
# Pengekstrakan Bukti Tanpa Sentuh dengan Document AI untuk Automasi Soalan Selamat

## Pengenalan

Soalan selidik keselamatan—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), addenda pemprosesan data GDPR, penilaian risiko vendor—telah menjadi halangan bagi syarikat SaaS yang berkembang pesat. Pasukan menghabiskan **30 % hingga 50 %** masa jurutera keselamatan mereka hanya untuk mencari bukti yang tepat, menyalinnya ke dalam soalan, dan mengesahkan kaitannya secara manual.  

**Pengekstrakan bukti tanpa sentuh** menghapuskan gelung “cari‑dan‑tampal” manual dengan membiarkan enjin **Document AI** mengonsumsi setiap artifak pematuhan, memahami semantikanya, dan memaparkan graf bukti yang boleh dibaca mesin yang boleh dipertanyaan secara masa nyata. Apabila digabungkan dengan lapisan menjawab yang diorkestrasi LLM (seperti Procurize AI), seluruh kitaran soalan selidik—dari pengambilan hingga penghantaran jawapan—menjadi sepenuhnya automatik, boleh diaudit, dan sentiasa terkini.

Artikel ini membincangkan:

1. Seni bina teras paip pengekstrakan bukti tanpa sentuh.  
2. Teknik AI utama (OCR, transformer berorientasi susun atur, penandaan semantik, pautan antara dokumen).  
3. Cara menyematkan pemeriksaan pengesahan (tandatangan digital, bukti asal berasaskan hash).  
4. Corak integrasi dengan hab pematuhan sedia ada.  
5. Nombor prestasi dunia sebenar dan cadangan amalan terbaik.

> **Intipati:** Dengan melabur dalam lapisan bukti berkuasa Document‑AI, organisasi dapat memendekkan masa tindak balas soal selidik daripada **minggu ke minit**, sambil mencapai **jejak bukti gred audit** yang dipercayai oleh pengawal selia.

---

## 1. Mengapa Pengurusan Bukti Tradisional Gagal

| Titik Sakit | Proses Manual | Kos Tersembunyi |
|------------|----------------|-----------------|
| **Penemuan** | Cari dalam perkongsian fail, benang e‑mel, perpustakaan SharePoint. | 8–12 jam per kitaran audit. |
| **Kawalan Versi** | Tebakan; PDF lama selalunya diedarkan. | Jurang pematuhan, kerja semula. |
| **Pemeta Konteks** | Penganalisis manusia memetakan “polis‑X” kepada “soalan‑Y”. | Jawapan tidak konsisten, kawalan terlepas. |
| **Pengesahan** | Bergantung pada pemeriksaan visual tandatangan. | Risiko tinggi pemalsuan. |

Kecekapan yang lemah ini berpunca daripada menganggap bukti sebagai **dokumen statik** dan bukannya **objek pengetahuan berstruktur**. Peralihan kepada graf pengetahuan ialah langkah pertama ke arah automasi tanpa sentuh.

---

## 2. Pelan Seni Bina

Berikut ialah diagram Mermaid yang menggambarkan aliran hujung‑ke‑hujung enjin pengekstrakan bukti tanpa sentuh.

```mermaid
graph LR
    A["Document Ingestion Service"] --> B["OCR & Layout Engine"]
    B --> C["Semantic Entity Extractor"]
    C --> D["Evidence Knowledge Graph"]
    D --> E["Verification Layer"]
    E --> F["LLM Orchestrator"]
    F --> G["Questionnaire UI / API"]
    subgraph Storage
        D
        E
    end
```

**Komponen utama yang diterangkan:**

| Komponen | Peranan | Teknologi Teras |
|-----------|----------|-----------------|
| **Document Ingestion Service** | Mengambil PDF, DOCX, imej, diagram draw.io daripada storan fail, talian CI, atau muat naik pengguna. | Apache NiFi, AWS S3 EventBridge |
| **OCR & Layout Engine** | Menukar imej raster kepada teks yang boleh dicari, mengekalkan hierarki susun atur (jadual, tajuk). | Tesseract 5 + Layout‑LM, Google Document AI |
| **Semantic Entity Extractor** | Mengenal pasti polisi, kawalan, nama vendor, tarikh, tandatangan. Membina embedding untuk pemadanan seterusnya. | Layout‑aware Transformers (contoh: LayoutLMv3), Sentence‑BERT |
| **Evidence Knowledge Graph** | Menyimpan setiap artifak sebagai nod dengan atribut (jenis, versi, hash, pemetaan pematuhan). | Neo4j, GraphQL‑lite |
| **Verification Layer** | Menyambungkan tandatangan digital, mengira hash SHA‑256, menyimpan bukti tidak boleh diubah dalam ledger blockchain atau storan WORM. | Hyperledger Fabric, AWS QLDB |
| **LLM Orchestrator** | Mengambil nod bukti yang relevan, menyusun jawapan naratif, melakukan rujukan gaya sitasi. | OpenAI GPT‑4o, LangChain, Retrieval‑Augmented Generation |
| **Questionnaire UI / API** | Front‑end untuk pasukan keselamatan, portal vendor, atau panggilan API automatik. | React, FastAPI, spesifikasi OpenAPI |

