
# Naudojant dirbtinio intelekto žinių grafikus siekiant sujungti saugumo kontrolės priemones, politiką ir įrodymus

Skaitydami greitai besikeičiančią SaaS saugumo sritį, komandos susiduria su dešimtimų standartų – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [GDPR](https://gdpr.eu/), ir specifiniais pramonės standartais – tuo pat metu gaudamos begalines saugumo klausimynų užklausas iš potencialių klientų, auditų bei partnerių. Didžiulė susikertančių kontrolės priemonių, dubliuotų politikų ir išsklaidytų įrodymų apimtis sukelia **žinių silos problemą**, kuri kainuoja tiek laiką, tiek pinigus.

Į šią erdvę įžengia **AI valdomas žinių grafikas**. Paverčiant įvairius atitikties artefaktus gyvu, užklausiamu tinklu, organizacijos gali automatiškai iškelti reikiamą kontrolės priemonę, gauti tikslius įrodymus ir sukurti tikslius klausimyno atsakymus per kelias sekundes. Šiame straipsnyje plačiai apžvelgsime konceptą, techninius bloką ir praktinius žingsnius, kaip įdiegti žinių grafiką Procurize platformoje.

---

## Kodėl tradiciniai metodai nepavyksta

| Problema | Įprastas metodas | Paslėpta kaina |
|------------|---------------------|-------------|
| Kontrolės susiejimas | Rankiniai skaičiuoklių lapai | Valandų dubliavimas per ketvirtį |
| Įrodymų gavimas | Aplankų paieška + pavadinimų konvencijos | Praleisti dokumentai, versijų svyravimai |
| Kelių sistemų nuoseklumas | Atskiri kontroliniai sąrašai kiekvienai sistemai | Nenuoseklūs atsakymai, audito išvados |
| Naujų standartų mastelio didinimas | Kopijuoti ir įklijuoti esamas politikas | Žmogaus klaidos, sulaužyta sekimo galimybė |

Netgi turint patikimas dokumentų saugyklas, **semantinių santykių** trūkumas verčia komandas nuolat atsakyti į tą patį klausimą šiek tiek skirtingomis formuluotėmis kiekvienam standarto reikalavimui. Tai sukelia neveiksmų grįžtamąją kilpą, stabdančią sandorius ir sumažinančią pasitikėjimą.

---

## Kas yra AI valdomas žinių grafikas?

Žinių grafikas yra **grafų duomenų modelis**, kuriame objektai (mazgai) susiję ryšiais (briaunomis). Atitikties srityje mazgai gali atstovauti:

* **Saugumo kontrolės priemonės** (pvz., „Šifravimas poilsio metu“)
* **Politikos dokumentai** (pvz., „Duomenų saugojimo politika v3.2“)
* **Įrodymų artefaktai** (pvz., „AWS KMS raktų rotacijos žurnalas“)
* **Reguliavimo reikalavimai** (pvz., „PCI‑DSS reikalavimas 3.4“)

AI prideda du svarbius sluoksnius:

1. **Objektų išskyrimas ir susiejimas** – Dideli kalbos modeliai (LLM) skenuoja neapdorotą politikos tekstą, debesų konfigūracijos failus ir audito žurnalus, kad automatiškai sukurtų mazgus ir pasiūlytų ryšius.  
2. **Semantinis samprotavimas** – Grafų neuroniniai tinklai (GNN) numato trūkstamus ryšius, aptinka prieštaravimus ir siūlo atnaujinimus, kai standartai keičiasi.

Rezultatas – **gyvas žemėlapis**, kuris auga su kiekvienu nauju politika ar įrodymų įkėlimu, suteikdamas momentalius, kontekstinius atsakymus.

