
# Ontologijos pagrindu sukurtas užklausų variklis saugumo klausimynų harmonizavimui

> **TL;DR** – Ontologija‑centrinis užklausų variklis sukuria semantinį tiltą tarp konfliktuojančių atitikties struktūrų, leidžiančių generatyvinei AI teikti vienodus, audituojamus atsakymus į bet kurį saugumo klausimyną, išlaikant kontekstinį ryšį ir reguliavimo tikslumą.

---

## 1. Kodėl reikalingas naujas požiūris

Saugumo klausimynai vis dar yra pagrindinė kliūtis SaaS tiekėjams. Net ir naudojant įrankius, tokius kaip Procurize, kurie centralizuoja dokumentus ir automatizuoja darbo srautus, **semantinis trūkumas** tarp skirtingų standartų vis dar verčia saugumo, teisinės ir inžinerijos komandas kelti tą patį įrodymą daugybę kartų:

| Standartas | Įprastas klausimas | Pavyzdinis atsakymas |
|------------|--------------------|----------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Apibūdinkite duomenų šifravimą, kai jie yra laikomi poilsio režimu.* | “Visi klientų duomenys šifruojami naudojant AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Kaip apsaugote saugomą informaciją?* | “Naudojame AES‑256 šifravimą…” |
| **[GDPR](https://gdpr.eu/)** | *Paaiškinkite technines priemones, skirtas asmens duomenų apsaugai.* | “Duomenys šifruojami naudojant AES‑256 ir keičiasi kas ketvirtį.” |

Nors pagrindinė kontrolė identiška, formulavimas, aprėptis ir įrodymų lūkesčiai skiriasi. Esamos AI sistemos sprendžia tai **derindamos užklausas kiekvienam standartui**, o tai greitai tampa nepakeliama, kai standartų skaičius auga.

**Ontologija‑pagrindu variklis** problemą sprendžia šakniniame lygmenyje: sukuriama **vieninga, formalioji atitikties koncepcijų atvaizdavimo schema**, po kurios kiekviena klausimyno kalba mappinguojama į bendrą modelį. AI turi suprasti tik vieną „kanoninę“ užklausą, o ontologija atlieka vertimo, versijavimo ir pagrindimo darbą.

---

## 2. Architektūros pagrindiniai komponentai

Žemiau pateiktas aukšto lygio sprendimo vaizdas, išreikštas „Mermaid“ diagramoje. Visi mazgų pavadinimai yra apriboti kabutėmis, kaip reikalauta.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – Žinių grafas, kuriame saugomi koncepcijos (pvz., *šifravimas*, *priėjimo kontrolė*), santykiai (*reikalauja*, *paveldi*) ir jurisdikcijų atributai.  
2. **Framework Mappers** – Lengvi adapteriai, kurie analizuoja įeinančius klausimyno elementus, nustato atitinkamus ontologijos mazgus ir priskiria pasitikėjimo balus.  
3. **Canonical Prompt Generator** – Sukuria vienintelę, kontekstualiai turtingą užklausą LLM, naudodamas ontologijos normalizuotus apibrėžimus ir susietus įrodymus.  
4. **LLM Inference Engine** – Bet kuris generatyvus modelis (GPT‑4o, Claude 3 ir kt.), kuris sukuria natūralios kalbos atsakymą.  
5. **Answer Renderer** – Formatuoja LLM išvestį į reikiamą klausimyno struktūrą (PDF, markdown, JSON).  
6. **Audit Trail Logger** – Išsaugo mappingo sprendimus, užklausos versiją ir LLM atsakymą atitikties peržiūrai ir tolesniam mokymui.  
7. **Evidence Repository** – Saugo politikos dokumentus, audito ataskaitas ir nuorodas į artefaktus, cituojamus atsakymuose.  
8. **Change Detection Service** – Stebi standartų ar vidinių politikų atnaujinimus ir automatiškai skleidžia pakeitimus per ontologiją.

