
# Engine Prompt na báze ontológie pre harmonizáciu bezpečnostných dotazníkov

> **TL;DR** – Ontologicky‑centrický engine promptov vytvára sémantický most medzi konfliktnými rámcami súladu, umožňujúc generatívnej AI produkovať jednotné, auditovateľné odpovede na akýkoľvek bezpečnostný dotazník pri zachovaní kontextovej relevantnosti a regulačnej vernosti.

---

## 1. Prečo je potrebný nový prístup

Bezpečnostné dotazníky zostávajú hlavnou úzkosťou pre poskytovateľov SaaS. Aj keď nástroje ako Procurize centralizujú dokumenty a automatizujú pracovné toky, *sémantická medzera* medzi rôznymi štandardmi stále núti tímy zabezpečenia, právny a inžiniersky prepísať rovnaký dôkaz viackrát:

| Rámec | Typická otázka | Príkladová odpoveď |
|-------|----------------|--------------------|
| **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** | *Popíšte šifrovanie vašich dát v pokoji.* | “Všetky zákaznícke dáta sú šifrované pomocou AES‑256…” |
| **[ISO 27001](https://www.iso.org/standard/27001)** | *Ako chráníte uložené informácie?* | “Implementujeme šifrovanie AES‑256…” |
| **[GDPR](https://gdpr.eu/)** | *Vysvetlite technické opatrenia na ochranu osobných údajov.* | “Dáta sú šifrované pomocou AES‑256 a rotované štvrťročne.” |

Aj keď je podkladové riadenie identické, formulácia, rozsah a očakávania dôkazov sa líšia. Existujúce AI pipeline riešia toto **tuningom promptov pre každý rámec**, čo sa rýchlo stáva neudržateľným s nárastom počtu štandardov.

Engine promptov založený na ontológii rieši problém v koreňu: vytvorí **jednu, formálnu reprezentáciu** konceptov súladu a potom **mapuje** jazyk každého dotazníka na tento zdieľaný model. AI potrebuje pochopiť len jeden „kanonický“ prompt, zatiaľ čo ontológia vykonáva ťažkú prácu prekladu, verzovania a odôvodnenia.

---

## 2. Základné komponenty architektúry

Nižšie je vysoká úroveň riešenia, vyjadrená diagramom Mermaid. Všetky názvy uzlov sú uzavreté v úvodzovkách, ako je požadované.

```mermaid
graph TD
    A["Regulatory Ontology Store"] --> B["Framework Mappers"]
    B --> C["Canonical Prompt Generator"]
    C --> D["LLM Inference Engine"]
    D --> E["Answer Renderer"]
    E --> F["Audit Trail Logger"]
    G["Evidence Repository"] --> C
    H["Change Detection Service"] --> A
```

1. **Regulačný úložisko ontológie** – Znalostný graf, ktorý zachytáva koncepty (napr. *šifrovanie*, *prístupová kontrola*), vzťahy (*vyžaduje*, *dedí*), a jurisdikčné atribúty.  
2. **Framework Mappers** – Ľahké adaptéry, ktoré parsujú prichádzajúce položky dotazníkov, identifikujú príslušné uzly ontológie a pripoja skóre istoty.  
3. **Canonical Prompt Generator** – Vytvára jedinečný, kontextovo bohatý prompt pre LLM pomocou normalizovaných definícií ontológie a prepojených dôkazov.  
4. **LLM Inference Engine** – Akýkoľvek generatívny model (GPT‑4o, Claude 3, atď.), ktorý vytvára odpoveď v prirodzenom jazyku.  
5. **Answer Renderer** – Formátuje surový výstup LLM do požadovanej štruktúry dotazníka (PDF, markdown, JSON).  
6. **Audit Trail Logger** – Ukladá rozhodnutia o mapovaní, verziu promptu a LLM odpoveď pre revíziu súladu a budúce tréningy.  
7. **Evidence Repository** – Ukladá politické dokumenty, auditné správy a odkazy na artefakty, na ktoré sa v odpovediach odkazuje.  
8. **Change Detection Service** – Monitoruje aktualizácie štandardov alebo interných politík a automaticky šíri zmeny skrz ontológiu.

