
# การทำแผนที่การควบคุม ISO 27001 อัตโนมัติด้วย AI สำหรับแบบสอบถามความปลอดภัย

แบบสอบถามความปลอดภัยเป็นคอขวดในกระบวนการประเมินความเสี่ยงของผู้ให้บริการ. ผู้ตรวจสอบมักขอหลักฐานว่า SaaS Provider ปฏิบัติตามมาตรฐาน [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) แต่การทำงานด้วยมือเพื่อหาการควบคุมที่ถูกต้อง ดึงนโยบายที่รองรับ และสรุปเป็นคำตอบสั้น ๆ สามารถใช้เวลาหลายวัน. แพลตฟอร์มรุ่นใหม่ที่ใช้ AI กำลังเปลี่ยนแนวคิดจากกระบวนการ **เชิงตอบสนองที่ต้องอาศัยคนเป็นหลัก** ไปสู่ **กระบวนการอัตโนมัติเชิงพยากรณ์**.

ในบทความนี้ เราเปิดเผย **เครื่องมือแบบแรก ๆ ที่ทำงานนี้** ซึ่ง:

1. **นำเข้าชุดการควบคุม ISO 27001 ทั้งหมด** และแมปแต่ละการควบคุมไปยังคลังนโยบายภายในขององค์กร.  
2. **สร้าง Knowledge Graph** เชื่อมโยงการควบคุม นโยบาย หลักฐาน และเจ้าของผู้มีส่วนได้ส่วนเสีย.  
3. **ใช้ขั้นตอน Retrieval‑Augmented Generation (RAG)** เพื่อผลิตคำตอบแบบสอบถามที่ *สอดคล้อง, มีบริบท, และทันสมัย*.  
4. **ตรวจจับการเปลี่ยนแปลงนโยบายแบบเรียลไทม์**, กระตุ้นการสร้างใหม่อัตโนมัติเมื่อแหล่งนโยบายของการควบคุมมีการเปลี่ยนแปลง.  
5. **ให้ UI แบบ low‑code** สำหรับผู้ตรวจสอบเพื่อปรับแต่งหรืออนุมัติคำตอบที่สร้างขึ้นก่อนส่ง.

ด้านล่างคุณจะได้เรียนรู้ส่วนประกอบสถาปัตยกรรม, การไหลของข้อมูล, เทคนิค AI พื้นฐาน, และผลประโยชน์ที่วัดได้จากการทดสอบต้นแบบ.

---

## 1. ทำไมการทำแผนที่การควบคุม ISO 27001 ถึงสำคัญ

[ISO 27001](https://www.iso.org/isoiec-27001-information-security.html) ให้กรอบการจัดการความปลอดภัยข้อมูลที่เป็นที่ยอมรับทั่วโลก. **Annex A** มีการควบคุมทั้งหมด 114 รายการ, แต่ละรายการมีการควบคุมย่อยและแนวทางการปฏิบัติ. เมื่อนำแบบสอบถามความปลอดภัยของบุคคลที่สามมาถามเช่น:

> “อธิบายวิธีการจัดการวงจรชีวิตของกุญแจเข้ารหัส (Control A.10.1).”

ทีมรักษาความปลอดภัยต้องหานโยบายที่เกี่ยวข้อง ดึงคำอธิบายกระบวนการที่เฉพาะเจาะจง และปรับให้เข้ากับข้อความของแบบสอบถาม. การทำเช่นนี้ซ้ำหลายสิบการควบคุมในหลายแบบสอบถามทำให้เกิด:

* **งานซ้ำซ้อน** – คำตอบที่เหมือนกันต้องเขียนใหม่ทุกครั้งที่ได้รับคำขอ.  
* **ภาษาที่ไม่สอดคล้อง** – การเปลี่ยนแปลงเล็กน้อยในวลีอาจถูกตีความว่าเป็นช่องว่าง.  
* **หลักฐานล้าสมัย** – นโยบายอ evolves, แต่แบบสอบถามที่ร่างมักไม่ได้อัปเดต.  

การทำแผนที่การควบคุม ISO 27001 ไปยังส่วนตอบที่ใช้ซ้ำได้โดยอัตโนมัติจะขจัดปัญหาเหล่านี้ในระดับใหญ่.

