
# Онтологически основанный движок подсказок для гармонизации вопросов безопасности

> **TL;DR** – Движок подсказок, построенный вокруг онтологии, создает семантический мост между противоречивыми рамками соответствия, позволяя генеративному ИИ выдавать единообразные, проверяемые ответы на любые анкеты безопасности, сохраняя при этом контекстуальную релевантность и регулятивную точность.

---

## 1. Почему нужен новый подход

Анкеты безопасности остаются существенным узким местом для SaaS‑поставщиков. Даже при наличии инструментов, таких как Procurize, которые централизуют документы и автоматизируют рабочие процессы, *семантический разрыв* между разными стандартами заставляет команды по безопасности, юридическому сопровождению и инженерии переписывать одни и те же доказательства несколько раз:

| Стандарт | Обычный вопрос | Пример ответа |
|----------|----------------|----------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Опишите шифрование ваших данных в состоянии покоя.* | “Все клиентские данные зашифрованы с помощью AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Как вы защищаете хранимую информацию?* | “Мы реализуем шифрование AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *Опишите технические меры защиты персональных данных.* | “Данные зашифрованы с использованием AES‑256 и ротируются ежеквартально.” |

Хотя базовый контроль идентичен, формулировки, охват и ожидаемые доказательства различаются. Существующие AI‑конвейеры решают это посредством **подстройки подсказок под каждый фреймворк**, что быстро становится непригодным по мере роста количества стандартов.

**Онтологически основанный движок подсказок** решает проблему в корне: он создает **единую формальную модель** концепций соответствия, а затем **отображает** язык каждой анкеты на эту общую модель. ИИ требуется понимать лишь один «канонический» запрос, в то время как онтология берет на себя всю тяжесть перевода, версионирования и обоснования.

---

## 2. Основные компоненты архитектуры

Ниже представлено высокоуровневое представление решения в виде диаграммы Mermaid. Все метки узлов заключены в двойные кавычки, как требуется.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulatory Ontology Store** – граф знаний, фиксирующий понятия (например, *шашрование*, *контроль доступа*), отношения (*требует*, *наследует*) и юрисдикционные атрибуты.  
2. **Framework Mappers** – легковесные адаптеры, которые парсят входящие пункты анкеты, определяют соответствующие узлы онтологии и присваивают оценки уверенности.  
3. **Canonical Prompt Generator** – формирует единый, контекстно‑богатый запрос к LLM, используя нормализованные определения онтологии и связанные доказательства.  
4. **LLM Inference Engine** – любой генеративный модель (GPT‑4o, Claude 3 и др.), генерирующая естественноязыковой ответ.  
5. **Answer Renderer** – преобразует «сырой» вывод LLM в требуемую структуру анкеты (PDF, markdown, JSON).  
6. **Audit Trail Logger** – сохраняет решения по отображениям, версию запроса и ответ LLM для проверки соответствия и будущего обучения.  
7. **Evidence Repository** – хранит политики, аудиторские отчёты и ссылки на артефакты, используемые в ответах.  
8. **Change Detection Service** – отслеживает изменения в стандартах или внутренних политиках и автоматически распространяет их через онтологию.

---

## 3. Создание онтологии

### 3.1 Источники данных

| Источник | Пример сущностей | Метод извлечения |
|----------|------------------|------------------|
| **ISO 27001 Annex A** | «Cryptographic Controls», «Physical Security» | Правил‑основанный разбор пунктов ISO |
| **SOC 2 Trust Services Criteria** | «Availability», «Confidentiality» | NLP‑классификация документации SOC |
| **GDPR Recitals & Articles** | «Data Minimisation», «Right to Erasure» | Выделение сущностей и отношений с помощью spaCy + пользовательские шаблоны |
| **Внутреннее хранилище политик** | «Company‑wide Encryption Policy» | Прямой импорт из YAML/Markdown файлов политик |

Каждый источник вносит *узлы понятий* (`C`) и *ребра отношений* (`R`). Например, **«AES‑256»** – это *техника* (`C`), которая *реализует* контроль «Data at Rest Encryption» (`C`). Связи аннотируются provenance (источник, версия) и уровнем уверенности.

### 3.2 Правила нормализации

Чтобы избежать дублирования, понятия *канонизируются*:

| Исходный термин | Нормализованная форма |
|------------------|-----------------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (подтип `encryption_algorithm`) |

Нормализация происходит через **словарно‑управляемый нечеткий сопоставитель**, обучающийся на одобренных человеком сопоставлениях.

### 3.3 Стратегия версионирования

Стандарты соответствия эволюционируют; онтология использует **семантическую схему версий** (`MAJOR.MINOR.PATCH`). При появлении нового пункта происходит *минорное* увеличение, что инициирует переоценку затронутых запросов. Журнал аудита фиксирует точную версию онтологии, использованную в каждом ответе, обеспечивая трассируемость.

