
# Zero Trust Federated Žinių Grafas Daugiamandatinei Klausimynų Automatizacijai

## Įvadas

Saugos ir atitikties klausimynai yra nuolatinė kliūtis SaaS tiekėjams. Kiekvienas tiekėjas turi atsakyti į šimtus klausimų, kurie apima kelis standartus – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) ir pramonės specifinius standartus. Rankinis darbas, reikalingas rasti įrodymus, patvirtinti jų aktualumą ir pritaikyti atsakymus kiekvienam klientui, greitai tampa vertės šaltiniu.

**Federuotas žinių grafas (FKG)** – paskirstyta, schemo‑turinti įrodymų, politikų ir kontrolės atstovavimo struktūra – suteikia galimybę pralaužti šią kliūtį. Kai jis susijungia su **zero‑trust sauga**, FKG gali saugiai aptarnauti daugelį nuomininkų (skirtingų verslo padalinių, dukterinių įmonių ar partnerių organizacijų) niekada neišskleidžiant kito nuomininko duomenų. Rezultatas – **daugiapermanentė, AI valdyta klausimynų automatizacijos sistema**, kuri:

* **Kaupia** įrodymus iš skirtingų saugyklų (Git, debesų saugyklos, CMDB).  
* **Įgyvendina** griežtas prieigos politikas mazgo ir krašto lygiu (zero‑trust).  
* **Organizuja** AI‑generuojamus atsakymus per Retrieval‑Augmented Generation (RAG), kurie remiasi tik nuomininkui leidžiamomis žiniomis.  
* **Seką** kilmės ir audito duomenis per nekeičiama saugyklą.

Šiame straipsnyje panirsime į architektūrą, duomenų srautą ir įgyvendinimo žingsnius, kaip sukurti tokią sistemą ant **Procurize AI platformos**.

---

## 1. Pagrindinės Sąvokos

| Sąvoka | Ką tai reiškia klausimynų automatizacijai |
|---|---|
| **Zero Trust** | „Niekada nepasitikėk, visada patikrink.“ Kiekviena užklausa į grafiką yra autentifikuota, autorizuota ir nuolat vertinama pagal politikas. |
| **Federuotas Žinių Grafas** | Nepriklausomų grafų mazgų tinklas (kiekvienas priklausantis nuomininkui), dalijantis bendra schema, tačiau laikantis fizinės duomenų izoliacijos. |
| **RAG (Retrieval‑Augmented Generation)** | LLM valdomas atsakymo generavimas, kuris prieš rašydamas atsakymą ištraukia atitinkamus įrodymus iš grafiko. |
| **Nekeičiama Saugykla** | Papildoma saugykla (pvz., blokų grandinės stiliaus Merkle medis), kuri įrašo kiekvieną įrodymo pakeitimą, užtikrinant nepažeidžiamumą. |

---

## 2. Architektūrinė Apžvalga

Žemiau pateikta aukšto lygio Mermaid diagrama, kuri iliustruoja pagrindinius komponentus ir jų sąveikas.

```mermaid
graph LR
    subgraph Nuomininkas A
        A1[Politikos Saugykla] --> A2[Įrodymų Mazgai]
        A2 --> A3[Prieigos Kontrolės Variklis<br>(Zero Trust)]
    end
    subgraph Nuomininkas B
        B1[Politikos Saugykla] --> B2[Įrodymų Mazgai]
        B2 --> B3[Prieigos Kontrolės Variklis<br>(Zero Trust)]
    end
    subgraph Federuotas Lygmuo
        A3 <--> FK[Federuotas Žinių Grafas] <--> B3
        FK --> RAG[Retrieval‑Augmented Generation]
        RAG --> AI[LLM Variklis]
        AI --> Resp[Paslaugų Atsakymo Generavimas]
    end
    subgraph Audito Takas
        FK --> Ledger[Nekeičiama Saugykla]
        Resp --> Ledger
    end
    User[Klausimyno Užklausa] -->|Auth Token| RAG
    Resp -->|Atsakymas| User
```

