Hajautetun identiteetin perusteella toteutettu turvallinen todistusaineiston vaihto automatisoiduille turvallisuuskyselyille

SaaS‑ensimmäinen hankintaympäristö on tehnyt turvallisuuskyselyistä keskeisen portinvartijan jokaiselle sopimukselle. Yritysten on toistuvasti toimitettava samat todisteet—SOC 2-raportit, ISO 27001-sertifikaatit, penetraatiotestien tulokset—samalla varmistaen, että tiedot pysyvät luottamuksellisina, manipulointitodistettavina ja auditointikelpoisina.

 
Tässä astuvat mukaan hajautetut tunnisteet (DID) ja tarkistettavat tunnisteet (VC).
Nämä W3C-standardeja mahdollistavat krpytografinen omistajuus identiteeteille, jotka eivät ole minkään yksittäisen toimijan hallussa. Kun ne yhdistetään AI‑pohjaisiin alustoihin kuten Procurize, DID:t muuttavat todistusaineiston vaihtoprosessin luottamukseen perustuvaksi, automatisoiduksi työnkuluksi, joka skaalautuu kymmenien toimittajien ja useiden sääntelykehysten yli.

Alla käymme läpi:

1. Miksi perinteinen todistusaineiston vaihto on haavoittuva.
2. DID- ja VC-periaatteet.
3. Vaiheittainen arkkitehtuuri, joka liittää DID‑pohjaisen vaihdon Procurizeen.
4. Reaalimaailman hyödyt pilotista, jossa osallistui kolme Fortune 500 -SaaS‑toimittajaa.
5. Parhaat käytännöt ja turvallisuusnäkökohdat.

1. Perinteisen todistusaineiston jakamisen kipupisteet

Nämä haasteet korostuvat, kun kyselyt ovat reaaliaikaisia: toimittajan turvallisuusryhmä odottaa vastausta tunneissa, mutta todisteen täytyy ensin hakea, tarkistaa ja turvallisesti siirtää.

2. Perusta: Hajautetut tunnisteet & tarkistettavat tunnisteet

2.1 Mikä on DID?

DID on globaali, ainutkertainen tunniste, joka resolvoituu DID-dokumenttiin sisältäen:

• Julkiset avaimet autentikointiin ja salaukseen.
• Palvelupisteet (esim. turvallinen API todistusaineiston vaihtoon).
• Autentikointimenetelmät (esim. DID‑Auth, X.509‑sidonta).

{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}

Ei mikään keskitetty rekisteri hallinnoi tunnistetta; omistaja julkaisee ja kierrättää DID-dokumentin lohkossa (julkinen lohkoketju, permissioned DLT tai hajautettu tallennusverkko).

2‑2 Tarkistettavat tunnisteet (VC)

VC:t ovat manipulointitodisteita, jotka myöntäjä myöntää subjektille. VC voi sisältää:

• Todisteaineiston hajautuksen (esim. SOC 2-PDF).
• Voimassaoloaika, soveltamisala ja relevantit standardit.
• Myöntäjän allekirjoituksen, jossa väitetään aineiston täyttävän tietyn kontrollijoukon.

{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}

Holderi (toimittaja) säilyttää VC:n ja esittää sen verifioijalle (kyselyn vastaajalle) paljastamatta taustadokumenttia, ellei siihen erikseen myönnetä lupaa.

3. Arkkitehtuuri: DID‑pohjaisen vaihdon liittäminen Procurizeen

Alla on korkean tason vuokaavio, joka havainnollistaa, miten DID‑pohjainen todistusaineiston vaihto toimii Procurize AI –kyselymoottorin kanssa.

  flowchart TD
    A["Toimittaja käynnistää kyselypyynnön"] --> B["Procurize AI koostaa vastausluonnoksen"]
    B --> C["AI havaitsee vaaditut todisteet"]
    C --> D["Hae VC toimittajan DID‑holvista"]
    D --> E["Vahvista VC‑allekirjoitus & aineiston hajautus"]
    E --> F["Jos kelvollinen, nouta salattu aineisto DID‑palvelupisteen kautta"]
    F --> G["Pura salaus toimittajan tarjoamalla istuntavaihtovekselillä"]
    G --> H["Liitä todistusaineiston viite vastaukseen"]
    H --> I["AI hioa tekstin todistusaineiston kontekstilla"]
    I --> J["Lähetä valmis vastaus pyytäjälle"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px