---

## 3. Ontologijos kūrimas

### 3.1 Duomenų šaltiniai

| Šaltinis | Pavyzdiniai elementai | Išgavimo metodas |
|----------|----------------------|-------------------|
| **ISO 27001 Annex A** | „Kriptografinės kontrolės“, „Fizinė sauga“ | Taisyklinis ISO punktų skaitymas |
| **SOC 2 Trust Services Criteria** | „Prieinamumas“, „Konfidencialumas“ | NLP klasifikacija SOC dokumentacijoje |
| **GDPR Recitals & Articles** | „Duomenų minimizavimas“, „Teisė būti pamirštam“ | Entitetų‑santykių išgavimas su spaCy + pritaikytais šablonais |
| **Internal Policy Vault** | „Įmonės šifravimo politika“ | Tiesioginis importavimas iš YAML/Markdown politikų failų |

Kiekvienas šaltinis prideda *konceptų mazgus* (`C`) ir *santykių kraštus* (`R`). Pavyzdžiui, **„AES‑256“** yra *technika* (`C`), kuri *įgyvendina* kontrolę „Duomenų šifravimas poilsio būsenoje“ (`C`). Ryšiai yra žymimi kilmės (šaltinis, versija) ir pasitikėjimo balais.

### 3.2 Normalizavimo taisyklės

Siekiant išvengti dubliavimo, koncepcijos **kanonizuojamos**:

| Žaliavinis terminas | Kanonizuota forma |
|---------------------|-------------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (sub‑type of `encryption_algorithm`) |

Normalizavimą atlieka **žodynų pagrindu veikiantis fuzzy matcher**, mokantis iš žmonių patvirtintų susiejimų.

### 3.3 Versijavimo strategija

Reguliavimo standartai keičiasi; ontologija naudoja **semantinę versijavimo schemą** (`MAJOR.MINOR.PATCH`). Kai atsiranda naujas punktas, daroma **minor** versijos padidėjimas, sukeliantis tolesnį susijusių užklausų pervertinimą. Audito žurnalas fiksuoja tikslią ontologijos versiją, naudojamą kiekvienam atsakymui, užtikrinant skaidrumą.

---

## 4. Praktinis užklausų generavimas

### 4.1 Nuo klausimyno iki ontologijos mazgo

Kai tiekėjas gauna klausimą, pvz.:

> *„Ar šifruojate atsargines kopijas, saugomas už vietos?“*

**Framework Mapper** atlieka panašumo paiešką ontologijoje ir grąžina mazgą `encryption_at_rest` su 0,96 pasitikėjimo balu. Jis taip pat išskiria papildomas savybes („atsarginės kopijos“, „už vietos“) kaip *atributų* žymas.

### 4.2 Kanoninė užklausos šablonas

Vienas, daugkartinis šablonas atrodo taip (pseudo‑kodas):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Sistema pakeičia susietus ontologijos mazgus ir iš **Evidence Repository** paima naujausias įrodymų nuorodas. Kadangi pagrindinė kontrolė vienoda visiems standartams, LLM gauna **vienodą kontekstą**, pašalinant variacijas, kurias sukelia skirtingas formuluojimas.

### 4.3 LLM išvesties pavyzdys

> **Atsakymas:** Taip, visos už vietos saugomos atsarginės kopijos šifruojamos naudojant AES‑256 su unikaliu raktu kiekvienam kopijos rinkiniui. Šifravimo raktai valdomi mūsų HSM apsaugotu seifu ir keičiami kas ketvirtį.  
> **Palaikantys artefaktai:**  
> - *Atsarginės kopijos šifravimo politika* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM raktų sukimosi žurnalas* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer** tada formatuoja šį tekstą į konkretų klausimyno išdėstymą (pvz., lentelės langelį ISO, laisvo teksto laukelį SOC 2).

