
# Papan Pemuka Bukti Provenans Berasaskan Mermaid Interaktif untuk Audit Soalan Selidik Masa‑Nyata

## Pengenalan  

Soalan selidik keselamatan, audit pematuhan, dan penilaian risiko vendor secara tradisinya menjadi titik lemah bagi syarikat SaaS yang bergerak pantas. Walaupun AI dapat menghasilkan jawapan dalam beberapa detik, para auditor dan penilai dalaman masih bertanya, *“Dari mana jawapan itu datang? Adakah ia berubah sejak audit terakhir?”* Jawapannya terletak pada **bukti provenans**—keupayaan untuk menjejaki setiap respons kembali kepada sumber, versi, dan jejak kelulusan.

Set fitur generasi seterusnya Procurize memperkenalkan **papan pemuka Mermaid interaktif** yang memvisualisasikan bukti provenans secara masa nyata. Papan pemuka ini dipacu oleh **Dynamic Compliance Knowledge Graph (DCKG)**, yang sentiasa diselaraskan dengan storan polisi, repositori dokumen, dan suapan pematuhan luar. Dengan merender graf sebagai diagram Mermaid yang intuitif, pasukan keselamatan dapat:

* **Menyusuri** garis keturunan setiap jawapan dengan satu klik.
* **Mengesahkan** kesegaran bukti melalui amaran drift polisi automatik.
* **Mengeksport** snapshot siap audit yang menyematkan provenans visual ke dalam laporan pematuhan.

Bahagian berikut membongkar seni bina, model Mermaid, corak integrasi, dan langkah pelancaran amalan terbaik.

---

## 1. Mengapa Provenans Penting dalam Soalan Selidik Automatik  

| Titik Sakit | Remedi Tradisional | Risiko Residual |
|-------------|--------------------|-----------------|
| **Kejenuhan Jawapan** | Nota “terkini” manual | Perubahan polisi terlepas |
| **Sumber Tidak Jelas** | Nota kaki teks | Auditor tidak dapat mengesahkannya |
| **Kekacauan Kawalan Versi** | Repos Git berasingan untuk dokumen | Snapshot tidak konsisten |
| **Beban Kerjasama** | Rantaian e‑mel untuk kelulusan | Kelulusan hilang, kerja berganda |

Provenans menghapuskan jurang ini dengan **menautkan setiap jawapan yang dijana AI kepada nod bukti unik** dalam graf yang merekod:

* **Dokumen Sumber** (fail polisi, attesasi pihak ketiga, bukti kawalan)
* **Hash Versi** (sidik kriptografik yang memastikan ketidakbolehubahan)
* **Pemilik / Penyetuju** (identiti manusia atau bot)
* **Cap Masa** (masa UTC automatik)
* **Bendera Drift Polisi** (dijana secara automatik oleh Real‑Time Drift Engine)

Apabila auditor mengklik pada jawapan dalam papan pemuka, sistem serta-merta memperluas nod tersebut, memaparkan semua metadata di atas.

---

## 2. Seni Bina Teras  

Berikut ialah diagram Mermaid aras tinggi bagi aliran provenans. Diagram menggunakan **label nod berpetikan ganda** mengikut spesifikasi.

```mermaid
graph TD
    subgraph AI Engine
        A["LLM Answer Generator"]
        B["Prompt Manager"]
    end
    subgraph Knowledge Graph
        KG["Dynamic Compliance KG"]
        V["Evidence Version Store"]
        D["Drift Detection Service"]
    end
    subgraph UI Layer
        UI["Interactive Mermaid Dashboard"]
        C["Audit Export Service"]
    end
    subgraph Integrations
        R["Policy Repo (Git)"]
        S["Document Store (S3)"]
        M["External Compliance Feed"]
    end

    B --> A
    A --> KG
    KG --> V
    V --> D
    D --> KG
    KG --> UI
    UI --> C
    R --> V
    S --> V
    M --> KG
```

**Aliran Utama**

1. **Prompt Manager** memilih prompt berkesedaran konteks yang merujuk nod KG yang relevan.  
2. **LLM Answer Generator** menghasilkan draf jawapan.  
3. Jawapan **didaftarkan** dalam KG sebagai *Answer Node* baru dengan tepi kepada *Evidence Nodes* yang mendasari.  
4. **Evidence Version Store** menulis hash kriptografik setiap dokumen sumber.  
5. **Drift Detection Service** terus membandingkan hash yang disimpan dengan snapshot polisi terkini; sebarang ketidakcocokan secara automatik menandakan jawapan untuk semakan.  
6. **Interactive Dashboard** membaca KG melalui titik akhir GraphQL, merender kod Mermaid secara langsung.  
7. **Audit Export Service** menggabungkan SVG Mermaid semasa, JSON provenans, dan teks jawapan ke dalam pakej PDF tunggal.

