
# Silnik Rekomendacji Dowodów Kontekstowych dla Zautomatyzowanych Kwestionariuszy Bezpieczeństwa

**TL;DR** – Silnik Rekomendacji Dowodów Kontekstowych (CERE) łączy duże modele językowe (LLM) z ciągle odświeżanym grafem wiedzy, aby dostarczyć audytorom i zespołom bezpieczeństwa dokładnie ten dowód, którego potrzebują — w odpowiednim momencie. Efektem jest 60‑80 % redukcja czasu ręcznego wyszukiwania, wyższa dokładność odpowiedzi i przepływ pracy zgodny z tempem nowoczesnego rozwoju SaaS.

---  

## 1. Dlaczego Silnik Rekomendacji jest Brakiem Łącznika

Kwestionariusze bezpieczeństwa, kontrole gotowości **SOC 2** (https://secureframe.com/hub/soc-2/what-is-soc-2), audyty **ISO 27001** (https://www.iso.org/standard/27001), oraz oceny ryzyka dostawcy mają wspólny punkt bólu: **poszukiwanie właściwego dowodu**. Zespoły zazwyczaj utrzymują rozległe repozytorium polityk, raportów audytowych, migawków konfiguracji i zaświadczeń stron trzecich. Gdy pojawia się kwestionariusz, analityk ds. zgodności musi:

1. **Zanalizować pytanie** (często w języku naturalnym, czasem z żargonem branżowym).  
2. **Zidentyfikować domenę kontroli** (np. „Zarządzanie dostępem”, „Przechowywanie danych”).  
3. **Przeszukać repozytorium** w poszukiwaniu dokumentów spełniających kontrolę.  
4. **Skopiować‑wkleić lub przepisac** odpowiedź, dodając uwagi kontekstowe.

Nawet przy zaawansowanych narzędziach wyszukiwania, ręczna pętla może pochłaniać kilka godzin na każdy kwestionariusz, zwłaszcza gdy dowody są rozproszone w wielu kontach chmurowych, systemach ticketowych i starszych udziałach plikowych. Błędna natura tego procesu wywołuje zmęczenie zgodnością i może prowadzić do przegapionych terminów lub niepoprawnych odpowiedzi — co jest kosztowne dla szybko rozwijającego się biznesu SaaS.

Wchodzi **CERE**: silnik, który automatycznie wyświetla najbardziej odpowiednie elementy dowodowe *w momencie wprowadzenia pytania*, oparty na połączeniu rozumienia semantycznego (LLM) i rozumowania relacyjnego (przeglądanie grafu wiedzy).

---  

## 2. Podstawowe Filary Architektury

CERE zbudowany jest na trzech ściśle połączonych warstwach:

| Warstwa | Odpowiedzialność | Kluczowe Technologie |
|-------|----------------|------------------|
| **Warstwa Intencji Semantycznej** | Przekształca surowy tekst pytania w ustrukturyzowaną intencję (rodzina kontroli, poziom ryzyka, wymagana typologia artefaktu). | LLM z inżynierią promptów (np. Claude‑3, GPT‑4o) + Retrieval‑Augmented Generation (RAG) |
| **Dynamiczny Graf Wiedzy (DKG)** | Przechowuje podmioty (dokumenty, kontrole, zasoby) i ich zależności, ciągle odświeżany z systemów źródłowych. | Neo4j/JanusGraph, GraphQL API, potoki Change‑Data‑Capture (CDC) |
| **Silnik Rekomendacji** | Wykonuje zapytania grafowe oparte na intencji, ocenia kandydatów dowodowych i zwraca zwięzłą, ocenioną pewnością rekomendację. | Sieć Neuronowa Grafowa (GNN) do oceny trafności, pętla uczenia ze wzmocnieniem (RL) do włączania informacji zwrotnej |

Poniżej diagram Mermaid ilustrujący przepływ danych.

```mermaid
flowchart LR
    A["User submits questionnaire question"]
    B["LLM parses intent\n(Control, Risk, ArtifactType)"]
    C["DKG lookup based on intent"]
    D["GNN relevance scoring"]
    E["Top‑K evidence items"]
    F["UI presents recommendation\nwith confidence"]
    G["User feedback (accept/reject)"]
    H["RL loop updates GNN weights"]
    A --> B --> C --> D --> E --> F
    F --> G --> H --> D
```

