
# Nulinio Prieigos Įrodymų Išgavimas su Document AI saugiam Klausimyno Automatizavimui

## Įvadas

Saugumo klausimynai — SOC 2, ISO 27001, GDPR duomenų tvarkymo papildiniai, tiekėjų rizikos įvertinimai — tapo trukdžiu greitai augančioms SaaS įmonėms. Komandos skiria **30 %–50 %** savo saugumo inžinierių laiko tiesiog ieškodamos tinkamos įrodymo dalies, kopijuodamos ją į klausimyną ir rankiniu būdu patvirtindamos jos aktualumą.  

**Nulinio prieigos įrodymų išgavimas** pašalina rankinį „paieškos ir įklijavimo“ ciklą, leidžiant **Document AI** varikliui įkelti kiekvieną atitikties artefaktą, suprasti jo semantiką ir pateikti mašinų skaitomą įrodymų grafą, kurį galima užklausti realiu laiku. Kai jis sujungs su LLM koordinuotu atsakymo sluoksniu (pvz., Procurize AI), visas klausimyno gyvavimo ciklas – nuo įkėlimo iki atsakymo pateikimo – tampa visiškai automatizuotas, audituojamas ir tiesiogiai atnaujinamas.

Šiame straipsnyje aptariama:

1. Pagrindinė nulinio prieigos įrodymų išgavimo konvejerio architektūra.  
2. Esminės DI technikos (OCR, išdėstymą atpažįstančios transformacijos, semantinis žymėjimas, kryžminis dokumentų susiejimas).  
3. Kaip integruoti patikrinimo patikras (skaitmeniniai parašai, hash‑pagrindžiama kilmė).  
4. Integracijos modeliai su esamomis atitikties platformomis.  
5. Realūs našumo duomenys ir geriausios praktikos rekomendacijos.

> **Pagrindinė mintis:** Investavus į Document‑AI pagrįstą įrodymų sluoksnį, organizacijos gali sumažinti klausimyno atsakymo laiką nuo **savų iki minučių**, tuo pačiu užtikrinant **auditui tinkamą įrodymų seką**, kuriai patikės reguliuotojai.

---

## 1. Kodėl Tradicinis Įrodymų Valdymas Neiššoko

| Problema | Rankinis procesas | Paslėpta kaina |
|----------|-------------------|----------------|
| **Aptikimas** | Ieškoti failų bendrinimo vietų, el. pašto gijų, SharePoint bibliotekų. | 8–12 valandų per audito ciklą. |
| **Versijų valdymas** | Spėlionės; dažnai skleidžiami pasenę PDF failai. | Atitikties spragos, perdirbimas. |
| **Kontekstinis susiejimas** | Žmoniniai analitikai susieja „policy‑X“ su „question‑Y“. | Nesuderinti atsakymai, praleistos kontrolės. |
| **Patikrinimas** | Pasikliauti vizualia patikra parašų. | Didelė rizika, kad būtų pakeista. |

Šios neefektyvios problemos kyla dėl įrodymų traktuojamo kaip **statinių dokumentų**, o ne **struktūruotų žinių objektų**. Perėjimas prie žinių grafiko yra pirmas žingsnis link nulinio prieigos automatizavimo.

---

## 2. Architektūrinė Schema

Žemiau pateikta Mermaid diagrama vaizduoja visą nulinio prieigos įrodymų išgavimo variklio srautą.

```mermaid
graph LR
    A["Dokumentų Įkėlimo Paslauga"] --> B["OCR ir Išdėsto Variklis"]
    B --> C["Semantinių Vientų Išgaukiklis"]
    C --> D["Įrodymų Žinių Grafas"]
    D --> E["Patikrinimo Sluoksnis"]
    E --> F["LLM Orkestratorius"]
    F --> G["Klausimyno Vartotojo Sąsaja / API"]
    subgraph Saugojimas
        D
        E
    end
```