---

## 3. Membina Papan Pemuka Mermaid  

### 3.1 Transformasi Data‑ke‑Diagram  

Lapisan UI menanyakan KG untuk ID soal selidik tertentu. Respons mengandungi struktur berlapis:

```json
{
  "questionId": "Q-101",
  "answer": "We encrypt data at rest using AES‑256.",
  "evidence": [
    {
      "docId": "policy-iso27001",
      "versionHash": "0x9f2c...",
      "approvedBy": "alice@example.com",
      "timestamp": "2025-11-20T14:32:00Z",
      "drift": false
    },
    {
      "docId": "cloud‑kbs‑report",
      "versionHash": "0x4c1a...",
      "approvedBy": "bob@example.com",
      "timestamp": "2025-09-05T09:10:00Z",
      "drift": true
    }
  ]
}
```

**Pengubah sisi‑pelanggan** menukarkan setiap entri bukti menjadi sub‑graf Mermaid:

```mermaid
graph LR
    A["Answer Q‑101"] --> E1["policy‑iso27001"]
    A --> E2["cloud‑kbs‑report"]
    E1 -->|hash: 0x9f2c| H1["Hash"]
    E2 -->|hash: 0x4c1a| H2["Hash"]
    E2 -->|drift| D["⚠️ Drift Detected"]
```

UI menambahkan petunjuk visual:

* **Nod hijau** – bukti terkini.  
* **Nod merah** – drift dikesan.  
* **Ikon kunci** – hash kriptografik disahkan.

> **Nota:** Rujukan kepada *policy‑iso27001* selaras dengan standard ISO 27001 — lihat spesifikasi rasmi di sini: [ISO 27001](https://www.iso.org/standard/27001).

### 3.2 Ciri Interaktif  

| Ciri | Interaksi | Hasil |
|------|-----------|-------|
| **Klik Nod** | Klik pada mana-mana nod bukti | Membuka modal dengan pratonton dokumen penuh, perbezaan versi, dan komen kelulusan |
| **Togol Pandangan Drift** | Suis dalam bar alat | Menyorot hanya nod dengan drift = true |
| **Eksport Snapshot** | Klik butang “Export” | Menjana SVG + bundle JSON provenans untuk auditor |
| **Cari** | Taip ID dokumen atau e‑mel pemilik | Fokus automatik pada sub‑graf yang sepadan |

Semua interaksi berlaku **di sisi klien**, mengelakkan lawatan jaringan tambahan. Kod Mermaid yang terhasil disimpan dalam `<textarea>` tersembunyi untuk penyalinan mudah.

---

## 4. Mengintegrasikan Provenans ke dalam Alur Kerja Sedia Ada  

### 4.1 Gerbang CI/CD Pematuhan  

Tambah langkah dalam pipeline yang **gagalkan bina** jika sebarang jawapan dalam pelepasan akan datang mempunyai flag drift yang belum diselesaikan. Contoh GitHub Action:

```yaml
name: Evidence Provenance Gate
on: [pull_request]
jobs:
  provenance-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Drift Scanner
        run: |
          curl -s https://api.procurize.io/drift?pr=${{ github.event.pull_request.number }} \
          | jq '.drifted | length > 0' && exit 1 || exit 0
```

### 4.2 Peringatan Slack / Teams  

Konfigurasikan **Drift Detection Service** untuk menolak **snippet Mermaid ringkas** ke dalam saluran apabila drift berlaku. Snippet secara automatik dipaparkan oleh bot yang menyokong, memberi pimpinan keselamatan pandangan segera.

### 4.3 Automasi Semakan Undang‑Undang  

Pasukan undang‑undang boleh menambah tepi **“Legal Sign‑Off”** pada nod bukti. Papan pemuka kemudian memaparkan ikon kunci pada nod tersebut, menandakan bukti telah lulus senarai semak undang‑undang.

