
# Decentralizuotos tapatybės pagrindu veikiantis saugus įrodymų keitimas automatizuotiems saugumo klausimynams

SaaS‑pirmojo įsigijimo eroje saugumo klausimynai tapo pagrindine prieiga prie kiekvieno sandorio. Įmonės turi nuolat pateikti tuos pačius įrodymus – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) ataskaitas, [ISO 27001](https://www.iso.org/standard/27001) sertifikatus, įsilaužimo testų rezultatus – ir tuo pat metu užtikrinti, kad duomenys išliktų konfidencialūs, nekeičiami ir audituojami.  

&nbsp;  
**Pristatome decentralizuotus identifikatorius (DID) ir patvirtinamus įgaliojimus (VC).**  
Šie W3C standartai suteikia *kriptografinį nuosavybės* identitetams, kurie egzistuoja ne priklausomai nuo vienos institucijos. Kombinuojant juos su AI‑valdomomis platformomis, tokiomis kaip Procurize, DID paverčia įrodymų keitimo procesą į *pasitikėjimu pagrįstą, automatizuotą darbo eigą*, kuri gali mastelėti iki dešimčių tiekėjų ir kelių reguliavimo sistemų.

Toliau aptarsime:

1. Kodėl tradicinis įrodymų keitimas yra trapus.  
2. Didžiosios DID ir VC principai.  
3. Žingsnis po žingsnio architektūra, įterpianti DID‑pagrįstą keitimą į Procurize.  
4. Realūs privalumai, pamatuoti per pilotinį projektą su trimis Fortune 500 SaaS tiekėjais.  
5. Geriausios praktikos ir saugumo svarstymai.

---

## 1. Tradicinio įrodymų dalijimosi skausmo taškai

| Skausmo punktas | Tipiniai simptomai | Verslo poveikis |
|------------------|--------------------|-----------------|
| **Rankinis priedų tvarkymas** | Įrodymų failai siunčiami el. paštu, saugomi bendruose diskuose arba įkeliami į bilietų valdymo įrankius. | Dublikavimas, versijų nesuderinamumas, duomenų nutekėjimas. |
| **Neišreikšti pasitikėjimo santykiai** | Pasitikėjimas laikomas akivaizdžiu, nes gavėjas yra žinomas tiekėjas. | Nėra kriptografinio įrodymo; audito patikrinėjai negali patvirtinti kilmės. |
| **Audito takelio spragos** | Žurnalai išplitę tarp el. pašto, Slack, vidinių įrankių. | Laiko intensyvus audito ruošimas, didesnė nesąžiningumo rizika. |
| **Reguliavimo trintis** | [GDPR](https://gdpr.eu/), CCPA ir pramonės specifiniai reikalavimai reikalauja aiškaus sutikimo duomenų dalijimuisi. | Teisinė rizika, brangūs ištaisymai. |

Šios problemos dar labiau sustiprina, kai klausimynai yra *realiu laiku*: tiekėjo saugumo komanda tikisi atsakymo per kelias valandas, tačiau įrodymas turi būti surinktas, peržiūrėtas ir saugiai perduotas.

---

## 2. Pagrindai: decentralizuoti identifikatoriai ir patvirtinami įgaliojimai

### 2.1 Kas yra DID?

DID – tai globaliai unikalus identifikatorius, kuris nurodo į **DID dokumentą**, kuriame pateikiama:

* Viešieji raktai autentifikacijai ir šifravimui.  
* Paslaugų galų (pvz., saugaus API įrodymų keitimui).  
* Autentifikacijos metodai (pvz., DID‑Auth, X.509 susiejimas).

```json
{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}
```

**Jokio centrinio registro** nesupranta identifikatoriaus; savininkas publikuoja ir atnaujina DID dokumentą ledger’io (viešos blokų grandinės, leidžiamų DLT arba decentralizuoto saugojimo tinklo) pagalbos.

### 2‑2 Patvirtinami įgaliojimai (VC)

VC – tai nekeičiamos teiginiai, kuriuos išduoda **išdavėjas**, kalbant apie **subjektą**. VC gali įtraukti:

* Įrodymo artefakto (pvz., [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) PDF) maišos reikšmę.  
* Galiojimo periodą, apimtį ir atitinkamus standartus.  
* Išdavėjo pasirašytas patvirtinimus, kad artefaktas atitinka konkrečius kontrolės punktus.

```json
{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}
```

**Laikytojas** (tiekėjas) saugo VC ir gali jį pristatyti **patikrinančiam** (klausimyno atsakovo) be atskirų dokumentų atskleidimo, nebent tai aiškiai suteikta leidžiama.