**Pagrindinės komponentų apžvalgos:**

| Komponentas | Vaidmuo | Pagrindinė technologija |
|------------|----------|--------------------------|
| **Dokumentų Įkėlimo Paslauga** | Įkelia PDF, DOCX, atvaizdus, draw.io diagramas iš failų saugyklų, CI konvejerių ar naudotojų įkėlimų. | Apache NiFi, AWS S3 EventBridge |
| **OCR ir Išdėsto Variklis** | Transformuoja rastrinius vaizdus į paieškos tekstą, išsaugo hierarchinę struktūrą (lenteles, antraštes). | Tesseract 5 + Layout‑LM, Google Document AI |
| **Semantinių Vientų Išgaukiklis** | Atpažįsta politikos dokumentus, kontrolės punktus, tiekėjų pavadinimus, datas, parašus. Generuoja įterpiamas įrašus vėlesniam susiejimui. | Layout‑aware Transformers (pvz., LayoutLMv3), Sentence‑BERT |
| **Įrodymų Žinių Grafas** | Saugo kiekvieną artefaktą kaip mazgą su atributais (tipas, versija, hash, atitikties susiejimas). | Neo4j, GraphQL‑lite |
| **Patikrinimo Sluoksnis** | Prideda skaitmeninius parašus, skaičiuoja SHA‑256 hash, saugo nekeičiamos įrodymo įrodymo į įrašą blokų grandinėje arba WORM saugykloje. | Hyperledger Fabric, AWS QLDB |
| **LLM Orkestratorius** | Iš renka atitinkamus įrodymų mazgus, surenka naratyvinius atsakymus, atlieka citatų tipo nuorodų pateikimą. | OpenAI GPT‑4o, LangChain, Retrieval‑Augmented Generation |
| **Klausimyno Vartotojo Sąsaja / API** | Front‑end saugumo komandų, tiekėjų portalų ar automatizuotų API užklausų. | React, FastAPI, OpenAPI specifikacija |

---

## 3. Detali Analizė: Nuo PDF iki Žinių Grafiko

### 3.1 OCR + Išdėsto Sąmoningumas

Įprastinis OCR praranda **lentelių logiką**, būtiną susiejant „Kontrolės ID“ su „Įgyvendinimo detale“. Layout‑LM modeliai priima tiek vizualius tokenus, tiek pozicinius įterpimus, išsaugodami pradinės dokumento struktūrą.

```python
from transformers import LayoutLMv3Processor, LayoutLMv3ForTokenClassification

processor = LayoutLMv3Processor.from_pretrained("microsoft/layoutlmv3-base")
model = LayoutLMv3ForTokenClassification.from_pretrained("custom/evidence-ner")
inputs = processor(images, documents, return_tensors="pt")
outputs = model(**inputs)
```

Modelis išveda entitetų žymas, pvz., `B-POLICY`, `I-POLICY`, `B-CONTROL`, `B-SIGNATURE`. Treniruojant ant specializuotos atitikties korpuso (SOC 2 ataskaitos, ISO 27001 priedai, sutarčių punktai) gaunamas **F1 > 0.92** ant neregėtų PDF.

### 3.2 Semantinis Žymėjimas ir Įterpimas

Kiekvienas išgautas entitetas vektorizuojamas naudojant smulkiai pritaikytą Sentence‑BERT modelį, kuris įgauna reguliavimo semantiką. Gautas vektorius saugomas grafe kaip **vektorinė savybė**, leidžianti atlikti **apytikslės artimiausios gretutinės paieškas**, kai klausimynas klausia, pvz., „Pateikite įrodymą, kad duomenys yra šifruoti atvėjo metu“.

```python
from sentence_transformers import SentenceTransformer

embedder = SentenceTransformer('all-MiniLM-L6-v2')
vector = embedder.encode("AES‑256 šifravimas visoms saugyklų apimtinėms"
)
```

### 3.3 Grafo Kūrimas

```cypher
MERGE (e:Evidence {id: $doc_hash})
SET e.title = $title,
    e.type = $type,
    e.version = $version,
    e.embedding = $embedding,
    e.createdAt = timestamp()
WITH e
UNWIND $mappings AS map
MATCH (c:Control {id: map.control_id})
MERGE (e)-[:PROVES]->(c);
```

Kiekvienas `Evidence` mazgas susiejamas su konkrečiais `Control` mazgais, kuriuos tenkina. Šis **kryptinis ryšys** leidžia akimirksniu pereiti nuo klausimo iki palaikančio įrodymo.

