Kontekstualni Sustav Preporuke Dokaza za Automatizirane Sigurnosne Upitnike

TL;DR – Kontekstualni Sustav Preporuke Dokaza (CERE) kombinira velike jezične modele (LLM‑ove) s kontinuirano osvježavanjem grafa znanja kako bi auditorima i timovima za sigurnost prikazao točno onaj dokaz koji im je potreban – baš kad ga trebaju. Rezultat je smanjenje ručnog pretraživanja za 60‑80 %, veća točnost odgovora i radni tijek usklađenosti koji raste zajedno s brzinom modernog SaaS razvoja.

1. Zašto je Sustav Preporuke Nedostajući Link

Sigurnosni upitnici, SOC 2 provjere spremnosti, ISO 27001 revizije i procjene rizika dobavljača sve dijele zajednički problem: potraga za pravim dokazom. Timovi obično održavaju opsežan repozitorij politika, revizijskih izvješća, snimaka konfiguracija i potvrda trećih strana. Kada stigne upitnik, analitičar usklađenosti mora:

1. Analizirati pitanje (često prirodnim jezikom, ponekad s industrijskim žargonima).
2. Identificirati domenu kontrole (npr. “Upravljanje Pristupom”, “Zadržavanje Podataka”).
3. Pretražiti repozitorij za dokumente koji zadovoljavaju kontrolu.
4. Kopirati‑zalijepiti ili prepisati odgovor, dodajući kontekstualne napomene.

Čak i uz sofisticirane alate za pretraživanje, ručna petlja može potrošiti nekoliko sati po upitniku, osobito kada su dokazi rašireni kroz više cloud računa, sustava za ticketing i naslijeđene dijeljenje datoteka. Pogreške u ovom procesu uzrokuju umor usklađenosti i mogu dovesti do propuštenih rokova ili netočnih odgovora – oba skupa za brzo rastuće SaaS poduzeće.

Upoznajte CERE: motor koji automatski izlaže najrelevantnije stavke dokaza čim se pitanje unese, vođen kombinacijom semantičkog razumijevanja (LLM‑ovi) i relacijskog zaključivanja (traversal grafa znanja).

2. Osnovni Arhitektonski Stubovi

CERE se temelji na tri međusobno povezana sloja:

Ispod je Mermaid dijagram koji vizualizira protok podataka.

  flowchart LR
    A["User submits questionnaire question"]
    B["LLM parses intent\n(Control, Risk, ArtifactType)"]
    C["DKG lookup based on intent"]
    D["GNN relevance scoring"]
    E["Top‑K evidence items"]
    F["UI presents recommendation\nwith confidence"]
    G["User feedback (accept/reject)"]
    H["RL loop updates GNN weights"]
    A --> B --> C --> D --> E --> F
    F --> G --> H --> D

All node labels are wrapped in double quotes as required.

3. Od Teksta do Namjere: Prompt‑Engineered LLM

Prvi korak je razumijevanje pitanja. Pažljivo kreirani prompt izvlači tri signala:

1. Identifikator Kontrole – npr. “ISO 27001 A.9.2.3 – Upravljanje Lozinkama”.
2. Kategorija Dokaza – npr. “Policijski Dokument”, “Izvoz Konfiguracije”, “Revizijski Log”.
3. Kontekst Rizika – “Visoki Rizik, Vanjski Pristup”.

Primjer prompta (zadržan kratak iz sigurnosnih razloga):

You are a compliance analyst. Return a JSON object with the fields:
{
  "control": "<standard ID and title>",
  "evidence_type": "<policy|config|log|report>",
  "risk_tier": "<low|medium|high>"
}
Question: {question}

Izlaz LLM‑a se provjerava prema šemi, zatim se prosljeđuje u generator upita za DKG.

4. Dinamički Graf Znanja (DKG)

4.1 Model Entiteta

4.2 Sinkronizacija u Realnom Vremenu

Procurize već integrira SaaS alate poput GitHub‑a, Confluence‑a, ServiceNow‑a i API‑ja cloud pružatelja. Mikrousluga temeljena na CDC‑u prati CRUD događaje i ažurira graf s podsekundnom latencijom, čuvajući auditabilnost (svaka veza nosi source_event_id).

