
# Adaptuotas perkėlimo mokymasis kryžminių reguliavimo klausimynų automatizavimui

Šiandien įmonės tvarko **dešimtis saugumo klausimynų** – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, FedRAMP ir vis didėjantį pramonės specifinių standartų skaičių. Kiekvienas dokumentas prašo iš esmės to paties įrodymo (prieigos kontrolės, duomenų šifravimas, incidentų valdymas), tačiau su kitu žodynu ir skirtingais įrodymo reikalavimais. Tradicinės DI‑valdomos klausimynų platformos treniruoja **atskirą modelį kiekvienai sistemai**. Kai atsiranda nauja reguliavimo nuostata, komandų turi surinkti naujus mokymo duomenis, pakoreguoti naują modelį ir sukurti dar vieną integracijos kanalą. Rezultatas? **Pakartotinis darbas**, **nesuderinti atsakymai** ir **ilgai trunka laikas**, kuris stabdo pardavimų ciklus.

**Adaptuotas perkėlimo mokymasis** siūlo išmintingesnį būdą. Laikant kiekvieną reguliavimo sistemą kaip *domeną*, o klausimyno užduotį kaip *bendrą žemutinio lygio tikslą*, galime **pakartotinai naudoti žinias**, įgytas iš vienos sistemos, kad pagreitintume darbo efektyvumą kitoje. Praktikoje tai leidžia vienam DI varikliui „Procurize“ iš karto suprasti visiškai naują [FedRAMP](https://www.fedramp.gov/) klausimyną, naudodamas tą patį svorių pagrindą, kuris palaiko [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) atsakymus, drastiškai sumažindamas rankinio žymėjimo darbą, paprastai būtina prieš modelio įdiegimą.

Toliau išnagrinėsime šią koncepciją, parodydami pilną architektūrą, ir pateiksime praktinių žingsnių, kaip įdiegti adaptuojamą perkėlimo mokymą į jūsų atitikties automatizavimo sistemą.

---

## 1. Kodėl perkėlimo mokymasis svarbus klausimynų automatizavimui

| Skausmo priežastis | Įprastas požiūris | Privalumas per perkėlimo mokymą |
|--------------------|-------------------|--------------------------------|
| **Duomenų trūkumas** | Kiekviena nauja sistema reikalauja šimtų anotuotų klausimų‑atsakymų porų. | Iš anksto išmokytas bazinis modelis jau žino bendrus saugumo konceptus; reikia tik kelias sistemos‑specifines pavyzdžius. |
| **Modelių sklaida** | Komandos prižiūri dešimtis atskirų modelių, kiekvienas su savo CI/CD kanalu. | Vienas, modulinis modelis gali būti *pakoreguotas* kiekvienai sistemai, mažinant operacinę įkrovą. |
| **Reguliavimo pokyčiai** | Kai standartai atnaujinami, seni modeliai tampa pasenę, reikalaujant pilno permokymo. | Nuolatinis mokymasis ant bendros bazės greitai prisitaiko prie nedidelių teksto pakeitimų. |
| **Aiškumo spragos** | Atskiri modeliai apsunkina vieningos auditų sekos kūrimą. | Bendras atvaizdavimas leidžia nuosekliai sekti kilmę per visas sistemas. |

Trumpai tariant, perkėlimo mokymasis **sujungia žinias**, **kompresuoja duomenų kreivę** ir **supaprastina valdymą** – visi svarbūs elementai norint padidinti įmonės lygio atitikties automatizavimą.

---

## 2. Pagrindinės sąvokos: domenai, užduotys ir bendri atvaizdai

1. **Šaltinio domenas** – reguliavimo rinkinys, kuriame gausu anotuotų duomenų (pvz., [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)).  
2. **Tikslinis domenas** – nauja arba mažiau atstovaujama regulacija (pvz., FedRAMP, kylančios ESG normos).  
3. **Užduotis** – sugeneruoti atitinkantį atsakymą (tekstą) ir susieti palaikantį įrodymą (dokumentus, politiką).  
4. **Bendras atvaizdas** – didelis kalbos modelis (LLM), patobulintas saugumo tematikos korpusu, įgijantis bendrą terminologiją, kontrolės susiejimus ir įrodymų struktūras.  

**Perkėlimo mokymosi pipeline** pirmiausia **išmoksta** LLM su milžiniška saugumo žinių baze (NIST SP 800‑53, ISO kontrolės, vieši politikos dokumentai). Tuomet atliekamas **domeno‑adaptacinis pakoregavimas** naudojant **kelios‑pavyzdžių** (few‑shot) duomenų rinkinį iš tikslinio reguliavimo, prižiūrimą **domeno diskriminatoriumi**, kuris padeda modeliui išsaugoti šaltinio žinias, tuo pat metu įsisavindamas tikslinio niuansus.