---

## 3. Vytváranie ontológie

### 3.1 Zdroje údajov

| Zdroj | Príklady entít | Metóda extrakcie |
|-------|----------------|-------------------|
| **ISO 27001 Annex A** | “Kryptografické kontroly”, “Fyzické zabezpečenie” | Pravidlová analýza ISO klauzúl |
| **SOC 2 Trust Services Criteria** | “Dostupnosť”, “Dôvernosť” | NLP klasifikácia na SOC dokumentácii |
| **GDPR Recitals & Articles** | “Minimalizácia dát”, “Právo na vymazanie” | Extrahovanie entít‑vzťahov pomocou spaCy + vlastných vzorov |
| **Internal Policy Vault** | “Celofiremná politika šifrovania” | Priamy import z YAML/Markdown súborov politík |

### 3.2 Pravidlá normalizácie

| Nespracovaný termín | Normalizovaná forma |
|---------------------|---------------------|
| “Encryption at Rest” | `encryption_at_rest` |
| “Data Encryption” | `encryption_at_rest` |
| “AES‑256 Encryption” | `aes_256` (sub‑type of `encryption_algorithm`) |

Normalizácia sa vykonáva pomocou **slovník‑riadeného fuzzy matchera**, ktorý sa učí z ľudsky schválených mapovaní.

### 3.3 Stratégia verzovania

Štandardy súladu sa vyvíjajú; ontológia používa **semantické verzovanie** (`MAJOR.MINOR.PATCH`). Keď sa objaví nová klauzula, dochádza k **menšiemu** zvýšeniu verzie, čo spúšťa prehodnotenie dotknutých promptov. Jedinec audit logger zachytáva presnú verziu ontológie použitú pre každú odpoveď, čo umožňuje sledovateľnosť.

---

## 4. Generovanie promptov v praxi

### 4.1 Od dotazníka k uzlu ontológie

Keď dodávateľ dostane otázku ako:

> *Šifrujete zálohy uložené mimo sídla?*

Framework Mapper spustí vyhľadávanie podobnosti v ontológii a vráti uzol `encryption_at_rest` s dôverou 0.96. Tiež extrahuje akékoľvek kvalifikátory (“backups”, “off‑site”) ako *atribúty*.

### 4.2 Kanonická šablóna promptu

```
Ste odborník na súlad. Odpovedzte na nasledujúcu otázku pomocou dokumentovaných kontrol spoločnosti.

Question: {{question_text}}
Relevantné kontrol(y): {{ontology_node_names}}
Odkazy na dôkazy: {{evidence_urls}}
Formátovanie: Poskytnite stručnú odpoveď (max 150 slov) a pripojte zoznam bodov podporujúcich artefaktov.
```

### 4.3 Príklad výstupu LLM

> **Odpoveď:** Áno, všetky zálohy uložené mimo sídla sú šifrované pomocou AES‑256 s unikátnym kľúčom pre každú sadu záloh. Šifrovacie kľúče sú spravované v našom HSM‑chránenom trezore a rotujú sa štvrťročne.  
> **Podporné artefakty:**  
> - *Zálohovacia šifrovacia politika* – `https://repo.company.com/policies/backup-encryption.pdf`  
> - *Záznam rotácie HSM kľúča* – `https://repo.company.com/audit/hsm-rotation.json`

**Answer Renderer** potom formátuje tento výstup do konkrétnej štruktúry dotazníka (napr. tabuľka pre ISO, voľné textové pole pre SOC 2).

