Decentralizuotos tapatybės pagrindu veikiantis saugus įrodymų keitimas automatizuotiems saugumo klausimynams

SaaS‑pirmojo įsigijimo eroje saugumo klausimynai tapo pagrindine prieiga prie kiekvieno sandorio. Įmonės turi nuolat pateikti tuos pačius įrodymus – SOC 2 ataskaitas, ISO 27001 sertifikatus, įsilaužimo testų rezultatus – ir tuo pat metu užtikrinti, kad duomenys išliktų konfidencialūs, nekeičiami ir audituojami.

 
Pristatome decentralizuotus identifikatorius (DID) ir patvirtinamus įgaliojimus (VC).
Šie W3C standartai suteikia kriptografinį nuosavybės identitetams, kurie egzistuoja ne priklausomai nuo vienos institucijos. Kombinuojant juos su AI‑valdomomis platformomis, tokiomis kaip Procurize, DID paverčia įrodymų keitimo procesą į pasitikėjimu pagrįstą, automatizuotą darbo eigą, kuri gali mastelėti iki dešimčių tiekėjų ir kelių reguliavimo sistemų.

Toliau aptarsime:

1. Kodėl tradicinis įrodymų keitimas yra trapus.
2. Didžiosios DID ir VC principai.
3. Žingsnis po žingsnio architektūra, įterpianti DID‑pagrįstą keitimą į Procurize.
4. Realūs privalumai, pamatuoti per pilotinį projektą su trimis Fortune 500 SaaS tiekėjais.
5. Geriausios praktikos ir saugumo svarstymai.

1. Tradicinio įrodymų dalijimosi skausmo taškai

Šios problemos dar labiau sustiprina, kai klausimynai yra realiu laiku: tiekėjo saugumo komanda tikisi atsakymo per kelias valandas, tačiau įrodymas turi būti surinktas, peržiūrėtas ir saugiai perduotas.

2. Pagrindai: decentralizuoti identifikatoriai ir patvirtinami įgaliojimai

2.1 Kas yra DID?

DID – tai globaliai unikalus identifikatorius, kuris nurodo į DID dokumentą, kuriame pateikiama:

• Viešieji raktai autentifikacijai ir šifravimui.
• Paslaugų galų (pvz., saugaus API įrodymų keitimui).
• Autentifikacijos metodai (pvz., DID‑Auth, X.509 susiejimas).

{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}

Jokio centrinio registro nesupranta identifikatoriaus; savininkas publikuoja ir atnaujina DID dokumentą ledger’io (viešos blokų grandinės, leidžiamų DLT arba decentralizuoto saugojimo tinklo) pagalbos.

2‑2 Patvirtinami įgaliojimai (VC)

VC – tai nekeičiamos teiginiai, kuriuos išduoda išdavėjas, kalbant apie subjektą. VC gali įtraukti:

• Įrodymo artefakto (pvz., SOC 2 PDF) maišos reikšmę.
• Galiojimo periodą, apimtį ir atitinkamus standartus.
• Išdavėjo pasirašytas patvirtinimus, kad artefaktas atitinka konkrečius kontrolės punktus.

{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}

Laikytojas (tiekėjas) saugo VC ir gali jį pristatyti patikrinančiam (klausimyno atsakovo) be atskirų dokumentų atskleidimo, nebent tai aiškiai suteikta leidžiama.

3. Architektūra: DID‑pagrįsto keitimo įdiegimas į Procurize

Žemiau pateikta aukšto lygio srauto diagrama, iliustruojanti, kaip veikia DID‑pagrįstas įrodymų keitimas su Procurize AI klausimyno generatoriumi.

  flowchart TD
    A["Tiekėjas pradeda klausimyno užklausą"] --> B["Procurize AI sukuria atsakymo juodraštį"]
    B --> C["AI aptinka reikiamus įrodymus"]
    C --> D["Ieško VC tiekėjo DID saugykloje"]
    D --> E["Patikrina VC parašą ir įrodymo maišą"]
    E --> F["Jei galioja, gauna šifruotą įrodymą per DID paslaugų galą"]
    F --> G["Iššifruoja naudojant tiekėjo sesijos raktą"]
    G --> H["Prideda įrodymo nuorodą prie atsakymo"]
    H --> I["AI patikslina naratyvą su įrodymo kontekstu"]
    I --> J["Išsiunčia galutinį atsakymą užklausos padavėjui"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px