---

## 3. Architektūros schema

Žemiau pateikiama aukšto lygio "Mermaid" diagrama, kuri parodo, kaip komponentai sąveikauja „Procurize“ adaptuojamoje perkėlimo mokymosi platformoje.

```mermaid
graph LR
    subgraph Data Layer
        A["Žaliųjų politikų saugykla"]
        B["Istorinis klausimų‑atsakymų korpusas"]
        C["Tikslinio reguliavimo pavyzdžiai"]
    end
    subgraph Model Layer
        D["Saugumo bazinis LLM"]
        E["Domeno diskriminatorius"]
        F["Užduočiai specifinis dekoderis"]
    end
    subgraph Orchestration
        G["Pakoregavimo paslauga"]
        H["Inferencijos variklis"]
        I["Aiškumo ir auditų modulis"]
    end
    subgraph Integrations
        J["Ticketų / darbo eigų sistema"]
        K["Dokumentų valdymas (SharePoint, Confluence)"]
    end

    A --> D
    B --> D
    C --> G
    D --> G
    G --> E
    G --> F
    E --> H
    F --> H
    H --> I
    I --> J
    H --> K
```

**Svarbios įžvalgos**

* **Saugumo bazinis LLM** mokomas vieną kartą, naudojant sujungtus politikų ir istorinių Q&A duomenis.  
* **Domeno diskriminatorius** skatina atvaizdavimą būti *domenu‑specifiniu*, neleidžiant modelio „užmiršti“ šaltinio žinių.  
* **Pakoregavimo paslauga** priima minimalų tikslinio domeno pavyzdžių rinkinį (dažniausiai < 200) ir gamina **domeno adaptuotą modelį**.  
* **Inferencijos variklis** apdoroja realaus laiko klausimynų užklausas, suranda įrodymus per semantinę paiešką ir generuoja struktūruotus atsakymus.  
* **Aiškumo ir auditų modulis** fiksuoja dėmesio svorius, šaltinius ir versijų informaciją, kad patenkintų auditorius.  

---

## 4. Pilnas darbo srautas

1. **Įkėlimas** – Nauji klausimynų failai (PDF, Word, CSV) išgaunami naudojant „Procurize“ Document AI, išskiriant klausimo tekstą ir meta duomenis.  
2. **Semantinis susiejimas** – Kiekvienas klausimas įvedamas į bendrą LLM, o po to susiejamas su **žinių grafu**, kuriame saugomos kontrolės ir įrodymų sąsajos.  
3. **Domeno aptikimas** – Lengvas klasifikatorius nustato reguliavimo tipą (pvz., „FedRAMP“) ir nukreipia užklausą į atitinkamą domeno adaptuotą modelį.  
4. **Atsakymo generavimas** – Dekoderis sukuria glaustą, atitinkantį atsakymą, dinamiškai įterpdama trūkstamų įrodymų vietas.  
5. **Žmogaus įsikišimas** – Saugumo analitikai gauna paruoštą atsakymą su šaltinių citatomis, redaguoja arba patvirtina tiesiai vartotojo sąsajoje.  
6. **Audito įrašo kūrimas** – Kiekviena iteracija registruoja užklausą, modelio versiją, įrodymų ID ir peržiūros komentarus, sukuriant nesutrinamą istoriją.  

**Grįžtamojo ryšio ciklas** išsaugo patvirtintus atsakymus kaip naujus mokymo pavyzdžius, nuolat tobulindamas tikslinį domeno modelį be rankinio duomenų rinkimo.

---

## 5. Įgyvendinimo žingsniai jūsų organizacijai

| Žingsnis | Veiksmas | Įrankiai ir patarimai |
|---------|----------|-----------------------|
| **1. Sukurkite saugumo bazę** | Surinkite visus vidinius politikos dokumentus, viešus standartus ir ankstesnius klausimynų atsakymus į korpusą (≈ 10 M tokenų). | Naudokite „Procurize“ *Policy Ingestor*; valykite su spaCy, normalizuodami įmonės terminus. |
| **2. Išmokykite / pakoreguokite LLM** | Pradėkite su atviro kodo LLM (pvz., Llama‑2‑13B) ir pakoreguokite naudojant LoRA adapterius pagal saugumo korpusą. | LoRA sumažina GPU atminties poreikį; saugokite adapterius pagal domenus patogiam perjungimui. |
| **3. Paruoškite tikslinio domeno pavyzdžius** | Naujam reguliavimui surinkite ≤ 150 reprezentatyvių Q&A porų (vidiniai arba iš išorės). | Pasinaudokite „Procurize“ *Sample Builder* UI; žymėkite kiekvieną porą atitinkamomis kontrolės ID. |
| **4. Vykdykite domeno‑adaptacinį pakoregavimą** | Trenuokite domeno adapterį su diskriminatoriaus nuostata, kad išsaugotumėte bazines žinias. | Naudokite PyTorch Lightning; stebėkite *domeno suderinamumo* rodiklį (> 0.85). |
| **5. Įdiekite inferencijos paslaugą** | Konteineriuokite adapterį + bazinį modelį, atidarykite REST endpointą. | Kubernetes su GPU mazgais; automatinis skalavimas pagal užklausų vėlavimą. |
| **6. Integruokite su darbo eiga** | Susiekite endpointą su „Procurize“ ticketų sistema, leidžiančia „Pateikti klausimyną“ veiksmus. | Webhook arba ServiceNow jungtis. |
| **7. Įgalinkite aiškumą** | Saugojte dėmesio žemėlapius ir citatas PostgreSQL auditų DB. | Vizualizuokite per „Procurize“ *Compliance Dashboard*. |
| **8. Nuolatinis mokymasis** | Periodiškai pakartotinai treniruokite adapterius su naujai patvirtintais atsakymais (kas ketvirtį arba pagal poreikį). | Automatizuokite su Airflow DAG; versijuokite modelius per MLflow. |

