
# Realio laiko grėsmių žvalgybos integravimas su dirbtiniu intelektu automatizuoti saugumo klausimynų atsakymams  

Saugumo klausimynai yra vieni iš laiko imliausių dokumentų SaaS tiekėjo rizikos valdyme. Jie reikalauja nuolat atnaujintos informacijos apie duomenų apsaugą, incidentų reagavimą, pažeidžiamumų valdymą ir, vis dažniau, apie **dabartinę grėsmių aplinką**, kuri galėtų paveikti teikėją. Tradiciškai saugumo komandos kopijuoja ir įklijuoja statines politikas bei rankiniu būdu atnaujina rizikos teiginius kiekvieną kartą, kai išryškėja naujas pažeidžiamumas. Šis požiūris yra linkęs į klaidas ir pernelyg lėtas šiuolaikinėms pirkimo ciklams, kurie dažnai užsidaro per kelias dienas.

**Procurize** jau automatizuoja duomenų rinkimą, organizavimą ir AI‑generuojamų klausimynų atsakymų kūrimą. Kitas žingsnis – **įterpti tiesioginę grėsmių žvalgybą** į generavimo procesą, kad kiekvienas atsakymas atspindėtų naujausią rizikos kontekstą. Šiame straipsnyje:

* Paaiškinsime, kodėl statiniai atsakymai 2025 m. yra rizika.  
* Apžvelgsime architektūrą, kuri sujungia grėsmių žvalgybos srautus, žinių grafą ir didelių kalbų modelio (LLM) kvietimus.  
* Parodysime, kaip sukurti **atsakymo validacijos taisykles**, kurios išlaikytų AI išvestį atitinkančią atitikties standartus.  
* Pateiksime žingsnis po žingsnio diegimo vadovą komandų, naudojančių Procurize.  
* Aptarsime matuojamus privalumus ir galimas klaidas.  

---

## 1. Problema su pasenusiomis klausimyno atsakymų šablonais  

| Problema | Poveikis tiekėjo rizikos valdymui |
|----------|------------------------------------|
| **Reguliacinis nuokrypis** – Politikos, sukurtos iki naujos regulacijos, gali nebūti suderintos su [GDPR](https://gdpr.eu/) arba [CCPA](https://oag.ca.gov/privacy/ccpa) atnaujinimais. | Didesnė tikimybė gauti audito pastabas. |
| **Nauji pažeidžiamumo atvejai** – Kritinis CVE, atrastas po paskutinės politikos peržiūros, daro atsakymą netikslų. | Klientai gali atmesi pasiūlymą. |
| **Besikeičiančios grėsmių aktorių TTP** – Atakų technikos evoliucionuoja greičiau nei ketvirtiniai politikos peržiūros ciklai. | Silpnina patikimumą teikėjo saugumo požiūriui. |
| **Rankinis perdirbimas** – Saugumo komandoms tenka ieškoti kiekvienos pasenusios eilutės. | Švaisto inžinierių valandas ir sulėtina pardavimų ciklus. |

Statiniai atsakymai tampa paslėpta rizika. Tikslas – padaryti kiekvieną klausimyno atsakymą **dinamišką**, **įrodymais pagrįstą** ir **nuolat patikrintą** pagal šiandienos grėsmių duomenis.

---

## 2. Architektūrinė schema  

Žemiau pateikiamas aukšto lygio Mermaid diagramos, kuri iliustruoja duomenų srautą nuo išorinių grėsmių žvalgybos iki AI‑generuoto atsakymo, paruošto eksportavimui iš Procurize.

```mermaid
graph TD
    A["Live Threat Intel Feeds"]:::source --> B["Normalization & Enrichment"]:::process
    B --> C["Threat Knowledge Graph"]:::store
    D["Policy & Control Repository"]:::store --> E["Context Builder"]:::process
    C --> E
    E --> F["LLM Prompt Engine"]:::engine
    G["Questionnaire Metadata"]:::source --> F
    F --> H["AI‑Generated Draft"]:::output
    H --> I["Answer Validation Rules"]:::process
    I --> J["Approved Response"]:::output
    J --> K["Procurize Dashboard"]:::ui

    classDef source fill:#f9f,stroke:#333,stroke-width:2px;
    classDef process fill:#bbf,stroke:#333,stroke-width:2px;
    classDef store fill:#bfb,stroke:#333,stroke-width:2px;
    classDef engine fill:#ffb,stroke:#333,stroke-width:2px;
    classDef output fill:#fbf,stroke:#333,stroke-width:2px;
    classDef ui fill:#f66,stroke:#333,stroke-width:2px;
```

