
# Silnik Promptów Oparta na Ontologii do Ujednolicenia Kwestionariuszy Bezpieczeństwa

> **TL;DR** – Silnik promptów skoncentrowany na ontologii tworzy semantyczny most między sprzecznymi ramami zgodności, umożliwiając generatywnej AI tworzenie jednolitych, audytowalnych odpowiedzi na dowolny kwestionariusz bezpieczeństwa przy zachowaniu kontekstowej trafności i wierności regulacjom.

---

## 1. Dlaczego potrzebne jest nowe podejście

Kwestionariusze bezpieczeństwa pozostają poważnym wąskim gardłem dla dostawców SaaS. Nawet przy użyciu narzędzi takich jak Procurize, które centralizują dokumenty i automatyzują przepływy pracy, *lukę semantyczną* między różnymi standardami nadal zmusza zespoły ds. bezpieczeństwa, prawne i inżynieryjne do wielokrotnego przepisywania tych samych dowodów:

| Ramy | Typowe pytanie | Przykładowa odpowiedź |
|------|----------------|-----------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Opisz szyfrowanie danych w spoczynku.* | „Wszystkie dane klientów są szyfrowane przy użyciu AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Jak chronisz przechowywane informacje?* | „Stosujemy szyfrowanie AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *Wyjaśnij techniczne zabezpieczenia danych osobowych.* | „Dane są szyfrowane przy użyciu AES‑256 i rotowane co kwartał.” |

Mimo że podstawowa kontrola jest identyczna, różnią się sformułowanie, zakres i oczekiwania dowodowe. Istniejące łańcuchy AI radzą sobie z tym poprzez **dostrajanie promptów per ramę**, co szybko staje się nie do utrzymania wraz ze wzrostem liczby standardów.

**Silnik promptów oparty na ontologii** rozwiązuje problem u źródła: buduje **jedną, formalną reprezentację** pojęć zgodności, a następnie **mapuje** język każdego kwestionariusza na ten wspólny model. AI musi zrozumieć tylko jeden „kanoniczny” prompt, podczas gdy ontologia przejmuje ciężar tłumaczenia, wersjonowania i uzasadniania.

---

## 2. Kluczowe komponenty architektury

Poniżej przedstawiono widok wysokopoziomowy rozwiązania w postaci diagramu Mermaid. Wszystkie etykiety węzłów są ujęte w podwójnych cudzysłowach, jak wymaga składnia.

```mermaid
graph TD
    A["Repozytorium Ontologii Regulacyjnych"] --> B["Mapery Ramowych"]
    B --> C["Generator Kanonicznych Promptów"]
    C --> D["Silnik Inferencji LLM"]
    D --> E["Renderowanie Odpowiedzi"]
    E --> F["Rejestrator Ścieżki Audytu"]
    G["Repozytorium Dowodów"] --> C
    H["Usługa Wykrywania Zmian"] --> A
```

1. **Repozytorium Ontologii Regulacyjnych** – Graf wiedzy przechowujący pojęcia (np. *szyfrowanie*, *kontrola dostępu*), relacje (*wymaga*, *dziedziczy*) oraz atrybuty jurysdykcyjne.  
2. **Mapery Ramowych** – Lekkie adaptery, które analizują przychodzące pozycje kwestionariusza, identyfikują odpowiadające węzły ontologii i przypisują wartości pewności.  
3. **Generator Kanonicznych Promptów** – Konstruuje pojedynczy, bogaty w kontekst prompt dla LLM, wykorzystując znormalizowane definicje ontologii i powiązane dowody.  
4. **Silnik Inferencji LLM** – Dowolny model generatywny (GPT‑4o, Claude 3, itp.) produkujący odpowiedź w języku naturalnym.  
5. **Renderowanie Odpowiedzi** – Formatuje surowy wynik LLM do wymaganego formatu kwestionariusza (PDF, markdown, JSON).  
6. **Rejestrator Ścieżki Audytu** – Trwa decyzje mapowań, wersję promptu i odpowiedź LLM w celu przeglądu zgodności oraz przyszłego treningu.  
7. **Repozytorium Dowodów** – Przechowuje dokumenty polityk, raporty audytowe i linki do artefaktów cytowanych w odpowiedziach.  
8. **Usługa Wykrywania Zmian** – Monitoruje aktualizacje standardów lub wewnętrznych polityk i automatycznie propaguje zmiany w ontologii.

