
# AI poháňaný nástroj na mapovanie politík naprieč regulačnými rámcami pre jednotné odpovede v dotazníkoch

Podniky, ktoré predávajú SaaS riešenia globálnym zákazníkom, musia odpovedať na bezpečnostné dotazníky, ktoré pokrývajú desiatky regulačných rámcov – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), GDPR, CCPA, HIPAA, PCI‑DSS a mnohé špecifické priemyselné štandardy.  
Tradične sa každý rámec rieši izolovane, čo vedie k duplicitnej práci, nekonzistentným dôkazom a vysokému riziku auditných zistení.

**Nástroj na mapovanie politík naprieč regulačnými rámcami** rieši tento problém tým, že automaticky prekladá jedinú definíciu politiky do jazyka každého požadovaného štandardu, pripája správne dôkazy a uchováva celý reťazec atribúcií v nemennom registri. Nižšie rozoberieme hlavné komponenty, dátový tok a praktické výhody pre tímy súlad, bezpečnosti a právne.

---

## Obsah

1. [Prečo je mapovanie naprieč regulačnými rámcami dôležité](#preco-je-mapovanie-napriec-regulacnych-ramcov-dolezite)  
2. [Prehľad jadrovej architektúry](#prehľad-jadrovej-architektury)  
3. [Dynamické vytváranie knowledge grafu](#dynamicke-vytvaranie-knowledge-grafu)  
4. [Preklad politík pomocou LLM](#preklad-politik-pomocu-llm)  
5. [Atribúcia dôkazov a nemenný register](#atribucia-dokazov-a-nemenny-register)  
6. [Slučkový real‑time aktualizačný cyklus](#sluckovy-real-time-aktualizacny-cyklus)  
7. [Bezpečnostné a súkromnostné úvahy](#bezpecnostne-a-sukromnostne-uvery)  
8. [Scenáre nasadenia](#scenare-nasadenia)  
9. [Kľúčové výhody a ROI](#klucove-vyhody-a-roi)  
10. [Kontrolný zoznam implementácie](#kontrolny-zoznam-implementacie)  
11. [Budúce vylepšenia](#buduce-vylepsenia)  

---

## Prečo je mapovanie naprieč regulačnými rámcami dôležité

| Bod bolesti | Tradičný prístup | Riešenie poháňané AI |
|-------------|------------------|----------------------|
| **Duplicitné politiky** | Uchovávať samostatné dokumenty pre každý rámec | Jediný zdroj pravdy (SSOT) → automatické mapovanie |
| **Fragmentácia dôkazov** | Manuálne kopírovanie ID dôkazov | Automatické prepojenie dôkazov cez graf |
| **Medzery v auditnom reťazci** | PDF audit logy, žiadny kryptografický dôkaz | Nemenný register s kryptografickými hashmi |
| **Zastaranie regulácií** | Štvorčlenné manuálne revízie | Detekcia driftu v reálnom čase a automatické opravy |
| **Oneskorenie odpovedí** | Dni‑týždne reakčného času | Sekundy až minúty na dotazník |

Zjednotením definícií politík tímy znižujú metriku „nákladov na súlad“ – čas strávený na dotazníkoch za štvrťrok – až **o 80 %**, podľa počiatočných pilotných štúdií.

---

## Prehľad jadrovej architektúry

```mermaid
graph TD
    A["Policy Repository"] --> B["Knowledge Graph Builder"]
    B --> C["Dynamic KG (Neo4j)"]
    D["LLM Translator"] --> E["Policy Mapping Service"]
    C --> E
    E --> F["Evidence Attribution Engine"]
    F --> G["Immutable Ledger (Merkle Tree)"]
    H["Regulatory Feed"] --> I["Drift Detector"]
    I --> C
    I --> E
    G --> J["Compliance Dashboard"]
    F --> J
```