---

## Pagrindinė architektūros apžvalga

```mermaid
graph LR
    A["Raw Source Files"] -->|LLM Extraction| B["Entity Extraction Service"]
    B --> C["Graph Ingestion Layer"]
    C --> D["Neo4j Knowledge Graph"]
    D --> E["Semantic Reasoning Engine"]
    E --> F["Query API"]
    F --> G["Procurize UI"]
    G --> H["Automated Questionnaire Generator"]
    style D fill:#e8f4ff,stroke:#005b96,stroke-width:2px
    style E fill:#f0fff0,stroke:#2a7d2a,stroke-width:2px
```

* **Neapdoroti šaltinio failai** – Politikos, konfigūracija kaip kodas, žurnalo archyvai ir ankstesni klausimyno atsakymai.  
* **Objektų išskyrimo paslauga** – LLM valdomas procesas, žymintis kontrolės priemones, nuorodas ir įrodymus.  
* **Grafų įkėlimo sluoksnis** – Paverčia išgautus objektus į mazgus ir briaunas, tvarkydamas versijavimą.  
* **Neo4j žinių grafikas** – Pasirinktas dėl ACID garantijų ir natūralios grafo užklausų kalbos (Cypher).  
* **Semantinio sampratų variklis** – Naudoja GNN modelius, kad pasiūlytų trūkstamus ryšius ir konfliktų įspėjimus.  
* **Užklausų API** – Pateikia GraphQL galinius taškus realaus laiko paieškoms.  
* **Procurize UI** – Priekinės dalies komponentas, kuris vizualizuoja susijusias kontrolės priemones ir įrodymus ruošiant atsakymus.  
* **Automatizuotas klausimyno generatorius** – Naudoja užklausų rezultatus, kad automatiškai užpildytų saugumo klausimynus.

---

## Žingsnis po žingsnio įgyvendinimo gidas

### 1. Inventorizuokite visus atitikties artefaktus

| Artefakto tipas | Tipinė vieta | Pavyzdys |
|-----------------|--------------|----------|
| Politikos | Confluence, Git | `security/policies/data-retention.md` |
| Kontrolės matrica | Excel, Smartsheet | `SOC2_controls.xlsx` |
| Įrodymai | S3 kibiras, vidinis diskas | `evidence/aws/kms-rotation-2024.pdf` |
| Ankstesni klausimynai | Procurize, Drive | `questionnaires/2023-aws-vendor.csv` |

### 2. Įdiekite objektų išskyrimo paslaugą

1. **Pasirinkite LLM** – OpenAI GPT‑4o, Anthropic Claude 3 arba vietinis LLaMA modelis.  
2. **Promptų kūrimas** – Sukurkite promptus, kurie gražina JSON su laukais: `entity_type`, `name`, `source_file`, `confidence`.  
3. **Paleiskite planuotoju** – Naudokite Airflow arba Prefect, kad naktinis apdorotumėte naujus/atnaujintus failus.  

> **Patarimas:** Naudokite pasirinktinį *objektų žodyną*, kuris yra įpildytas standartiniais kontrolės pavadinimais (pvz., „Prieigos kontrolė – mažiausia privilegija“), kad pagerintumėte išskyrimo tikslumą.

### 3. Įkelkite į Neo4j

```cypher
UNWIND $entities AS e
MERGE (n:Entity {uid: e.id})
SET n.type = e.type,
    n.name = e.name,
    n.source = e.source,
    n.confidence = e.confidence,
    n.last_seen = timestamp()
```

```cypher
MATCH (c:Entity {type:'Control', name:e.control_name}),
      (p:Entity {type:'Policy', name:e.policy_name})
MERGE (c)-[:IMPLEMENTED_BY]->(p)
```

### 4. Pridėkite semantinį samprotavimą

* Išmokykite **Grafų neuroninį tinklą** su žymėtu potinkliu, kuriame santykiai yra žinomi.  
* Naudokite modelį numatyti kraštus, pvz., `EVIDENCE_FOR`, `ALIGNED_WITH` arba `CONFLICTS_WITH`.  
* Suplanuokite naktinį darbą, kuris žymi aukštos tikimybės prognozes žmogaus peržiūrai.

### 5. Pateikite užklausų API

```graphql
query ControlsForRequirement($reqId: ID!) {
  requirement(id: $reqId) {
    name
    implements {
      ... on Control {
        name
        policies { name }
        evidence { name url }
      }
    }
  }
}
```

### 6. Integruokite su Procurize klausimyno kūrimo įrankiu

1. Pridėkite mygtuką **„Žinių grafiko paieška“** šalia kiekvieno atsakymo lauko.  
2. Paspaudus, UI siunčia reikalavimo ID į GraphQL API.  
3. Rezultatai automatiškai užpildo atsakymo teksto lauką ir prideda įrodymų PDF failus.  
4. Komandos vis dar gali redaguoti arba pridėti komentarus, tačiau pradinė informacija generuojama per kelias sekundes.

