
# Bảng Điều Khiển Nguồn Gốc Bằng Chứng Dựa Trên Mermaid Tương Tác cho Kiểm Toán Bảng Câu Hỏi Thời Gian Thực

## Giới thiệu  

Các bảng câu hỏi bảo mật, cuộc kiểm toán tuân thủ và đánh giá rủi ro nhà cung cấp truyền thống luôn là nút thắt cho các công ty SaaS phát triển nhanh. Trong khi AI có thể soạn câu trả lời trong vài giây, các kiểm toán viên và người duyệt nội bộ vẫn hỏi: *“Câu trả lời này đến từ đâu? Nó có thay đổi so với lần kiểm toán trước không?”* Câu trả lời nằm ở **nguồn gốc bằng chứng** — khả năng truy vết mỗi phản hồi trở lại nguồn gốc, phiên bản và chuỗi phê duyệt của nó.

Tính năng thế hệ mới của Procurize giới thiệu một **bảng điều khiển Mermaid tương tác** giúp hiển thị nguồn gốc bằng chứng theo thời gian thực. Bảng điều khiển được hỗ trợ bởi một **Đồ Thị Kiến Thức Tuân Thủ Động (Dynamic Compliance Knowledge Graph - DCKG)**, luôn đồng bộ với các kho lưu trữ chính sách, kho tài liệu và các nguồn cấp dữ liệu tuân thủ bên ngoài. Khi đồ thị được hiển thị dưới dạng sơ đồ Mermaid dễ hiểu, các đội bảo mật có thể:

* **Duyệt** nguồn gốc của mỗi câu trả lời chỉ bằng một cú nhấp.
* **Xác minh** độ mới của bằng chứng qua các cảnh báo trôi dạt chính sách tự động.
* **Xuất** các ảnh chụp nhanh sẵn sàng cho kiểm toán, nhúng nguồn gốc trực quan vào báo cáo tuân thủ.

Các phần tiếp theo sẽ chi tiết kiến trúc, mô hình Mermaid, các mẫu tích hợp và các bước triển khai thực hành tốt nhất.

---

## 1. Tại sao nguồn gốc lại quan trọng trong các câu hỏi tự động  

| Vấn đề | Giải pháp truyền thống | Rủi ro còn lại |
|--------|------------------------|----------------|
| **Câu trả lời lỗi thời** | Ghi chú “cập nhật lần cuối” thủ công | Bỏ sót thay đổi chính sách |
| **Nguồn không rõ** | Chú thích dạng văn bản | Kiểm toán viên không thể kiểm chứng |
| **Rối loạn kiểm soát phiên bản** | Các repo Git riêng cho tài liệu | Các ảnh chụp nhanh không nhất quán |
| **Gánh nặng hợp tác** | Chuỗi email về phê duyệt | Mất phê duyệt, công việc trùng lặp |

Nguồn gốc loại bỏ những khoảng trống này bằng cách **liên kết mỗi câu trả lời do AI tạo ra với một nút bằng chứng duy nhất** trong đồ thị, ghi lại:

* **Tài liệu nguồn** (file chính sách, chứng nhận bên thứ ba, bằng chứng kiểm soát)
* **Hash phiên bản** (dấu vân tay mật mã đảm bảo tính bất biến)
* **Chủ sở hữu / Người phê duyệt** (định danh con người hoặc bot)
* **Thời gian** (thời gian UTC tự động)
* **Cờ Trôi Dạt Chính Sách** (tự động tạo bởi Engine Trôi Dạt Thời Gian Thực)

Khi một kiểm toán viên nhấp vào câu trả lời trong bảng điều khiển, hệ thống ngay lập tức mở rộng nút, hiển thị tất cả siêu dữ liệu trên.

---

## 2. Kiến trúc cốt lõi  

Dưới đây là sơ đồ Mermaid cấp cao của quy trình nguồn gốc. Nhãn nút được đặt trong **dấu ngoặc kép** như quy định.

```mermaid
graph TD
    subgraph AI Engine
        A["LLM Answer Generator"]
        B["Prompt Manager"]
    end
    subgraph Knowledge Graph
        KG["Dynamic Compliance KG"]
        V["Evidence Version Store"]
        D["Drift Detection Service"]
    end
    subgraph UI Layer
        UI["Interactive Mermaid Dashboard"]
        C["Audit Export Service"]
    end
    subgraph Integrations
        R["Policy Repo (Git)"]
        S["Document Store (S3)"]
        M["External Compliance Feed"]
    end

    B --> A
    A --> KG
    KG --> V
    V --> D
    D --> KG
    KG --> UI
    UI --> C
    R --> V
    S --> V
    M --> KG
```

**Các luồng chính**

1. **Prompt Manager** chọn một prompt có ngữ cảnh, tham chiếu các nút KG liên quan.  
2. **LLM Answer Generator** tạo ra bản nháp câu trả lời.  
3. Câu trả lời được **đăng ký** trong KG dưới dạng *Answer Node* mới, có các cạnh tới *Evidence Nodes* nền tảng.  
4. **Evidence Version Store** ghi lại hash mật mã của mỗi tài liệu nguồn.  
5. **Drift Detection Service** liên tục so sánh các hash đã lưu với snapshot chính sách hiện tại; bất kỳ sự không khớp nào đều tự động gắn cờ câu trả lời để xem xét lại.  
6. **Interactive Dashboard** đọc KG qua endpoint GraphQL, tạo mã Mermaid ngay lập tức.  
7. **Audit Export Service** gói Mermaid SVG hiện tại, JSON nguồn gốc và văn bản câu trả lời thành một file PDF duy nhất.

