
# Pangkalan Pengetahuan Pematuhan Penyembuhan Sendiri dengan AI Generatif

Perusahaan yang menghantar perisian kepada perusahaan besar menghadapi aliran tanpa henti soal selidik keselamatan, audit pematuhan, dan penilaian vendor. Pendekatan tradisional—salin‑dan‑tampal manual daripada polisi, penjejakan lembaran kerja, dan thread e‑mel ad‑hoc—menimbulkan tiga masalah kritikal:

| Masalah | Impak |
|---|---|
| **Bukti lapuk** | Jawapan menjadi tidak tepat bila kawalan berkembang. |
| **Siloso pengetahuan** | Pasukan menggandakan kerja dan terlepas pandangan merentas pasukan. |
| **Risiko audit** | Balasan yang tidak konsisten atau ketinggalan zaman mencetuskan jurang pematuhan. |

**Self Healing Compliance Knowledge Base (SH‑CKB)** baru dari Procurize menangani isu‑isu ini dengan menjadikan repositori pematuhan sebagai organisma yang hidup. Dikuasakan oleh **AI generatif**, **enjin pengesahan masa‑nyata**, dan **graf pengetahuan dinamik**, sistem secara automatik mengesan pergeseran, menjana semula bukti, dan menyebarkan kemas kini ke setiap soal selidik.

## 1. Konsep Teras

### 1.1 AI Generatif sebagai Penggubah Bukti  

Model bahasa besar (LLM) yang dilatih pada dokumen polisi organisasi anda, log audit, dan artifak teknikal dapat **menggubah jawapan lengkap** atas permintaan. Dengan mencondition model pada prompt berstruktur yang merangkumi:

* Rujukan kawalan (contoh, [ISO 27001](https://www.iso.org/standard/27001) A.12.4.1)  
* Artifak bukti semasa (contoh, keadaan Terraform, log CloudTrail)  
* Nada yang dikehendaki (ringkas, tahap eksekutif)  

model menghasilkan draf respons yang sedia untuk semakan.

### 1.2 Lapisan Pengesahan Masa‑Nyata  

Satu set validator berasaskan peraturan dan dipacu ML memeriksa secara berterusan:

* **Kesegaran artifak** – cap masa, nombor versi, checksum hash.  
* **Relevansi peraturan** – memetakan versi peraturan baru ke kawalan sedia ada.  
* **Konsistensi semantik** – penilaian kesamaan antara teks terjana dan dokumen sumber.  

Apabila validator menandakan tidak padan, graf pengetahuan menandakan nod tersebut sebagai **“lapuk”** dan memicu penjanaan semula.

### 1.3 Graf Pengetahuan Dinamik  

Semua polisi, kawalan, fail bukti, dan item soal selidik menjadi **nod** dalam graf berarah. Pinggiran menangkap hubungan seperti *“bukti untuk”*, *“berasal daripada”*, atau *“memerlukan kemas kini apabila”*.  

Graf membolehkan:

* **Analisis impak** – mengenal pasti jawapan soal selidik yang bergantung pada polisi yang berubah.  
* **Sejarah versi** – setiap nod membawa warisan temporal, menjadikan audit dapat dijejaki.  
* **Federasi pertanyaan** – alat hilir (pipeline CI/CD, sistem tiket) boleh mengambil pandangan pematuhan terkini melalui GraphQL.

## 2. Cetak Biru Seni Bina

Berikut ialah diagram Mermaid aras tinggi yang memvisualisasikan aliran data SH‑CKB.

```mermaid
flowchart LR
    subgraph "Input Layer"
        A["Policy Repository"]
        B["Evidence Store"]
        C["Regulatory Feed"]
    end

    subgraph "Processing Core"
        D["Knowledge Graph Engine"]
        E["Generative AI Service"]
        F["Validation Engine"]
    end

    subgraph "Output Layer"
        G["Questionnaire Builder"]
        H["Audit Trail Export"]
        I["Dashboard & Alerts"]
    end

    A --> D
    B --> D
    C --> D
    D --> E
    D --> F
    E --> G
    F --> G
    G --> I
    G --> H
```

### 2.1 Penyisipan Data  

1. **Repositori Polisi** boleh berupa Git, Confluence, atau stor polisi‑as‑code khusus.  
2. **Stor Bukti** menggunakan artifak dari CI/CD, SIEM, atau log audit awan.  
3. **Suapan Peraturan** menarik kemas kini dari penyedia seperti [NIST CSF](https://www.nist.gov/cyberframework), ISO, dan senarai pemerhatian [GDPR](https://gdpr.eu/).  

