
# Dirbtinio intelekto pagrįstas nuolatinis įrodymo kilmės registras tiekėjų apklausų auditams

Saugumo klausimynai yra B2B SaaS sandorių vartų sargai. Vienas neaiškus atsakymas gali sustabdyti sutartį, o gerai dokumentuotas – pagreitinti derybas savaitėmis. Tačiau rankiniai procesai, kurie stovėja už šių atsakymų – politikų rinkimas, įrodymų išgavimas ir atsakymų anotavimas – kupini žmogaus klaidų, versijų neatitikimų ir audito košmarų.

Įžengia **Nuolatinis Įrodymo Kilmės Registras (CEPL)** – AI‑valdomas, nepakitimas įrašas, kuris fiksuoja visą kiekvieno klausimyno atsakymo gyvavimo ciklą, nuo neapdoroto šaltinio dokumento iki galutinio AI‑generuoto teksto. CEPL paverčia nesuderintą politikų, auditų ataskaitų ir kontrolės įrodymų rinkinį į nuoseklią, patikrinamą naratyvą, kuriuo reguliatoriai ir partneriai gali pasitikėti be beribio „pagrįsti–patikrink“ dialogo.

Žemiau nagrinėjame CEPL architektūrą, duomenų srautą ir praktinius privalumus, bei rodome, kaip Procurize gali integruoti šią technologiją, suteikdama jūsų atitikties komandai ryškų pranašumą.

## Kodėl tradicinis įrodymų valdymas žlunga

| Skausmo taškas | Tradicinis požiūris | Verslo įtaka |
|----------------|----------------------|--------------|
| **Versijų chaosas** | Kelios politikų kopijos saugomos bendroje diske, dažnai nesuderintos. | Nenuoseklūs atsakymai, praleistos atnaujinimai, atitikties spragos. |
| **Rankinė sekimo** | Komandos rankiniu būdu nurodo, kuris dokumentas pagrindžia kiekvieną atsakymą. | Laiko intensyvus, klaidų pilnas, retai pasiruošusios dokumentacijos auditui. |
| **Auditavimo trūkumas** | Nėra nepakitimo žurnalo, nurodančio, kas ką ir kada redagavo. | Auditoriai prašo „įrodyti kilmę“, sukeldami vėlavimus ir prarastus sandorius. |
| **Skalės ribotumas** | Pridedant naujus klausimynus reikia iš naujo kurti įrodymų žemėlapį. | Operaciniai spūstys augant tiekėjų bazei. |

Šie trūkumai dar labiau išryškėja, kai atsakymus generuoja AI. Be patikimo šaltinių grandinės AI‑generuoti atsakymai gali būti atmetami kaip „juodos dėžės“ išvestis, paneigiant jų suteikiamą greitumo pranašumą.

## Pagrindinė idėja: nepakitimas įrodymų kilmei kiekvienam įrodymui

Kilmės registras – tai chronologiškai išdėstytas, nepažeidžiamas žurnalas, fiksuojantis **kas**, **kas**, **kada** ir **kodėl** kiekvienam duomenų elementui. Integruodama generatyviąją AI į šį registrą, pasiekiame du tikslus:

1. **Sekamumas** – Kiekvienas AI‑generuotas atsakymas susietas su tiksliu šaltiniu, anotacijomis ir transformacijos žingsniais, kurie jį sukūrė.  
2. **Integralumas** – Kriptografiniai maišai ir Merkle medžiai garantuoja, kad registras negali būti pakeistas be aptikimo.

Rezultatas – **vienintelis tiesos šaltinis**, kurį auditoriai, partneriai ar vidiniai peržiūros asmenys gali peržiūrėti per kelias sekundes.

## Architektūrinė schema

Žemiau pateikta aukšto lygio Mermaid diagrama, vaizduojanti CEPL komponentus ir duomenų srautą.

```mermaid
graph TD
    A["Source Repository"] --> B["Document Ingestor"]
    B --> C["Hash & Store (Immutable Storage)"]
    C --> D["Evidence Index (Vector DB)"]
    D --> E["AI Retrieval Engine"]
    E --> F["Prompt Builder"]
    F --> G["Generative LLM"]
    G --> H["Answer Draft"]
    H --> I["Provenance Tracker"]
    I --> J["Provenance Ledger"]
    J --> K["Audit Viewer"]
    style A fill:#ffebcc,stroke:#333,stroke-width:2px
    style J fill:#cce5ff,stroke:#333,stroke-width:2px
    style K fill:#e2f0d9,stroke:#333,stroke-width:2px
```