---

## 3. Xây dựng bảng điều khiển Mermaid  

### 3.1 Chuyển đổi dữ liệu thành sơ đồ  

Lớp UI gửi query tới KG với ID bảng câu hỏi cụ thể. Phản hồi trả về cấu trúc lồng nhau:

```json
{
  "questionId": "Q-101",
  "answer": "We encrypt data at rest using AES‑256.",
  "evidence": [
    {
      "docId": "policy-iso27001",
      "versionHash": "0x9f2c...",
      "approvedBy": "alice@example.com",
      "timestamp": "2025-11-20T14:32:00Z",
      "drift": false
    },
    {
      "docId": "cloud‑kbs‑report",
      "versionHash": "0x4c1a...",
      "approvedBy": "bob@example.com",
      "timestamp": "2025-09-05T09:10:00Z",
      "drift": true
    }
  ]
}
```

Một **trình render phía client** chuyển mỗi mục bằng chứng thành một sub‑graph Mermaid:

```mermaid
graph LR
    A["Answer Q‑101"] --> E1["policy‑iso27001"]
    A --> E2["cloud‑kbs‑report"]
    E1 -->|hash: 0x9f2c| H1["Hash"]
    E2 -->|hash: 0x4c1a| H2["Hash"]
    E2 -->|drift| D["⚠️ Drift Detected"]
```

Giao diện người dùng bổ sung các dấu hiệu trực quan:

* **Nút xanh lá** – bằng chứng còn mới.  
* **Nút đỏ** – có dấu hiệu trôi dạt.  
* **Biểu tượng ổ khóa** – hash mật mã đã được xác minh.

> **Lưu ý:** Tham chiếu *policy‑iso27001* tương ứng với tiêu chuẩn ISO 27001 — xem chi tiết tại: [ISO 27001](https://www.iso.org/standard/27001).

### 3.2 Tính năng tương tác  

| Tính năng | Tương tác | Kết quả |
|-----------|-----------|----------|
| **Nhấp vào nút** | Click vào bất kỳ nút bằng chứng nào | Mở modal hiển thị bản xem trước tài liệu, diff phiên bản và nhận xét phê duyệt |
| **Bật/Tắt xem trôi dạt** | Công tắc trên thanh công cụ | Tô sáng chỉ các nút có `drift = true` |
| **Xuất snapshot** | Nhấn nút “Export” | Tạo bundle SVG + JSON nguồn gốc cho kiểm toán viên |
| **Tìm kiếm** | Nhập ID tài liệu hoặc email người phê duyệt | Tự động focus vào sub‑graph phù hợp |

Tất cả tương tác đều thực hiện **trên client**, tránh các vòng round‑trip thêm. Mã Mermaid được lưu trong một `<textarea hidden>` để dễ sao chép.

---

## 4. Tích hợp nguồn gốc vào quy trình hiện có  

### 4.1 Cổng CI/CD kiểm soát tuân thủ  

Thêm một bước trong pipeline khiến **build fail** nếu bất kỳ câu trả lời nào trong bản phát hành sắp tới còn có cờ trôi dạt chưa được giải quyết. Ví dụ GitHub Action:

```yaml
name: Evidence Provenance Gate
on: [pull_request]
jobs:
  provenance-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Drift Scanner
        run: |
          curl -s https://api.procurize.io/drift?pr=${{ github.event.pull_request.number }} \
          | jq '.drifted | length > 0' && exit 1 || exit 0
```

### 4.2 Cảnh báo trên Slack / Teams  

Cấu hình **Drift Detection Service** để đẩy một đoạn Mermaid ngắn vào kênh khi phát hiện trôi dạt. Các bot hỗ trợ Mermaid sẽ tự động render, cho các trưởng bảo mật nhìn thấy ngay lập tức.

### 4.3 Tự động hoá duyệt pháp lý  

Nhóm pháp lý có thể thêm một cạnh **“Legal Sign‑Off”** vào các nút bằng chứng. Bảng điều khiển sẽ hiển thị biểu tượng ổ khóa trên nút, biểu thị bằng chứng đã vượt qua checklist pháp lý.