---

## 3. Budowanie ontologii

### 3.1 Źródła danych

| Źródło | Przykładowe jednostki | Metoda ekstrakcji |
|--------|------------------------|-------------------|
| **Załącznik A ISO 27001** | „Kontrole kryptograficzne”, „Bezpieczeństwo fizyczne” | Parsowanie regułowe klauzul ISO |
| **Kryteria Usług Zaufania SOC 2** | „Dostępność”, „Poufność” | Klasyfikacja NLP na dokumentacji SOC |
| **Rozporządzenie GDPR – Recitale i Artykuły** | „Minimalizacja danych”, „Prawo do bycia zapomnianym” | Ekstrakcja encji‑relacji przy użyciu spaCy + własne wzorce |
| **Wewnętrzny Skarbiec Polityk** | „Polityka szyfrowania w całej firmie” | Bezpośredni import plików YAML/Markdown z politykami |

Każde źródło wnosi *węzły pojęciowe* (`C`) i *krawędzie relacji* (`R`). Przykładowo, **„AES‑256”** jest *technologią* (`C`), która *implementuje* kontrolę „Szyfrowanie danych w spoczynku” (`C`). Połączenia są anotowane provenance (źródło, wersja) oraz poziomem pewności.

### 3.2 Reguły normalizacji

Aby uniknąć duplikacji, pojęcia są *kanonizowane*:

| Surowy termin | Znormalizowana forma |
|---------------|----------------------|
| „Encryption at Rest” | `encryption_at_rest` |
| „Data Encryption” | `encryption_at_rest` |
| „AES‑256 Encryption” | `aes_256` (podtyp `encryption_algorithm`) |

Normalizację wykonuje **słownik‑napędzany fuzzy matcher**, uczący się na mapowaniach zatwierdzonych przez człowieka.

### 3.3 Strategia wersjonowania

Standardy zgodności ewoluują; ontologia przyjmuje **schemat wersjonowania semantycznego** (`MAJOR.MINOR.PATCH`). Gdy pojawi się nowa klauzula, następuje podbicie *minor*, co wyzwala ponowną ocenę powiązanych promptów. Rejestrator audytu zapisuje dokładną wersję ontologii używaną przy każdej odpowiedzi, zapewniając pełną przejrzystość.

---

## 4. Generowanie promptów w praktyce

### 4.1 Od kwestionariusza do węzła ontologii

Gdy dostawca otrzymuje pytanie typu:

> *„Czy szyfrujecie kopie zapasowe przechowywane poza siedzibą?”*

**Mapery Ramowych** uruchamiają wyszukiwanie podobieństwa względem ontologii i zwracają węzeł `encryption_at_rest` z pewnością 0,96. Dodatkowo wyodrębniają atrybuty („kopie zapasowe”, „poza siedzibą”) jako *tagi atrybutów*.

### 4.2 Szablon kanonicznego promptu

Jednolity, wielokrotnie używany szablon promptu wygląda tak (pseudo‑kod):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Silnik podstawia zmapowane węzły ontologii oraz pobiera najnowsze linki dowodowe z **Repozytorium Dowodów**. Ponieważ podstawowa kontrola jest identyczna we wszystkich ramach, LLM otrzymuje **spójny kontekst**, eliminując wariancje wywołane różnicami w sformułowaniach.

### 4.3 Przykład odpowiedzi LLM

> **Odpowiedź:** Tak, wszystkie kopie zapasowe przechowywane poza siedzibą są szyfrowane przy użyciu AES‑256 z unikalnym kluczem dla każdego zestawu kopii. Klucze szyfrowania są zarządzane w naszym sejfie HSM‑chronionym i rotowane kwartalnie.  
> **Artefakty wspierające:**  
> - *Polityka szyfrowania kopii zapasowych* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *Log rotacji kluczy HSM* – `https://repo.company.com/audit/hsm-rotation.json`

**Renderowanie Odpowiedzi** formatuje to do konkretnego układu kwestionariusza (np. komórka tabeli dla ISO, pole tekstowe wolne dla SOC 2).

