リアルタイムのセキュリティ質問票作成のための対話型AIコーチ

急速に変化するSaaSの世界では、セキュリティ質問票が取引を数週間も停滞させることがあります。たとえば同僚が「データは保存時に暗号化していますか？」と単純に尋ねたとき、質問票の UI 内で正確かつポリシーに裏付けられた回答が瞬時に返ってくると想像してください。これが 対話型AIコーチ がProcurize上に構築されたときに提供できる約束です。

なぜ対話型コーチが重要なのか

コーチは単に文書を提示するだけでなく、ユーザーと 対話 し、意図を明確にし、特定の規制フレームワーク（SOC 2、ISO 27001、GDPR など）に合わせて回答をカスタマイズします。

コアアーキテクチャ

以下は対話型AIコーチスタックのハイレベルビューです。図は Mermaid 構文を使用しており、Hugoで綺麗に描画されます。

  flowchart TD
    A["User Interface (Questionnaire Form)"] --> B["Conversation Layer (WebSocket / REST)"]
    B --> C["Prompt Orchestrator"]
    C --> D["Retrieval‑Augmented Generation Engine"]
    D --> E["Policy Knowledge Base"]
    D --> F["Evidence Store (Document AI Index)"]
    C --> G["Contextual Validation Module"]
    G --> H["Audit Log & Explainability Dashboard"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px
    style C fill:#bfb,stroke:#333,stroke-width:2px
    style D fill:#ff9,stroke:#333,stroke-width:2px
    style E fill:#9ff,stroke:#333,stroke-width:2px
    style F fill:#9f9,stroke:#333,stroke-width:2px
    style G fill:#f99,stroke:#333,stroke-width:2px
    style H fill:#ccc,stroke:#333,stroke-width:2px

主要コンポーネント

1. Conversation Layer – ユーザーが入力するたびに即座に応答できるよう、低遅延のチャネル（WebSocket）を確立します。
2. Prompt Orchestrator – ユーザーの質問、該当する規制条項、過去の質問票コンテキストを組み合わせたプロンプトチェーンを生成します。
3. RAG Engine – Retrieval‑Augmented Generation (RAG) を用いて、最適なポリシースニペットと証拠ファイルを取得し、LLM のコンテキストに注入します。
4. Policy Knowledge Base – ポリシー・アズ・コードをグラフ構造で保持し、各ノードがコントロール、バージョン、フレームワークへのマッピングを表します。
5. Evidence Store – Document AI が PDF、スクリーンショット、設定ファイルに埋め込みを付与し、ベクトル検索で高速に類似性検索が可能です。
6. Contextual Validation Module – ルールベースのチェック（例： “暗号化アルゴリズムが言及されているか？”）を実行し、ユーザーが送信する前にギャップを指摘します。
7. Audit Log & Explainability Dashboard – すべての提案、参照文書、信頼度スコアを記録し、コンプライアンス監査人が追跡できるようにします。

プロンプトチェーンの実例

典型的な対話は次の3つの論理ステップで構成されます。

1. インテント抽出 – “PostgreSQL クラスタの保存時暗号化は行っていますか？”
   プロンプト:

   Identify the security control being asked about and the target technology stack.
   

2. ポリシー取得 – オーケストレータは SOC 2 の “Encryption in Transit and at Rest” 条項と、PostgreSQL に適用される社内ポリシーの最新バージョンを取得します。
   プロンプト:

   Summarize the latest policy for encryption at rest for PostgreSQL, citing the exact policy ID and version.
   

3. 回答生成 – LLM はポリシー要約と証拠（例：暗号化設定ファイル）を組み合わせ、簡潔な回答を作成します。
   プロンプト:

   Draft a 2‑sentence response that confirms encryption at rest, references policy ID POL‑DB‑001 (v3.2), and attaches evidence #E1234.
   

