
# Prognozinė atitikties orkestracija su AI – Numatant klausimynų spragas dar prieš jas gaunant

Sparčiai besikeičiančiame SaaS pasaulyje saugumo klausimynai tapo faktiniu langeliu kiekviename pardavimo cikle, tiekėjo rizikos vertinime ir reguliavimo audite. Tradicinė automatizacija susitelkia į **atsakymo** iš žinių bazės išgavimą, kai užduodamas klausimas. Nors šis „reaktyvus“ modelis taupo laiką, jis vis dar palieka du kritinius skausmo taškus:

1. **Aklaus vietos** – atsakymų gali trūkti, jie gali būti pasenę arba neišsamūs, verčiant komandas paskutinį momentą kaupti įrodymus.  
2. **Reaktyvus darbas** – komandos reaguoja *po* gavus klausimyną, o ne ruošiasi iš anksto.

O ką, jei jūsų atitikties platforma galėtų **prognozuoti** tas spragas *prieš* kai klausimynas pasiekia jūsų pašto dėžutę? Tai yra **Prognozinės atitikties orkestracijos** pažadas – AI valdomas darbo srautas, kuris nuolat stebi politikas, įrodymų saugyklas ir rizikos signalus, o tada proaktyviai generuoja arba atnaujina reikiamus artefaktus.

Šiame straipsnyje mes:

* Išskaidysime techninius prognozinės sistemos komponentus.  
* Parodysime, kaip ją integruoti su esama platforma, pvz., **Procurize**.  
* Pademonstruosime verslo poveikį naudojant realaus pasaulio metrikas.  
* Pateiksime žingsnis po žingsnio diegimo gaires inžinierių komandoms.

## 1. Kodėl prognozavimas pralenkia išgavimą

| Aspektas | Reactyvus išgavimas | Prognozinė orkestracija |
|----------|----------------------|--------------------------|
| **Laikas** | Atsakymas generuojamas **po** užklausos gavimo. | Įrodymai paruošiami **ankščiau** nei užklausa. |
| **Rizika** | Aukšta – trūkstami arba pasenę duomenys gali sukelti atitikties nesėkmes. | Žema – nuolatinė validacija anksti aptinka spragas. |
| **Pastangos** | Pastangos šuolinio režimo antplūdžiai per klausimyną. | Pastovios, automatizuotos pastangos paskirstytos laike. |
| **Suinteresuotų šalių pasitikėjimas** | Mišrus – paskutinės minutės pataisos sumažina pasitikėjimą. | Aukštas – dokumentuota, audituojama proaktyvių veiksmų sekimo grandinė. |

Pereiti nuo *kada* turite atsakymą prie *kaip anksti* turite jį – tai pagrindinis konkurencinis pranašumas. Prognozuodama tikimybę, kad konkreti kontrolė bus paklausi per ateinančias 30 dienų, platforma gali iš anksto užpildyti tą atsakymą, pridėti naujausius įrodymus ir net pažymėti atnaujinimo poreikį.

## 2. Pagrindiniai architektūros komponentai

Žemiau pateikiamas aukšto lygio vaizdas prognozinės atitikties variklio. Diagrama sugeneruota naudojant Mermaid, pageidaujamą pasirinkimą vietoje GoAT.

```mermaid
graph TD
    A["Politikų ir įrodymų saugykla"] --> B["Pokyčių detektorius (Skirtumo variklis)"]
    B --> C["Laiko eilių rizikos modelis"]
    C --> D["Spragų prognozavimo variklis"]
    D --> E["Proaktyvus įrodymų generatorius"]
    E --> F["Orkestracijos sluoksnis (Procurize)"]
    F --> G["Atitikties skydelis"]
    H["Išoriniai signalai"] --> C
    I["Vartotojo atsiliepimų ciklas"] --> D
```

