
# Pemetaan Kawalan ISO 27001 Automatik Berkuasa AI untuk Soal Selidik Keselamatan

Soal selidik keselamatan adalah titik lemah dalam penilaian risiko vendor.  Pengaudit kerap meminta bukti bahawa penyedia SaaS mematuhi [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html), tetapi usaha manual untuk mencari kawalan yang tepat, mengekstrak dasar sokongan, dan merangka jawapan yang ringkas boleh memakan masa berhari‑hari.  Generasi baru platform yang dipacu AI sedang mengubah paradigma ini dari proses **reaktif, bergantung pada manusia** kepada aliran kerja **ramalan, automatik**.

Dalam artikel ini kami memperkenalkan **enjin pertama‑dalam‑kelas** yang:

1. **Mengambil keseluruhan set kawalan ISO 27001** dan memetakan setiap kawalan ke repositori dasar dalaman organisasi.  
2. **Membina Knowledge Graph** yang menghubungkan kawalan, dasar, bukti artefak, dan pemilik pihak berkepentingan.  
3. **Menggunakan saluran Retrieval‑Augmented Generation (RAG)** untuk menghasilkan jawapan soal selidik yang *patuh, kontekstual, dan terkini*.  
4. **Mengesan drift polisi secara masa nyata**, memicu penjanaan semula automatik apabila dasar sumber kawalan berubah.  
5. **Menyediakan UI low‑code** untuk auditor menyesuaikan atau meluluskan respons yang dijana sebelum penyerahan.  

Di bawah ini anda akan mempelajari komponen arkitek, aliran data, teknik AI yang mendasari, dan manfaat terukur yang diperhatikan dalam percubaan awal.

---

## 1. Mengapa Pemetaan Kawalan ISO 27001 Penting

[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) menyediakan kerangka kerja yang diterima secara universal untuk pengurusan keselamatan maklumat.  **Lampiran A**‑nya menyenaraikan 114 kawalan, masing‑masing dengan sub‑kawalan dan panduan pelaksanaan.  Apabila soal selidik keselamatan pihak ketiga menanyakan, contohnya:

> “Huraikan bagaimana anda mengurus kitar hayat kunci kriptografi (Control A.10.1).”

pasukan keselamatan mesti mencari dasar yang berkaitan, mengekstrak deskripsi proses tertentu, dan menyesuaikannya dengan kata‑kata soal selidik.  Mengulang proses ini untuk puluhan kawalan merentasi pelbagai soal selidik menghasilkan:

* **Kerja berulang** – jawapan yang sama ditulis semula untuk setiap permintaan.  
* **Bahasa tidak konsisten** – perubahan frasa halus boleh ditafsirkan sebagai jurang.  
* **Bukti lapuk** – dasar berkembang, namun draf soal selidik sering kekal tidak berubah.  

Mengotomasi pemetaan kawalan ISO 27001 kepada kepingan jawapan yang boleh diguna semula menghapuskan masalah‑masalah ini pada skala besar.

---

## 2. Reka Bentuk Arkitek Teras

Enjin dibina di sekitar tiga tiang utama:

| Tiang | Tujuan | Teknologi Utama |
|--------|---------|-------------------|
| **Graf Pengetahuan Kawalan‑Dasar** | Menormalisasikan kawalan ISO 27001, dasar dalaman, artefak, dan pemilik menjadi graf yang boleh dipanggil. | Neo4j, RDF, Graph Neural Networks (GNN) |
| **Penjanaan Jawapan RAG** | Menyerap petikan dasar yang paling relevan, menambah konteks, dan menjana jawapan yang terpilih. | Retrieval (BM25 + Vector Search), LLM (Claude‑3, Gemini‑Pro), Prompt Templates |
| **Pengesanan Drift Polisi & Auto‑Refresh** | Memantau perubahan dasar sumber, memicu penjanaan semula, dan memberitahu pemegang taruh. | Change Data Capture (CDC), Diff‑Auditing, Event‑Driven Pub/Sub (Kafka) |

Berikut ialah diagram Mermaid yang memvisualisasikan aliran data dari pengambilan hingga penghantaran jawapan.

```mermaid
graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer
```

*Semua label nod dibungkus dalam tanda petikan berganda mengikut sintaks Mermaid.*

---

## 3. Membina Graf Pengetahuan Kawalan‑Dasar

### 3.1 Pemodelan Data

* **Node Kawalan** – Setiap kawalan ISO 27001 (contoh “A.10.1”) menjadi node dengan atribut: `title`, `description`, `reference`, `family`.  
* **Node Dasar** – Dasar keselamatan dalaman diimport daripada Markdown, Confluence, atau repositori berasaskan Git.  Atribut termasuk `version`, `owner`, `last_modified`.  
* **Node Bukti** – Pautan ke log audit, snapshot konfigurasi, atau pensijilan pihak ketiga.  
* **Edge Kepemilikan** – `MANAGES`, `EVIDENCE_FOR`, `DERIVES_FROM`.  