**Komponentų santrauka**

| Komponentas | Paskirtis |
|------------|----------|
| **Source Repository** | Centralizuota saugykla politikoms, auditų ataskaitoms, rizikos registrams ir kitiems artefaktams. |
| **Document Ingestor** | Analizuoja PDF, DOCX, Markdown ir išgauna struktūrizuotą metaduomenų rinkinį. |
| **Hash & Store** | Generuoja SHA‑256 maišą kiekvienam artefaktui ir saugo jį nepakitimo objektų saugykloje (pvz., AWS S3 su Object Lock). |
| **Evidence Index** | Laiko įterpimus vektorų duomenų bazėje semantiniam panašumo paieškai. |
| **AI Retrieval Engine** | Išrenka labiausiai atitinkančius įrodymus pagal klausimyno užklausą. |
| **Prompt Builder** | Konstrukuoja kontekstą turintį užklausą, įskaitant įrodymų iškarpas ir kilmės metaduomenis. |
| **Generative LLM** | Generuoja natūralaus kalbos atsakymą, laikydamasi atitikties apribojimų. |
| **Answer Draft** | Pradinis AI išvestis, paruošta peržiūrėti žmogaus kontrolės cikle. |
| **Provenance Tracker** | Registruoja kiekvieną viršutines priemones, maišą ir transformacijos žingsnį, naudojamus sukuriant juodraštį. |
| **Provenance Ledger** | Pridėtinis žurnalas (pvz., Hyperledger Fabric arba Merkle‑medžio sprendimas). |
| **Audit Viewer** | Interaktyvi UI, rodanti atsakymą kartu su pilna įrodymų grandine auditoriams. |

## Žingsnis po žingsnio procesas

1. **Įkėlimas ir maišavimas** – Įkeliant politikos dokumentą, Document Ingestor išgauna tekstą, apskaičiuoja SHA‑256 maišą ir saugo tiek neapdorotą failą, tiek maišą nepakitimo saugykloje. Maišas taip pat pridedamas prie **Evidence Index** greitam paieškoms.  
2. **Semantinis surinkimas** – Gavus naują klausimyną, AI Retrieval Engine atlieka panašumo paiešką vektorų DB, grąžindamas top‑N įrodymus, geriausiai atitinkančius klausimo semantiką.  
3. **Užklausos kūrimas** – Prompt Builder įterpia kiekvieno įrodymo iškarpą, maišą ir trumpą citatą (pvz., „Policy‑Sec‑001, 3.2 skyrius“) į struktūruotą LLM užklausą. Tai užtikrina, kad modelis galėtų tiesiogiai cituoti šaltinius.  
4. **LLM generavimas** – Naudojant fine‑tuned, atitikties orientuotą LLM, sistema generuoja juodraštį, kuriame pateikiamos nuorodos į pateiktus įrodymus. Kadangi užklausoje yra aiškios citatos, modelis mokosi kurti sekamą kalbą („Pagal Policy‑Sec‑001 …“).  
5. **Kilmės įrašymas** – Kai LLM apdoroja užklausą, Provenance Tracker registruoja:  
   - Užklausos ID  
   - Įrodymų maišus  
   - Modelio versiją  
   - Laiką  
   - Naudotoją (jei peržiūros specialistas redaguoja)  

   Šie įrašai serializuojami į **Merkle lapą** ir pridedami prie registro.  
6. **Žmogaus peržiūra** – Atitikties analitikas peržiūri juodraštį, prideda arba šalina įrodymus, patvirtina atsakymą. Bet kuris rankinis redagavimas sukuria papildomą registro įrašą, išsaugantį visą redagavimo istoriją.  
7. **Audito eksportas** – Kai to reikia, Audit Viewer generuoja vieną PDF, į kurį įtrauktas galutinis atsakymas, hipersaitai į įrodymų dokumentus ir kriptografinis įrodymas (Merkle šaknys), patvirtinantis, kad grandinė nebuvo pakitusi.

## Išmatuojami privalumai

| Rodiklis | Prieš CEPL | Po CEPL | Patobulinimas |
|----------|------------|--------|----------------|
| **Vidutinis atsakymo laikas** | 4‑6 dienų (rankinis) | 4‑6 valandos (AI + automatinis sekimas) | ~90 % sumažėjimas |
| **Audito atsako pastangos** | 2‑3 dienos rankiniam įrodymų rinkimui | < 2 valandos įrodyti paketus | ~80 % sumažėjimas |
| **Citatų klaidų dažnis** | 12 % (trūkstamos arba neteisingos nuorodos) | < 1 % (maišų patvirtintų) | ~92 % sumažėjimas |
| **Sandorio greitis** | 15 % sandorių vėluoja dėl klausimyno butelio | < 5 % vėluoja | ~66 % sumažėjimas |

Šie laimėjimai tiesiogiai verčiasi didesniu laimėjimų lygiu, mažesnėmis atitikties išlaidomis ir stipresne organizacijos reputacija dėl skaidrumo.

## Integracija su Procurize

Procurize jau puikiai centralizuoja klausimynus ir paskirstymo užduotis. Pridėti CEPL reikia trijų integracijos taškų:

1. **Saugyklos kablis** – Susieti Procurize dokumentų saugyklą su nepakitimo saugykla, naudojama CEPL.  
2. **AI paslaugos galutinis taškas** – Eksponuoti Prompt Builder ir LLM kaip mikroservisą, kurį Procurize gali iškviesti priskiriant klausimyną.  
3. **Registrų UI papildinys** – Įdėti Audit Viewer kaip naują skirtuką Procurize klausimyno informacijos puslapyje, leidžiant vartotojams perjungti tarp „Atsakymas“ ir „Kilmė“.