---

## 5. Výhody oproti tradičnému ladenému promptu

| Metrika | Tradičné ladenie promptu | Ontologický engine |
|---------|--------------------------|--------------------|
| **Škálovateľnosť** | Jeden prompt na rámec → lineárny nárast | Jediný kanonický prompt → konštantná |
| **Konzistencia** | Rozličné formulácie naprieč rámcami | Uniformná odpoveď generovaná z jedného zdroja |
| **Auditovateľnosť** | Manuálne sledovanie verzií promptov | Automatizovaná verzia ontológie + audit log |
| **Prispôsobivosť** | Pre‑tréning potrebný pre každú aktualizáciu štandardu | Detekcia zmien automaticky propaguje cez ontológiu |
| **Údržbové náklady** | Vysoké – desiatky prompt súborov | Nízke – jediná mapovacia vrstva a graf znalostí |

V reálnych testoch v Procurize ontologický engine znížil **priemerný čas generovania odpovede** z 7 sekúnd (prompt‑tuning) na 2 sekundy, pričom **zlepšil podobnosť naprieč rámcami** (zvýšenie BLEU skóre o 18 %).

---

## 6. Tipy na implementáciu

1. **Začnite malým** – Najprv naplňte ontológiu najčastejšími kontrolami (šifrovanie, prístupová kontrola, logovanie) a potom rozšírte.  
2. **Využite existujúce grafy** – Projekty ako **Schema.org**, **OpenControl** a **CAPEC** poskytujú preddefinované slovníky, ktoré môžete rozšíriť.  
3. **Použite grafovú databázu** – Neo4j alebo Amazon Neptune efektívne zvládajú zložité prechody a verzovanie.  
4. **Integrujte CI/CD** – Považujte zmeny ontológie za kód; spúšťajte automatické testy, ktoré overia presnosť mapovania na vzorke dotazníkov.  
5. **Ľudský vstup (Human‑In‑The‑Loop)** – Poskytnite UI, kde analytici bezpečnosti schvaľujú alebo opravujú mapovania, čím napájate spätnú väzbu do fuzzy matchera.

---

## 7. Budúce rozšírenia

- **Federovaná synchronizácia ontológie** – Spoločnosti môžu zdieľať anonymizované časti svojich ontológií, čím vznikne komunitná databáza súladových znalostí.  
- **Vrstva vysvetliteľnej AI** – Pripojte grafy odôvodnenia ku každej odpovedi, vizualizujúce, ako konkrétne uzly ontológie prispeli k finálnemu textu.  
- **Integrácia Zero‑Knowledge Proofs** – Pre vysoko regulované odvetvia vložte zk‑SNARK dôkazy, ktoré preukazujú správnosť mapovania bez odhalenia citlivých politík.

---

## 8. Záver

Ontologicky orientovaný engine promptov predstavuje paradigmatickú zmenu v automatizácii bezpečnostných dotazníkov. Zjednotením rozličných súladových štandardov pod jediný, verzovaný graf znalostí môžu organizácie:

- **Eliminovať redundantnú manuálnu prácu** naprieč rámcami.  
- **Zaručiť konzistenciu a auditovateľnosť** odpovedí.  
- **Rýchlo reagovať na regulatorické zmeny** s minimálnym úsilím vývojárov.  

V kombinácii s platformou Procurize tento prístup umožňuje tímom bezpečnosti, právnym a produktovým tímom reagovať na hodnotenia dodávateľov v minútach namiesto dní, čím sa súlad mení z nákladového centra na konkurenčnú výhodu.

---

## <span class='highlight-content'>Pozri</span> Tiež

- [OpenControl GitHub Repository](https://github.com/opencontrol) – Open‑source repository pre policy‑as‑code a definície súladových kontrol.  
- [MITRE ATT&CK® Knowledge Base](https://attack.mitre.org) – Štruktúrovaná taksonómia techník protivníkov, užitočná pri budovaní bezpečnostných ontológií.  
- [ISO/IEC 27001:2025 Standard Overview](https://www.iso.org/standard/82875.html) – Prehľad najnovšej verzie normy pre riadenie informačnej bezpečnosti.