*Všetky popisy uzlov sú v úvodzovkách, ako vyžaduje syntax Mermaid.*

**Kľúčové moduly**

1. **Policy Repository** – Centrálne úložisko verzií (GitOps) pre všetky interné politiky.  
2. **Knowledge Graph Builder** – Analyzuje politiky, extrahuje entity (kontroly, dátové kategórie, úrovne rizika) a vzťahy.  
3. **Dynamic KG (Neo4j)** – Semantický základ, neustále obohacovaný regulačnými kanálmi.  
4. **LLM Translator** – Veľký jazykový model (napr. Claude‑3.5, GPT‑4o), ktorý prepisuje klauzuly politiky do jazyka cieľového rámca.  
5. **Policy Mapping Service** – Zodpovedá preložené klauzuly s ID kontrol rámca pomocou grafovej podobnosti.  
6. **Evidence Attribution Engine** – Čerpá dôkazy (dokumenty, logy, skenovacie správy) z Evidence Hub a označuje ich metadata pôvodu v grafe.  
7. **Immutable Ledger** – Ukladá kryptografické hashe väzieb politika‑dôkaz; využíva Merkle strom pre efektívne generovanie dôkazov.  
8. **Regulatory Feed & Drift Detector** – Spotrebúva RSS, OASIS a špecifické vendor‑ové changelogy; signalizuje nezhody.  

---

## Dynamické vytváranie knowledge grafu

### 1. Extrakcia entít

- **Control Nodes** – napr. “Access Control – Role‑Based”  
- **Data Asset Nodes** – napr. “PII – Email Address”  
- **Risk Nodes** – napr. “Confidentiality Breach”

### 2. Typy vzťahov

| Vzťah | Význam |
|-------|--------|
| `ENFORCES` | Kontrola → Dátový asset |
| `MITIGATES` | Kontrola → Riziko |
| `DERIVED_FROM` | Politika → Kontrola |

### 3. Pipeline obohacovania (pseudo‑kód v Goat)

```goat
def ingest_policy(policy_file):
    doc = parse_markdown(policy_file)
    controls = extract_controls(doc)
    for ctrl in controls:
        node = KG.upsert("Control", name=ctrl.name)
        for asset in ctrl.assets:
            asset_node = KG.upsert("DataAsset", name=asset)
            KG.create_rel(node, "ENFORCES", asset_node)
        for risk in ctrl.risks:
            risk_node = KG.upsert("Risk", name=risk)
            KG.create_rel(node, "MITIGATES", risk_node)
```

Graf sa vyvíja pri prijímaní nových regulácií; nové uzly sa automaticky spájajú pomocou lexikálnej podobnosti a zarovnania ontológií.

---

## Preklad politík pomocou LLM

Prekladový engine funguje v dvoch fázach:

1. **Generovanie promptu** – Systém zostaví štruktúrovaný prompt obsahujúci pôvodnú klauzulu, ID cieľového rámca a kontextové obmedzenia (napr. “zachovať povinné obdobia uchovávania audit logov”).  
2. **Sémantická validácia** – Výstup LLM prejde pravidlovo‑založeným validátorom, ktorý kontroluje chýbajúce povinné pod‑kontroly, zakázaný jazyk a dĺžkové obmedzenia.

### Vzorový prompt

```
Prelož nasledujúcu internú kontrolu do jazyka ISO 27001 Annex A.7.2, pričom zachovaj všetky aspekty mitigácie rizika.

Control: “All privileged access must be reviewed quarterly and logged with immutable timestamps.”
```

LLM vráti ISO‑kompatibilnú klauzulu, ktorá sa následne indexuje späť do knowledge grafu a vytvorí hranu `TRANSLATES_TO`.

---

## Atribúcia dôkazov a nemenný register

### Integrácia Evidence Hub

- **Zdroje**: CloudTrail logy, inventúry S3 bucketov, správy z vulnerability skenov, treťo‑stranné attestácie.  
- **Zachytávanie metadata**: SHA‑256 hash, časové razítko zberu, zdrojový systém, štítok súladu.

### Priebeh atribúcie

```mermaid
sequenceDiagram
    participant Q as Questionnaire Engine
    participant E as Evidence Hub
    participant L as Ledger
    Q->>E: Požiadať o dôkaz pre kontrolu “RBAC”
    E-->>Q: ID dôkazov + hashe
    Q->>L: Uložiť pár (ControlID, EvidenceHash)
    L-->>Q: Merkle proof receipt
```

Každý pár (ControlID, EvidenceHash) sa stáva listovým uzlom v Merkle strome. Koreňový hash je denne podpísaný hardvérovým bezpečnostným modulom (HSM), čím audítorom poskytuje kryptografický dôkaz, že predstavené dôkazy zodpovedajú zaznamenanému stavu.