**Pagrindinės dalys**

1. **Live Threat Intel Feeds** – API iš tokių servisų kaip AbuseIPDB, OpenCTI arba komercinių tiekėjų.  
2. **Normalization & Enrichment** – Normalizuoja duomenų formatus, papildo IP geografine vietove, susieja CVE su CVSS balais ir žymi ATT&CK technikas.  
3. **Threat Knowledge Graph** – Neo4j arba JanusGraph saugykla, susiejanti pažeidžiamumus, grėsmių aktorius, eksploatuojamus išteklius ir mitigacijos kontrolės priemones.  
4. **Policy & Control Repository** – Esamos politikos (pvz., [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), vidiniai) saugomos Procurize dokumentų saugykloje.  
5. **Context Builder** – Sujungia žinių grafiką su atitinkamais politikos mazgais, kad sukurtų *konteksto pakrovą* kiekvienam klausimyno skyriui.  
6. **LLM Prompt Engine** – Siunčia struktūruotą kvietimą (sistemos + naudotojo žinutės) į suderintą LLM (pvz., GPT‑4o, Claude‑3.5), kuriame įtrauktas naujausias grėsmių kontekstas.  
7. **Answer Validation Rules** – Verslo taisyklių variklis (Drools, OpenPolicyAgent), tikrinantis, ar projektas atitinka atitikties kriterijus (pvz., „privalo nurodyti CVE‑2024‑12345, jei ji egzistuoja“).  
8. **Procurize Dashboard** – Rodo tiesioginę peržiūrą, auditų taką ir leidžia recenzentams patvirtinti arba redaguoti galutinį atsakymą.

---

## 3. Kvietimo (Prompt) kūrimas kontekstui jautriems atsakymams  

Gerai suformuluotas kvietimas – tai pagrindas tiksliai išvestims. Žemiau pavyzdys, kurį naudoja Procurize klientai, sujungiantis statinius politikos fragmentus su dinaminiais grėsmių duomenimis.

```
System: You are a security compliance assistant for a SaaS provider. Your responses must be concise, factual, and cite the most recent evidence available.

User: Provide an answer for the questionnaire item "Describe how you handle newly disclosed critical vulnerabilities in third‑party libraries."

Context:
- Policy excerpt: "All third‑party dependencies are scanned weekly with Snyk. Critical findings must be remediated within 7 days."
- Recent intel: 
  * CVE‑2024‑5678 (Snyk severity: 9.8) discovered on 2025‑03‑18 affecting lodash v4.17.21.
  * ATT&CK technique T1190 "Exploit Public‑Facing Application" linked to recent supply‑chain attacks.
- Current remediation status: Patch applied on 2025‑03‑20, monitoring in place.

Constraints:
- Must reference the CVE identifier.
- Must include remediation timeline.
- Must not exceed 150 words.
```

LLM grąžina juodraštį, kuriame jau yra paminėtas naujausias CVE ir atitinka vidinę mitigacijos politiką. Validacijos variklis tada patikrina, ar CVE identifikatorius egzistuoja žinių grafike ir ar remedijavimo laikas atitinka 7‑dienų taisyklę.