---

## 4. Patikrinimas ir Nekeičiama Kilmė

Audito patikrinimas reikalauja **įrodymo patikimumo**. Po įkėlimo atliekama:

1. **Hash generavimas** – skaičiuojamas SHA‑256 originalios binarinės rinkmenos.  
2. **Skaitmeninis parašas** – saugumo vadovas pasirašo hash naudodamas X.509 sertifikatą.  
3. **Įrašo įrašymas** – `{hash, signature, timestamp}` saugomas nekintamoje grandinėje.

```javascript
const crypto = require('crypto');
const hash = crypto.createHash('sha256').update(fileBuffer).digest('hex');
// Sign with private key (PKCS#12)
```

Atsakymo generavimo metu LLM atsiunčia įrašo įrodymą ir prideda citatos bloką:

```
Įrodymas: Policy‑A.pdf (SHA‑256: 3f5a…c8e2) – Pasirašė CFO, 2025‑10‑12
```

Reguliuotojai gali savarankiškai patikrinti hash su įkeltu failu, užtikrinant **nulinio pasitikėjimo** įrodymų tvarkymą.

---

## 5. LLM‑Orkestruotas Atsakymo Generavimas

LLM gauna **strukturizuotą užklausą**, kurioje yra:

- Klausimo tekstas.  
- Kandidatų įrodymų sąrašas, gautas per vektorinę panašumą.  
- Patikrinimo meta‑duomenys.

```markdown
**Klausimas:** "Apibūdinkite savo incidentų reagavimo procesą duomenų pažeidimo atveju."
**Kandidatų Įrodymų Sąrašas:**
1. Incident_Response_Playbook.pdf (Kontrolė: IR‑01)
2. Run‑Book_2025.docx (Kontrolė: IR‑02)
**Patikrinimas:** Visos rinkmenos pasirašytos ir hash patikrintas.
```

Naudojant **Retrieval‑Augmented Generation (RAG)**, modelis sukuria glaustą atsakymą ir **automatiškai įterpia citatas**. Ši metodika garantuoja:

- **Tikslumą** (atsakymai paremti patikrintais dokumentais).  
- **Nuoseklumą** (tas pats įrodymas naudojamas keliose klausimų grupėse).  
- **Greitį** (mažiau nei sekundės vėlavimas vienam klausimui).

---

## 6. Integracijos Modeliai

| Integracija | Kaip veikia | Privalumai |
|-------------|--------------|------------|
| **CI/CD Atitikties Vartai** | Konvejerio žingsnis įvykdo įkėlimo paslaugą kiekvienam politikos pakeitimui commit’o metu. | Momentinis grafo atnaujinimas, jokių nuokrypių. |
| **Ticketing sistemos kablis** | Kai sukuriamas naujas klausimyno ticket’as, sistema kviečia LLM Orkestratoriaus API. | Automatizuoti atsakymo ticket’ai, sumažintas žmogaus triage. |
| **Tiekėjų Portalų SDK** | Eksponuojamas `/evidence/{controlId}` endpointas; išoriniai tiekėjai gali tiesiogiai gauti realaus laiko įrodymų hash. | Skaidrumas, greitesnis tiekėjų prijungimas. |

Visos integracijos remiasi **OpenAPI** apibrėžtais kontraktais, todėl sprendimas yra kalbų nepriklausomas.

