
# Dirbtinio intelekto pagrindu veikiantis kryžminis reguliavimo politikos susiejimo variklis vieningiems klausimynų atsakymams

Įmonės, kurios parduoda SaaS sprendimus pasauliniams klientams, turi atsakyti į saugumo klausimynus, kurie apima dešimtis reguliavimo sistemų – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS ir daugelį kitų pramonės standartų.  
Tradiciniu būdu kiekvienas rėmas tvarkomas atskirai, sukuriant dubliuotą darbą, nekonsistentiškus įrodymus ir aukštą audito išvadų riziką.

**Kryžminis reguliavimo politikos susiejimo variklis** sprendžia šią problemą automatiškai išverčiant vieną politikos apibrėžimą į kiekvieno reikiamo standarto kalbą, priskiriant tinkamus įrodymus ir saugant visą susiejimo grandinę nekeičiame ledžeryje. Žemiau nagrinėjame pagrindinius komponentus, duomenų srautą ir praktinę naudą atitikties, saugumo ir teisinėms komandų grupėms.

---

## Turinys

1. [Kodėl svarbus kryžminis reguliavimo susiejimas](#kodėl-svarbus-kryžminis-reguliavimo-susiejimas)  
2. [Pagrindinė architektūros apžvalga](#pagrindinė-architektūros-apžvalga)  
3. [Dinaminio žinių grafiko kūrimas](#dinaminio-žinių-grafiko-kūrimas)  
4. [LLM‑valdomas politikos vertimas](#llm‑valdomas-politikos-vertimas)  
5. [Įrodymų susiejimas ir nekeičiama ledžeris](#įrodymų-susiejimas-ir-nekeičiama-ledžeris)  
6. [Real‑time atnaujinimo kilpa](#real‑time-atnaujinimo-kilpa)  
7. [Saugumo ir privatumo svarstymai](#saugumo-ir-privatumo-svarstymai)  
8. [Diegimo scenarijai](#diegiimo-scenarijai)  
9. [Pagrindiniai privalumai ir ROI](#pagrindiniai-privalumai-ir-roi)  
10. [Įgyvendinimo kontrolinis sąrašas](#įgyvendinimo-kontrolinis-sąrašas)  
11. [Ateities patobulinimai](#ateities-patobulinimai)  

---

## Kodėl svarbus kryžminis reguliavimo susiejimas

| Problema | Tradicinis požiūris | Dirbtinio intelekto sprendimas |
|----------|----------------------|--------------------------------|
| **Politikos dubliavimas** | Saugoti atskirus dokumentus kiekvienam rėmui | Vienas tiesos šaltinis → automatinis susiejimas |
| **Įrodymų fragmentavimas** | Rankiniu būdu kopijuoti / įklijuoti įrodymų ID | Automatizuotas įrodymų susiejimas per grafiką |
| **Audito takų spragos** | PDF audito žurnalai, be kriptografinio įrodymo | Ne keičiama ledžeris su kriptografiniais maišais |
| **Reguliavimo pasikeitimai** | Kelių mėnesių rankinės peržiūros | Real‑time pasikeitimų aptikimas ir automatinis remediavimas |
| **Atsakymo vėlavimas** | Diena‑savaitės laiko tarpai | Sekundės‑iki‑minutės per klausimyną |

Unifikavus politikos apibrėžimus, komandos sumažina „atvietimo naštos“ metriką – laiką, praleistą klausimynų pildymui per ketvirtį – iki **80 %** pagal ankstinius pilotinius tyrimus.

---

## Pagrindinė architektūros apžvalga

```mermaid
graph TD
    A["Policy Repository"] --> B["Knowledge Graph Builder"]
    B --> C["Dynamic KG (Neo4j)"]
    D["LLM Translator"] --> E["Policy Mapping Service"]
    C --> E
    E --> F["Evidence Attribution Engine"]
    F --> G["Immutable Ledger (Merkle Tree)"]
    H["Regulatory Feed"] --> I["Drift Detector"]
    I --> C
    I --> E
    G --> J["Compliance Dashboard"]
    F --> J
```