---

## 2. แผนภาพสถาปัตยกรรมหลัก

เครื่องมือนี้สร้างขึ้นบนสามเสา:

| เสา | วัตถุประสงค์ | เทคโนโลยีหลัก |
|-----|---------------|----------------|
| **Knowledge Graph การควบคุม‑นโยบาย** | ทำให้การควบคุม ISO 27001, นโยบายภายใน, หลักฐาน, และเจ้าของเป็นกราฟที่สามารถคิวรีได้ | Neo4j, RDF, Graph Neural Networks (GNN) |
| **RAG Answer Generation** | ดึงสรุปนโยบายที่เกี่ยวข้อง, ผสานกับบริบท, และสร้างคำตอบที่เรียงลำดับ | Retrieval (BM25 + Vector Search), LLM (Claude‑3, Gemini‑Pro), Prompt Templates |
| **Policy Drift Detection & Auto‑Refresh** | ตรวจสอบการเปลี่ยนแปลงนโยบายต้นทาง, เรียกการสร้างใหม่, แจ้งผู้มีส่วนได้ส่วนเสีย | Change Data Capture (CDC), Diff‑Auditing, Event‑Driven Pub/Sub (Kafka) |

ด้านล่างเป็นแผนภาพ Mermaid ที่แสดงการไหลของข้อมูลจากการนำเข้าไปจนถึงการส่งคำตอบ.

```mermaid
graph LR
    A[ISO 27001 Control Catalog] -->|Import| KG[Control‑Policy Knowledge Graph]
    B[Internal Policy Store] -->|Sync| KG
    C[Evidence Repository] -->|Link| KG
    KG -->|Query| RAG[Retrieval‑Augmented Generation Engine]
    RAG -->|Generate| Answer[Questionnaire Answer Draft]
    D[Policy Change Feed] -->|Event| Drift[Policy Drift Detector]
    Drift -->|Trigger| RAG
    Answer -->|Review UI| UI[Security Analyst Dashboard]
    UI -->|Approve/Reject| Answer
```

*ทุกป้ายกำกับโหนดอยู่ในเครื่องหมายคำพูดสองชั้นตามที่ไวยากรณ์ Mermaid กำหนด.*

---

## 3. การสร้าง Knowledge Graph การควบคุม‑นโยบาย

### 3.1 การออกแบบข้อมูล

* **โหนดการควบคุม** – แต่ละการควบคุม ISO 27001 (เช่น “A.10.1”) จะเป็นโหนดที่มี attribute: `title`, `description`, `reference`, `family`.  
* **โหนดนโยบาย** – นโยบายภายในจะถูกดึงเข้ามาจาก Markdown, Confluence หรือที่เก็บข้อมูลแบบ Git. มี attribute `version`, `owner`, `last_modified`.  
* **โหนดหลักฐาน** – ลิงก์ไปยัง log การตรวจสอบ, snapshot การตั้งค่า, หรือการรับรองจากบุคคลที่สาม.  
* **Edge ความเป็นเจ้าของ** – `MANAGES`, `EVIDENCE_FOR`, `DERIVES_FROM`.  

สคีม่า Graph นี้ทำให้สามารถคิวรีแบบ SPARQL‑like ได้ เช่น:

```cypher
MATCH (c:Control {id:"A.10.1"})-[:DERIVES_FROM]->(p:Policy)
RETURN p.title, p.content LIMIT 1
```

### 3.2 การเสริมด้วย GNN

เราเทรน Graph Neural Network บนคู่คำถาม‑คำตอบย้อนหลังเพื่อเรียนรู้ **คะแนนความคล้ายเชิงความหมาย** ระหว่างการควบคุมและส่วนของนโยบาย. คะแนนนี้ถูกเก็บเป็น property ของ edge `relevance_score`, ช่วยเพิ่มความแม่นยำของการดึงข้อมูลเหนือการจับคีย์เวิร์ดแบบธรรมดา.

---

## 4. กระบวนการ Retrieval‑Augmented Generation

### 4.1 ขั้นตอน Retrieval

1. **ค้นหาคำสำคัญ** – BM25 บนข้อความนโยบาย.  
2. **Vector Search** – Embedding (Sentence‑Transformers) เพื่อจับคู่เชิงความหมาย.  
3. **Hybrid Ranking** – ผสาน BM25 และ `relevance_score` ของ GNN ด้วยการผสมเชิงเส้น (α = 0.6 เชิงความหมาย, 0.4 เชิงคำสำคัญ).  

สรุป 3 ผลลัพธ์บนสุด (โดยทั่วไป k = 3) จะถูกส่งต่อให้ LLM พร้อมกับ prompt ของแบบสอบถาม.

### 4.2 การออกแบบ Prompt

```
You are a compliance assistant. Using the following policy excerpts, craft a concise answer (max 200 words) for ISO 27001 control "{{control_id}} – {{control_title}}". Maintain the tone of the source policy but tailor it to a third‑party security questionnaire. Cite each excerpt with a markdown footnote.
```

LLM แทนที่ placeholder ด้วยสรุปที่ดึงมาและสร้าง **draft ที่มีการอ้างอิง**.