---

## 7. Realaus Pasaulio Įtaka: Skaičiai iš Pilotų

| Rodiklis | Prieš Nulinį Prieigą | Po Įgyvendinimo |
|----------|----------------------|-----------------|
| Vidutinis laikas surasti įrodymą | 4 valandos per klausimyną | 5 minutės (automatinis išgavimas) |
| Rankinio redagavimo pastangų apimtis | 12 valandų per auditą | < 30 minučių (LLM‑generuotas) |
| Įrodymų versijų nesutapimas | 18 % atsakymų | 0 % (hash patikrinimas) |
| Audito pasitikėjimo balas (1‑10) | 6 | 9 |
| Sąnaudų mažinimas (FTE) | 2,1 FTE per ketvirtį | 0,3 FTE per ketvirtį |

Pilotas apėmė **3 SOC 2 Type II** auditus ir **2 ISO 27001** vidaus auditus vienoje SaaS platformoje, turinčioje **200+** politikos dokumentų. Įrodymų grafas išaugo iki **12 k mazgų**, o užklausų vėlavimas išliko mažesnis nei **150 ms** vienai užklausai.

---

## 8. Geriausių Praktikų Sąrašas

1. **Standartizuokite pavadinimus** – naudokite nuoseklią schemą (`<type>_<system>_<date>.pdf`).  
2. **Užrakinkite versijas** – saugokite nekintamus š snapshots WORM saugykloje.  
3. **Palaikykite parašų autoritetą** – centralizuokite privatų raktą į aparatūros saugumo moduliai (HSM).  
4. **Reguliariai tobulinkite NER modelius** – periodiškai apmokykite su naujais politikos dokumentais, kad sugautumėte besikeičiančią terminologiją.  
5. **Stebėkite grafo sveikatą** – nustatykite įspėjimus dėl izoliuotų įrodymų mazgų (be kontrolės kreivių).  
6. **Audituokite ledgerį** – ketvirtiniais periodais tikrinkite hash parašų atitikimą šaltiniams.

---

## 9. Ateities Kryptys

- **Multimodalūs Įrodymai** – išplėsti konvejerį įtraukti ekrano nuotraukas, architektūrines diagramas ir vaizdo įrašų peržiūras, naudojant vizijos‑LLM.  
- **Federacinis Mokymasis** – leisti kelioms organizacijoms dalintis anonimizuotais entitetų įterpimais, gerinant NER tikslumą be konfidencialaus turinio atskleidimo.  
- **Saviškiai Gyvendinantys Kontrolės** – įjungti automatinius politikos atnaujinimus, kai grafas aptinka trūkstamą įrodymą naujai reikalaujamai kontrolei.  

Šios naujovės pakels nulinio prieigos įrodymų išgavimą iš **produktyvumo didinimo** į **dinaminę atitikties variklį**, kuris evoliucionuoja kartu su reguliavimo kraštovaizdžiu.

---

## Išvada

Nulinio prieigos įrodymų išgavimas paverčia atitikties trukdžius į **nuolatinį, audituojamą, DI varomą darbo eigą**. Perkuriant statiškus dokumentus į glaudžiai susietą žinių grafiką, patikrinant kiekvieną artefaktą kriptografiškai ir sujungiant jį su LLM orkestratoriumi, įmonės gali:

- Atsakyti į saugumo klausimynus **per minutes**, o ne per dienas.  
- Pateikti **nekintamą įrodymų įrodymą**, patenkantį auditorius.  
- Sumažinti rankinį darbą, leisdamos saugumo komandoms susitelkti į strateginį rizikos valdymą.

Document AI įrodymų valdymui nebe tik patogus sprendimas – tai greitai tampa **privalumu**, būtinu kiekvieniai SaaS organizacijai, norinčiai išlikti konkurencinga 2025 metų ir vėlesnėje rinkoje.

---

## Paskaityti Taip Pat

- [Suprasti Retrieval‑Augmented Generation for Compliance](https://arxiv.org/abs/2302.00784)  
- [Hyperledger Fabric: Kuriant Nekintamus Įrodymų Ledgerius](https://www.hyperledger.org/use/fabric)  
- [LayoutLMv3: Dokumentų Supratimas su Vizija‑Kalbos Transformatoriais](https://arxiv.org/abs/2204.08387)