*Visi mazgų etiketės pateiktos taip, kaip reikalauja Mermaid sintaksė.*

**Svarbūs moduliai**

1. **Policy Repository** – Centralizuota, versijų valdomų saugykla (GitOps) visoms vidinėms politikoms.  
2. **Knowledge Graph Builder** – Analizuoja politikas, išgauna subjektus (valdiklius, duomenų kategorijas, rizikos lygius) ir santykius.  
3. **Dynamic KG (Neo4j)** – Semantinis pagrindas; nuolatos papildomas reguliavimo šaltiniais.  
4. **LLM Translator** – Didelis kalbos modelis (pvz., Claude‑3.5, GPT‑4o), perrašantis politikos punktus į tikslinio rėmo kalbą.  
5. **Policy Mapping Service** – Suderina išverstas frazes su rėmo kontrolės ID naudodamas grafų panašumą.  
6. **Evidence Attribution Engine** – Ištraukia įrodymų objektus (dokumentus, žurnalus, skenavimo ataskaitas) iš Evidence Hub, žymi juos grafų kilmės metaduomenimis.  
7. **Immutable Ledger** – Saugo kriptografinius įrodymų‑politikos susiejimo maišus; naudoja Merkle medį efektyviam įrodymų generavimui.  
8. **Regulatory Feed & Drift Detector** – Vartoja RSS, OASIS ir tiekėjų specifinius keitimo logus; žymi neatitikimus.  

---

## Dinaminio žinių grafiko kūrimas

### 1. Subjektų išgavimas

- **Valdiklio mazgai** – pvz., „Prieigos kontrolė – pareigų pagrindu“  
- **Duomenų turto mazgai** – pvz., „Asmens duomenys – el. pašto adresas“  
- **Rizikos mazgai** – pvz., „Konfidencialumo pažeidimas“

### 2. Santykių tipai

| Santykis | Prasmė |
|----------|--------|
| `ENFORCES` | Valdiklis → Duomenų turtas |
| `MITIGATES` | Valdiklis → Rizika |
| `DERIVED_FROM` | Politika → Valdiklis |

### 3. Grafo praturtinimo kanalas (pseudo‑kodas)

```goat
def ingest_policy(policy_file):
    doc = parse_markdown(policy_file)
    controls = extract_controls(doc)
    for ctrl in controls:
        node = KG.upsert("Control", name=ctrl.name)
        for asset in ctrl.assets:
            asset_node = KG.upsert("DataAsset", name=asset)
            KG.create_rel(node, "ENFORCES", asset_node)
        for risk in ctrl.risks:
            risk_node = KG.upsert("Risk", name=risk)
            KG.create_rel(node, "MITIGATES", risk_node)
```

Grafas auga kartu su naujais reguliavimais; nauji mazgai automatiškai susiejami naudojant leksikinį panašumą ir ontologinį suderinimą.

---

## LLM‑valdomas politikos vertimas

Vertimo variklis veikia dviem etapais:

1. **Užklausos (prompt) generavimas** – Sistema sukurs struktūrizuotą užklausą, kurioje pateikiamas šaltinis punktas, tikslinis rėmo ID ir kontekstiniai apribojimai (pvz., „išlaikyti privalomus audito žurnalo laikymo laikotarpius”).  
2. **Semantinis validavimas** – LLM išvestis peržiūri taisyklių pagrindu veikiantis validatorius, patikrinantis, ar nėra praleistų privalomų sub‑valdiklių, draudžiamų formuluočių ir ar atitinka ilgio apribojimus.

### Pavyzdinė užklausa

```
Išverskite šį vidinį valdiklį į ISO 27001 Annex A.7.2 kalbą, išsaugodami visas rizikos šalinimo dalis.

Valdiklis: “Visa privilegijuota prieiga turi būti peržiūrima ketvirtį ir registruojama su nekeičiama laiko žyme.”
```

LMM sukuria ISO‑atitinkantį punktą, kurį po to indeksuoja atgal į žinių grafiką, sukurdama `TRANSLATES_TO` santykį.

---

## Įrodymų susiejimas ir nekeičiama ledžeris

### Įrodymų centrų integracija

- **Šaltiniai**: CloudTrail žurnalai, S3 inventoriai, pažeidžiamumo skenavimo ataskaitos, trečiųjų šalių patvirtinimai.  
- **Metaduomenų fiksavimas**: SHA‑256 maišas, rinkimo laikas, šaltinio sistema, atitikties žyma.

### Susiejimo srautas

```mermaid
sequenceDiagram
    participant Q as Questionnaire Engine
    participant E as Evidence Hub
    participant L as Ledger
    Q->>E: Prašoma įrodymų valdikliui “RBAC”
    E-->>Q: Įrodymų ID + maišai
    Q->>L: Įrašyti (ControlID, EvidenceHash) porą
    L-->>Q: Merkle įrodymo patvirtinimas
```

Kiekviena (ControlID, EvidenceHash) pora tampa lapine Merkle medžio nodo. Šakninis maišas kasdien pasirašomas aparatūros saugumo modulyje (HSM), suteikdamas auditų specialistams kriptografinį įrodymą, kad pateikti įrodymai atitinka įrašytą būseną.