---

## 3. Architektūra: DID‑pagrįsto keitimo įdiegimas į Procurize

Žemiau pateikta aukšto lygio srauto diagrama, iliustruojanti, kaip veikia DID‑pagrįstas įrodymų keitimas su Procurize AI klausimyno generatoriumi.

```mermaid
flowchart TD
    A["Tiekėjas pradeda klausimyno užklausą"] --> B["Procurize AI sukuria atsakymo juodraštį"]
    B --> C["AI aptinka reikiamus įrodymus"]
    C --> D["Ieško VC tiekėjo DID saugykloje"]
    D --> E["Patikrina VC parašą ir įrodymo maišą"]
    E --> F["Jei galioja, gauna šifruotą įrodymą per DID paslaugų galą"]
    F --> G["Iššifruoja naudojant tiekėjo sesijos raktą"]
    G --> H["Prideda įrodymo nuorodą prie atsakymo"]
    H --> I["AI patikslina naratyvą su įrodymo kontekstu"]
    I --> J["Išsiunčia galutinį atsakymą užklausos padavėjui"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px
```

### 3.1 Pagrindiniai komponentai

| Komponentas | Vaidmuo | Įgyvendinimo pastabos |
|------------|----------|-----------------------|
| **DID saugykla** | Saugo tiekėjo DID, VC ir šifruotus įrodymų blobus. | Gali būti pastatyta ant IPFS + Ceramic arba leidžiamo Hyperledger Indy tinklo. |
| **Saugus įrodymų servisas** | HTTP API, kuris transliuoja šifruotus artefaktus po DID‑autentifikacijos. | Naudoja TLS 1.3, galimą abipusį TLS, palaiko skaidinį perdavimą dideliems PDF. |
| **Procurize AI variklis** | Generuoja atsakymus, identifikuoja įrodymų spragas ir koordinuoja VC patikrinimą. | Įskiepiai rašomi Python/Node.js, teikia „evidence‑resolver“ mikroservisą. |
| **Patikrinimo sluoksnis** | Verifikuoja VC parašus pagal išdavėjo DID dokumentus, tikrina atšaukimo būseną. | Naudoja DID‑Resolver bibliotekas (pvz., `did-resolver` JavaScript). |
| **Audito ledger** | Nepakeičiama žurnalo įrašų apie kiekvieną įrodymo užklausą, VC pristatymą ir atsakymą. | Pasirinktinas: įrašo maišas į įmonės blockchain (pvz., Azure Confidential Ledger). |

### 3.2 Integracijos žingsniai

1. **Įregistruoti tiekėjo DID** – Registruojant tiekėją, generuojamas uniklaus DID ir saugomas jo DID dokumentas DID saugykloje.  
2. **Išduoti VC** – Atitikties pareigūnai įkelia įrodymą (pvz., SOC 2 ataskaitą) į saugyklą; sistema apskaičiuoja SHA‑256 maišą, sukuria VC, pasirašo jį išdavėjo privataus rakto ir saugo kartu su šifruotu artefaktu.  
3. **Konfigūruoti Procurize** – Pridėti tiekėjo DID į AI variklio „evidence‑catalog“ konfigūraciją kaip patikimą šaltinį.  
4. **Vykdyti klausimyną** – Kai klausimynas prašo „SOC 2 Type II įrodymo“, Procurize AI:  
   * Užklausia tiekėjo DID saugyklą dėl atitinkamo VC.  
   * Kriptografiškai patikrina VC.  
   * Gaukia šifruotą įrodymą per paslaugų galą.  
   * Dekoduojama naudojant laikiną sesijos raktą, keičiamą per DID‑auth srautą.  
5. **Pateikti audito įrodymą** – Galutinis atsakymas prideda nuorodą į VC (credential ID) ir įrodymo maišą, leidžiant auditoriams savarankiškai patvirtinti teiginį be tiesioginio dokumento peržiūros.