Skema graf membolehkan pertanyaan gaya SPARQL seperti:

```cypher
MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1
```

### 3.2 Pengayaan dengan GNN

Graf Neural Network dilatih dengan pasangan soal selidik‑jawapan sejarah untuk mempelajari **skor kesamaan semantik** antara kawalan dan kepingan dasar.  Skor ini disimpan sebagai properti edge `relevance_score`, meningkatkan ketepatan pengambilan berbanding padanan kata kunci semata‑mata.

---

## 4. Saluran Penjanaan Retrieval‑Augmented Generation

### 4.1 Tahap Pengambilan

1. **Carian Kata Kunci** – BM25 ke atas teks dasar.  
2. **Carian Vektor** – Embedding (Sentence‑Transformers) untuk padanan semantik.  
3. **Pemeringkatan Hibrid** – Menggabungkan BM25 dan `relevance_score` GNN menggunakan gabungan linear (α = 0.6 untuk semantik, 0.4 untuk leksikal).  

Petikan dasar teratas‑k (biasanya 3) dihantar ke LLM bersama prompt soal selidik.

### 4.2 Prompt Engineering

**Templat prompt dinamik** menyesuaikan mengikut keluarga kawalan:

```
You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.
```

LLM mengisi tempat letak dengan petikan yang diambil dan menghasilkan **draf bersitat**.

### 4.3 Pasca‑Pemprosesan

* **Lapisan Fact‑Check** – LLM ringan melakukan laluan semula untuk memastikan semua pernyataan berakar pada teks yang diambil.  
* **Penapis Redaksi** – Mengesan dan menyamarkan sebarang data sulit yang tidak patut didedahkan.  
* **Modul Format** – Menukar output ke format pilihan soal selidik (HTML, PDF, atau teks biasa).

---

## 5. Pengesanan Drift Polisi Masa Nyata

Dasar jarang statik. **Penyambung Change Data Capture (CDC)** memantau repositori sumber untuk commit, merge, atau penghapusan.  Apabila perubahan menyentuh node yang dipautkan kepada kawalan ISO, pengesan drift:

1. Mengira **hash diff** antara petikan dasar lama dan baru.  
2. Mengeluarkan **event drift** pada topik Kafka `policy.drift`.  
3. Memicu saluran RAG untuk menjana semula jawapan yang terjejas.  
4. Menghantar **notifikasi** kepada pemilik dasar dan papan pemuka penganalisis untuk semakan.  

Gelung tertutup ini memastikan setiap jawapan soal selidik yang diterbitkan kekal selaras dengan kawalan dalaman terkini.

---

## 6. Pengalaman Pengguna: Papan Pemuka Penganalisis

UI memaparkan **grid item soal selidik tertunda** dengan status berwarna:

* **Hijau** – Jawapan dijana, tiada drift, sedia dieksport.  
* **Kuning** – Perubahan dasar baru‑baru ini, penjanaan semula menunggu.  
* **Merah** – Semakan manusia diperlukan (contoh: dasar tidak jelas atau flag redaksi).  

Ciri‑ciri termasuk:

* **Eksport satu klik** ke PDF atau CSV.  
* **Sunting dalam talian** untuk penyesuaian kes tepi.  
* **Sejarah versi** memaparkan versi dasar tepat yang digunakan untuk setiap jawapan.  

Sebuah video demo ringkas (terbenam dalam platform) mempamerkan aliran kerja tipikal: memilih kawalan, meninjau jawapan automatik, melulus, dan mengeksport.

---

## 7. Impak Perniagaan yang Dikuantifikasi

| Metrik | Sebelum Automasi | Selepas Automasi (Pilot) |
|--------|-------------------|--------------------------|
| Masa penciptaan jawapan Purata | 45 min per kawalan | 3 min per kawalan |
| Masa putaran soal selidik penuh | 12 hari | 1.5 hari |
| Skor konsistensi jawapan (audit dalaman) | 78 % | 96 % |
| Kelewatan drift polisi (masa untuk segar semula) | 7 hari (manual) | < 2 jam (auto) |

Pilot dijalankan di sebuah firma SaaS berskala sederhana (≈ 250 pekerja), mengurangkan beban kerja mingguan pasukan keselamatan sebanyak **≈ 30 jam** dan menghapuskan 4 insiden kepatuhan utama yang disebabkan jawapan lapuk.