このチェーンにより トレース可能性（ポリシーID、証拠ID）と 一貫性（複数質問で同一表現）が保証されます。

ナレッジグラフの構築

実務的なポリシー整理手法として プロパティグラフ を用います。以下はグラフスキーマの簡易 Mermaid 表現です。

  graph LR
    P[Policy Node] -->|covers| C[Control Node]
    C -->|maps to| F[Framework Node]
    P -->|has version| V[Version Node]
    P -->|requires| E[Evidence Type Node]
    style P fill:#ffcc00,stroke:#333,stroke-width:2px
    style C fill:#66ccff,stroke:#333,stroke-width:2px
    style F fill:#99ff99,stroke:#333,stroke-width:2px
    style V fill:#ff9999,stroke:#333,stroke-width:2px
    style E fill:#ff66cc,stroke:#333,stroke-width:2px

• Policy Node – テキストポリシー、作成者、最終レビュー日を保持。
• Control Node – 規制コントロール（例：“保存時の暗号化”）を表す。
• Framework Node – SOC 2、ISO 27001 などのフレームワークと紐付け。
• Version Node – 常に最新リビジョンが使用されることを保証。
• Evidence Type Node – 必要な証拠種別（設定、証明書、テストレポート）を定義。

このグラフへの初期投入は一度限りで済みます。その後の更新は policy‑as‑code CI パイプライン で行い、マージ前にグラフ整合性を検証します。

リアルタイム検証ルール

強力な LLM を利用しても、コンプライアンスチームはハードな保証が必要です。Contextual Validation Module は生成された回答ごとに以下のルールセットを実行します。

ルール違反が検出された場合、コーチはインライン警告を表示し、修正案を提示します。これにより一方的な生成ではなく、共同編集 が実現します。

調達チーム向け実装ステップ

1. ナレッジグラフの設定

   • 既存ポリシーをリポジトリ（Git‑Ops 等）からエクスポート。
   • policy-graph-loader スクリプトで Neo4j か Amazon Neptune にインポート。

2. 証拠のインデックス化（Document AI）

   • Document AI パイプライン（Google Cloud、Azure Form Recognizer 等）をデプロイ。
   • 埋め込みをベクトルDB（Pinecone、Weaviate 等）に保存。

3. RAG エンジンのデプロイ

   • OpenAI、Anthropic などの LLM ホスティングサービスを利用し、カスタムプロンプトライブラリを作成。
   • LangChain 風のオーケストレータで検索層と結合。

4. 会話 UI の統合

   • Procurize の質問票ページにチャットウィジェットを追加。
   • 安全な WebSocket でオーケストレータに接続。

5. 検証ルールの設定

   • JSON‑logic 形式でルールを書き、Validation Module に組み込む。

6. 監査機能の有効化

   • すべての提案を不変の監査ログ（S3 の Append‑Only バケット＋CloudTrail）に記録。
   • ダッシュボードで信頼度スコアと参照文書を可視化。

7. パイロットと改善

   • 最も頻出する質問票（例：SOC 2 Type II）で開始。
   • ユーザーフィードバックを収集し、プロンプト文言やルール閾値を調整。

成功指標

これらの数値が達成できれば、コーチは実験的なチャットボットではなく、実務上の価値を提供していることが示されます。

今後の拡張案

1. 多言語コーチ – 日本語、ドイツ語、スペイン語をサポートするマルチリンガル LLM を活用。
2. フェデレーテッドラーニング – 複数 SaaS テナントが生データを共有せずにモデル改善を共同で実施。
3. ゼロ知識証明統合 – 証拠が極秘情報の場合、ZKP により証拠を開示せずにコンプライアンスを証明。
4. 予防的アラート – Regulatory Change Radar と連携し、新規規制が出た際にポリシー更新をプッシュ通知。

結論

対話型AIコーチは、セキュリティ質問票回答という手間のかかる作業をインタラクティブで知識駆動型の対話へと変換します。ポリシー知識グラフ、取得拡張生成、リアルタイム検証を組み合わせることで、Procurize は次の成果を提供できます。

• スピード – 数秒で回答、数日ではなく瞬時に。
• 正確性 – 最新ポリシーと具体的証拠で裏付けられた回答。
• 監査可能性 – すべての提案と根拠が追跡可能。

このコーチング層を導入した企業は、ベンダーリスク評価を加速させるだけでなく、全社員が自信を持ってセキュリティ質問に答えられる 継続的コンプライアンス文化 を根付かせることができるでしょう。

参考リンク

• コンプライアンス向け Retrieval‑Augmented Generation パイプラインの構築 (Medium)