**Svarbiausi pastebėjimai iš diagramos**

1. **Nuomininkų izoliacija** – Kiekvienas nuomininkas turi savo Politikos Saugyklą ir Įrodymų Mazgus, tačiau Prieigos Kontrolės Variklis prižiūri bet kokias tarpininkavimo užklausas.  
2. **Federuotas Grafikas** – `FK` mazgas sujungia schemos metaduomenis, tuo tarpu žali įrodymų duomenys šifruoti ir izoliuoti.  
3. **Zero‑Trust Patikrinimai** – Kiekviena prieigos užklausa pereina per Prieigos Kontrolės Variklį, kuris vertina kontekstą (vaidmuo, įrenginio būsena, užklausos tikslas).  
4. **AI Integracija** – RAG komponentas atgauna tik tuos įrodymų mazgus, kuriuos nuomininkas gali matyti, ir perduoda juos LLM atsako sintezei.  
5. **Auditoriškumas** – Visi įgijimai ir sugeneruoti atsakymai yra registruojami Nekeičiamos Saugyklos, kad atitiktų audito reikalavimus.

---

## 3. Duomenų Modelis

### 3.1 Vieninga Schema

| Entitetas | Atributai | Pavyzdys |
|---|---|---|
| **Politika** | `policy_id`, `framework`, `section`, `control_id`, `text` | `SOC2-CC6.1` |
| **Įrodymas** | `evidence_id`, `type`, `location`, `checksum`, `tags`, `tenant_id` | `evid-12345`, `log`, `s3://bucket/logs/2024/09/01.log` |
| **Santykis** | `source_id`, `target_id`, `rel_type` | `policy_id -> evidence_id` (evidence_of) |
| **PrieigosTaisyklė** | `entity_id`, `principal`, `action`, `conditions` | `evidence_id`, `user:alice@tenantA.com`, `read`, `device_trust_score>0.8` |

Visi entitetai saugomi kaip **savybių grafikai** (pvz., Neo4j arba JanusGraph) ir pasiekiami per GraphQL‑suderintą API.

### 3.2 Zero‑Trust Politikos Kalba

Lengvas DSL (Domain Specific Language) išreiškia smulkias taisykles:

```
allow(user.email =~ "*@tenantA.com")
  where action == "read"
    and entity.type == "Evidence"
    and entity.tenant_id == "tenantA"
    and device.trust_score > 0.8;
```

Šios taisyklės kompiliuojamos į tiesioginę politiką, kurią įgyvendina Prieigos Kontrolės Variklis.

---

## 4. Darbo Srautas: Nuo Klausimo iki Atsakymo

1. **Klausimo įkėlimas** – Saugos peržiūros specialistas įkelia klausimyną (PDF, CSV arba API JSON). Procurize jį išnagrinėjo į atskirus klausimus ir susiekia kiekvieną su vienu ar keliais standartų kontrolės elementais.  
2. **Kontrolės‑Įrodymų Susiejimas** – Sistema užklausia FKG, kad rastų briaunas, susijusias su tiksliniu kontroliu ir nuomininko įrodymų mazgais.  
3. **Zero‑Trust Autorizavimas** – Prieš bet kokį įrodymų ištraukimą, Prieigos Kontrolės Variklis patikrina užklausos kontekstą (vartotojas, įrenginys, vieta, laikas).  
4. **Įrodymų Ištrauka** – Įgalioti įrodymų duomenys perduodami RAG moduliui. RAG reikalauja svarbiausių įrodymų pagal hibridinį TF‑IDF + įterpimo panašumo modelį.  
5. **LLM Generavimas** – LLM gauna klausimą, ištrauktus įrodymus ir prompto šabloną, kuris užtikrina toną ir atitikties kalbą. Pavyzdinis promptas:

   ```
   Tu esi atitikties specialistas įmonei {tenant_name}. Atsakyk į pateiktą saugos klausimyno elementą naudodamas TIK pateiktus įrodymus. Nesukurk išgalvotų detalių.
   Klausimas: {question_text}
   Įrodymai: {evidence_snippet}
   ```

6. **Atsakymo Peržiūra ir Bendradarbiavimas** – Sugeneruotas atsakymas rodomas Procurize realaus laiko bendradarbiavimo UI, kur ekspertai gali komentuoti, redaguoti arba patvirtinti.  
7. **Audito Registravimas** – Kiekviena ištrauka, generavimas ir redagavimas pridedamas į Nekeičiamos Saugyklos įrašą su kriptografinėmis santraukų nuorodomis į naudojamą įrodymo versiją.

---

## 5. Saugumo Garantijos

| Grėsmė | Švelninimas |
|---|---|
| **Duomenų nutekėjimas tarp nuomininkų** | Zero‑Trust Prieigos Kontrolė užtikrina, kad `tenant_id` sutampa; visi duomenų perdavimai yra šifruoti (TLS 1.3 + Mutual TLS). |
| **Įgaliojimų kompromituotumas** | Trumpo galiojimo JWT, įrenginio attestuojimas ir nuolatinis rizikos balas (elgesio analizė) atšaukia tokenus, kai aptinkami anomalijos požymiai. |
| **Įrodymų klastojimas** | Nekeičiama Saugykla naudoja Merkle įrodymus; bet koks pakeitimas sukelia neatitikimo įspėjimą, matomą auditoriams. |
| **Modelio „halucinacijos“** | RAG apriboja LLM tik gautais įrodymais; po‑generacijos tikriniklis patikrina, ar nėra nepalaikytų teiginių. |
| **Tiekimo grandinės ataka** | Visi grafiko plėtiniai (pluginai, connectoriai) yra pasirašyti ir patikrinti CI/CD kanalu, kuris vykdo statinę analizę ir SBOM patikrinimus. |

---

## 6. Įgyvendinimo Žingsniai Procurize Platformoje

1. **Sukurkite Nuomininkų Grafų Mazgus**  
   - Paskirkite atskirą Neo4j instanciją kiekvienam nuomininkui (arba naudokite daugiapermanentę duomenų bazę su eilutės lygio saugumu).  
   - Įkelkite esamus politikos dokumentus ir įrodymus naudodami Procurize importo kanalo funkcijas.  

2. **Apibrėžkite Zero‑Trust Taisykles**  
   - Naudokite Procurize politikų redaktorių DSL taisyklėms kurti.  
   - Įjunkite *įrenginio būklės* integraciją (MDM, endpoint detection) dinaminėms rizikos balų skaičiavimams.  

3. **SuKonfigūruokite Federuotą Sinchronizavimą**  
   - Įdiekite `procurize-fkg-sync` mikroservisą.  
   - Nustatykite bendrą schemos registrą, išlaikant duomenis šifruotus poilsio metu.  

4. **Integruokite RAG Vamzdyną**  
   - Diekite `procurize-rag` konteinerį (įtraukia vektorinę saugyklą, Elasticsearch ir pritaikytą LLM).  
   - Prijunkite RAG galinį tašką prie FKG GraphQL API.  

5. **Įjunkite Nekeičiąją Saugyklą**  
   - Aktyvuokite `procurize-ledger` modulį (naudojant Hyperledger Fabric arba lengvą Append‑Only Log).  
   - Nustatykite išsaugojimo politiką pagal atitikties reikalavimus (pvz., 7‑metų audito taką).  

6. **Įjunkite Bendradarbiavimo UI**  
   - Įjunkite „Real‑Time Collaboration“ funkciją.  
   - Nustatykite vaidmenų pagrindu peržiūros teises (Peržiūrėtojas, Patvirtintojas, Auditorius).  