3.1 Pagrindiniai komponentai

3.2 Integracijos žingsniai

1. Įregistruoti tiekėjo DID – Registruojant tiekėją, generuojamas uniklaus DID ir saugomas jo DID dokumentas DID saugykloje.
2. Išduoti VC – Atitikties pareigūnai įkelia įrodymą (pvz., SOC 2 ataskaitą) į saugyklą; sistema apskaičiuoja SHA‑256 maišą, sukuria VC, pasirašo jį išdavėjo privataus rakto ir saugo kartu su šifruotu artefaktu.
3. Konfigūruoti Procurize – Pridėti tiekėjo DID į AI variklio „evidence‑catalog“ konfigūraciją kaip patikimą šaltinį.
4. Vykdyti klausimyną – Kai klausimynas prašo „SOC 2 Type II įrodymo“, Procurize AI:
   • Užklausia tiekėjo DID saugyklą dėl atitinkamo VC.
   • Kriptografiškai patikrina VC.
   • Gaukia šifruotą įrodymą per paslaugų galą.
   • Dekoduojama naudojant laikiną sesijos raktą, keičiamą per DID‑auth srautą.
5. Pateikti audito įrodymą – Galutinis atsakymas prideda nuorodą į VC (credential ID) ir įrodymo maišą, leidžiant auditoriams savarankiškai patvirtinti teiginį be tiesioginio dokumento peržiūros.

4. Pilotinės rezultatai: kiekybiniai laimėjimai

Trijų mėnesių pilotas su AcmeCloud, Nimbus SaaS ir OrbitTech – visais iš jų naudojama Procurize platforma – suteikė šiuos matavimus:

Kokybinė grįžtamoji informacija pabrėžė psichologinį pasitikėjimo didėjimą: užklausų teikėjai jautėsi saugūs, nes galėjo kriptografiškai patvirtinti, kad kiekvienas įrodymas kilęs iš teigiamo išdavėjo ir nebuvo pakeistas.

5. Saugumo ir privatumo stiprinimo kontrolinis sąrašas

1. Zero‑Knowledge įrodymai jautrioms savybėms – Naudokite ZK‑SNARK, kai VC turi patvirtinti savybę (pvz., „ataskaita < 10 MB“), neskelbiant realios maišos.
2. Atšaukimo sąrašai – Publikuokite DID‑pagrįtus atšaukimo registrus; kai įrodymas atnaujinamas, senas VC akimirksniu tampa nebegaliojančiu.
3. Selektiškas atskleidimas – Naudokite BBS+ parašus, kad atskleistumėte tik būtinas kredencialo savybes auditoriams.
4. Raktų rotacijos politika – Priverstinai keiskite DID autentifikacijos raktus kas 90 dienų, kad sumažintumėte riziką po galimo pavogimo.
5. GDPR sutikimo įrašai – Saugojame sutikimo kvitus kaip VC, susiejant duomenų subjekto DID su konkrečiu dalijimosi įrodymu.

6. Ateities planas

Decentralizuotų tapatybių ir generatyvių AI susijungimas pertvarks saugumo klausimynų atsakymo procesą, paverčiant tradicinius „spaustų mygtuką“ į sklandų, patikimą sandorį.

7. Greito pradžios vadovas

# 1. Įdiekite DID įrankių rinkinį (Node.js pavyzdys)
npm i -g @identity/did-cli

# 2. Sukurkite naują DID savo organizacijai
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. Publikuokite DID dokumentą į resolver'į (pvz., Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. Išduokite VC SOC2 ataskaitai
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Įkelkite šifruotą įrodymą ir VC į DID saugyklą (pavyzdinis API)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"

Įvykdžius šiuos žingsnius, konfigūruokite Procurize AI, kad pasitikėtų naujai sukurtu DID, ir kitą kartą, kai klausimynas paprašys SOC 2 įrodymo, atsakymas bus automatiškai sugeneruotas, patvirtintas kriptografiškai ir patikrinamas auditoriams.

8. Išvada

Decentralizuoti identifikatoriai ir patvirtinami įgaliojimai suteikia kriptografinį pasitikėjimą, privatumo pirmumo ir audituojamumą tradiciniam, rankiniam saugumo klausimynų įrodymų keitimui. Integravus juos su AI‑valdomomis platformomis, pvz., Procurize, procesas sutrumpėja iki sekundžių, sumažėja rizika ir išlaikomas konfidencialumas visoje tiekėjų ekosistemoje.

Įgyvendindami šią architektūrą šiandien, Jūsų organizacija įgyja ateities atitikties gebėjimus, pasiruošusią susidoroti su griežtesnėmis normomis, plėsti tiekėjų tinklus ir pasiruošusią išnaudoti AI‑vairinamų saugumo vertinimų potencialą.