---

## 5. Pertimbangan Keselamatan & Privasi  

| Kebimbangan | Mitigasi |
|-------------|----------|
| **Pendedahan Dokumen Sensitif** | Simpan dokumen mentah dalam baket S3 yang disulitkan; papan pemuka hanya memaparkan metadata dan hash, bukan isi fail. |
| **Pemalsuan Data Provenans** | Gunakan tandatangan gaya **EIP‑712** bagi setiap transaksi graf; sebarang pengubahsuaian memutuskan hash. |
| **Kediaman Data** | Deploy KG dan storan bukti di wilayah yang sama dengan data pematuhan utama (EU, US‑East, dsb.). |
| **Kawalan Akses** | Manfaatkan model RBAC Procurize: hanya pengguna dengan `provenance:read` boleh melihat papan pemuka; `provenance:edit` diperlukan untuk kelulusan. |

---

## 6. Impak Dunia Nyata: Kajian Kes  

**Syarikat:** SecureFinTech Ltd.  
**Senario:** Audit **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** suku tahunan memerlukan bukti untuk 182 kawalan penyulitan.  
**Sebelum Papan Pemuka:** Pengumpulan manual mengambil 12 hari; auditor mempersoalkan kesegaran bukti.  
**Selepas Papan Pemuka:**  

| Metrik | Asas | Dengan Papan Pemuka |
|--------|------|----------------------|
| Purata Masa Jawapan | 4.2 jam | **1.1 jam** |
| Kerja Semula Berkaitan Drift | 28 % jawapan | **3 %** |
| Skor Kepuasan Auditor (1‑5) | 2.8 | **4.7** |
| Masa Mengeksport Pakej Audit | 6 jam | **45 minit** |

Provenans visual mengurangkan masa persiapan audit sebanyak **70 %**, dan amaran drift automatik menjimatkan anggaran **160 jam‑orang setahun**.

---

## 7. Panduan Langkah‑demi‑Langkah untuk Pelaksanaan  

1. **Dayakan Penyegerakan Knowledge Graph** – Sambungkan repo Git polisi, storan dokumen, dan suapan pematuhan luar dalam tetapan Procurize.  
2. **Aktifkan Perkhidmatan Provenans** – Hidupkan “Evidence Versioning & Drift Detection” di konsol pentadbir platform.  
3. **Konfigurasikan Papan Pemuka Mermaid** – Tambah `dashboard.provenance.enabled = true` pada fail `procurize.yaml`.  
4. **Takrifkan Alur Kelulusan** – Gunakan “Workflow Builder” untuk menambah langkah “Legal Sign‑Off” dan “Security Owner” pada setiap nod bukti.  
5. **Latih Pasukan** – Jalankan demo langsung 30 minit yang meliputi interaksi nod, pengendalian drift, dan prosedur eksport.  
6. **Sisipkan dalam Portal Auditor** – Gunakan snippet IFrame berikut untuk menghoskan papan pemuka di dalam portal audit luar.  

```html
<iframe src="https://dashboard.procurize.io/q/2025-Q101"
        width="100%" height="800"
        style="border:none;"></iframe>
```

7. **Pantau Metrik** – Jejaki “Drift Events”, “Export Count”, dan “Avg. Answer Time” di papan pemuka analitik Procurize untuk mengukur ROI.

---

## 8. Penambahbaikan Masa Depan  

| Item Peta Jalan | Keterangan |
|-----------------|------------|
| **Ramalan Drift Berkuasa AI** | Gunakan analisis trend berasaskan LLM ke atas log perubahan polisi untuk meramalkan drift sebelum ia berlaku. |
| **Perkongsian Provenans Rentas Penyewa** | Mod KG berfederasi yang membolehkan syarikat rakan kongsi melihat bukti yang dikongsi tanpa mendedahkan dokumen mentah. |
| **Navigasi Suara** | Integrasikan dengan Pembantu Suara Procurize supaya penilai boleh bertanya “Tunjukkan sumber jawapan 34”. |
| **Kerjasama Langsung** | Penyuntingan masa nyata berbilang pengguna pada nod bukti, dengan indikator kehadiran yang dirender terus dalam Mermaid. |

---

## 9. Kesimpulan  

**Papan pemuka bukti provenans berasaskan Mermaid interaktif** dari Procurize mengubah dunia gelap automasi soal selidik keselamatan menjadi pengalaman yang telus, boleh diaudit, dan kolaboratif. Dengan menggabungkan jawapan berkuasa AI bersama graf pengetahuan pematuhan secara langsung, organisasi memperoleh **keterlihatan garis keturunan serta-merta**, **pencegahan drift automatik**, dan **bukti siap audit**—tanpa mengorbankan kelajuan.

Mengambil lapisan provenans visual ini bukan sahaja memendekkan kitaran audit, malah membina keyakinan di kalangan regulator, rakan kongsi, dan pelanggan bahawa dakwaan keselamatan anda **disokong oleh bukti yang tidak dapat dipertikaikan dan berasaskan masa‑nyata**.