---

## 3. Selami: Dari PDF ke Graf Pengetahuan

### 3.1 OCR + Kesedaran Susun Atur

OCR biasa kehilangan **logik jadual** yang penting untuk memetakan “ID Kawalan” kepada “Butiran Pelaksanaan”. Model Layout‑LM menggabungkan token visual dan embedding posisi, mengekalkan struktur dokumen asal.

```python
from transformers import LayoutLMv3Processor, LayoutLMv3ForTokenClassification

processor = LayoutLMv3Processor.from_pretrained("microsoft/layoutlmv3-base")
model = LayoutLMv3ForTokenClassification.from_pretrained("custom/evidence-ner")
inputs = processor(images, documents, return_tensors="pt")
outputs = model(**inputs)
```

Model mengeluarkan tag entiti seperti `B-POLICY`, `I-POLICY`, `B-CONTROL`, `B-SIGNATURE`. Dengan melatih pada korpus pematuhan terkawal (laporan SOC 2, lampiran ISO 27001, klausa kontrak), kami mencapai **F1 > 0.92** pada PDF yang tidak dikenali.

### 3.2 Penandaan Semantik & Embedding

Setiap entiti yang diekstrak disematkan menggunakan model Sentence‑BERT yang diselaraskan untuk menangkap semantik regulatori. Embedding yang terhasil disimpan dalam graf sebagai **sifat vektor**, membolehkan pencarian **approximate nearest neighbor** apabila soal selidik menanya, “Sediakan bukti enkripsi data‑at‑rest”.

```python
from sentence_transformers import SentenceTransformer

embedder = SentenceTransformer('all-MiniLM-L6-v2')
vector = embedder.encode("AES‑256 encryption for all storage volumes")
```

### 3.3 Pembinaan Graf

```cypher
MERGE (e:Evidence {id: $doc_hash})
SET e.title = $title,
    e.type = $type,
    e.version = $version,
    e.embedding = $embedding,
    e.createdAt = timestamp()
WITH e
UNWIND $mappings AS map
MATCH (c:Control {id: map.control_id})
MERGE (e)-[:PROVES]->(c);
```

Setiap nod `Evidence` dihubungkan kepada nod `Control` yang dipenuhi. **Sisi berarah** ini membolehkan traversing serta‑merta dari item soal selidik ke artifak sokongan.

---

## 4. Pengesahan & Bukti Kekal

Audit pematuhan memerlukan **bukti yang dapat dipertanggungjawabkan**. Selepas bukti dimasukkan:

1. **Penjanaan Hash** – Kira SHA‑256 pada binari asal.  
2. **Tandatangan Digital** – Pegawai keselamatan menandatangani hash menggunakan sijil X.509.  
3. **Penulisan Ledger** – Simpan `{hash, signature, timestamp}` pada ledger yang tidak boleh dipalsukan.

```javascript
const crypto = require('crypto');
const hash = crypto.createHash('sha256').update(fileBuffer).digest('hex');
// Sign with private key (PKCS#12)
```

Semasa penjanaan jawapan, LLM mengambil bukti ledger dan menyertakan blok sitasi:

```
Evidence: Policy‑A.pdf (SHA‑256: 3f5a…c8e2) – Signed by CFO, 2025‑10‑12
```

Pengawal selia boleh mengesahkan hash berbanding fail yang dimuat naik, memastikan **pengendalian bukti tanpa kepercayaan**.

---

## 5. Penjanaan Jawapan yang Diorkestrasi LLM

LLM menerima **prompt berstruktur** yang mengandungi:

- Teks soal selidik.  
- Senarai ID Bukti calon yang diperoleh melalui similitud vektor.  
- Metadata pengesahan mereka.

```markdown
**Soalan:** "Terangkan proses tindak balas insiden anda untuk kejadian data‑breach."
**Calon Bukti:**
1. Incident_Response_Playbook.pdf (Control: IR‑01)
2. Run‑Book_2025.docx (Control: IR‑02)
**Pengesahan:** Semua fail ditandatangani dan diverifikasi hash‑nya.
```

Dengan menggunakan **Retrieval‑Augmented Generation (RAG)**, model menyusun jawapan ringkas dan **menyelitkan sitasi secara automatik**. Pendekatan ini menjamin:

- **Ketepatan** (jawapan berasaskan bukti yang terverifikasi).  
- **Konsistensi** (bukti yang sama digunakan pada banyak soal selidik).  
- **Kelajuan** (latensi sub‑saat per soalan).