### 4.3 การประมวลผลหลัง生成

* **ชั้น Fact‑Check** – ใช้ LLM ชั้นที่สองเพื่อให้แน่ใจว่าทุกข้อความอิงจากสรุปที่ดึงมา.  
* **ฟิลเตอร์ Redaction** – ตรวจจับและมาสก์ข้อมูลที่เป็นความลับที่ไม่ควรถูกเปิดเผย.  
* **โมดูล Formatting** – แปลงผลลัพธ์เป็นรูปแบบที่แบบสอบถามต้องการ (HTML, PDF หรือ plain text).

---

## 5. การตรวจจับการเปลี่ยนแปลงนโยบายแบบเรียลไทม์

นโยบายไม่คงที่. **คอนเนคเตอร์ Change Data Capture (CDC)** จะเฝ้าดูคอมมิต, merge หรือการลบในแหล่งที่มานโยบาย. เมื่อมีการเปลี่ยนแปลงที่เชื่อมกับการควบคุม ISO, ตัวตรวจจับ drift จะ:

1. คำนวณ **diff hash** ระหว่างสรุปเก่าและใหม่.  
2. ส่ง **เหตุการณ์ drift** ไปยังหัวข้อ Kafka `policy.drift`.  
3. เรียกกระบวนการ RAG เพื่อสร้างคำตอบใหม่สำหรับการควบคุมที่ได้รับผลกระทบ.  
4. ส่ง **การแจ้งเตือน** ให้เจ้าของนโยบายและแดชบอร์ดนักวิเคราะห์ตรวจสอบ.  

วงจรปิดนี้ทำให้แน่ใจว่าคำตอบแบบสอบถามทุกฉบับสอดคล้องกับนโยบายล่าสุดเสมอ.

---

## 6. ประสบการณ์ผู้ใช้: Analyst Dashboard

UI แสดง **ตารางรายการแบบสอบถามที่รอดำเนินการ** พร้อมสีสถานะ:

* **เขียว** – คำตอบสร้างแล้ว, ไม่มี drift, พร้อมส่งออก.  
* **เหลือง** – มีการเปลี่ยนนโยบายล่าสุด, การสร้างใหม่กำลังรอ.  
* **แดง** – ต้องตรวจสอบด้วยคน (เช่น นโยบายไม่ชัดหรือมีการมาสก์ข้อมูล).  

ฟีเจอร์สำคัญ:

* **ส่งออกด้วยคลิกเดียว** ไปเป็น PDF หรือ CSV.  
* **แก้ไขในบรรทัด** สำหรับกรณีที่ต้องปรับแต่งเฉพาะ.  
* **ประวัติเวอร์ชัน** แสดงเวอร์ชันนโยบายที่ใช้ในการสร้างคำตอบแต่ละรายการ.  

วิดีโอสาธิตสั้น (ฝังในแพลตฟอร์ม) แสดงขั้นตอนทำงานทั่วไป: เลือกการควบคุม, ตรวจสอบคำตอบอัตโนมัติ, อนุมัติ, และส่งออก.

---

## 7. ผลกระทบต่อธุรกิจที่วัดได้

| ตัวชี้วัด | ก่อนอัตโนมัติ | หลังอัตโนมัติ (Pilot) |
|----------|----------------|------------------------|
| เวลาเฉลี่ยต่อการสร้างคำตอบ | 45 นาทีต่อการควบคุม | 3 นาทีต่อการควบคุม |
| ระยะเวลาการส่งแบบสอบถามเต็มชุด | 12 วัน | 1.5 วัน |
| คะแนนความสอดคล้องของคำตอบ (audit ภายใน) | 78 % | 96 % |
| ความล่าช้าการตรวจพบ drift (เวลารีเฟรช) | 7 วัน (ทำมือ) | < 2 ชม. (อัตโนมัติ) |

การทดสอบตัวอย่างที่ดำเนินโดยบริษัท SaaS ขนาดกลาง (≈ 250 พนักงาน) ลดภาระงานของทีมความปลอดภัยประมาณ **30 ชั่วโมงต่อสัปดาห์** และขจัดเหตุการณ์ไม่ปฏิบัติตาม 4 ครั้งที่เกิดจากคำตอบล้าสมัย.