*All node labels are wrapped in double quotes as required.*

---  

## 3. Od Tekstu do Intencji: Prompt‑Engineered LLM

Pierwszy krok to *zrozumienie* pytania. Starannie przygotowany prompt wyodrębnia trzy sygnały:

1. **Identyfikator Kontroli** – np. „ISO 27001 A.9.2.3 – Zarządzanie Hasłami”.  
2. **Kategoria Dowodu** – np. „Polityka”, „Eksport Konfiguracji”, „Log Audytu”.  
3. **Kontekst Ryzyka** – „Wysokie Ryzyko, Dostęp Zewnętrzny”.

Przykładowy prompt (zwięzły ze względów bezpieczeństwa) wygląda tak:

```
You are a compliance analyst. Return a JSON object with the fields:
{
  "control": "<standard ID and title>",
  "evidence_type": "<policy|config|log|report>",
  "risk_tier": "<low|medium|high>"
}
Question: {question}
```

Wyjście LLM jest weryfikowane względem schematu, a następnie przekazywane do budowniczego zapytań DKG.

---  

## 4. Dynamiczny Graf Wiedzy (DKG)

### 4.1 Model Podmiotów

| Podmiot | Atrybuty | Relacje |
|--------|------------|---------------|
| **Document** | `doc_id`, `title`, `type`, `source_system`, `last_modified` | `PROVIDES` → `Control` |
| **Control** | `standard_id`, `title`, `domain` | `REQUIRES` → `Evidence_Type` |
| **Asset** | `asset_id`, `cloud_provider`, `environment` | `HOSTS` → `Document` |
| **User** | `user_id`, `role` | `INTERACTS_WITH` → `Document` |

### 4.2 Synchronizacja w Czasie Rzeczywistym

Procurize już integruje się z narzędziami SaaS takimi jak GitHub, Confluence, ServiceNow oraz API dostawców chmury. Mikroserwis oparty na CDC monitoruje zdarzenia CRUD i aktualizuje graf w podsekundowej latencji, zachowując **auditability** (każda krawędź posiada `source_event_id`).

---  

## 5. Ścieżka Rekomendacji Opartej na Grafie

1. **Wybór Węzła Kotwiczącego** – `control` z intencji staje się węzłem początkowym.  
2. **Rozszerzanie Ścieżki** – Przeszukujemy krawędzie `PROVIDES` metodą BFS, ograniczając się do `evidence_type` zwróconego przez LLM.  
3. **Ekstrakcja Cech** – Dla każdego kandydatowego dokumentu budujemy wektor z:
   - podobieństwa tekstowego (osadzenie z tym samym LLM),
   - świeżości czasowej (`last_modified`),
   - częstotliwości użycia (jak często dokument był przytaczany w poprzednich kwestionariuszach).  
4. **Ocena Trafności** – GNN agreguje cechy węzłów i krawędzi, generując wynik `s ∈ [0,1]`.  
5. **Ranking i Pewność** – Najlepsze K dokumentów sortowane są według `s`; silnik dodatkowo podaje procent pewności (np. „85 % pewności, że ta polityka spełnia żądanie”).

---  

## 6. Pętla Sprzężenia Człowiek‑W‑Pętli

Żadna rekomendacja nie jest doskonała od razu. CERE rejestruje decyzje *akceptuj/odrzuć* oraz dowolne uwagi tekstowe. Dane te zasilają pętlę uczenia ze wzmocnieniem (RL), która okresowo dopasowuje politykę sieci GNN, dostosowując model do subiektywnych preferencji organizacji.