* **Politikų ir įrodymų saugykla** – Centralizuota saugykla (git, S3, DB), kurioje yra **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)** politikos ir palaikantys artefaktai (ekrano nuotraukos, žurnalo įrašai, sertifikatai).  
* **Pokyčių detektorius** – Nuolatinis skirtumo variklis, kuris žymi bet kokius politikos ar įrodymų pakeitimus.  
* **Laiko eilių rizikos modelis** – Iš mokymo su istorine klausimynų duomenų baze prognozuoja tikimybę, kad kiekviena kontrolė bus užklausta artimiausioje ateityje.  
* **Spragų prognozavimo variklis** – Kombinuoja rizikos balus su pokyčių signalais, kad identifikuotų „pavojaus“ kontrolės, kurioms trūksta naujų įrodymų.  
* **Proaktyvus įrodymų generatorius** – Naudoja Retrieval‑Augmented Generation (RAG) metodą, kad sukurtų įrodymų narracijas, automatiškai prisegtų versijuotus failus ir saugotų juos atgal į įrodymų saugyklą.  
* **Orkestracijos sluoksnis** – Skelbia sugeneruotą turinį per Procurize API, leidžiantį jį iš karto pasirinkti kai atsiranda klausimynas.  
* **Išoriniai signalai** – Grėsmės intelekto srautai, reguliavimo atnaujinimai ir visų pramonės lygių audito tendencijos, kurios praturtina rizikos modelį.  
* **Vartotojo atsiliepimų ciklas** – Analitikai patvirtina arba koreguoja automatiškai sugeneruotus atsakymus, grąžindami priežiūros signalus modelio tobulinimui.

## 3. Duomenų pagrindai – Prognozės kuras

### 3.1 Istorinė klausimynų korpusas

Norint išmokyti patikimą modelį, būtina turėti ne mažiau kaip **12 mėnesių** atsakytų klausimynų. Kiekvienas įrašas turėtų fiksuoti:

* Klausimo ID (pvz., „SOC‑2 CC6.2“)  
* Kontrolės kategorija (prieigos kontrolė, šifravimas ir t.t.)  
* Atsakymo laiko žymė  
* Naudota įrodymo versija  
* Rezultatas (priimta, prašoma paaiškinimo, atmesta)

### 3.2 Įrodymų versijų istorija

Kiekvienas artefaktas turi būti versijomis valdomas. Git tipo metaduomenys (įrašo maišos kodas, autorius, data) leidžia Skirtumo varikliui suprasti *kas* pasikeitė ir *kada*.

### 3.3 Išorinis kontekstas

* **Reguliavimo kalendoriai** – ateinantys **[GDPR](https://gdpr.eu/)** atnaujinimai, **[ISO 27001](https://www.iso.org/standard/27001)** revizijos.  
* **Pramonės saugumo pažeidimų įspėjimai** – šlamšto kūgio bangos gali padidinti klausimų apie incidentų atsaką tikimybę.  
* **Tiekėjo rizikos balai** – vidinis rizikos įvertinimas prašymo šalies gali nukreipti modelį į išsamiau atsakymus.

## 4. Prognozinio variklio kūrimas

Žemiau pateikiama praktiška įgyvendinimo kelio mapa, skirta komandai, jau naudojančiai Procurize.

### 4.1 Set Up Continuous Diff Monitoring

```bash
# Pavyzdys, naudojantis git diff įrodymų pakeitimams aptikti
while true; do
  git fetch origin main
  changes=$(git diff --name-only origin/main HEAD -- evidence/)
  if [[ -n "$changes" ]]; then
    curl -X POST http://orchestrator.local/diff-event \
      -H "Content-Type: application/json" \
      -d "{\"files\": \"$changes\"}"
  fi
  sleep 300  # vykdyti kas 5 minutes
done
```

### 4.2 Train the Time‑Series Risk Model

```python
from prophet import Prophet
import pandas as pd

# Įkelti istorinę užklausų duomenų bazę
df = pd.read_csv('questionnaire_log.csv')
df['ds'] = pd.to_datetime(df['request_date'])
df['y'] = df['request_count']  # kiek kartų kontrolė buvo paklausiama

m = Prophet(yearly_seasonality=True, weekly_seasonality=False)
m.fit(df[['ds','y']])

future = m.make_future_dataframe(periods=30)
forecast = m.predict(future)
forecast[['ds','yhat']].tail()
```

### 4.3 Gap Forecast Logic

```python
def forecast_gaps(risk_forecast, evidences):
    gaps = []
    for control, prob in risk_forecast.items():
        if prob > 0.7:  # slenkstis aukštai rizikos
            latest = evidences.get_latest_version(control)
            if latest.is_stale(days=30):
                gaps.append(control)
    return gaps
```