---

## 5. Korzyści w porównaniu do tradycyjnego dostrajania promptów

| Metryka | Tradycyjne dostrajanie promptów | Silnik oparty na ontologii |
|---------|--------------------------------|----------------------------|
| **Skalowalność** | Jeden prompt na ramę → wzrost liniowy | Jeden kanoniczny prompt → stały |
| **Spójność** | Rozbieżne sformułowania między ramami | Jednolita odpowiedź generowana z jednego źródła |
| **Audytowalność** | Ręczne śledzenie wersji promptów | Automatyczna wersja ontologii + log audytu |
| **Adaptacyjność** | Konieczność ponownego treningu przy każdej aktualizacji standardu | Wykrywanie zmian automatycznie propagowane przez ontologię |
| **Obciążenie utrzymania** | Wysokie – dziesiątki plików promptów | Niskie – pojedyncza warstwa mapowania i graf wiedzy |

W testach przeprowadzonych w Procurize silnik oparty na ontologii skrócił **średni czas generowania odpowiedzi** z 7 s (dostrajanie) do 2 s, jednocześnie **poprawiając podobieństwo między ramami** (wzrost wyniku BLEU o 18 %).

---

## 6. Wskazówki wdrożeniowe

1. **Zacznij mało** – Najpierw wprowadź najczęstsze kontrole (szyfrowanie, kontrola dostępu, logowanie), dopiero potem rozszerzaj.  
2. **Wykorzystaj istniejące grafy** – Projekty takie jak **Schema.org**, **OpenControl** i **CAPEC** oferują gotowe słowniki, które można rozbudować.  
3. **Użyj bazy grafowej** – Neo4j lub Amazon Neptune radzą sobie efektywnie z złożonymi przeszukiwaniami i wersjonowaniem.  
4. **Zintegruj CI/CD** – Traktuj zmiany w ontologii jak kod; uruchamiaj automatyczne testy weryfikujące dokładność mapowań na zestawie przykładowych kwestionariuszy.  
5. **Człowiek w pętli** – Udostępnij interfejs dla analityków bezpieczeństwa do zatwierdzania lub korekty mapowań, co zasila fuzzy matcher.

---

## 7. Przyszłe rozszerzenia

- **Synchronizacja federacyjna ontologii** – Firmy mogą współdzielić anonimowe fragmenty swoich ontologii, tworząc wspólną bazę wiedzy o zgodności.  
- **Warstwa wyjaśnialnej AI** – Do każdej odpowiedzi dołączać graf uzasadnienia, wizualizujący, które węzły ontologii przyczyniły się do powstania tekstu.  
- **Integracja dowodów Zero‑Knowledge** – Dla wysoko regulowanych branż wbudować dowody zk‑SNARK potwierdzające poprawność mapowania bez ujawniania wrażliwych treści polityk.

---

## 8. Podsumowanie

Silnik promptów oparty na ontologii stanowi przełom w automatyzacji kwestionariuszy bezpieczeństwa. Łącząc różne standardy zgodności pod jedną, wersjonowaną strukturą grafu wiedzy, organizacje mogą:

- **Eliminować redundantną pracę ręczną** między ramami.  
- **Gwarantować spójność i audytowalność** odpowiedzi.  
- **Szybko reagować** na zmiany regulacyjne przy minimalnym nakładzie inżynieryjnym.  

W połączeniu z platformą współpracy Procurize, takie podejście umożliwia zespołom ds. bezpieczeństwa, prawnych i produktowych odpowiadanie na oceny dostawców w minutach zamiast w dniach, przekształcając zgodność z kosztowym centrum kosztów w przewagę konkurencyjną.

---

## <span class='highlight-content'>Zobacz także</span>

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Otwarto‑źródłowe definicje polityk jako kodu i kontroli zgodności.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Strukturalna taksonomia technik adversarów przydatna przy budowie ontologii bezpieczeństwa.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Najnowsza wersja międzynarodowego standardu zarządzania bezpieczeństwem informacji.