### 2.2 Enjin Graf Pengetahuan  

- **Ekstraksi entiti** menukar PDF tak berstruktur menjadi nod graf menggunakan Document AI.  
- **Algoritma penautan** (kesamaan semantik + penapis berasaskan peraturan) mencipta hubungan.  
- **Cap versi** disimpan sebagai atribut nod.  

### 2.3 Perkhidmatan AI Generatif  

Beroperasi dalam enclave selamat (contoh, Azure Confidential Compute).  
Menggunakan **Retrieval‑Augmented Generation (RAG)**: graf menyediakan petikan konteks, LLM menjana jawapan.  
Output termasuk **ID sitasi** yang memetakan kembali ke nod sumber.  

### 2.4 Enjin Pengesahan  

- **Enjin peraturan** memeriksa kesegaran cap masa (`now - artifact.timestamp < TTL`).  
- **Pengelas ML** menandakan pergeseran semantik (jarak embedding > ambang).  
- **Gelung maklum balas**: jawapan tidak sah dimasukkan ke dalam pengemas kini pembelajaran pengukuhan untuk LLM.  

### 2.5 Lapisan Output  

- **Pembina Soal Selidik** menyusun jawapan ke format khusus vendor (PDF, JSON, Google Forms).  
- **Eksport Jejak Audit** menghasilkan lejar yang tidak boleh diubah (contoh, hash on‑chain) untuk juruaudit pematuhan.  
- **Papan Pemuka & Amaran** memaparkan metrik kesihatan: % nod lapuk, kependaman penjanaan semula, skor risiko.  

## 3. Kitaran Penyembuhan Sendiri dalam Tindakan

| Fasa | Pencetus | Tindakan | Hasil |
|---|---|---|---|
| **Mengesan** | Versi baru ISO 27001 dikeluarkan | Suapan Peraturan menolak kemas kini → Enjin Pengesahan menandakan kawalan terjejas sebagai “ketinggalan”. | Nod ditandakan sebagai lapuk. |
| **Menganalisis** | Nod lapuk dikenal pasti | Graf Pengetahuan mengira kebergantungan hilir (jawapan soal selidik, fail bukti). | Senarai impak dijana. |
| **Menjana Semula** | Senarai kebergantungan sedia | Perkhidmatan AI Generatif menerima konteks terkini, mencipta draf jawapan baru dengan sitasi baru. | Jawapan terkini sedia untuk semakan. |
| **Mengesahkan** | Draf dihasilkan | Enjin Pengesahan menjalankan semakan kesegaran & konsistensi pada jawapan yang dijana semula. | Lulus → nod ditandakan “siap”. |
| **Menerbitkan** | Pengesahan lulus | Pembina Soal Selidik menolak jawapan ke portal vendor; Papan Pemuka merekod metrik kependaman. | Respons boleh diaudit, terkini dihantar. |

## 4. Manfaat untuk Pasukan Keselamatan & Undang‑Undang

1. **Masa Selesai Turun** — Penjanaan respons purata menurun dari hari ke minit.  
2. **Ketepatan Tinggi** — Pengesahan masa‑nyata menghilangkan kesilapan pengawasan manusia.  
3. **Jejak Sedia Audit** — Setiap peristiwa penjanaan semula direkodkan dengan hash kriptografi, memenuhi keperluan bukti SOC 2 dan ISO 27001.  
4. **Kerjasama Boleh Skala** — Berbilang pasukan produk boleh menyumbang bukti tanpa menimpa satu sama lain; graf menyelesaikan konflik secara automatik.  
5. **Kekuatan Masa Depan** — Suapan peraturan berterusan memastikan pangkalan pengetahuan tetap selaras dengan piawaian baru (contoh, Pematuhan EU AI Act, mandat privasi‑by‑design).  

## 5. Pelan Pelaksanaan untuk Perusahaan

### 5.1 Prasyarat

| Keperluan | Alat Disyorkan |
|---|---|
| Penyimpanan Polisi‑sebagai‑Kod | GitHub Enterprise, Azure DevOps |
| Repositori artifak selamat | HashiCorp Vault, AWS S3 with SSE |
| LLM terkawal | Azure OpenAI “GPT‑4o” with Confidential Compute |
| Pangkalan data graf | Neo4j Enterprise, Amazon Neptune |
| Integrasi CI/CD | GitHub Actions, GitLab CI |
| Pemantauan | Prometheus + Grafana, Elastic APM |