---

## Realūs privalumai

| Matas | Prieš žinių grafiką | Po žinių grafiko |
|-------|---------------------|-------------------|
| Vidutinis klausimyno atlikimo laikas | 7 dienos | 1,2 dienos |
| Rankinė įrodymų paieškos laikas per atsakymą | 45 min | 3 min |
| Dubliuotų politikų skaičius tarp sistemų | 12 failų | 3 failų |
| Audito išvados rodiklis (kontrolės spragos) | 8 % | 2 % |

Vidutinio dydžio SaaS startuolis pranešė apie **70 % sumažėjimą** saugumo peržiūros ciklo laiko po įdiegimo, tai virsta greitesniais uždarytais sandoriais ir matomu partnerių pasitikėjimo padidėjimu.

---

## Geriausios praktikos ir spąstai

### Geriausia praktika

| Geriausia praktika | Kodėl tai svarbu |
|--------------------|------------------|
| **Versijuoti mazgai** – Laikykite `valid_from` / `valid_to` žymėjimą kiekviename mazge. | Leidžia kurti istorinius auditų takus ir atitikti retroaktyvių reguliavimo pakeitimų reikalavimus. |
| **Žmogaus ciklo peržiūra** – Žymėkite mažos tikimybės kraštus rankinei patikrai. | Apsaugo nuo AI „haliucinacijų“, kurios galėtų sukelti neteisingus klausimyno atsakymus. |
| **Priėjimo kontrolės grafuose** – Naudokite rolės pagrindu paremtas teises (RBAC) Neo4j. | Užtikrina, kad tik įgalioti asmenys gali matyti jautrius įrodymus. |
| **Nuolatinis mokymasis** – Grąžinkite patikrintas sąsajas atgal į GNN mokymo rinkinį. | Pagerina prognozės kokybę laikui bėgant. |

### Dažni spąstai

| Dažnas spąstas |
|----------------|
| **Per didelis pasikliaujimas LLM išskyrimu** – Žali PDF dažnai turi lenteles, kurias LLM klaidingai interpretuoja; papildykite OCR ir taisyklėmis pagrįstais analizatoriais. |
| **Grafų perteklius** – Nekontroliuojamas mazgų kūrimas sukelia našumo nuosmukį. Įgyvendinkite išvalymo politiką pasenusiems artefaktams. |
| **Valdymo nepaisymas** – Be aiškaus duomenų nuosavybės modelio, grafas gali tapti „juodu dėžutės“. Nustatykite atitikties duomenų tvarkytojo rolę. |

---

## Ateities kryptys

1. **Kryžminiai organizacijų federaciniai grafai** – Dalinkitės anonimizuotais kontrolės įrodymų susiejimais su partneriais, išlaikydami duomenų privatumą.  
2. **Reguliavimo valdomi automatiniai atnaujinimai** – Įkelkite oficialius standartų atnaujinimus (pvz., ISO 27001:2025) ir leiskite sampratų varikliui pasiūlyti reikalingus politikos pakeitimus.  
3. **Natūralios kalbos užklausų sąsaja** – Leiskite saugumo analitikams įvesti „Parodykite visus įrodymus šifravimo kontrolėms, kurios atitinka GDPR 32 straipsnį“ ir gauti momentalius rezultatus.  

Traktuojant atitiktį kaip **tinklo žinių problemą**, organizacijos atveria naują efektyvumo, tikslumo ir pasitikėjimo lygį kiekviename saugumo klausimyne.

---

## Žr. taip pat

- [NIST kibernetinio saugumo struktūra – Susiejimas su ISO ir SOC 2](https://www.nist.gov/cybersecurity-framework)  
- [Grafų neuroniniai tinklai žinių grafų užpildymui (arXiv)](https://arxiv.org/abs/2003.00764)