---

## 5. Privalumai prieš tradicinį užklausų derinimą

| Metrika | Tradicinis užklausų derinimas | Ontologija pagrindu veikiantis variklis |
|---------|-------------------------------|------------------------------------------|
| **Mastelis** | Viena užklausa per struktūrą → tiesinė augimo kreivė | Viena kanoninė užklausa → pastovi |
| **Nuoseklumas** | Skirtingas formuluojimas skirtingose struktūrose | Vienodas atsakymas, sukurtas iš vieno šaltinio |
| **Audituojamumas** | Rankinis užklausų versijų sekimas | Automatizuotas ontologijos versijos + žurnalo įrašas |
| **Prisitaikymas** | Perkvalifikavimas būtinas kiekvienam standartų atnaujinimui | Pasikeitimų aptikimas automatiškai skleidžiamas per ontologiją |
| **Prižiūrėjimo krūvis** | Aukštas – dešimtys užklausų failų | Žemas – vienas mapping sluoksnis ir žinių grafas |

Procurize realiuose testuose ontologija variklis sumažino **vidutinį atsakymo generavimo laiką** nuo 7 s (derinimas) iki 2 s, tuo pačiu **pagerindamas kryžminės struktūros panašumą** (BLEU balas padidėjo 18 %).

---

## 6. Įgyvendinimo patarimai

1. **Pradėkite nuo mažų** – Užpildykite ontologiją dažniausiai pasikartojančiomis kontrolėmis (šifravimas, priėjimo kontrolė, žurnalinimas) prieš plėsdami.  
2. **Pasinaudokite esamais grafais** – Projektai kaip **Schema.org**, **OpenControl** ir **CAPEC** siūlo paruoštus žodynus, kuriuos galima papildyti.  
3. **Naudokite grafų duomenų bazę** – Neo4j arba Amazon Neptune efektyviai tvarko sudėtingus perėjimus ir versijavimą.  
4. **Integruokite CI/CD** – Traktuokite ontologijos pakeitimus kaip kodą; vykdykite automatizuotus testus, kurie tikrina mappingo tikslumą pagal pavyzdinį klausimynų rinkinį.  
5. **Žmogaus įsikišimas** – Suteikite UI, kuri leidžia saugumo analitikams patvirtinti arba koreguoti susiejimus, taip maitindama fuzzy matcherį.

---

## 7. Ateities plėtros kryptys

- **Federacinis ontologijos sinchronizavimas** – Įmonės gali dalintis anonimizuotomis ontologijos dalimis, kuriant bendruomenės žinių bazę.  
- **Paaiškinama AI sluoksnis** – Pridėkite pagrindimo grafus prie kiekvieno atsakymo, vizualizuojančius, kaip konkrečios ontologijos mazgos prisidėjo prie galutinio teksto.  
- **Zero‑Knowledge įrodymų integracija** – Labai reguliuojamoms pramonėms įterpkite zk‑SNARK įrodymus, patvirtinančius mappingo teisingumą neatskleidžiant jautrios politikos informacijos.  

---

## 8. Išvada

Ontologija‑valdomas užklausų variklis žymi paradigma pokytį saugumo klausimynų automatizavime. Vienindamas skirtingus atitikties standartus po vienu, versijuojamu žinių grafu, organizacijos gali:

- **Eliminuoti perteklinį rankinį darbą** per visus standartus.  
- **Užtikrinti atsakymų nuoseklumą ir audituojamumą.**  
- **Greitai prisitaikyti prie reguliavimo pokyčių** su minimaliu inžineriniu pastangų kiekiu.  

Kartu su Procurize bendradarbiavimo platforma šis požiūris leidžia saugumo, teisinės ir produkto komandoms atsakyti į tiekėjų vertinimus per minutes, o ne per dienas, paverčiant atitiktį ne išlaidos centrą, o konkurencinį pranašumą.

---

## <span class='highlight-content'>Žiūrėti</span> Also

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Atvirojo kodo politika‑kaip‑kodas ir atitikties kontrolės apibrėžimai.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Struktūruota priešų technikų taksonomija, naudinga kuriant saugumo ontologijas.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Naujausia informacijos saugumo valdymo standarto versija.