5. Put Preporuke Vođen Grafom

1. Odabir Anchor Čvora – namjera control postaje početni čvor.
2. Ekspanzija Puta – breadth‑first search (BFS) istražuje PROVIDES veze ograničene na evidence_type koji je vratio LLM.
3. Ekstrakcija Značajki – za svaki kandidat dokument izgrađuje se vektor od:
   • Tekstualne sličnosti (ugrađivanje iz istog LLM‑a).
   • Vremenske svježine (last_modified dob).
   • Učestalosti korištenja (koliko je puta dokument referiran u prošlim upitnicima).
4. Ocjena Relevantnosti – GNN agregira značajke čvora i veze, proizvodeći ocjenu s ∈ [0,1].
5. Rangiranje & Povjerenje – vrh‑K dokumenata se poredaju po s; motor također ispisuje postotak povjerenja (npr. “85 % uvjerenja da ova politika zadovoljava zahtjev”).

6. Povratna Značka Čovjek‑u‑Povratnoj Petlji

Nijedna preporuka nije savršena od početka. CERE bilježi odluku prihvati/odbij i bilo koji slobodni tekst povratne informacije. Ti podaci napajaju reinforcement‑learning (RL) petlju koja povremeno fino podešava politiku GNN‑a, usklađujući model s subjektivnim preferencijama organizacije.

RL cjevovod se izvršava noću:

  stateDiagram-v2
    [*] --> CollectFeedback
    CollectFeedback --> UpdateRewards
    UpdateRewards --> TrainGNN
    TrainGNN --> DeployModel
    DeployModel --> [*]

7. Integracija s Procurize‑om

Procurize već nudi Unified Questionnaire Hub gdje korisnici mogu dodjeljivati zadatke, komentirati i prilažati dokaze. CERE se priključuje kao pametni widget polja:

• Kad analitičar klikne “Add Evidence”, widget pokreće LLM‑DKG pipeline.
• Preporučeni dokumenti pojavljuju se kao klikabilne kartice, svaka s “Insert citation” gumbom koji automatski generira markdown referencu formatiranu za upitnik.
• Za multi‑tenant okruženja, motor poštuje particije podataka po najmodavcima – graf svakog klijenta ostaje izoliran, jamčeći povjerljivost, dok se istovremeno omogućuje učenje preko najmodavaca u privatno‑čuvajućem načinu (pomoću federiranog prosjekovanja GNN težina).

8. Opipljive Prednosti

Pilot s fintechom srednje veličine (≈200 zaposlenika) zabilježio je 72 % skraćenje vremena obrade upitnika i 30 % pad revizijskih ciklusa nakon prvog mjeseca.

9. Izazovi & Mitigacije

10. Planovi za Budućnost

1. Multimodalno Dohvaćanje Dokaza – integrirati screenshotove, dijagrame konfiguracija i video walkthroughe koristeći vizualno‑omogućene LLM‑ove.
2. Predictive Regulation Radar – spojiti real‑time feedove regulatornih promjena (npr. GDPR amandmani) kako bi se proaktivno obogatili DKG najnovijim kontrolama.
3. Explainable AI Dashboard – vizualizirati zašto je dokument dobio svoju ocjenu povjerenja (trag puta, doprinos značajki).
4. Self‑Healing Graph – automatski otkrivati orfane čvorove i reconciliati ih pomoću AI‑vođenog rješavanja entiteta.

11. Zaključak

Kontekstualni Sustav Preporuke Dokaza pretvara radno‑intenzivnu umjetnost odgovaranja na sigurnosne upitnike u podatkovno‑vođeno, gotovo trenutačno iskustvo. Spajanjem semantičkog parsiranja LLM‑ova s živim grafom znanja i GNN‑om za rangiranje, CERE isporučuje pravi dokaz, u pravo vrijeme, s izmjerljivim poboljšanjima u brzini, točnosti i povjerenju u usklađenost. Kako SaaS organizacije nastave rasti, takva inteligentna pomoć neće biti samo „lijepa opcija“ – bit će temelj otporne, audit‑spremne operacije.