Kadangi Procurize veikia kompozicinėje mikroservisų architektūroje, šias papildymus galima įdiegti etapais, pradedant pilotinėmis komandomis ir išplečiančiai organizacijai.

## Realūs naudojimo atvejai

### 1. SaaS tiekėjas svarsto didelį įmonės sandorį
Įmonės saugumo komanda reikalauja įrodymų apie **duomenų šifravimą poilsio**. Su CEPL tiekėjo atitikties pareigūnas paspaudžia „Generuoti atsakymą“, gauna glaustą pareiškimą, cituojantį konkretų šifravimo politikos dokumentą (maišas patvirtintas) ir nuorodą į kriptografinės raktų valdymo auditą. Įmonės auditorius per kelias minutes patikrina Merkle šaknį ir patvirtina atsakymą.

### 2. Nuolatinė priežiūra reguliuojamose industrijose
FinTech platforma turi kas ketvirtį įrodyti **SOC 2 Type II** atitiktį. CEPL automatiškai perkauna tas pačias užklausas su naujausiais auditų įrodymais, generuoja atnaujintus atsakymus ir naują registro įrašą. Reguliatoriaus portalas priima Merkle šaknį per API, patvirtindamas, kad įmonės įrodymų grandinė lieka nepakitusi.

### 3. Incidentų reagavimo dokumentavimas
Atliekant saugos įvykio simuliaciją, saugos komanda turi greitai atsakyti į klausimyną apie **incidentų aptikimo kontrolės**. CEPL ištraukia atitinkamą veiksmų planą, įrašo tikslaus planų versijos įrodymą ir per kelias sekundes pateikia atsakymą su įrodymais, patvirtinančiais, kad dokumentas nebuvo pakeistas po įvykių.

## Saugumo ir privatumo svarstymai

- **Duomenų konfidencialumas** – Įrodymų failai šifruojami poilsio, naudojant kliento valdomus raktus. Prieiga suteikiama tik įgaliotiems vaidmenims.  
- **Nulinės žinios įrodymai** – Labai jautriems įrodymams registras gali saugoti tik nulinio žinių įrodymą, leidžiant auditoriams patvirtinti įrodymo egzistavimą be tiesioginio priėjimo prie dokumento.  
- **Prieigos kontrolė** – Provenance Tracker gerbia rolę pagrįstą prieigą, leidžiant tik peržiūros specialistams redaguoti atsakymus, o auditoriams – tik peržiūrėti registrą.

## Ateities patobulinimai

1. **Federacinis registras tarp partnerių** – Leisti keliose organizacijose dalintis bendru kilmės registru dalinamiems įrodymams (pvz., trečiosios šalies rizikos vertinimams), išlaikant kiekvienos pusės duomenų izoliaciją.  
2. **Dinaminė politikų sintezė** – Naudoti registrų istorinį duomenį, mokant meta‑modelį, siūlantį politikų atnaujinimus, remiantis dažnai pasikartojančiais klausimyno spragų šablonais.  
3. **AI‑pagrįstas anomalijų aptikimas** – Nuolat stebėti registrą dėl neįprastų modelių (pvz., staigus įrodymų modifikavimų padidėjimas) ir įspėti atitikties specialistus.

## Pradžia per 5 žingsnius

1. **Įjungti nepakitimo saugyklą** – Įdiegti objektų saugyklą su „write‑once, read‑many“ (WORM) politika.  
2. **Prijungti Document Ingestor** – Naudoti Procurize API, kad egzistuojančios politikos būtų užkraunamos į CEPL konvejerį.  
3. **Vietos LLM ir paieškos paslaugų diegimas** – Pasirinkti atitikties atitinkantį LLM (pvz., Azure OpenAI su duomenų izoliacija) ir sukonfigūruoti užklausų šabloną.  
4. **Įgalinti kilmės įrašymą** – Integruoti Provenance Tracker SDK į jūsų klausimyno darbo srautą.  
5. **Mokyti komandą** – Surengti dirbtuves, kaip naudoti Audit Viewer ir interpretuoti Merkle įrodymus.

Įgyvendindami šiuos žingsnius, pereisite nuo „popieriaus takų košmaro“ prie **kriptografiškai įrodytos atitikties variklio**, paverdami saugumo klausimynus ne tik trukdžiu, bet ir konkurencine privaluma.

---

## <span class='highlight-content'>Žiūrėti</span> taip pat

- [NIST SP 800‑37 Rev 2 – Risk Management Framework](https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/final)
- [ISO/IEC 27001:2022 – Information Security Management](https://www.iso.org/standard/73906.html)
- [OpenZeppelin – Merkle Tree Proofs for Auditable Data](https://docs.openzeppelin.com/contracts/4.x/api/utils#MerkleProof)
- [Microsoft Azure Confidential Computing Documentation](https://learn.microsoft.com/azure/confidential-computing/)