widget bidang pintar**:

- Saat analis mengklik *“Add Evidence”*, widget memicu pipeline LLM‑DKG.  
- Dokumen rekomendasi muncul sebagai kartu yang dapat diklik, masing‑masing dengan **tombol “Insert citation”** yang otomatis menghasilkan referensi markdown yang diformat untuk kuesioner.  
- Untuk lingkungan multi‑tenant, mesin menghormati **partisi data tingkat tenant**—graf tiap pelanggan terisolasi, menjamin kerahasiaan sekaligus memungkinkan pembelajaran lintas‑tenant dalam cara yang melindungi privasi (melalui federated averaging bobot GNN).

---  

## 8. Manfaat Konkret

| Metri k | Baseline (Manual) | Dengan CERE |
|---------|-------------------|--------------|
| **Rata‑rata waktu pencarian bukti** | 15 menit per pertanyaan | 2‑3 menit |
| **Akurasi jawaban (tingkat lulus audit)** | 87 % | 95 % |
| **Kepuasan tim (NPS)** | 32 | 68 |
| **Pengurangan backlog kepatuhan** | 4 minggu | 1 minggu |

Pilot pada fintech menengah (≈200 karyawan) melaporkan **pemotongan 72 %** waktu penanganan kuesioner dan **penurunan 30 %** siklus revisi setelah bulan pertama.

---  

## 9. Tantangan & Mitigasi

| Tantangan | Mitigasi |
|-----------|----------|
| **Cold‑start untuk kontrol baru** – Tidak ada referensi bukti historis. | Seed graf dengan templat kebijakan standar, lalu gunakan transfer learning dari kontrol serupa. |
| **Privasi data antar tenant** – Risiko kebocoran saat berbagi pembaruan model. | Terapkan **Federated Learning**: tiap tenant melatih secara lokal, hanya delta bobot model yang digabungkan. |
| **Halusinasi LLM** – Mis‑identifikasi ID kontrol. | Validasi output LLM terhadap **registry kontrol kanonik** (ISO, SOC, NIST) sebelum query graf. |
| **Drift graf** – Hubungan usang setelah migrasi cloud. | Pipeline CDC dengan jaminan **eventual consistency** dan pemeriksaan kesehatan graf periodik. |

---  

## 10. Peta Jalan Masa Depan

1. **Pengambilan Bukti Multimodal** – Memasukkan screenshot, diagram konfigurasi, dan video walkthrough menggunakan LLM berkemampuan visi.  
2. **Radar Regulasi Prediktif** – Menggabungkan feed regulasi real‑time (mis. amandemen GDPR) untuk secara proaktif memperkaya DKG dengan perubahan kontrol yang akan datang.  
3. **Dashboard Explainable AI** – Visualisasi mengapa sebuah dokumen menerima skor kepercayaan tertentu (jejak jalur, kontribusi fitur).  
4. **Graf yang Memperbaiki Sendiri** – Deteksi otomatis node terorphan dan merekonsiliasinya melalui entity resolution yang dipandu AI.

---  

## 11. Kesimpulan

**Mesin Rekomendasi Bukti Kontekstual** mengubah seni menjawab kuesioner keamanan yang memakan tenaga kerja menjadi pengalaman berbasis data yang hampir seketika. Dengan memadukan parsing semantik LLM, grafik pengetahuan yang hidup, dan lapisan perankingan GNN, CERE menyajikan bukti yang tepat, pada waktu yang tepat, dengan keuntungan terukur dalam kecepatan, akurasi, dan kepercayaan kepatuhan. Seiring organisasi SaaS terus berkembang, bantuan cerdas semacam ini tidak lagi menjadi “nice‑to‑have”—melainkan fondasi operasi yang audit‑ready dan tangguh.