3.1 Keskeiset komponentit

3.2 Integrointivaiheet

1. Toimittajan DID‑rekisteröinti – Rekisteröinnin yhteydessä luodaan yksilöllinen DID toimittajalle ja tallennetaan DID‑dokumentti holviin.
2. VC:n myöntäminen – Vaatimusvastaavat henkilöt lataavat todistusaineiston (esim. SOC 2‑raportti) holviin; järjestelmä laskee SHA‑256‑hajautuksen, luo VC:n, allekirjoittaa sen myöntäjän yksityisavaimella ja tallentaa VC:n yhdessä salatun aineiston kanssa.
3. Procurizen konfigurointi – Lisätään toimittajan DID luotettuihin lähteisiin AI‑moottorin “evidence‑catalog”‑asetuksissa.
4. Kyselyn suoritus – Kun kysely kysyy “SOC 2 Type II -todistusta”, Procurize AI:
   • Hakukyselyn kautta hakee vastaavan VC:n toimittajan DID‑holvista.
   • Vahvistaa VC‑allekirjoituksen kryptografisesti.
   • Noutaa salatun aineiston palvelupisteen kautta.
   • Purkaa aineiston istuntavaihtovekselin avulla, joka vaihdetaan DID‑auth‑virrassa.
5. Auditointitodiste – Valmis vastaus sisältää viitteen VC:hen (credential ID) ja aineiston hajautuksen, jolloin tarkastajat voivat tarkistaa väitteen itsenäisesti ilman raakadokumentteja.

4. Pilottitulokset: Mitattavat hyödyt

Kolmen kuukauden pilotti toteutettiin AcmeCloud, Nimbus SaaS ja OrbitTech – kaikki laajoja Procurize‑käyttäjiä. Seurattu data:

Laatuun kohdistuva palaute korosti luottamuksen psykologista kasvua: vastaajilla oli varmuus, että he voisivat kryptografisesti todistaa, että jokainen todiste on peräisin ilmoitetulta myöntäjältä eikä sitä ole manipuloitu.

5. Turvallisuus‑ ja yksityisyys‑kovennuslista

1. Zero‑Knowledge‑todistukset arkaluontoisille kentille – Käytä ZK‑SNARK:eja, kun VC:n on todistettava ominaisuus (esim. “raportti on alle 10 MB”) paljastamatta itse hajautusta.
2. Peruutuslistat – Julkaise DID‑pohjaiset peruutusrekisterit; kun todistusaineisto korvataan, vanha VC on välittömästi mitätön.
3. Valikoiva paljastus – Hyödynnä BBS+‑allekirjoituksia, joilla voidaan näyttää vain tarvittavat attribuutit tarkastajalle.
4. Avain‑kierrätyskäytännöt – Pakota 90‑päivän kierrätys DID‑verifiointimenetelmille avainvuodon vaikutuksen rajoittamiseksi.
5. GDPR‑suostumusrekisterit – Säilytä suostumuskuitti VC:nä, joka sitoo datasubjektin DID:n ja jaettavan todistusaineiston.

6. Tulevaisuuden tiekartta

Hajautetun identiteetin ja generatiivisen AI:n yhdistäminen mullistaa perinteisesti pullonkauloja aiheuttavan turvallisuuskyselyn, muuttaen sen kitkattomaksi, luottamukseen perustuvaksi transaktioksi.

7. Pika‑aloitusopas

# 1. Asenna DID‑työkalupakki (Node.js‑esimerkki)
npm i -g @identity/did-cli

# 2. Luo uusi DID organisaatiollesi
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. Julkaise DID‑dokumentti resolvoijalle (esim. Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. Myönnä VC SOC2‑raportille
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Lataa salattu aineisto ja VC DID‑holviin (esim. API)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"

Tämän jälkeen konfiguroi Procurize AI luottamaan juuri luomaasi DID:iin – seuraava kysely, joka pyytää SOC 2‑todistusta, vastaa automaattisesti, perustuen tarkistettuun kredentiaaliin.

8. Yhteenveto

Hajautetut tunnisteet ja tarkistettavat tunnisteet tuovat kryptografista luottamusta, yksityisyys‑ensimmäinen lähestymistapa ja auditointikelpoisuuden perinteiseen, manuaaliseen turvallisuuskyselyprosessiin. Kun ne integroidaan AI‑pohjaiseen alustaan kuten Procurize, prosessi lyhenee sekunneiksi, riski tietovuotoihin kutistuu ja vaatimustenmukaisuuden tarkastusrekisteri pysyy eheytyneenä.

Toteuttamalla tämän arkkitehtuurin jo tänään organisaatiosi varmistaa tulevaisuuden compliance‑työnkulkunsa tiukentuvien sääntöjen, kasvavan toimittajaverkoston ja AI‑tehostettujen turvallisuusarviointien varjossa.