Įgyvendinus šį planą, dauguma komandų pastebi **60‑80 % sumažėjimą** laiko, reikalingo įdiegti naują reguliavimo modelį.

---

## 6. Geriausios praktikos ir įspėjimai

| Praktika | Priežastis |
|----------|------------|
| **Trumpi, aiškūs „few‑shot“ šablonai** – Laikykite šablonus trumpus, įtraukite aiškias kontrolės nuorodas. | Sumažina modelio fantazijavimą ne susijusiais kontrolės elementais. |
| **Balansuotas pavyzdžių atrinkimas** – Užtikrinkite, kad pakoregavimo duomenys apimtų tiek dažnai, tiek retai pasikartojančias kontrolės temas. | Išvengia šališkumo link populiarių klausimų ir išlaiko galimybę atsakyti į reta užduotis. |
| **Domeno žodynų atnaujinimas tokenizatoriui** – Pridėkite naują reguliavimo žargoną (pvz., „FedRAMP‑Ready“) į tokenizatorių. | Pagerina tokenų efektyvumą ir sumažina klaidas suskaidant žodžius. |
| **Reguliarūs auditai** – Planuokite kas ketvirtį peržiūrėti generuotus atsakymus su nepriklausomais auditoriais. | Išlaiko atitikties pasitikėjimą ir anksti atskleidžia nuokrypius. |
| **Privatumo apsauga** – Prieš įkeliant įrodymus į modelį maskuokite bet kokią asmeninę informaciją (PII). | Atitinka [GDPR](https://gdpr.eu/) ir vidines privatumą reglamentuojančias nuostatas. |
| **Versijų fiksavimas** – Pririškite kiekvienam darbo srautui konkretų adapterio versiją. | Užtikrina pakartojamumą ir teisinį saugumą teisių laikymui. |

---

## 7. Ateities kryptys

1. **Zero‑shot reguliavimo priėmimas** – Derinkite meta‑mokymą su *reguliavimo aprašymo analizatoriumi*, kad sukurtumėte adapterį be anotuotų pavyzdžių.  
2. **Daugialypė įrodymų sintezė** – Sujunkite vaizdo OCR (architektūros diagramos) su tekstu, kad automatizuotai atsakyti į klausimus apie tinklo topologiją.  
3. **Federacinis perkėlimo mokymasis** – Dalinkitės adapterio atnaujinimais tarp kelių įmonių, neatskleidžiant žaliųjų politikų duomenų, išlaikant konkurencinį konfidencialumą.  
4. **Dinaminis rizikos vertinimas** – Sujunkite perkėlimo mokymosi atsakymus su realaus laiko rizikos „šilumos“ žemėlapiu, atnaujinamu kai reguliavimo institucijos skelbia naujas gaires.  

Šios inovacijos stums atskyrimą nuo **automatizacijos** prie **intelektualios atitikties orkestracijos**, kai sistema ne tik atsako į klausimus, bet ir prognozuoja reguliavimo pokyčius bei savarankiškai koreguoja politiką.

---

## 8. Išvada

Adaptuotas perkėlimo mokymasis pertvarko **brangų, izoliuotą** saugumo klausimynų automatizavimo pasaulį į **taupų, pakartotinai naudojamą** ekosistemą. Investavus į **bendrą saugumo LLM**, pakoreguojant lengvus domenų adapterius ir įdiegiant griežtą žmogaus‑įsikišimo darbo eigą, organizacijos gali:

* **Sumažinti atsakymo laiką** į naujas regulacijas nuo savaičių iki dienų.  
* **Išlaikyti nuoseklią auditų taką** per visas sistemas.  
* **Mastelio didinti atitikties operacijas** neišplečiant modelių skaičiaus.  

„Procurize“ jau taiko šiuos principus, sukurdama vieną centrą, kuriame **bet koks** klausimynas – dabartinis arba ateities – gali būti sprendžiamas tuo pačiu DI varikliu. Kitos atitikties automatizacijos erozijos ribos bus apibrėžtos ne pagal tai, kiek modelių išmokstate, bet kaip **efektyviai perduodate** jau įgytas žinias.