### 4.4 Auto‑Generate Evidence with RAG

Procurize jau siūlo RAG galinį tašką. Pavyzdinis užklausimas:

```json
POST /api/v1/rag/generate
{
  "control_id": "CC6.2",
  "evidence_context": ["latest SOC2 audit", "access logs from 2024-09"],
  "temperature": 0.2,
  "max_tokens": 500
}
```

### 4.5 Orchestration into Procurize UI

Pridėkite naują „**Prognoziniai pasiūlymai**“ skydelį klausimyno redaktoriuje. Kai vartotojas atidaro naują klausimyną, backendas kviečia:

```bash
GET /api/v1/predictive/suggestions?project_id=12345
```

Atsakymas:

```json
{
  "suggestions": [
    {
      "control_id": "CC6.2",
      "generated_answer": "Our multi‑factor authentication (MFA) is enforced across all privileged accounts…",
      "evidence_id": "evidence-2024-09-15-abcdef",
      "confidence": 0.92
    },
    ...
  ]
}
```

Vartotojo sąsaja parodo aukšto pasitikėjimo atsakymus, leidžiančius analitikui juos priimti, redaguoti arba atmesti. Kiekvienas sprendimas registruojamas nuolatiniam tobulinimui.

## 5. Verslo poveikio matavimas

| Metrika | Prieš prognozinį variklį | Po 6 mėnesių |
|----------|------------------------|----------------|
| Vidutinis klausimyno atsako laikas | 12 dienų | **4 dienos** |
| Klausimų, atsakytų pasenusiomis įrodymais, procentas | 28 % | **5 %** |
| Analitikų viršvalandžių valandų per ketvirtį | 160 val. | **45 val.** |
| Audito nesėkmės rodiklis (įrodymų spragos) | 3,2 % | **0,4 %** |
| Suinteresuotų šalių pasitenkinimas (NPS) | 42 | **71** |

Šie skaičiai kilę iš kontroliuoto pilotinio projekto vidutinio dydžio SaaS įmonėje (≈ 250 darbuotojų). Rankų darbo pastangų sumažėjimas pirmų metų atnešė apytiksliai **280 tūkst. $** išlaidų taupymą.

## 6. Valdymas ir audituojamas takas

Prognozinė automatika privalo likti **skaidi**. Procurize integruotas audito žurnalas fiksuoja:

* Modelio versija, naudojama kiekvienam sugeneruotam atsakymui.  
* Prognozės laiko žyma ir pagrindinis rizikos balas.  
* Žmogaus recenzento veiksmai (priimti/atmesti, redaguoti skirtumą).  

Eksportuojami CSV/JSON ataskaitos gali būti tiesiogiai pridėtos prie auditų paketų, tenkinant reikalavimus, kad reguliuotojai reikalauja „paaiškinamo AI“ atitikties sprendimams.

## 7. Pradžia – 4 savaičių sprinto planas

| Savaitė | Tikslas | Rezultatas |
|---------|---------|------------|
| 1 | Įkelti istorinės klausimyno duomenų ir įrodymų saugyklos duomenis į duomenų ežerą. | Normalizuotas CSV + Git pagrindu veikianti įrodymų saugykla. |
| 2 | Įgyvendinti skirtumo stebėjimo webhook ir pagrindinį rizikos modelį (Prophet). | Veikiantis webhook + rizikos prognozės užrašų knyga. |
| 3 | Sukurti spragų prognozavimo variklį ir integruoti su Procurize RAG API. | API galinis taškas `/predictive/suggestions`. |
| 4 | Vartotojo sąsajos patobulinimai, atsiliepimų ciklas ir pradinė pilotinė fazė su 2 komandomis. | „Prognoziniai pasiūlymai“ skydelis, stebėjimo skydelis. |

## 8. Ateities kryptys

* **Federacinis mokymasis** – Treniruoja rizikos modelius per kelis klientus neatskleidžiant neapdorotų klausimyno duomenų, išlaikant privatumą ir gerinant tikslumą.  
* **Nulinio žinojimo įrodymai** – Leidžia sistemai įrodyti įrodymų šviežumą neatskleidžiant pagrindinių dokumentų trečiųjų šalių auditoriams.  
* **Stiprinamasis mokymasis** – Leidžia modeliui išmokti optimalias įrodymų generavimo politikas, remdamasis atlygio signalais iš audito rezultatų.

Prognozinė paradigma atveria **proaktyvią atitikties kultūrą**, perkelia saugumo komandas nuo reagavimo į krizes į strateginį rizikos valdymą.