---

## Real‑time atnaujinimo kilpa

1. **Reguliavimo srautas** surenka naujausius pokyčius (pvz., NIST CSF, ISO atnaujinimus).  
2. **Drift Detector** apskaičiuoja grafų skirtumus; trūkstami `TRANSLATES_TO` santykiai sukelia vertimo užduotį.  
3. **Policy Mapper** momentaliai atnaujina paveiktus klausimynų šablonus.  
4. **Dashboard** praneša atitikties savininkams su rimtumo įvertinimu.

Ši kilpa sumažina „politika‑į‑klausimyną“ vėlavimą nuo savaičių iki sekundžių.

---

## Saugumo ir privatumo svarstymai

| Rizika | Priemonės |
|--------|-----------|
| **Jautrių įrodymų atskleidimas** | Šifruoti duomenis ramybės būsenoje (AES‑256‑GCM); dešifruoti tik saugiame aplinkoje maišų generavimui. |
| **Modelio užklausų nutekėjimas** | Naudoti vietinį LLM arba šifruotą užklausų apdorojimą (OpenAI konfidencialius skaičiavimus). |
| **Ledžerio manipulavimas** | Šakninis maišas pasirašomas HSM; bet koks pakeitimas nulėšia Merkle įrodymą. |
| **Tarpų (tenant) duomenų izoliavimas** | Daugiafunkciniai grafų skyriai su eilutės lygio saugumu; kiekvienam tarpininkui atskiri raktai ledžerio parašams. |
| **Reguliavimo atitiktis** | Sistema pati atitinka GDPR: duomenų minimizavimas, teisė į ištrynimą per grafų mazgų atšaukimą. |

---

## Diegimo scenarijai

| Scenarijus | Mastas | Rekomenduojama infrastruktūra |
|------------|--------|------------------------------|
| **Maža SaaS startuolis** | < 5 rėmai, < 200 politikų | Hosted Neo4j Aura, OpenAI API, AWS Lambda ledžeriui |
| **Vidutinė įmonė** | 10‑15 rėmų, ~1 k politikų | Savarankiškai valdomas Neo4j klasteris, vietinis LLM (Llama 3 70B), Kubernetes mikro‑paslaugoms |
| **Globalus debesų tiekėjas** | 30+ rėmų, > 5 k politikų | Federuoti grafų skaidymai, daugiatiksliai HSM, edge‑cachingu LLM inferencija |

---

## Pagrindiniai privalumai ir ROI

| Metrika | Prieš | Po (pilotinis) |
|---------|-------|----------------|
| **Vidutinis atsakymo laikas į klausimyną** | 3 d. | 2 val. |
| **Politikos kūrimo pastangų (žmogaus valandų/ mėn.)** | 120 h | 30 h |
| **Audito išvadų dažnis** | 12 % | 3 % |
| **Įrodymų pakartotinio panaudojimo santykis** | 0.4 | 0.85 |
| **Atitikties įrankių kaina** | $250 k / met | $95 k / met |

Sumažinus rankinį darbą tiesiogiai išauga greitesnis pardavimų ciklas ir didesnė laimėjimų norma.

---

## Įgyvendinimo kontrolinis sąrašas

1. **Sukurti GitOps politikos saugyklą** (branch protection, PR peržiūros).  
2. **Paleisti Neo4j instanciją** (arba alternatyvų grafų DB).  
3. **Integruoti reguliavimo srautus** (SOC 2, ISO 27001, GDPR, CCPA, HIPAA, PCI‑DSS ir kt.).  
4. **Konfigūruoti LLM inferenciją** (vietinę arba valdomą).  
5. **Įdiegti Evidence Hub jungtis** (žurnalų surinkėjai, skenavimo įrankiai).  
6. **Įgyvendinti Merkle‑medžio ledžerį** (pasirinkti HSM tiekėją).  
7. **Sukurti atitikties skydelį** (React + GraphQL).  
8. **Nustatyti drift detection periodiškumą** (kas valandą).  
9. **Mokyti vidinius peržiūros specialistus** kaip patikrinti ledžerio įrodymus.  
10. **Paleisti pilotinį klausimyną** (pasirinkti nesunkų klientą).  

---

## Ateities patobulinimai

- **Federuoti žinių grafikai**: Dalintis anonimizuotais kontrolės susiejimais tarp pramonės konsorcių be nuosavų politikų atskleidimo.  
- **Generacinė užklausų rinkmena**: Leisti atitikties komandoms publikuoti užklausų šablonus, kurie automatiškai optimizuoja vertimo kokybę.  
- **Saviregeneruojančios politikos**: Sujungti drift detector su sustiprinimo mokymu, kad automatiškai siūlytų politikos patobulinimus.  
- **Zero‑knowledge įrodymai**: Pakeisti Merkle įrodymus į zk‑SNARK, kad dar labiau sustiprintų privatumo garantijas.  

---