
# Dirbtinio intelekto pagrindu veikianti dinaminė įrodymų orkestracija įsigijimo saugumo klausimynams

## Kodėl tradicinė klausimynų automatizacija strigsta

Saugumo klausimynai — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) ir dešimtai tiekėjų specifinių formų — yra B2B SaaS sandorių vartai.  
Dauguma organizacijų vis dar pasikliauja **rankiniu kopijavimo‑ir‑įklijavimo** darbo procesu:

1. **Rasti** atitinkamą politikos arba kontrolės dokumentą.  
2. **Išgauti** tikslią punktą, kuris atsako į klausimą.  
3. **Įklijuoti** į klausimyną, dažnai po greito redagavimo.  
4. **Sekti** versiją, peržiūrėtoją ir audito taką atskirame skaičiuoklės lape.

Trūkumai yra gerai dokumentuoti:

* **Laiko reikalaujantis** – vidutinis 30 klausimų klausimyno atsakymo laikas viršija 5 dienas.  
* **Žmogaus klaidos** – neatitikę punktai, pasenę nuorodos ir kopijavimo‑įklijavimo klaidos.  
* **Atitikties nuokrypis** – kai politikos keičiasi, atsakymai tampa pasenę, atskleidžiant organizaciją auditų rezultatams.  
* **Nėra kilmės** – auditoriai negali matyti aiškaus ryšio tarp atsakymo ir pagrindinio kontrolės įrodymo.

Procurize **Dinaminė Įrodymų Orkestracija (DEO)** sprendžia kiekvieną iš šių problemų naudodama AI‑pirmą, grafų valdomą variklį, kuris nuolat mokosi, patikrina ir atnaujina atsakymus realiu laiku.

## Pagrindinė Dinaminės Įrodymų Orkestracijos architektūra

Aukšto lygio perspektyvoje DEO yra **mikroservisų orkestracijos sluoksnis**, kuris tarpininkauja tarp trijų pagrindinių domenų:

* **Policy Knowledge Graph (PKG)** – semantinis grafas, modeliuojantis kontrolės punktus, sekcijas, įrodymų artefaktus ir jų tarpusavio ryšius per skirtingus struktūros rėmus.  
* **LLM‑Powered Retrieval‑Augmented Generation (RAG)** – didelis kalbos modelis, kuris iš PKG išgauna labiausiai tinkamus įrodymus ir generuoja patikslintą atsakymą.  
* **Workflow Engine** – realaus laiko užduočių valdytojas, kuris paskirsto atsakomybę, fiksuoja recenzentų komentarus ir registruoja kilmę.

The following Mermaid diagram visualizes the data flow:

```mermaid
graph LR
    A["Questionnaire Input"] --> B["Question Parser"]
    B --> C["RAG Engine"]
    C --> D["PKG Query Layer"]
    D --> E["Evidence Candidate Set"]
    E --> F["Scoring & Ranking"]
    F --> G["Draft Answer Generation"]
    G --> H["Human Review Loop"]
    H --> I["Answer Approval"]
    I --> J["Answer Persisted"]
    J --> K["Audit Trail Ledger"]
    style H fill:#f9f,stroke:#333,stroke-width:2px
```

### 1. Policy Knowledge Graph (PKG)

* **Mazgo** (Nodes) atstovauja kontrolės punktus, sekcijas, įrodymų failus (PDF, CSV, kodo saugyklą) ir reguliavimo struktūras.  
* **Kraštai** (Edges) užfiksuoja santykius, pvz., *„įgyvendina“, „referuoja“, „atnaujina“*.  
* PKG yra **inkrementiškai atnaujinamas** naudojant automatizuotus dokumentų įsisavinimo kanalus (DocAI, OCR, Git hook’ų).

### 2. Retrieval‑Augmented Generation

* LLM gauna **klausimo tekstą** ir **konteksto langą**, sudarytą iš top‑k įrodymų kandidatų, grąžintų iš PKG.  
* Naudodamas RAG, modelis sukuria glaustą, atitinkamą atsakymą, išlaikydamas **citatas** kaip „markdown“ išnašas.

### 3. Real‑Time Workflow Engine

* Paskiria juodraštį **srities ekspertui** (SME) pagal **rolės pagrindu paremtą paskirstymą** (pvz., saugumo inžinierius, juridinis patarėjas).  
* Fiksuoja **komentų gijas** ir **versijų istoriją**, tiesiogiai pridėtą prie atsakymo mazgo PKG, užtikrinant nekeičiama audito taką.