7. **Paleiskite Pilotą**  
   - Pasirinkite didelį klausimyną (pvz., SOC 2 Type II) ir išmatuokite:  
     - **Laiko trukmę** (prieš ir po AI).  
     - **Tikslumą** (procentas atsakymų, kurie praeina auditoriaus patikrinimą).  
     - **Atitikties išlaidos** (sutaupyta darbo valandų skaičius).  

---

## 7. Verslo Vertės Santrauka

| Verslo Privalumas | Techninis Rezultatas |
|---|---|
| **Greitis** – Sutrumpinkite klausimyno atsakymo laiką nuo dienų iki minučių. | RAG ištraukia atitinkamus įrodymus < 250 ms; LLM generuoja atsakymus < 1 s. |
| **Rizikos Sumažinimas** – Išvengti žmonių klaidų ir duomenų nutekėjimo. | Zero‑trust įgyvendinimas ir nekeičiama registracija garantuoja, kad naudojami tik įgalioti įrodymai. |
| **Mastelio Išplėtimas** – Palaikyti šimtus nuomininkų be duomenų dubliavimo. | Federuotas grafas izoliuoja saugyklas, o bendrinama schema leidžia kryžminę analizę. |
| **Auditorinių Reikalavimų Atitikimas** – Pateikti patikimą taką reguliuotojams. | Kiekvienas atsakymas sujungtas su kriptografinėmis išteklių versijos santraukų nuorodomis. |
| **Kainų Efektyvumas** – Mažinti atitikties OPEX. | Automatizacija iki 80 % sumažina rankinį darbą, leidžiant saugos komandoms susitelkti į strateginius uždavinius. |

---

## 8. Ateities Patobulinimai

1. **Federuotas Mokymasis LLM Modeliui** – Kiekvienas nuomininkas gali prisidėti anonimiškai su gradientų atnaujinimais, kad pagerintų domenų specifinį LLM, neatskleisdami žalių duomenų.  
2. **Dinaminis Politikos‑kaip‑Kodas Generavimas** – Automatiškai kurti Terraform arba Pulumi modulius, kurie įgyvendina tas pačias zero‑trust taisykles debesų infrastruktūroje.  
3. **Paaiškinimo AI Sluoksniai** – Vizualizuoti argumentų kelią (įrodymai → promptas → atsakymas) tiesiai UI naudodami Mermaid sekos diagramas.  
4. **Zero‑Knowledge Proof (ZKP) Integracija** – Įrodyti auditoriams, kad tam tikra kontrolė įvykdyta, neatskleidžiant faktinių įrodymų.

---

## 9. Išvada

**Zero‑Trust Federuotas Žinių Grafas** pakeičia sudėtingą, silo pagrindu įrengtą saugos klausimynų valdymą į saugų, bendradarbiaujantį ir AI patobulintą darbo procesą. Sujungiant nuomininkų izoliuotus grafikus, smulkias prieigos politikas, Retrieval‑Augmented Generation ir nekeičiama audito taką, organizacijos gali greičiau, tiksliau ir su visišku reguliaciniu patikimumu atsakyti į atitikties klausimus.

Įgyvendinant šią architektūrą **Procurize AI platformoje**, naudojamos esamos duomenų įkėlimo magistralės, bendradarbiavimo įrankiai ir saugumo elementai – leidžiant komandoms susitelkti į strateginį rizikos valdymą, o ne į nuobodų duomenų rinkimą.

Ateitis – federuota, patikima ir intelektuali. Pasinaudokite ja šiandien, kad išliktumėte priekyje auditorų, partnerių ir reguliuotojų.

---

## <span class='highlight-content'>Žiūrėti</span> Taip Pat

* [Zero Trust Architecture – NIST SP 800‑207](https://csrc.nist.gov/publications/detail/sp/800-207/final)  
* [Federated Learning: Collaborative Machine Learning without Centralized Data](https://arxiv.org/abs/1902.01046)  
* [Retrieval‑Augmented Generation for Knowledge‑Intensive NLP Tasks (Paper)](https://arxiv.org/abs/2005.11401)