---

## 4. Atsakymo validacijos taisyklės  

Net geriausias LLM gali sugalvoti dalykų. Taisyklių sistema pašalina klaidingus teiginius.

| Taisyklės ID | Aprašymas | Pavyzdinis logikos fragmentas |
|--------------|-----------|------------------------------|
| V‑001 | **CVE buvimas** – Kiekvienas atsakymas, kuriame minimas pažeidžiamumas, turi turėti galiojantį CVE ID, esančią žinių grafike. | `if answer.contains("CVE-") then graph.containsNode(answer.extractCVE())` |
| V‑002 | **Laiko ribų remedijavimas** – Remedijavimo pareiškimai turi atitikti maksimalų dienų skaičių, nurodytą politikoje. | `if answer.matches(".*within (\d+) days.*") then extractedDays <= policy.maxDays` |
| V‑003 | **Šaltinio nurodymas** – Visi faktiniai teiginiai turi turėti duomenų šaltinį (tiek feed pavadinimą, tiek ataskaitos ID). | `if claim.isFact() then claim.source != null` |
| V‑004 | **ATT&CK atitikimas** – Kai minima technika, ji turi būti susieta su mitigacijos kontrole. | `if answer.contains("ATT&CK") then graph.edgeExists(technique, control)` |

Šios taisyklės įgyvendinamos **OpenPolicyAgent (OPA)** kaip Rego politikos ir automatiškai vykdomos po LLM žingsnio. Bet koks pažeidimas siunčia juodraštį peržiūrai.

---

## 5. Žingsnis po žingsnio diegimo vadovas  

1. **Pasirinkite grėsmių žvalgybos tiekėjus** – Užregistruokite bent du srautus (vieną atvirą, vieną komercinį) dėl aprėpties.  
2. **Įdiekite normalizacijos paslaugą** – Naudokite serverless funkciją (AWS Lambda), kuri iš API surenka JSON, atlieka lauko susiejimą į vienodą schemą ir publikuoja į Kafka temą.  
3. **Sukurkite žinių grafiką** – Įdiekite Neo4j, apibrėžkite mazgų tipus (`CVE`, `ThreatActor`, `Control`, `Asset`) ir santykius (`EXPLOITS`, `MITIGATES`). Užpildykite istorinius duomenis ir suplanuokite kasdieninį importą iš Kafka srauto.  
4. **Integruokite su Procurize** – Įjunkite *External Data Connectors* modulį, konfigūruokite jį vykdyti Cypher užklausas grafui, kad gautų kontekstą kiekvienam klausimyno skyriui.  
5. **Sukurkite kvietimo šablonus** – Procurize *AI Prompt Library* pridėkite šabloną iš ankstesnio skyriaus, naudodami kintamuosius (`{{policy_excerpt}}`, `{{intel}}`, `{{status}}`).  
6. **Konfigūruokite validacijos variklį** – Patalpinkite OPA kaip sidecar tame pačiame Kubernetes pod'e, įkelkite Rego politiką ir atidarykite REST endpointą `/validate`.  
7. **Paleiskite pilotinį projektą** – Pasirinkite mažai rizikingą klausimyną (pvz., vidinį auditą) ir leiskite sistemai generuoti atsakymus. Peržiūrėkite žymėtus elementus, tobulinkite kvietimo tekstą ir taisyklių griežtumą.  
8. **Matuokite KPI** – Sekite vidutinį atsakymo generavimo laiką, validacijos klaidų skaičių ir rankinio redagavimo valandų sumažėjimą. Tikslas – **70 %** laiko sutrumpinimas po pirmo mėnesio.  
9. **Įdiekite į gamybą** – Įgalinkite darbo eigą visiems išsiunčiamiesiems tiekėjų klausimynams. Sukurkite pranešimus apie bet kokius validacijos pažeidimus, viršijančius ribą (pvz., >5 % atsakymų).  