---

## 5. Các vấn đề bảo mật & riêng tư  

| Lo ngại | Giải pháp |
|---------|------------|
| **Tiết lộ tài liệu nhạy cảm** | Lưu tài liệu thô trong các bucket S3 được mã hoá; bảng điều khiển chỉ render siêu dữ liệu và hash, không hiển thị nội dung file. |
| **Thao tác dữ liệu nguồn gốc** | Sử dụng chữ ký kiểu **EIP‑712** cho mỗi giao dịch đồ thị; bất kỳ thay đổi nào sẽ làm mất tính hợp lệ của hash. |
| **Quy định lưu trữ dữ liệu** | Triển khai KG và kho bằng chứng cùng vùng với dữ liệu tuân thủ chính (EU, US‑East, …). |
| **Kiểm soát truy cập** | Áp dụng mô hình RBAC của Procurize: chỉ người dùng có quyền `provenance:read` được xem bảng điều khiển; `provenance:edit` mới được phê duyệt. |

---

## 6. Tác động thực tế: Nghiên cứu trường hợp  

**Công ty:** SecureFinTech Ltd.  
**Kịch bản:** Kiểm toán **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** hàng quý yêu cầu bằng chứng cho 182 kiểm soát mã hoá.  
**Trước bảng điều khiển:** Thu thập thủ công mất 12 ngày; kiểm toán viên luôn đặt câu hỏi về độ mới của bằng chứng.  
**Sau bảng điều khiển:**  

| Chỉ số | Trước | Sau |
|--------|-------|------|
| Thời gian trả lời trung bình | 4.2 giờ | **1.1 giờ** |
| Công việc tái làm do trôi dạt | 28 % câu trả lời | **3 %** |
| Điểm hài lòng của kiểm toán viên (1‑5) | 2.8 | **4.7** |
| Thời gian xuất gói kiểm toán | 6 giờ | **45 phút** |

Nguồn gốc bằng chứng đã cắt giảm thời gian chuẩn bị kiểm toán tới **70 %**, và các cảnh báo trôi dạt tự động đã tiết kiệm ước tính **160 giờ nhân sự mỗi năm**.

---

## 7. Hướng dẫn triển khai từng bước  

1. **Kích hoạt đồng bộ Đồ Thị Kiến Thức** – Kết nối repo Git chính sách, kho tài liệu và feed tuân thủ bên ngoài trong cài đặt Procurize.  
2. **Bật dịch vụ nguồn gốc** – Bật “Evidence Versioning & Drift Detection” trong bảng điều khiển quản trị nền tảng.  
3. **Cấu hình bảng điều khiển Mermaid** – Thêm `dashboard.provenance.enabled = true` vào tệp `procurize.yaml`.  
4. **Định nghĩa quy trình phê duyệt** – Dùng “Workflow Builder” để gắn các bước “Legal Sign‑Off” và “Security Owner” vào mỗi nút bằng chứng.  
5. **Đào tạo đội ngũ** – Tổ chức buổi demo 30 phút về cách tương tác với nút, xử lý trôi dạt và xuất báo cáo.  
6. **Nhúng vào cổng kiểm toán** – Sử dụng đoạn IFrame dưới đây để nhúng bảng điều khiển vào cổng kiểm toán của bên thứ ba.  

```html
<iframe src="https://dashboard.procurize.io/q/2025-Q101"
        width="100%" height="800"
        style="border:none;"></iframe>
```

7. **Giám sát chỉ số** – Theo dõi “Drift Events”, “Export Count” và “Avg. Answer Time” trên bảng điều khiển phân tích của Procurize để đo lường ROI.

---

## 8. Các cải tiến trong lộ trình  

| Mục tiêu | Mô tả |
|----------|-------|
| **Dự đoán trôi dạt bằng AI** | Áp dụng mô hình LLM để phân tích log thay đổi chính sách, dự đoán trôi dạt trước khi nó xảy ra. |
| **Chia sẻ nguồn gốc giữa các tenant** | Chế độ Đồ Thị Liên Bang cho phép các công ty đối tác xem nguồn gốc chung mà không tiết lộ tài liệu gốc. |
| **Điều hướng bằng giọng nói** | Tích hợp với Voice Assistant của Procurize, cho phép người dùng hỏi “Hiển thị nguồn của câu trả lời 34”. |
| **Hợp tác thời gian thực** | Chỉnh sửa đồng thời các nút bằng chứng, hiển thị chỉ thị hiện diện trực tiếp trên Mermaid. |

---

## 9. Kết luận  

**Bảng điều khiển nguồn gốc bằng chứng dựa trên Mermaid** của Procurize biến môi trường tối ưu hoá câu hỏi bảo mật thành một trải nghiệm minh bạch, có thể kiểm toán và hợp tác. Bằng cách gắn kết câu trả lời do AI tạo ra với một đồ thị kiến thức tuân thủ sống, các tổ chức nhận được **truy cập ngay lập tức vào chuỗi nguồn gốc**, **giảm thiểu trôi dạt tự động**, và **các tài liệu sẵn sàng cho kiểm toán** — mà không làm mất tốc độ.

Áp dụng lớp nguồn gốc trực quan này không chỉ rút ngắn chu kỳ kiểm toán mà còn xây dựng niềm tin với cơ quan quản lý, đối tác và khách hàng rằng các tuyên bố bảo mật của bạn luôn được **hỗ trợ bởi bằng chứng bất biến, thời gian thực**.