
# DI Vairinama Kontekstinė Reputacijos Įvertinimo Sistema Realioje Laiko Tiekėjo Klausimynų Atsakymams

Tiekėjo saugumo klausimynai tapo buteliuko kakle (spūstimi) SaaS pardavimo cikluose. Tradiciniai įvertinimo modeliai remiasi statiniais kontroliniais sąrašais, rankiniu įrodymų rinkimu ir periodiškais auditais – procesais, kurie yra lėti, linkę į klaidas ir negali atspindėti greitų pokyčių tiekėjo saugumo būklėje.  

Įžengia **DI Vairinama Kontekstinė Reputacijos Įvertinimo Sistema (CRSE)**, naujos kartos sprendimas, kuris realiu laiku įvertina kiekvieną klausimyno atsakymą, sujungia jį su nuolat atnaujinamu žinių grafu ir išduoda dinaminį, įrodymų pagrįstą patikimumo balą. Sistema ne tik atsako į klausimą „Ar šis tiekėjas saugus?“, bet ir paaiškina **kodėl** balas pasikeitė, pateikdama veiksnius korekcijos žingsnius.

Šiame straipsnyje mes:

1. Paaiškinsime problemos kontekstą ir kodėl reikia naujo požiūrio.  
2. Peržvelgsime CRSE pagrindinę architektūrą, iliustruotą „Mermaid“ diagrama.  
3. Išsamiai apžvelgsime kiekvieną komponentą – duomenų įsisavinimą, federacinį mokymą, generatyvų įrodymų sintezavimą ir įvertinimo logiką.  
4. Parodysime, kaip sistema integruojama į esamus pirkimo darbo srautus ir CI/CD pipelines.  
5. Aptarsime saugumo, privatumo ir atitikties aspektus (Zero‑Knowledge Proofs, diferencialinė privatumą ir kt.).  
6. Nupiešiame žemėlapį, kaip praplėsti sistemą į daugialaukių, daugiakalbę ir kryžminiams reguliavimams pritaikytą aplinką.

---

## 1. Kodėl Tradiciniai Įvertinimai Nesugeba

| Apribojimas | Poveikis |
|------------|----------|
| **Statiniai kontroliniai sąrašai** | Balai tampa pasenę jau po to, kai paskelbtas naujas pažeidžiamumas. |
| **Rankinis įrodymų rinkimas** | Žmogaus klaidos ir laiko sąnaudos padidina nepilnų atsakymų riziką. |
| **Tik periodiniai auditai** | Tarp auditų ciklų likusios spragos lieka nematomos, leidžiančios rizikai kaupimąsi. |
| **Vienodos svorio skyrimo metodika** | Skirtingi verslo padaliniai (pvz., finansai vs. inžinerija) turi skirtingą rizikos toleranciją, kurią statiniai svoriai neatspindi. |

Šios problemos sukelia ilgesnius pardavimo ciklus, didesnę teisinę riziką ir prarastas pajamų galimybes. Įmonės reikia sistemos, kuri **nuolat mokytųsi** iš naujų duomenų, **kontekstualizuotų** kiekvieną atsakymą ir **komunikuotų** priežastis, lemiančias patikimumo balą.

---

## 2. Aukšto Lygio Architektūra

Žemiau pateikiamas supaprastintas CRSE procesų srautas. Diagrama naudojanti „Mermaid“ sintaksę, kurią Hugo gali renderinti tiesiogiai, kai įjungtas `mermaid` trumpinys.

```mermaid
graph TD
    A["Gautos Klausimyno Atsakymo Duomenys"] --> B["Išankstinis Apdorojimas ir Normalizavimas"]
    B --> C["Federacinis Žinių Grafo Praturtinimas"]
    C --> D["Generatyvi Įrodymų Sintezė"]
    D --> E["Kontekstinis Reputacijos Įvertinimas"]
    E --> F["Skorų Skydelis ir API"]
    C --> G["Realiojo Laiko Grėsmių Inteligencijos Srautas"]
    G --> E
    D --> H["Paaiškinamasis DI Naratyvas"]
    H --> F
```

*„Mergelės“ (angl. *nodes*) čia pažymėti kabutėmis, kaip reikalauja Mermaid.*  

Procesas gali būti suskirstytas į **keturis** loginius sluoksnius:

1. **Įsisavinimas ir Normalizavimas** – išverčia laisvos formos atsakymus į kanoninę schemą, išgauna entitetus.  
2. **Praturtinimas** – sujungia išverstus duomenis su federaciniu žinių grafu, kuriame sujungiamos viešos pažeidžiamumo srautas, tiekėjo pateikti atitikties įrodymai ir vidiniai rizikos duomenys.  
3. **Įrodymų Sintezė** – „Retrieval‑Augmented Generation“ (RAG) modelis kuria glaustus, audituojamus įrodymų pastraipas, pridedant metaduomenis.  
4. **Įvertinimas ir Paaiškinamumas** – GNN pagrindu sukurtas įvertinimo variklis apskaičiuoja skaitmeninį patikimumo balą, o LLM generuoja žmogui suprantamą racionalizavimą.

---

## 3. Komponentų Detalus Apžvalga

### 3.1 Įsisavinimas ir Normalizavimas

* **Schemos Atvaizdavimas** – sistema naudoja YAML‑pagrindinę klausimyno schemą, kuri susieja kiekvieną klausimą su **ontologijos terminu** (pvz., `ISO27001:AccessControl:Logical`).  
* **Entitetų Išskyrimas** – lengvas pavadinimų atpažinimo (NER) modelis išlaisvina įrangos, debesų regionų ir kontrolės identifikatorių duomenis iš laisvos formos laukų.  
* **Versijų Kontrolė** – visi neapdoroti atsakymai saugomi Git‑Ops saugykloje, suteikiant neatmetamą audito taką ir galimybę lengvai atšaukti pakeitimus.

### 3.2 Federacinis Žinių Grafo Praturtinimas

**Federacinis žinių grafas (FKG)** susiejia kelis duomenų sandėlius:

| Šaltinis | Pavyzdinis Duomuo |
|----------|-------------------|
| **Vieši CVE srautai** | Pažeidžiamumai, paveikiantys tiekėjo programinę įrangą. |
| **Tiekėjo patvirtinimai** | **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** Type II ataskaitos, **[ISO 27001](https://www.iso.org/standard/27001)** sertifikatai, pentestų rezultatai. |
| **Vidiniai rizikos signalai** | Ankstesni incidentų bilietai, SIEM įspėjimai, galinės įrangos atitikties duomenys. |
| **Trečiųjų šalių grėsmių informacija** | MITRE ATT&CK žemėlapiai, tamsaus tinklo pasikalbėjimai. |

FKG konstruoja **grafinių neuroninių tinklų (GNN)**, kurie išmoksta ryšius tarp entitetų (pvz., „paslauga X priklauso nuo bibliotekos Y“). Veikdamas **federacinio mokymo** režimu, kiekvienas duomenų savininkas treniruoja vietinį potgrafį ir dalijasi tik svorio atnaujinimais, išsaugodamas konfidencialumą.

### 3.3 Generatyvi Įrodymų Sintezė

Kai klausimyno atsakas nurodo kontrolę, sistema automatiškai ištrauka atitinkamus įrodymus iš FKG ir perrašo juos į trumpą naratyvą. Šį procesą galvoja **Retrieval‑Augmented Generation (RAG)** konvejeris:

1. **Retriever** – tankus vektorinės paieškos (FAISS) mechanizmas suranda top‑k dokumentus, atitinkančius užklausą.  
2. **Generator** – pritaikytas LLM (pvz., LLaMA‑2‑13B) sukuria 2‑3 sakinių įrodymų bloką, pridedant citatas Markdown išnašų forma.  

Sugeneruoti įrodymai **kriptografiškai pasirašomi** naudojant organizacijos identitetui sukurtą privačią raktą, leidžiantį vėlesnį patikrinimą.