---

## 8. พิจารณาด้านความปลอดภัยและการกำกับดูแล

* **Data Residency** – ข้อมูลใน Knowledge Graph ทั้งหมดอยู่ภายใน VPC ส่วนตัวขององค์กร; การ inference LLM ทำบนฮาร์ดแวร์ในองค์กรหรือ endpoint cloud ส่วนตัว.  
* **Access Controls** – สิทธิ์ตามบทบาทจำกัดว่าผู้ใดสามารถแก้ไขนโยบาย, เรียกการสร้างใหม่, หรือดูคำตอบที่สร้าง.  
* **Audit Trail** – คำตอบแต่ละฉบับบันทึก hash แบบ cryptographic ที่เชื่อมโยงกับเวอร์ชันนโยบายที่ใช้, ทำให้สามารถตรวจสอบได้อย่างไม่เปลี่ยนแปลงระหว่างการ audit.  
* **Explainability** – แดชบอร์ดแสดง **view traceability** ที่ระบุสรุปนโยบายที่ดึงมาและคะแนนความเกี่ยวข้องที่นำไปสู่คำตอบสุดท้าย, ตอบสนองต่อข้อกำหนดของ regulator ว่า AI ถูกใช้อย่างรับผิดชอบ.

---

## 9. การขยายขอบเขต engine นอกเหนือ ISO 27001

แม้ต้นแบบจะมุ่งเน้นที่ ISO 27001, สถาปัตยกรรมนี้ **ไม่จำกัดต่อมาตรฐานใด**:

* **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) Trust Services Criteria** – แมปกับกราฟเดียวกันโดยใช้ชุดการควบคุมที่แตกต่าง.  
* **[HIPAA](https://www.hhs.gov/hipaa/index.html) Security Rule** – นำเข้า 18 มาตรฐานและเชื่อมกับนโยบายเฉพาะด้านสุขภาพ.  
* **[PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/)** – เชื่อมต่อกับขั้นตอนการจัดการข้อมูลบัตร.  

การเพิ่มมาตรฐานใหม่เพียงแค่โหลด catalog ของการควบคุมและสร้าง edge เริ่มต้นเชื่อมกับโหนดนโยบายที่มีอยู่. GNN จะปรับตัวอัตโนมัติเมื่อมีคู่คำถาม‑คำตอบใหม่เข้ามา.

---

## 10. ขั้นตอนเริ่มต้น: รายการตรวจสอบแบบก้าวหน้า

1. **รวบรวมการควบคุม ISO 27001** (ดาวน์โหลด Annex A ในรูป CSV).  
2. **ส่งออกนโยบายภายใน** เป็นรูปแบบที่มีโครงสร้าง (Markdown พร้อม front‑matter สำหรับ versioning).  
3. **ติดตั้ง Knowledge Graph** (Docker image ของ Neo4j ที่มีสคีม่าเตรียมไว้).  
4. **รันบริการ RAG** (คอนเทนเนอร์ FastAPI + endpoint LLM).  
5. **ตั้งค่า CDC** (hook ของ Git หรือ file‑system watcher) เพื่อนำข้อมูลการเปลี่ยนแปลงเข้าตัวตรวจจับ drift.  
6. **เปิดใช้งาน Analyst Dashboard** (frontend React, การยืนยันตัวตนด้วย OAuth2).  
7. **ทำแบบสอบถามต้นแบบ** และปรับแต่ง prompt อย่างต่อเนื่อง.  

ตามแผนนี้องค์กรส่วนใหญ่สามารถมี **pipeline การทำแผนที่ ISO 27001 อัตโนมัติเต็มรูปแบบภายใน 4‑6 สัปดาห์**.

---

## 11. แนวทางในอนาคต

* **Federated Learning** – แชร์ embedding ของการควบคุม‑นโยบายแบบไม่ระบุชื่อระหว่างบริษัทพันธมิตรเพื่อปรับปรุงคะแนนความเกี่ยวข้องโดยไม่เปิดเผยนโยบายเฉพาะ.  
* **Evidence Multimodal** – รวมรูปภาพ, ไฟล์การตั้งค่า, และ log ที่ใช้ Vision‑LLMs เพื่อทำให้คำตอบมีสารสนเทศครบถ้วน.  
* **Generative Compliance Playbooks** – ขยายจากการตอบคำถามเดียวเป็นการสร้าง narrative การปฏิบัติตามแบบครบวงจร พร้อมตารางหลักฐานและการประเมินความเสี่ยง.  

การบูรณาการ **knowledge graph**, **RAG**, และ **การตรวจจับ drift แบบเรียลไทม์** กำลังจะกลายเป็นฐานมาตรฐานใหม่สำหรับการทำอัตโนมัติแบบสอบถามความปลอดภัย. ผู้ที่รับมือเร็วจะได้รับความได้เปรียบไม่เพียงแค่ความเร็ว, แต่ยังได้ความมั่นใจว่าทุกคำตอบ **ตรวจสอบได้, ปัจจุบัน, และผ่านการตรวจสอบ**.

---

## ดูเพิ่มเติม
- [ISO 27001 – Official Annex A Controls](https://www.iso.org/standard/54534.html)  
- [NIST SP 800‑53 Mapping to ISO 27001](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [Retrieval‑Augmented Generation: A Survey of Techniques and Applications](https://arxiv.org/abs/2302.01279)