---

## 6. Corak Integrasi

| Integrasi | Cara Ia Berfungsi | Manfaat |
|-----------|-------------------|----------|
| **Gerbang Pematuhan CI/CD** | Langkah paip menjalankan perkhidmatan pengambilan pada setiap komit perubahan polisi. | Kemas kini graf serta‑merta, tiada drift. |
| **Hook Sistem Tiket** | Apabila tiket soal selidik baru dicipta, sistem memanggil API LLM Orchestrator. | Tiket jawapan automatik, beban kerja manusia berkurang. |
| **SDK Portal Vendor** | Dedahkan endpoint `/evidence/{controlId}`; vendor luaran boleh menarik hash bukti masa‑real. | Ketelusan, onboarding vendor lebih pantas. |

Semua integrasi bergantung pada kontrak **OpenAPI**, menjadikan penyelesaian berbahasa apa pun.

---

## 7. Impak Dunia Sebenar: Nombor Dari Projek Perintis

| Metrik | Sebelum Tanpa Sentuh | Selepas Pelaksanaan |
|--------|----------------------|---------------------|
| Masa purata mencari bukti | 4 jam per soal selidik | 5 minit (auto‑retrieval) |
| Usaha penyuntingan manual | 12 jam per audit | < 30 minit (LLM‑generated) |
| Ketidakcocokan versi bukti | 18 % jawapan | 0 % (pengesahan hash) |
| Skor keyakinan auditor (1‑10) | 6 | 9 |
| Penjimatan kos (FTE) | 2.1 FTE per suku | 0.3 FTE per suku |

Projek perintis melibatkan **3 audit SOC 2 Type II** dan **2 audit ISO 27001** dalaman pada platform SaaS dengan **200+** dokumen polisi. Graf bukti berkembang kepada **12 k nod**, manakala latensi pengambilan kekal di bawah **150 ms** per pertanyaan.

---

## 8. Senarai Semak Amalan Terbaik

1. **Standardkan Penamaan** – Guna skema konsisten (`<type>_<system>_<date>.pdf`).  
2. **Kunci Versi Fail** – Simpan snapshot tidak boleh diubah dalam storan WORM.  
3. **Pusatkan Kuasa Tandatangan** – Simpan kunci peribadi dalam modul keselamatan perkakasan (HSM).  
4. **Tala Semula Model NER** – Latih semula secara berkala pada polisi yang baru dimasukkan untuk menangkap istilah yang berubah.  
5. **Pantau Kesihatan Graf** – Tetapkan amaran untuk nod bukti yang terasing (tiada tepi kawalan).  
6. **Audit Ledger** – Jadualkan pengesahan suku tahunan terhadap tanda tangan hash berbanding fail sumber.

---

## 9. Arah Masa Depan

- **Bukti Multimodal** – Mengembangkan paip untuk menerima tangkapan skrin, diagram seni bina, dan video walkthrough menggunakan vision‑LLM.  
- **Pembelajaran Federated** – Membenarkan pelbagai organisasi berkongsi embedding entiti yang dianonimkan, meningkatkan ketepatan NER tanpa mendedahkan kandungan proprietari.  
- **Kawalan yang Menyembuhkan Diri** – Memicu kemas kini polisi automatik apabila graf mengesan bukti yang hilang untuk kawalan baru yang diperlukan.  

Kemajuan ini akan menggerakkan pengekstrakan bukti tanpa sentuh dari **penambahbaikan produktiviti** kepada **enjin pematuhan dinamik** yang berkembang bersama landskap regulatori.

---

## Kesimpulan

Pengekstrakan bukti tanpa sentuh mengubah halangan pematuhan menjadi **aliran kerja berterusan, audit-able, dipacu AI**. Dengan menukar dokumen statik kepada graf pengetahuan yang dipaut rapat, mengesahkan setiap artifak secara kriptografi, dan memadukannya dengan orkestrator LLM, syarikat dapat:

- Menjawab soal selidik keselamatan **dalam minit**, bukan hari.  
- Menyampaikan **bukti yang tidak boleh dipalsukan** yang memuaskan auditor.  
- Mengurangkan kerja manual, membebaskan pasukan keselamatan untuk menumpukan kepada mitigasi risiko strategik.

Menggunakan Document AI untuk pengurusan bukti bukan sekadar kemewahan—ia menjadi **asas industri** bagi mana-mana organisasi SaaS yang ingin kekal kompetitif pada tahun 2025 dan seterusnya.

---

## Lihat Juga

- [Memahami Retrieval‑Augmented Generation untuk Pematuhan](https://arxiv.org/abs/2302.00784)  
- [Hyperledger Fabric: Membina Ledger Bukti Tidak Boleh Diubah](https://www.hyperledger.org/use/fabric)  
- [LayoutLMv3: Pemahaman Dokumen dengan Vision‑Language Transformers](https://arxiv.org/abs/2204.08387)