Pipeline RL uruchamiany jest co noc:

```mermaid
stateDiagram-v2
    [*] --> CollectFeedback
    CollectFeedback --> UpdateRewards
    UpdateRewards --> TrainGNN
    TrainGNN --> DeployModel
    DeployModel --> [*]
```

---  

## 7. Integracja z Procurize

Procurize oferuje już **Unified Questionnaire Hub**, w którym użytkownicy mogą przydzielać zadania, komentować i dołączać dowody. CERE podłącza się jako **inteligentny widget pola**:

- Po kliknięciu *„Add Evidence”* widget uruchamia potok LLM‑DKG.  
- Rekomendowane dokumenty wyświetlane są jako klikalne karty, każda z przyciskiem **„Insert citation”**, który automatycznie generuje odnośnik w markdown sformatowany pod kwestionariusz.  
- W środowiskach wielonajemnych silnik respektuje **partycje danych na poziomie najemcy** — graf każdego klienta jest odizolowany, zapewniając poufność, a jednocześnie umożliwiając uczenie krzyż‑najemcze w sposób prywatności‑przyjazny (poprzez federacyjne uśrednianie wag GNN).

---  

## 8. Namacalna Korzyść

| Metryka | Stan bazowy (ręczny) | Z CERE |
|--------|-------------------|-----------|
| **Średni czas wyszukiwania dowodu** | 15 min na pytanie | 2‑3 min |
| **Dokładność odpowiedzi (wskaźnik zaliczenia audytu)** | 87 % | 95 % |
| **Satysfakcja zespołu (NPS)** | 32 | 68 |
| **Redukcja zaległości w zgodności** | 4 tygodnie | 1 tydzień |

Pilotaż w średniej wielkości fintechu (≈200 pracowników) wykazał **72 % skrócenie czasu realizacji kwestionariusza** oraz **30 % spadek liczby iteracji poprawek** po pierwszym miesiącu.

---  

## 9. Wyzwania i Środki Łagodzące

| Wyzwanie | Środek łagodzący |
|-----------|------------|
| **Cold‑start dla nowych kontroli** – Brak historycznych odniesień do dowodów. | Zaszczep graf szablonami standardowych polityk, a następnie zastosuj transfer learning z podobnych kontroli. |
| **Prywatność danych między najemcami** – Ryzyko wycieku przy wspólnym modelu. | Wdrożenie **Federated Learning**: każdy najemca trenuje lokalnie, a jedynie delta wag modelu jest agregowana. |
| **Halucynacje LLM** – Błędne identyfikowanie ID kontroli. | Walidacja wyjścia LLM względem **kanonicznego rejestru kontroli** (ISO, SOC, NIST) przed zapytaniem do grafu. |
| **Dryf grafu** – Zdezaktualizowane relacje po migracjach chmurowych. | Potoki CDC z **gwarancją spójności ostatecznej** oraz okresowe kontrole zdrowia grafu. |

---  

## 10. Plan Rozwoju

1. **Wielomodalne Wyszukiwanie Dowodów** – Włączenie zrzutów ekranu, diagramów konfiguracji i nagrań wideo przy użyciu LLM z obsługą wizji.  
2. **Radar Predykcyjnych Regulacji** – Połączenie z bieżącymi strumieniami regulacyjnymi (np. zmiany GDPR) w celu proaktywnego wzbogacania DKG o nadchodzące zmiany kontroli.  
3. **Panel Explainable AI** – Wizualizacja przyczyn przyznania danemu dokumentowi określonego wyniku (ścieżka, wkład cech).  
4. **Samonaprawiający się Graf** – Automatyczne wykrywanie węzłów sierot i ich rekonsyliacja przy pomocy AI‑napędzonych technik rozpoznawania podmiotów.

---  

## 11. Wniosek

**Silnik Rekomendacji Dowodów Kontekstowych** przekształca żmudną sztukę odpowiadania na kwestionariusze bezpieczeństwa w doświadczenie oparte na danych i niemal natychmiastowe. Dzięki połączeniu semantycznego parsowania LLM, żywego grafu wiedzy i warstwy rankingowej opartej na GNN, CERE dostarcza właściwy dowód w odpowiednim czasie, generując mierzalne zyski w prędkości, dokładności i pewności zgodności. W miarę jak organizacje SaaS nadal rosną, taka inteligentna asysta przestaje być „miłym dodatkiem” — staje się fundamentem odpornej, gotowej na audyt operacji.  

---