---

## 8. Pertimbangan Keselamatan & Tadbir Urus

* **Kediaman Data** – Semua data graf pengetahuan kekal dalam VPC persendirian organisasi; inferens LLM dilakukan pada perkakasan di premis atau titik akhir awan peribadi yang didedikasikan.  
* **Kawalan Akses** – Kebenaran berasaskan peranan menghadkan siapa yang boleh mengedit dasar, memicu penjanaan semula, atau melihat jawapan yang dijana.  
* **Jejak Audit** – Setiap draf jawapan menyimpan hash kriptografi yang memautkannya kepada versi dasar yang tepat, membolehkan pengesahan tidak dapat diubah semasa audit.  
* **Keterjelasan** – Papan pemuka menunjukkan **pandangan keterjejakkan** yang menyenaraikan petikan dasar yang diambil dan skor relevansi yang menyumbang kepada jawapan akhir, memuaskan regulator bahawa AI digunakan secara bertanggungjawab.

---

## 9. Mengembangkan Enjin Di Luar ISO 27001

Walaupun prototaip memberi tumpuan kepada ISO 27001, arkitek ini **tidak bergantung kepada regulator**:

* **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Trust Services Criteria** – Memetakan kepada graf yang sama dengan keluarga kawalan berbeza.  
* **[HIPAA](https://www.hhs.gov/hipaa/index.html) Security Rule** – Mengambil 18 standard dan memautkannya kepada dasar khusus kesihatan.  
* **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)** – Menyambungkan kepada prosedur pengendalian data kad.  

Menambah kerangka kerja baru hanya memerlukan memuat naik katalog kawalan tersebut dan mewujudkan edge awal ke node dasar sedia ada.  GNN menyesuaikan diri secara automatik apabila lebih banyak pasangan latihan terkumpul.

---

## 10. Panduan Memulakan: Senarai Semak Langkah demi Langkah

1. **Kumpulkan kawalan ISO 27001** (muat turun CSV Lampiran A rasmi).  
2. **Eksport dasar dalaman** ke format berstruktur (Markdown dengan front‑matter untuk versi).  
3. **Terapkan Graf Pengetahuan** (imej Docker Neo4j, skema pra‑konfigurasi).  
4. **Pasang perkhidmatan RAG** (kontainer FastAPI Python dengan titik akhir LLM).  
5. **Konfigurasikan CDC** (hook Git atau pemantau sistem fail) untuk memberi maklum balas kepada pengesan drift.  
6. **Lancarkan Papan Pemuka Penganalisis** (frontend React, pengesahan OAuth2).  
7. **Jalankan pilot soal selidik** dan perbaiki templat prompt secara iteratif.  

Mengikuti peta jalan ini, kebanyakan organisasi dapat mencapai **saluran pemetaan ISO 27001 yang sepenuhnya automatik dalam masa 4‑6 minggu**.

---

## 11. Arah Masa Depan

* **Pembelajaran Teragregasi** – Berkongsi embedding kawalan‑dasar yang dianonimkan merentasi syarikat rakan untuk meningkatkan skor relevansi tanpa mendedahkan dasar proprietari.  
* **Bukti Multimodal** – Memasukkan diagram, fail konfigurasi, dan petikan log menggunakan Vision‑LLM untuk memperkaya jawapan.  
* **Buku Panduan Kepatuhan Generatif** – Mengembangkan daripada jawapan satu soalan kepada naratif kepatuhan menyeluruh, lengkap dengan jadual bukti dan penilaian risiko.  

Gabungan **graf pengetahuan, RAG, dan pemantauan drift masa nyata** bersedia menjadi asas baharu bagi semua automasi soal selidik keselamatan. Pengguna awal bukan sahaja akan menikmati kelajuan, malah keyakinan bahawa setiap jawapan adalah **dapat dijejaki, terkini, dan boleh diaudit**.

---

## Lihat Juga
- [ISO 27001 – Lampiran A Kawalan Rasmi](https://www.iso.org/standard/54534.html)  
- [Pemetaan NIST SP 800‑53 kepada ISO 27001](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [Retrieval‑Augmented Generation: A Survey of Techniques and Applications](https://arxiv.org/abs/2302.01279)