---

## 6. Matuojami privalumai  

| Rodiklis | Prieš integraciją | Po integracijos (3 mėn.) |
|----------|-------------------|--------------------------|
| Vidutinis atsakymo generavimo laikas | 3,5 valandos (rankiniu būdu) | 12 minučių (AI + žvalgyba) |
| Rankinio redagavimo darbo apimtis | 6 valandos per klausimyną | 1 valanda (tik peržiūra) |
| Atitikties nuokrypio incidentai | 4 per ketvirtį | 0,5 per ketvirtį |
| Klientų pasitenkinimo balas (NPS) | 42 | 58 |
| Audito radinių dažnis | 2,3 % | 0,4 % |

Skaičiai pagrįsti ankstyvais **Threat‑Intel‑Enhanced Procurize** diegimo experimentais (pvz., finansų technologijų SaaS, tvarkantis 30 klausimynų per mėnesį).

---

## 7. Dažniausios klaidos ir kaip jų išvengti  

| Klaida | Simptomai | Prevencija |
|--------|-----------|------------|
| **Pasikliaujama vienu tiekėju** | Praleidžiamos CVE, pasenę ATT&CK žemėlapiai. | Derinkite kelis tiekėjus; naudokite atvirą NVD kaip atsarginį šaltinį. |
| **LLM išgalvota neegzistuojanti CVE** | Atsakyme minimas “CVE‑2025‑0001”, kurio nėra. | Griežti validacijos rule V‑001; saugokite visus išgautus identifikatorius auditui. |
| **Grafiko užklausų našumo trūkumas** | Vėlavimas >5 s per atsakymą. | Talpinimo (caching) sprendimai; Neo4j indeksų optimizavimas. |
| **Politikos‑ir‑žvalgybos neatitikimas** | Politika nurodo 7 dienų remedijavimą, bet žvalgyba rodo 14 dienų vėlavimą dėl tiekėjo. | Įdiekite *policy‑exception* procesą, leidžiantį saugumo vadovams patvirtinti laikino pasikeitimo išimtis. |
| **Reguliaciniai pokyčiai nepasiekia žvalgybos** | Nauja ES regulacija nesikartoja jokiuose žvalgybos šaltiniuose. | Palaikykite rankinį „reguliacinių išimčių“ sąrašą, kurį kvietimo variklis įterpia. |

---

## 8. Ateities patobulinimai  

1. **Prognozuojamas grėsmių modeliavimas** – Naudoti LLM, kad prognozuotų galimas būsimas CVE remiantis istorinių modelių modeliavimu, leidžiant iš anksto atnaujinti kontrolės priemones.  
2. **Zero‑Trust užtikrinimo balai** – Kombinuoti validacijos rezultatus į realaus laiko rizikos balą, rodomą tiekėjo patikimumo puslapyje.  
3. **Savimokymo (Self‑Learning) kvietimo derinimas** – Periodiškai perstiprinti kvietimo šablonus naudojant sustiprintą mokymąsi iš recenzentų grįžtamojo ryšio.  
4. **Tarptautinis žinių dalijimasis** – Sukurti federuotą grafiką, kuri leistų keliose SaaS įmonėse keistis anonimizuota grėsmių‑politikos sąsaja, gerinant kolektyvinę saugumo būklę.  

---

## 9. Išvada  

**Realios laiko grėsmių žvalgybos integravimas į Procurize AI‑varomą klausimynų automatizavimą** suteikia tris pagrindinius privalumus:

* **Tikslumas** – Atsakymai visuomet paremti šviežiausiomis pažeidžiamumo duomenų bazėmis.  
* **Greitis** – Generavimo laikas sumažėja nuo valandų iki minučių, išlaikant konkurencingą rinkos tempą.  
* **Atitikties pasitikėjimas** – Validacijos taisyklės užtikrina, kad kiekvienas teiginys atitinka vidinę politiką ir išorinius standartus, tokius kaip [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) ir [CCPA](https://oag.ca.gov/privacy/ccpa).

Saugumo komandoms, susiduriančioms su vis didėjančiu klausimynų srautu, čia pateiktas praktinis kelias, kaip paversti rankinį spūstį strateginiu pranašumu.

---

## Žiūrėti taip pat  

- [NIST SP 800‑53 Revision 5 – Security and Privacy Controls for Federal Information Systems](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [OpenCTI – Open-source Cyber Threat Intelligence Platform](https://www.opencti.io/)