## Kaip DEO pagerina greitį ir tikslumą

| Metrika | Tradicinis procesas | DEO (Pilot) |
|--------|---------------------|------------|
| Vidutinis laikas per klausimą | 4 valandos | 12 minučių |
| Rankiniai kopijavimo‑įklijavimo žingsniai | 5+ | 1 (auto‑populate) |
| Atsakymo teisingumas (auditų sėkmė) | 78 % | 96 % |
| Kilmės išsamumas | 30 % | 100 % |

Pagalbiniai veiksniai, lemiančios patobulinimą:

* **Momentinis įrodymų išgavimas** — grafų užklausa išsprendžia tikslią sekciją per < 200 ms.  
* **Konteksto‑sąmoningas generavimas** — LLM išvengia „halucinacijų“, pagrindamas atsakymus tikrais įrodymais.  
* **Nuolatinis patikrinimas** — politikos nuokrypių detektoriai signalizuoja apie pasenusius įrodymus dar prieš pasiekiant recenzentą.

## Įgyvendinimo planas įmonėms

1. **Dokumentų įsisavinimas**  
   * Prijunkite esamus politikos saugyklų (Confluence, SharePoint, Git).  
   * Vykdykite DocAI kanalus, kad išgautumėte struktūruotas sekcijas.

2. **PKG pradinis įkrovimas**  
   * Užpildykite grafiką mazgais kiekvienam struktūros rėmui ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) ir t.t.).  
   * Apibrėžkite kraštų taksonomiją (įgyvendina → kontrolės, referuoja → politikos).

3. **LLM integracija**  
   * Įdiekite pritaikytą LLM (pvz., GPT‑4o) su RAG adapteriais.  
   * Nustatykite konteksto lango dydį (k = 5 įrodymų kandidatai).

4. **Darbo eigos pritaikymas**  
   * Susiekite SME roles su grafų mazgais.  
   * Nustatykite Slack/Teams bot'us realaus laiko pranešimams.

5. **Pilotinis klausimynas**  
   * Įvykdykite nedidelį tiekėjų klausimynių rinkinį (≤ 20 klausimų).  
   * Fiksuokite metrikas: laikas, redagavimų skaičius, auditų atsiliepimai.

6. **Iteratyvus mokymasis**  
   * Grąžinkite recenzentų pataisas į RAG mokymo ciklą.  
   * Atnaujinkite PKG kraštų svorius pagal naudojimo dažnumą.

## Geriausios praktikos tvariam orkestravimui

* **Išlaikyti vienintelį tiesos šaltinį** – niekada nenaudokite įrodymų už PKG ribų; naudokite tik nuorodas.  
* **Versijų kontrolė politikų** – traktuokite kiekvieną sekciją kaip Git stebimą artefaktą; PKG įrašo „commit“ hash.  
* **Pasinaudokite politikos nuokrypio pranešimais** – automatiniai įspėjimai, kai kontrolės paskutinio pakeitimo data viršija atitikties slenkstį.  
* **Auditui paruoštos išnašos** – įgyvendinkite citavimo stilių, kuriame yra mazgo ID (pvz., `[evidence:1234]`).  
* **Privatumo pirmumo principas** – šifruokite įrodymų failus ramybės būdu ir naudokite nulinės žinios įrodymo patikrinimus konfidencialiems tiekėjo klausimams.

## Ateities patobulinimai

* **Federuotas mokymasis** – dalinkitės anonimizuotais modelio atnaujinimais tarp daugelio Procurize klientų, kad pagerintumėte įrodymų reitingavimą neatskleidžiant nuosavų politikų.  
* **Nulinės žinios įrodymo integracija** – leiskite tiekėjams patikrinti atsakymo integralumą neatskleidžiant pagrindinių įrodymų.  
* **Dinaminio pasitikėjimo balų skydelis** – sujungkite atsakymo vėlą, įrodymų šviežumą ir auditų rezultatus į realaus laiko rizikos šiltnamį.  
* **Balso pirmumo asistentas** – leiskite SME patvirtinti arba atmesti sugeneruotus atsakymus natūralios kalbos komandomis.

## Išvados

Dinaminė Įrodymų Orkestracija perkuria, kaip atsakomi įsigijimo saugumo klausimynai. Sujungdama **semantinį politikos grafą** su **LLM‑valdomu RAG** ir **realio laiko darbo eigos varikliu**, Procurize pašalina rankinį kopijavimą‑įklijavimą, užtikrina kilmės tikslumą ir ženkliai sumažina atsakymo laiką. Bet kuriai SaaS organizacijai, siekiančiai pagreitinti sandorius ir išlikti auditui paruošusiai, DEO yra logiškas kitas žingsnis atitikties automatizacijos kelionėje.