---

## Slučkový real‑time aktualizačný cyklus

1. **Regulatory Feed** stiahne najnovšie zmeny (napr. aktualizácie [NIST CSF](https://www.nist.gov/cyberframework), revízie ISO).  
2. **Drift Detector** vypočíta rozdiel v grafe; chýbajúce hrany `TRANSLATES_TO` spustia prekladový job.  
3. **Policy Mapper** okamžite aktualizuje dotazníkové šablóny.  
4. **Dashboard** notifiká compliance vlastníkom s hodnotením závažnosti.

Tento cyklus skracuje „latenciu politika‑k‑dotazníku“ z týždňov na sekundy.

---

## Bezpečnostné a súkromnostné úvahy

| Obava | Riešenie |
|-------|----------|
| **Zverejnenie citlivých dôkazov** | Šifrovanie v pokoji (AES‑256‑GCM); dešifrovanie len v bezpečnom enclave pre generovanie hashov. |
| **Únik promptov LLM** | Použitie on‑prem LLM inference alebo šifrovaného spracovania promptov (OpenAI confidential compute). |
| **Manipulácia s registrom** | Koreňový hash podpísaný HSM; akákoľvek úprava invaliduje Merkle proof. |
| **Izolácia naprieč tenantmi** | Partitionovanie grafu na úrovni riadku s riadením prístupu; tenant‑špecifické kľúče pre podpisy v registri. |
| **Súlad s reguláciami** | Samotný systém je GDPR‑pripravený: minimalizácia dát, právo na vymazanie prostredníctvom revokácie uzlov v grafe. |

---

## Scenáre nasadenia

| Scenár | Škála | Odporúčaná infraštruktúra |
|--------|-------|---------------------------|
| **Malý SaaS startup** | < 5 rámcov, < 200 politík | Hostovaný Neo4j Aura, OpenAI API, AWS Lambda pre Ledger |
| **Stredná firma** | 10‑15 rámcov, ~1 000 politík | Self‑hostovaný Neo4j cluster, on‑prem LLM (Llama 3 70B), Kubernetes pre mikro‑služby |
| **Globálny cloud poskytovateľ** | 30+ rámcov, > 5 000 politík | Federované grafové shardy, multi‑regionálne HSM, edge‑cached LLM inference |

---

## Kľúčové výhody a ROI

| Metrika | Predtým | Po pilotovaní |
|---------|---------|----------------|
| **Priemerný čas reakcie na dotazník** | 3 dni | 2 hodiny |
| **Práca na tvorbe politík (os‑hod/mesiac)** | 120 h | 30 h |
| **Miera auditných zistení** | 12 % | 3 % |
| **Miera opätovného použitia dôkazov** | 0,4 | 0,85 |
| **Náklady na nástroje súladu** | $250 k / rok | $95 k / rok |

Zníženie manuálnej práce priamo vedie k rýchlejším obchodným cyklom a vyššej miere výhier.

---

## Kontrolný zoznam implementácie

1. **Zaviesť GitOps úložisko politík** (ochrana vetiev, revízie PR).  
2. **Nasadiť Neo4j inštanciu** (alebo alternatívnu grafovú DB).  
3. **Integrovať regulačné kanály** (SOC 2, ISO 27001, GDPR, CCPA, HIPAA, PCI‑DSS a pod.).  
4. **Nastaviť LLM inferenciu** (on‑prem alebo managed).  
5. **Zriadiť konektory Evidence Hub** (agregátory logov, skenovacie nástroje).  
6. **Implementovať Merkle‑tree ledger** (vybrať poskytovateľa HSM).  
7. **Vytvoriť compliance dashboard** (React + GraphQL).  
8. **Spustiť drift detection cyklus** (každú hodinu).  
9. **Vyškoliť interných revízorov** v overovaní ledger dôkazov.  
10. **Otestovať pilotným dotazníkom** (vybrať nízko‑rizikového zákazníka).  

---

## Budúce vylepšenia

- **Federované knowledge graphy**: Zdieľať anonymizované mapovania kontrol medzi priemyselnými konzorciami bez odhaľovania proprietárnych politík.  
- **Marketplace pre generatívne prompty**: Umožniť tímom súladu publikovať šablóny promptov, ktoré automaticky optimalizujú kvalitu prekladu.  
- **Samoliečivé politiky**: Kombinovať detekciu driftu s reinforcement learningom a automaticky navrhovať úpravy politík.  
- **Integrácia zero‑knowledge proofov**: Nahradiť Merkle proofy zk‑SNARKs pre ešte prísnejšie záruky súkromia.  