### 3.4 Kontekstinis Reputacijos Įvertinimas

Įvertinimo variklis sujungia **statinius atitikties metrikus** ir **dinamiškus rizikos signalus**:

\[
Score = \sigma\Bigl( \alpha \cdot C_{static} + \beta \cdot R_{dynamic} + \gamma \cdot P_{policy\ drift} \Bigr)
\]

* `C_static` – atitikties kontrolinio sąrašo užpildymo rodiklis (0–1).  
* `R_dynamic` – realiojo laiko rizikos faktorius, gautas iš FKG (pvz., neseniai paskelbtas CVE rimtumas, aktyvios exploit galimybė).  
* `P_policy drift` – nuokrypio aptikimo modulis, kuris nurodo neatitikimus tarp deklaruotų kontrolų ir stebimų elgsenų.  
* `α, β, γ` – be vienetų svoriai, pritaikomi pagal verslo padalinį.  
* `σ` – sigmoido funkcija, ribojanti galutinį rezultatą tarp 0 ir 10.

Be to, variklis pateikia **pasitikėjimo intervalą**, apskaičiuotą naudojant diferencialinės privatumo triukšmą, užtikrinantį, kad balas negalėtų būti atstatytas, kad atskleistų slaptus duomenis.

### 3.5 Paaiškinamasis DI Naratyvas

Atskiras LLM, suformuluotas su žaliuoju atsakymu, išgautais įrodymais ir apskaičiuotu balu, generuoja **žmogui skaitomą naratyvą**:

> „Jūsų atsakymas rodo, kad daugiafaktorinis autentifikavimas (MFA) yra įgalintas visoms administracinėms paskyroms. Tačiau neseniai išleistas CVE‑2024‑12345, paveikiantis naudojamą SSO tiekėją, sumažina šios kontrolės patikimumą. Rekomenduojame atnaujinti SSO slaptą raktą ir patikrinti MFA aprėptį. Dabartinis patikimumo balas: **7,4 / 10** (±0,3).»

Šis naratyvas pridedamas prie API atsakymo ir gali būti tiesiogiai rodomas pirkimo portaluose.

---

## 4. Integracija į Esamus Darbo Srautus

### 4.1 API‑Pirmas Dizainas

Sistema pateikia **RESTful API** ir **GraphQL** galų:

* Siųsti neapdorotus klausimyno atsakymus (`POST /responses`).  
* Gauti naujausią balą (`GET /score/{vendorId}`).  
* Gauti paaiškinamąjį naratyvą (`GET /explanation/{vendorId}`).  

Autentifikacija naudojant **OAuth 2.0** su **kliento sertifikatu** zero‑trust aplinkoje.

### 4.2 CI/CD Įkabinimas

Šiuolaikiniuose DevOps cikluose klausimynai dažnai turi būti atnaujinami su kiekviena nauja funkcija. Pridėjus trumpą **GitHub Action**, kuri kviečia `/responses` galą po kiekvieno leidimo, balas atnaujinamas automatiškai, užtikrinant, kad pasitikėjimo puslapis visada atspindėtų naujausią būklę.

```yaml
name: Refresh Vendor Score
on:
  push:
    branches: [ main ]
jobs:
  update-score:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Submit questionnaire snapshot
        run: |
          curl -X POST https://api.procurize.ai/score \
            -H "Authorization: Bearer ${{ secrets.API_TOKEN }}" \
            -F "vendorId=${{ secrets.VENDOR_ID }}" \
            -F "file=@./questionnaire.yaml"
```

### 4.3 Skydelio Įterpimas

Lengvas **JavaScript valdiklis** gali būti įterptas bet kuriame pasitikėjimo puslapyje. Jis ištraukia balą, vizualizuoja jį kaip skaitiklį ir rodo paaiškinamąjį naratyvą švelninant pelės žymeklį.

```html
<div id="crse-widget" data-vendor="acme-inc"></div>
<script src="https://cdn.procurize.ai/crse-widget.js"></script>
```

Valdiklis yra visiškai **tematinis** – spalvos prisitaiko prie svetainės dizaino.