### 5.2 Pelancaran Berperingkat

| Matlamat | Aktiviti Utama |
|---|---|
| **Pilot** | Validasi teras graf + alur AI; sisipkan satu set kawalan (contoh, SOC 2 CC3.1). Jana jawapan untuk dua soal selidik vendor. |
| **Skala** | Tambah semua rangka kerja ISO 27001, [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa). Sambungkan bukti dari alat cloud‑native (Terraform, CloudTrail). |
| **Automasi** | Aktifkan suapan peraturan, jadualkan kerja pengesahan malam. |
| **Govern** | Terapkan kawalan akses berasaskan peranan, enkripsi‑at‑rest, log audit tidak boleh diubah. |

### 5.3 Metri Kejayaan

- **Masa Purata Menjawab (MTTA)** — sasaran < 5 minit.  
- **Kadar Nod Lapuk** — sasaran < 2 % selepas setiap jam malam.  
- **Liputan Peraturan** — % rangka kerja aktif dengan bukti terkini > 95 %.  
- **Penemuan Audit** — pengurangan penemuan berkaitan bukti sebanyak ≥ 80 %.  

## 6. Kajian Kes Dunia Nyata (Procurize Beta)

**Syarikat:** FinTech SaaS yang melayani bank enterprise  
**Cabaran:** lebih 150 soal selidik keselamatan setiap suku, 30 % gagal SLA akibat rujukan polisi yang lapuk.  
**Penyelesaian:** Menerapkan SH‑CKB pada Azure Confidential Compute, diintegrasikan dengan stor keadaan Terraform mereka dan Azure Policy.  
**Hasil:**  

* MTTA menurun dari **3 hari → 4 minit**.  
* Bukti lapuk menurun dari **12 % → 0.5 %** selepas satu bulan.  
* Pasukan audit melaporkan **tiada** penemuan berkaitan bukti dalam audit SOC 2 berikutnya.  

## 7. Risiko & Strategi Mitigasi

| Risiko | Mitigasi |
|---|---|
| Halusinasi model — AI mungkin menghasilkan bukti palsu. | Paksa penjanaan **hanya dengan sitasi**; sahkan setiap sitasi terhadap checksum nod graf. |
| Kebocoran data — Artifak sensitif mungkin terdedah kepada LLM. | Jalankan LLM di dalam Confidential Compute, gunakan bukti tanpa pengetahuan untuk pengesahan bukti. |
| Ketidaksesuaian graf — Hubungan yang salah menyebarkan kesilapan. | Pemeriksaan kesihatan graf berkala, pengesanan anomali automatik pada penciptaan pinggiran. |
| Kelewatan suapan peraturan — Kemas kini lewat menyebabkan jurang pematuhan. | Langgan kepada pelbagai penyedia suapan; sandaran manual dengan amaran. |

## 8. Arah Masa Depan

1. **Pembelajaran Teragregasi Merentasi Organisasi** — Pelbagai syarikat boleh menyumbang corak pergeseran anonim, meningkatkan model pengesahan tanpa berkongsi data proprietari.  
2. **Anotasi AI Boleh Dijelaskan (XAI)** — Lampirkan skor keyakinan dan rasional pada setiap ayat terjana, membantu juruaudit memahami alasan.  
3. **Integrasi Bukti Tanpa Pengetahuan** — Menyediakan bukti kriptografi bahawa jawapan berasal dari artifak teresahkan tanpa mendedahkan artifak itu sendiri.  
4. **Integrasi ChatOps** — Membenarkan pasukan keselamatan menanyakan pangkalan pengetahuan terus dari Slack/Teams, menerima jawapan segera dan teresahkan.  

## 9. Memulakan

1. **Klon repositori pelaksanaan rujukan** – `git clone https://github.com/procurize/sh-ckb-demo`.  
2. **Konfigurasikan repositori polisi anda** – tambahkan folder `.policy` dengan fail YAML atau Markdown.  
3. **Sediakan Azure OpenAI** – buat sumber dengan bendera *confidential compute*.  
4. **Terapkan Neo4j** – gunakan fail Docker compose dalam repositori.  
5. **Jalankan pipeline penyisipan** – `./ingest.sh`.  
6. **Mulakan penjadual pengesahan** – `crontab -e` → `0 * * * * /usr/local/bin/validate.sh`.  
7. **Buka papan pemuka** – `http://localhost:8080` dan saksikan penyembuhan sendiri beraksi.  

## Lihat Juga

- Standard ISO 27001:2022 – Gambaran keseluruhan dan kemas kini (https://www.iso.org/standard/75281.html)  
- Rangkaian Neural Graf untuk Penalaran Graf Pengetahuan (2023) (https://arxiv.org/abs/2302.12345)