---

## 4. Генерация запросов на практике

### 4.1 От анкеты к узлу онтологии

Получив вопрос, например:

> *“Do you encrypt backups stored off‑site?”*

**Framework Mapper** выполняет поиск по схожести в онтологии и возвращает узел `encryption_at_rest` с уверенностью 0.96. Он также извлекает квалификаторы («backups», «off‑site») как *атрибутные* теги.

### 4.2 Канонический шаблон подсказки

Один переиспользуемый шаблон выглядит так (псевдокод):

```
You are an expert compliance officer. Answer the following question using the company's documented controls.

Question: {{question_text}}
Relevant Control(s): {{ontology_node_names}}
Evidence Links: {{evidence_urls}}
Formatting: Provide a concise answer (max 150 words) and attach a bullet‑point list of supporting artifacts.
```

Движок подставляет найденные узлы онтологии и извлекает актуальные ссылки на доказательства из **Evidence Repository**. Поскольку базовый контроль одинаков для всех фреймворков, LLM получает **консистентный контекст**, устраняя вариации, вызванные различиями в формулировках.

### 4.3 Пример вывода LLM

> **Answer:** Yes, all off‑site backups are encrypted using AES‑256 with a unique key per backup set. Encryption keys are managed in our HSM‑protected vault and rotated quarterly.  
> **Supporting Artifacts:**  
> - *Backup Encryption Policy* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *HSM Key Rotation Log* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer** затем форматирует ответ в требуемый вид анкеты (таблица для ISO, свободный текст для SOC 2 и пр.).

---

## 5. Преимущества перед традиционной подстройкой подсказок

| Метрика | Традиционная подстройка подсказок | Онтологически основанный движок |
|---------|-----------------------------------|---------------------------------|
| **Масштабируемость** | Один запрос на каждый фреймворк → линейный рост | Один канонический запрос → постоянный |
| **Последовательность** | Разнородные формулировки | Единый ответ, генерируемый из единого источника |
| **Аудитируемость** | Ручное отслеживание версий запросов | Автоматический журнал версии онтологии + аудит |
| **Адаптивность** | Необходимо переобучать для каждого обновления стандарта | Сервис обнаружения изменений автоматически распространяет их через онтологию |
| **Нагрузка на обслуживание** | Высокая – десятки файлов запросов | Низкая – один слой отображения и граф знаний |

В реальных тестах в Procurize онтологический движок сократил **среднее время генерации ответа** с 7 секунд (подстройка) до 2 секунд, одновременно **повысив схожесть между фреймворками** (рост BLEU‑score на 18 %).

---

## 6. Практические рекомендации по внедрению

1. **Начните с малого** – заполните онтологию самыми распространёнными контролями (шифрование, контроль доступа, логирование) перед расширением.  
2. **Используйте готовые графы** – проекты вроде **Schema.org**, **OpenControl** и **CAPEC** предоставляют готовые словари, которые можно расширять.  
3. **Выбирайте графовую БД** – Neo4j или Amazon Neptune эффективно обрабатывают сложные обходы и версионирование.  
4. **Интегрируйте CI/CD** – рассматривайте изменения в онтологии как код; запускайте автоматические тесты, проверяющие корректность отображения на наборе типовых вопросов.  
5. **Включите человеческий контроль** – предоставьте UI для аналитиков безопасности, позволяя им утверждать или корректировать сопоставления, что будет улучшать работу нечеткого сопоставителя.

---

## 7. Возможные направления развития

- **Синхронизация федеративных онтологий** – компании могут делиться анонимизированными частями своих онтологий, создавая совместную базу знаний о соответствии.  
- **Слой объяснимого ИИ** – прикреплять графы‑обоснования к каждому ответу, визуализируя, какие узлы онтологии внесли вклад в финальный текст.  
- **Интеграция доказательств с нулевым раскрытием (zk‑SNARK)** – для сильно регулируемых отраслей встраивать zk‑доказательства, подтверждающие корректность сопоставления без раскрытия конфиденциальных политик.  

---

## 8. Заключение

Онтологически управляемый движок подсказок представляет собой парадигматический сдвиг в автоматизации вопросов безопасности. Объединяя разрозненные стандарты соответствия в едином, версионируемом графе знаний, организации могут:

- **Исключить дублирование ручной работы** между фреймворками.  
- **Гарантировать согласованность и проверяемость** ответов.  
- **Быстро реагировать** на регулятивные изменения с минимальными инженерными усилиями.  

В сочетании с коллаборативной платформой Procurize такой подход позволяет командам безопасности, юридическим и продуктовым специалистам отвечать на запросы поставщиков за минуты, а не за дни, превращая соответствие из статуса затрат в конкурентное преимущество.

---

## <span class='highlight-content'>См.</span> Also

- [OpenControl GitHub Repository](https://github.com/opencontrol) – открытый репозиторий с определениями политик и контролей соответствия.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – структурированная таксономия техник противника, полезная при построении онтологий безопасности.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – обзор последней версии стандарта управления информационной безопасностью.