---

## 5. Saugumas, Privatumas ir Atitiktis

| Rūpestis | Švelninimas |
|----------|--------------|
| **Duomenų nutekėjimas** | Visi neapdoroti atsakymai šifruojami RAM su **AES‑256‑GCM**. |
| **Manipuliavimas** | Įrodymų blokai pasirašomi naudojant **ECDSA P‑256**. |
| **Privatumas** | Federacinis mokymas dalijasi tik modelio gradientais; diferencialinė privatumą prideda kalibruotą Laplaso triukšmą. |
| **Reguliavimo atitiktis** | Sistema yra **[GDPR](https://gdpr.eu/)** suderinama: duomenų subjektai gali reikalauti ištrinti savo klausimyno įrašus per specialų galą. |
| **Zero‑Knowledge Proof** | Kai tiekėjas nori įrodyti atitiktį neišvystydamas visų įrodymų, ZKP grandinė patvirtina balą be atskleidžiamų įvesties duomenų. |

---

## 6. Sistemos Plėtimas

1. **Daugialaukių Palaikymas** – prijunkite specifines debesų metadata API (AWS Config, Azure Policy), kad praturtintumėte FKG infrastruktūros kaip kodo signalais.  
2. **Daugiakalbė Normalizacija** – įdiegiame kalbos‑specifinius NER modelius (ispanų, mandarinų) ir verčiate ontologijos terminus naudojant pritaikytą vertimo LLM.  
3. **Kryžminės Reguliavimo Žemėlapiai** – pridėkite **reguliavimo ontologijos sluoksnį**, susiejantį ISO 27001 kontrolės punktus su SOC‑2, PCI‑DSS ir GDPR straipsniais, leidžiantį vienam atsakymui patenkinti kelis standartus.  
4. **Savarankiškas Gydymas** – kai nuokrypio aptikimas nustato neatitikimą, automatiškai sukeliamas **remedijacijos žaidimo plano** (pvz., atidaryti Jira bilietą, išsiųsti Slack pranešimą).  

---

## 7. Realūs Privalumai

| Matas | Prieš CRSE | Po CRSE | Patobulinimas |
|-------|------------|---------|----------------|
| Vidutinis klausimyno atsako laikas | 14 dienų | 2 dienos | **86 % greičiau** |
| Rankinio įrodymų peržiūros pastangos | 12 val. per tiekėją | 1,5 val. per tiekėją | **87 % sumažėjimas** |
| Patikimumo balo svyravimas (σ) | 1,2 | 0,3 | **75 % stabilesnis** |
| Klaidingų rizikos įspėjimų skaičius | 23 per mėn. | 4 per mėn. | **83 % mažiau** |

Ankstyvieji naudotojai praneša apie **trumpesnius pardavimo ciklus**, **didesnį laimėjimo laipsnį** ir **mažesnes auditų išvadas**.

---

## 8. Kaip Pradėti

1. **Pateikite sistemą** – įdiekite oficialų Docker Compose rinkinį arba naudokite valdomą SaaS pasiūlymą.  
2. **Apibrėžkite savo klausimyno schemą** – eksportuokite esamus formatus į YAML formatą, nurodytą dokumentacijoje.  
3. **Prijunkite duomenų šaltinius** – įjunkite viešą CVE srautą, įkelkite savo **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** ataskaitų PDF, nurodykite vidinį SIEM.  
4. **Mokykite federacinį GNN** – sekite greito pradžios skriptą; numatytieji hiperpąstikliai tinka daugumai vidutinio dydžio SaaS įmonių.  
5. **Integruokite API** – pridėkite webhook į savo pirkimo portalą, kad galėtumėte gauti balus pagal poreikį.  

30 minutės įrodymo koncepcija gali būti įgyvendinta naudojant **bandomąjį duomenų rinkinį**, kurį rasite kartu su atviro kodo leidimu.

---

## 9. Išvada

**DI Vairinama Kontekstinė Reputacijos Įvertinimo Sistema** pakeičia statinį, rankinį klausimyno įvertinimą į gyvą, duomenimis turtingą ir paaiškinamą sistemą. Jungdama federacinius žinių grafus, generatyvią įrodymų sintezę ir GNN‑pagrįstą įvertinimą, ji suteikia realaus laiko, patikimas įžvalgas, kurios sekmadienio greitai besikeičiančiu grėsmių kraštovaizdžiu.  

Organizacijos, įgyvendinančios CRSE, įgyja konkurencinį pranašumą: greitesnių sandorių užbaigimą, sumažintą atitikties laikymosi naštą ir skaidrią pasitikėjimo naratyvą, kurią klientai gali patvirtinti savarankiškai.