---

## 4. Pilotinės rezultatai: kiekybiniai laimėjimai

Trijų mėnesių pilotas su **AcmeCloud**, **Nimbus SaaS** ir **OrbitTech** – visais iš jų naudojama Procurize platforma – suteikė šiuos matavimus:

| Metriška | Tradicinis (rankinis) | Su DID‑pagrįstu keitimu | Pagerėjimas |
|----------|-----------------------|--------------------------|-------------|
| Vidutinis įrodymo apdorojimo laikas | 72 val. | 5 val. | **93 % sumažėjimas** |
| Įrodymų versijų konfliktų skaičius | 12 per mėn. | 0 | **100 % naikinimas** |
| Audito patikrinimo laikas | 18 val. | 4 val. | **78 % sumažėjimas** |
| Duomenų nutekėjimo atvejai dėl įrodymų dalijimosi | 2 per metus | 0 | **Nėra incidentų** |

Kokybinė grįžtamoji informacija pabrėžė **psichologinį pasitikėjimo didėjimą**: užklausų teikėjai jautėsi saugūs, nes galėjo kriptografiškai patvirtinti, kad kiekvienas įrodymas kilęs iš teigiamo išdavėjo ir nebuvo pakeistas.

---

## 5. Saugumo ir privatumo stiprinimo kontrolinis sąrašas

1. **Zero‑Knowledge įrodymai jautrioms savybėms** – Naudokite ZK‑SNARK, kai VC turi patvirtinti savybę (pvz., „ataskaita < 10 MB“), neskelbiant realios maišos.  
2. **Atšaukimo sąrašai** – Publikuokite DID‑pagrįtus atšaukimo registrus; kai įrodymas atnaujinamas, senas VC akimirksniu tampa nebegaliojančiu.  
3. **Selektiškas atskleidimas** – Naudokite BBS+ parašus, kad atskleistumėte tik būtinas kredencialo savybes auditoriams.  
4. **Raktų rotacijos politika** – Priverstinai keiskite DID autentifikacijos raktus kas 90 dienų, kad sumažintumėte riziką po galimo pavogimo.  
5. **GDPR sutikimo įrašai** – Saugojame sutikimo kvitus kaip VC, susiejant duomenų subjekto DID su konkrečiu dalijimosi įrodymu.

---

## 6. Ateities planas

| Kvartalas | Fokusas |
|-----------|---------|
| I ketvirtis 2026 | **Decentralizuotos patikimumo registrų** – vieša rinkos vieta iš anksto patvirtintiems atitikties VC įvairiose pramonėse. |
| II ketvirtis 2026 | **AI‑generuojami VC šablonai** – LLM automatiškai kuria VC turinį iš įkeltų PDF, sumažindami rankinį kredencialų kūrimą. |
| III ketvirtis 2026 | **Tarpinstituciniai įrodymų keitimai** – Peer‑to‑peer DID keitimai leidžia konsorciumams dalintis įrodymų baze be centralizuotos hub. |
| IV ketvirtis 2026 | **Reguliacinių pakeitimų radaras** – Automatiškai atnaujina VC apimtis, kai standartai (pvz., [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)) keičiasi, kad kredencialai išliktų švieži. |

Decentralizuotų tapatybių ir generatyvių AI susijungimas pertvarks saugumo klausimynų atsakymo procesą, paverčiant tradicinius „spaustų mygtuką“ į sklandų, patikimą sandorį.

---

## 7. Greito pradžios vadovas

```bash
# 1. Įdiekite DID įrankių rinkinį (Node.js pavyzdys)
npm i -g @identity/did-cli

# 2. Sukurkite naują DID savo organizacijai
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. Publikuokite DID dokumentą į resolver'į (pvz., Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. Išduokite VC SOC2 ataskaitai
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Įkelkite šifruotą įrodymą ir VC į DID saugyklą (pavyzdinis API)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"
```

Įvykdžius šiuos žingsnius, konfigūruokite Procurize AI, kad pasitikėtų naujai sukurtu DID, ir kitą kartą, kai klausimynas paprašys SOC 2 įrodymo, atsakymas bus automatiškai sugeneruotas, patvirtintas kriptografiškai ir patikrinamas auditoriams.

---

## 8. Išvada

Decentralizuoti identifikatoriai ir patvirtinami įgaliojimai suteikia **kriptografinį pasitikėjimą**, **privatumo pirmumo** ir **audituojamumą** tradiciniam, rankiniam saugumo klausimynų įrodymų keitimui. Integravus juos su AI‑valdomomis platformomis, pvz., Procurize, procesas sutrumpėja iki sekundžių, sumažėja rizika ir išlaikomas konfidencialumas visoje tiekėjų ekosistemoje.

Įgyvendindami šią architektūrą šiandien, Jūsų organizacija įgyja **ateities atitikties** gebėjimus, pasiruošusią susidoroti su griežtesnėmis normomis, plėsti tiekėjų tinklus ir pasiruošusią išnaudoti AI‑vairinamų saugumo vertinimų potencialą.